Polityka ochrony danych

Polityka ochrony danych Façade Creations Ltd

Wstęp

Firma Façade Creations Ltd zobowiązuje się do ochrony prywatności i bezpieczeństwa danych osobowych zgodnie z brytyjskim ogólnym rozporządzeniem o ochronie danych (RODO) oraz ustawą o ochronie danych z 2018 r. , a także wszystkimi innymi obowiązującymi przepisami o ochronie danych. Przestrzegamy również odpowiednich przepisów ustawy o spółkach z 2006 r. , w szczególności dotyczących prawidłowego prowadzenia dokumentacji i bezpieczeństwa danych firmowych. Niniejsza polityka określa sposób, w jaki Façade Creations gromadzi, wykorzystuje, przechowuje i chroni dane osobowe zgodnie z naszą działalnością jako firmy specjalizującej się w projektowaniu , produkcji i montażu niestandardowych fasad aluminiowych . Obejmuje ona dane osobowe naszych pracowników, klientów, dostawców, użytkowników strony internetowej i innych interesariuszy, a także wyjaśnia prawa przysługujące osobom fizycznym w odniesieniu do ich danych.

Administrator danych

Façade Creations Ltd jest „Administratorem Danych” odpowiedzialnym za określenie sposobu i celu przetwarzania danych osobowych w naszej organizacji. W przypadku pytań, próśb lub wątpliwości dotyczących danych osobowych lub niniejszej polityki prosimy o kontakt z naszym przedstawicielem ds. ochrony danych:

• Adres e-mail: info@facadecreations.co.uk
• Adres pocztowy: Façade Creations Ltd, 124 City Road, Londyn, Anglia, EC1V 2NX find-and-update.company-information.service.gov.uk

Role i obowiązki

Ostateczną odpowiedzialność za zgodność z przepisami dotyczącymi ochrony danych w Façade Creations ponosi nasz Dyrektor, Hashim Choksi , który nadzoruje i egzekwuje niniejszą Politykę Ochrony Danych. Obecnie nie powołaliśmy formalnego Inspektora Ochrony Danych (IOD), ponieważ nie jesteśmy do tego prawnie zobowiązani ze względu na charakter i skalę przetwarzania. Obowiązki związane z ochroną danych spoczywają jednak na kierownictwie wyższego szczebla. Wszyscy pracownicy przechodzą podstawowe szkolenie z zakresu RODO i ochrony danych w ramach programów wdrożeniowych i szkoleń ustawicznych. Oczekuje się, że pracownicy zrozumieją i będą przestrzegać niniejszej polityki oraz będą zgłaszać kierownictwu wszelkie potencjalne problemy związane z ochroną danych. Regularne przeglądy i audyty (patrz sekcja „Przegląd i aktualizacje ” poniżej) są przeprowadzane w celu zapewnienia zgodności i usunięcia wszelkich luk.

Definicje

Dla celów niniejszej polityki stosuje się następujące definicje:

• Dane osobowe: Wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby (zwanej „osobą, której dane dotyczą”). Obejmuje to oczywiste identyfikatory, takie jak imię i nazwisko osoby, dane kontaktowe (adres e-mail, numer telefonu, adres), a także identyfikatory, takie jak identyfikator pracownika, adres IP lub wszelkie informacje, które można powiązać z daną osobą.
• Przetwarzanie: Każda operacja wykonywana na danych osobowych, zarówno zautomatyzowana, jak i ręczna. Przetwarzanie obejmuje gromadzenie, rejestrowanie, organizowanie, przechowywanie, modyfikowanie, pobieranie, wykorzystywanie, ujawnianie, przesyłanie, łączenie, ograniczanie, usuwanie lub niszczenie danych osobowych.
• Podmiot Danych: Osoba, której dotyczą dane osobowe. Na przykład nasi pracownicy, klienci i użytkownicy strony internetowej mogą być podmiotami danych zgodnie z niniejszą polityką.
• Administrator danych: Podmiot, który ustala cele i sposoby przetwarzania danych osobowych (w tym przypadku Façade Creations Ltd).
• Podmiot przetwarzający dane: Strona trzecia (inna niż nasi pracownicy), która przetwarza dane osobowe w imieniu Administratora Danych, zgodnie z jego instrukcjami. (Na przykład dostawca usług w chmurze, który hostuje nasze dane, może działać jako Podmiot przetwarzający dane).

Gromadzenie i przetwarzanie danych

Gromadzimy i przetwarzamy dane osobowe wyłącznie w określonych, jednoznacznych i uzasadnionych celach niezbędnych do prowadzenia naszej działalności. Poniżej znajduje się przegląd rodzajów danych osobowych, które przetwarzamy, oraz celów i podstaw prawnych przetwarzania każdego z nich:

1. Dane pracownika (HR) – Cel: Rekrutacja, zatrudnianie i zarządzanie naszym personelem oraz wypełnianie obowiązków prawnych jako pracodawcy. Obejmuje to przetwarzanie danych na potrzeby administracji zasobami ludzkimi, listy płac, świadczeń, ocen okresowych oraz zgodności z przepisami dotyczącymi bezpieczeństwa i higieny pracy.
   Kategorie danych: Dane osobowe pracownika (imię i nazwisko, dane kontaktowe, data urodzenia, numer ubezpieczenia społecznego), materiały aplikacyjne i dokumentacja pracownicza (CV, referencje, umowy o pracę, stanowiska i daty zatrudnienia), dane dotyczące listy płac i dane bankowe do wypłaty wynagrodzeń oraz wszelkie niezbędne certyfikaty lub dokumenty potwierdzające prawo do pracy. Możemy również przechowywać dokumentację szkoleń, ocen okresowych i postępowań dyscyplinarnych w razie potrzeby.
   Podstawa prawna: Konieczność umowna (w celu wypełnienia umowy o pracę, np. wypłaty wynagrodzeń); Obowiązek prawny (w celu przestrzegania przepisów prawa pracy, wymogów podatkowych i ustawowego prowadzenia dokumentacji, takiej jak dokumentacja płacowa HMRC i wymogi ustawy o spółkach z 2006 r.); oraz Uzasadnione interesy (w celu efektywnego zarządzania naszą siłą roboczą i zapewnienia ciągłości działania, równoważąc te interesy z prawami pracowników).
2. Dane klienta i projektu – Cel: Zarządzanie relacjami z naszymi klientami i świadczenie usług projektowania i montażu elewacji. Obejmuje to odpowiadanie na zapytania, przygotowywanie ofert, zawieranie umów, realizację projektów oraz wypełnianie zobowiązań prawnych i umownych (np. przepisów BHP, przepisów budowlanych).
   Kategorie danych: Dane kontaktowe klienta (imiona i nazwiska, stanowiska, adresy firm, numery telefonów, adresy e-mail); informacje związane z projektem przekazane przez klientów (wymagania projektu, specyfikacje, adresy lokalizacji); zapisy komunikacji z klientami; oraz szczegóły umowne i finansowe (oferty, umowy, faktury, zapisy płatności).
   Podstawa prawna: Konieczność umowna (podjęcie działań na żądanie klienta przed zawarciem umowy oraz realizacja naszych umów na projektowanie, dostawę i montaż elewacji); Obowiązek prawny (zgodność z przepisami takimi jak przepisy budowlane, kodeksy budowlane, przepisy podatkowe związane z transakcjami z klientami); oraz Uzasadnione interesy (zapewnienie efektywnego zarządzania projektem, utrzymywanie relacji z klientami i komunikowanie się z klientami w kontekście naszej działalności – np. dostarczanie aktualizacji projektu – w sposób, którego klienci rozsądnie by oczekiwali). W ograniczonych przypadkach możemy również opierać się na zgodzie – na przykład, gdy potencjalny klient zapisze się do otrzymywania newsletterów marketingowych (patrz Komunikacja marketingowa poniżej).
3. Dane dostawców i wykonawców – Cel: Zarządzanie zamówieniami na towary i usługi, koordynacja z naszymi podwykonawcami i dostawcami oraz wypełnianie naszych zobowiązań w zakresie płacenia za te transakcje i dokumentowania ich. Obejmuje to dane dotyczące naszych dostawców, podwykonawców, konsultantów i innych stron trzecich, z którymi współpracujemy przy projektach.
   Kategorie danych: Dane kontaktowe dostawcy lub wykonawcy (imię i nazwisko osoby kontaktowej, nazwa firmy, adres, adres e-mail, numer telefonu); umowy i porozumienia; informacje bankowe i płatnicze (numery kont, kody sortowania lub IBAN, numer VAT lub numer firmy) niezbędne do płatności; oraz odpowiednie kwalifikacje lub dane ubezpieczeniowe (np. dowód ubezpieczenia od odpowiedzialności zawodowej lub certyfikaty, jeśli są wymagane przez nasz proces weryfikacji wykonawców).
   Podstawa prawna: Konieczność umowna (w celu zawarcia i wykonania umów z naszymi dostawcami i podwykonawcami, np. wystawianie zamówień zakupu, płacenie faktur); Obowiązek prawny (na przykład przechowywanie zapisów transakcji do celów podatkowych i audytowych, przestrzeganie przepisów dotyczących przeciwdziałania oszustwom lub korupcji, tam gdzie ma to zastosowanie); oraz Uzasadnione interesy (takie jak weryfikacja dostawców pod kątem jakości i niezawodności, zapewnienie efektywności łańcucha dostaw projektu i utrzymanie ciągłości działania). Interesy te równoważą wszelkie skutki dla prywatności, a dane, które zbieramy w tym kontekście, są zazwyczaj zorientowane na cele biznesowe i nie mają charakteru nadmiernie osobistego.
4. Dane dotyczące komunikacji marketingowej – Cel: Wysyłanie aktualizacji, wiadomości lub komunikatów marketingowych dotyczących naszych usług osobom, które wyraziły zgodę na ich otrzymywanie. Pomaga nam to promować naszą działalność i informować zainteresowane strony o naszej ofercie (np. nowych rozwiązaniach fasadowych, studiach przypadku projektów lub wydarzeniach).
   Kategorie danych: Imiona i nazwiska oraz dane kontaktowe (takie jak adres e-mail i nazwa firmy) klientów lub potencjalnych klientów, którzy wyrazili zainteresowanie naszymi usługami lub zapisali się na naszą listę mailingową. Możemy również rejestrować preferencje komunikacyjne (np. zapisy zgód opt-in, preferowaną metodę kontaktu) oraz historię interakcji (np. wskaźniki otwarć wiadomości e-mail lub uczestnictwo w wydarzeniach, na poziomie zbiorczym).
   Podstawa prawna: Zgoda – W przypadku wszystkich komunikatów marketingowych wysyłanych e-mailem opieramy się na wyraźnej zgodzie wyrażonej przez osobę wyrażającą zgodę. Osoby są dodawane do naszej listy mailingowej tylko wtedy, gdy wyraziły wyraźną zgodę (na przykład zaznaczając pole opt-in w formularzu lub subskrybując za pośrednictwem naszej strony internetowej). Nie wysyłamy masowych e-maili marketingowych bez zgody. Osoby, których dane dotyczą, mają prawo do cofnięcia zgody w dowolnym momencie. Każdy wysyłany przez nas e-mail marketingowy zawiera do wypisania się z . Osoby zainteresowane mogą również w każdej chwili skontaktować się z nami w celu usunięcia z list marketingowych. Niezwłocznie rozpatrzymy prośbę o rezygnację.
5. Dane użytkowników witryny i pliki cookie – Cel: Obsługa i ulepszanie witryny naszej firmy oraz zrozumienie, w jaki sposób użytkownicy z nią wchodzą w interakcje. Podczas odwiedzania naszej witryny (www.facadecreations.co.uk) zbieramy określone dane za pośrednictwem plików cookie i podobnych technologii w celu zapewnienia funkcjonalności i analiz.
   Kategorie danych: Używamy plików cookie do podstawowych funkcji witryny (takich jak zarządzanie sesjami, które zapamiętuje Twoje preferencje lub umożliwia zalogowanie, jeśli ma to zastosowanie) oraz do podstawowych analiz. Dane analityczne (np. za pośrednictwem Google Analytics) są zazwyczaj agregowane i anonimizowane, co pomaga nam śledzić ruch w witrynie i wzorce użytkowania bez bezpośredniej identyfikacji poszczególnych odwiedzających. Nie gromadzimy danych osobowych za pośrednictwem plików cookie analitycznych i nie używamy plików cookie w celach reklamowych. Jeśli nasza witryna zawiera formularze kontaktowe lub zapytania, podane przez Ciebie dane osobowe (np. imię i nazwisko, adres e-mail, numer telefonu i dane zapytania) będą wykorzystywane wyłącznie w celu udzielenia odpowiedzi na Twoje zapytanie (jako część Danych Klienta powyżej) i przetwarzane zgodnie z niniejszą polityką.
   Podstawa prawna: Uzasadniony interes – W naszym interesie leży zapewnienie prawidłowego działania naszej strony internetowej oraz zrozumienie sposobu jej użytkowania w celu jej ulepszenia, z poszanowaniem prywatności użytkowników (dane analityczne są anonimizowane). W przypadkach wymaganych przez prawo opieramy się również na zgodzie (podczas pierwszej wizyty wyświetlamy powiadomienie o plikach cookie z prośbą o zgodę na pliki cookie, które nie są niezbędne). Pliki cookie, które nie są niezbędne, można w dowolnym momencie wyłączyć w ustawieniach przeglądarki; należy jednak pamiętać, że może to wpłynąć na niektóre funkcje strony.

Udostępnianie i przesyłanie danych

Traktujemy dane osobowe jako poufne i nie udostępniamy ich osobom trzecim, chyba że jest to konieczne do osiągnięcia celu, dla którego dane zostały zebrane, lub jesteśmy do tego prawnie zobowiązani. W razie konieczności udostępnienia danych stosujemy zasadę minimalizacji danych, udostępniając tylko niezbędne informacje. Główne przypadki, w których możemy udostępniać dane osobowe, to:

• Podwykonawcy i dostawcy: Udostępniamy istotne dane naszym podwykonawcom, podkonsultantom i dostawcom w zakresie niezbędnym do realizacji projektu. Na przykład, możemy przekazać podwykonawcy dane dostępu do placu budowy lub nazwiska pracowników w celu zapewnienia bezpieczeństwa i higieny pracy, a także udostępnić dane kontaktowe klienta partnerowi ds. dostaw w celu koordynacji dostawy. W każdym przypadku osoby trzecie otrzymują wyłącznie dane niezbędne do realizacji konkretnego zadania i oczekuje się od nich bezpiecznego przetwarzania tych danych.
• Doradcy zawodowi: Możemy udostępniać dane naszym ubezpieczycielom , księgowym , prawnikom lub innym doradcom zawodowym. Na przykład, ubezpieczyciel może otrzymać szczegóły roszczenia zawierające dane osobowe, a nasi księgowi mogą przeglądać informacje o płatnościach pracowników i kontrahentów podczas udzielania pomocy w zakresie płac lub audytów finansowych. Strony te są zobowiązane do zachowania tajemnicy zawodowej lub do przestrzegania umów dotyczących ochrony danych.
• Konsultanci i partnerzy biznesowi: Jeśli angażujemy zewnętrznych konsultantów lub partnerów joint venture do projektu, możemy być zmuszeni do udostępnienia pewnych danych (np. danych kontaktowych zespołu projektowego, odpowiednich profili doświadczenia) w celu ułatwienia współpracy. Udostępnianie takich danych będzie regulowane umowami o zachowaniu poufności i umowami o przetwarzaniu danych, w stosownych przypadkach.
• Wymagania regulacyjne i prawne: Udostępnimy dane osobowe organom rządowym, organom regulacyjnym, organom ścigania lub sądom, jeśli będzie to wymagane przez prawo. Na przykład, możemy być zobowiązani do przekazania informacji do Urzędu Skarbowego i Celnego Jej Królewskiej Mości (HMRC) w celach podatkowych, do Biura Komisarza ds. Informacji (ICO) w przypadku rozpatrywania skargi lub w celu wykonania nakazu sądowego lub wezwania sądowego. W każdym przypadku zweryfikujemy zasadność żądania i udostępnimy wyłącznie dane niezbędne prawnie.

Façade Creations nie sprzedaje danych osobowych żadnym podmiotom trzecim w celach marketingowych ani innych.

Transfery międzynarodowe: Jako firma z siedzibą w Wielkiej Brytanii, przechowujemy i przetwarzamy dane głównie w Wielkiej Brytanii. Korzystamy jednak z renomowanych usług w chmurze (na przykład Microsoft 365 do przechowywania wiadomości e-mail i dokumentów, narzędzi analitycznych Google Xero do księgowości), co może wiązać się z przechowywaniem danych na serwerach poza Wielką Brytanią. Zawsze, gdy dane osobowe są przesyłane poza Wielką Brytanię (lub Europejski Obszar Gospodarczy) – na przykład do centrów danych w Stanach Zjednoczonych lub gdzie indziej – zapewniamy wdrożenie zabezpieczeń prawnych. Zabezpieczenia te mogą obejmować standardowe klauzule umowne (SCC) lub poleganie na decyzji rządu Wielkiej Brytanii w sprawie adekwatności ochrony danych. Dbamy również o to, aby nasi dostawcy usług posiadali certyfikaty lub byli zobowiązani umownie do przestrzegania standardów ochrony danych równoważnych z RODO. Starannie weryfikujemy zewnętrznych dostawców pod kątem zgodności z przepisami dotyczącymi ochrony danych i współpracujemy wyłącznie z uznanymi na całym świecie firmami o silnych praktykach bezpieczeństwa. Naszym celem jest zapewnienie takiego samego poziomu ochrony niezależnie od miejsca ich przetwarzania.

Bezpieczeństwo danych

Façade Creations stosuje odpowiednie techniczne i organizacyjne środki bezpieczeństwa w celu ochrony danych osobowych przed nieautoryzowanym dostępem, utratą, zniszczeniem lub modyfikacją. Stale weryfikujemy i udoskonalamy nasze praktyki bezpieczeństwa zgodnie ze standardami branżowymi. Kluczowe wdrożone przez nas środki obejmują:

• Bezpieczne przechowywanie: Dane osobowe w formie elektronicznej są przechowywane w bezpiecznych systemach z kontrolą dostępu. Stosujemy szyfrowanie wrażliwych danych w spoczynku i podczas przesyłu (na przykład nasze bazy danych i laptopy korzystają z szyfrowania dysków). Serwery są chronione hasłem i zaporą sieciową, a przechowywanie danych w chmurze (np. SharePoint/OneDrive w ramach Microsoft 365) jest szyfrowane i monitorowane. Dokumentacja papierowa zawierająca dane osobowe jest przechowywana w zamkniętych szafach lub bezpiecznych pomieszczeniach biurowych z ograniczonym dostępem.
• Kontrola dostępu: Dostęp do danych osobowych jest ograniczony wyłącznie do upoważnionego personelu, który potrzebuje go do wykonywania swoich obowiązków służbowych. Różne poziomy dostępu są przyznawane w zależności od roli (zasada najmniejszych uprawnień). Na przykład, dane HR są dostępne tylko dla upoważnionych pracowników działu HR i kadry kierowniczej; dane projektu są dostępne dla zespołu projektowego i odpowiednich administratorów. Wszyscy pracownicy są zobowiązani do używania silnych, unikalnych haseł do systemów firmowych, a uwierzytelnianie wieloskładnikowe jest włączane wszędzie tam, gdzie to możliwe, w celu umożliwienia dostępu zdalnego.
• Bezpieczna komunikacja: Przesyłając dane osobowe stronom trzecim (np. przesyłając informacje płacowe do naszego księgowego lub udostępniając dane projektowe podwykonawcy), korzystamy z bezpiecznych kanałów. Wiadomości e-mail są domyślnie wysyłane za pomocą szyfrowanych połączeń TLS, a w przypadku plików zawierających szczególnie wrażliwe dane stosujemy ochronę hasłem lub szyfrowanie. Odradzamy korzystanie z niezabezpieczonych kanałów do przesyłania danych osobowych.
• Bezpieczeństwo fizyczne: Nasze biura są zabezpieczone przed nieautoryzowanym wejściem – dostęp do biur i pomieszczeń do przechowywania dokumentów jest ograniczony do personelu (za pomocą kluczy lub kart dostępu), a goście są eskortowani. Dokumenty i urządzenia zawierające dane osobowe nie są pozostawiane bez nadzoru w miejscach publicznych. Korzystamy również z niszczarki do niszczenia dokumentów papierowych zawierających dane osobowe i stosujemy politykę czystego biurka, aby zminimalizować ryzyko ujawnienia poufnych dokumentów.
• Bezpieczeństwo urządzeń i IT: Wszystkie firmowe laptopy i urządzenia są skonfigurowane z aktualnym oprogramowaniem antywirusowym/antymalware i regularnie aktualizowane najnowszymi aktualizacjami zabezpieczeń. Stosujemy proces zarządzania zasobami IT, aby śledzić urządzenia firmowe i zapewnić bezpieczną utylizację po wycofaniu ich z eksploatacji. Dyski przenośne i pamięci USB z danymi osobowymi są szyfrowane lub w miarę możliwości unikane.
• Usługi zewnętrzne: Korzystamy z zaufanych dostawców usług w chmurze i IT (takich jak Microsoft i Xero), aby wspierać naszą działalność. Przed podjęciem współpracy z jakimkolwiek dostawcą, który będzie przetwarzał dane osobowe, sprawdzamy jego certyfikaty bezpieczeństwa i polityki prywatności, aby upewnić się, że spełnia on standardy RODO. Z takimi dostawcami podpisujemy umowy o przetwarzaniu danych, aby upewnić się, że zobowiązują się oni do ochrony danych w naszym imieniu.
• Monitorowanie i testowanie: Regularnie przeprowadzamy audyty bezpieczeństwa i oceny ryzyka naszych systemów. Uprawnienia dostępu pracowników są okresowo weryfikowane, aby zapewnić, że dostęp jest ograniczony do niezbędnych osób. Zapewniamy również stałe szkolenia dla personelu w zakresie najlepszych praktyk cyberbezpieczeństwa (takich jak rozpoznawanie prób phishingu i ochrona informacji).

Wdrażając powyższe środki dążymy do utrzymania wysokiego poziomu bezpieczeństwa i ograniczenia ryzyka wycieku danych lub nieuprawnionego ujawnienia danych.

Przechowywanie danych

Przechowujemy dane osobowe wyłącznie tak długo, jak jest to konieczne do realizacji celów, dla których zostały zebrane, oraz do spełnienia wszelkich wymogów prawnych, księgowych lub sprawozdawczych. Okresy przechowywania są ustalane na podstawie rodzaju danych oraz obowiązujących obowiązków prawnych/regulacyjnych. Nasze ogólne zasady przechowywania danych są następujące:

• Dokumentacja pracownicza (HR): Przechowujemy dane osobowe pracowników do 6 lat po zakończeniu stosunku pracy , zgodnie z ustawowymi okresami przedawnienia roszczeń pracowniczych w Wielkiej Brytanii oraz wymogami HMRC. Obejmuje to przechowywanie podstawowych danych identyfikacyjnych, umów o pracę i dokumentacji płacowej przez sześć lat po rozwiązaniu stosunku pracy. Niektóre dokumenty mogą być przechowywane dłużej, jeśli jest to wymagane (na przykład informacje dotyczące programu emerytalnego lub dokumentacja dotycząca urazów mogą być przechowywane dłużej zgodnie z przepisami), ale nie przechowujemy pełnej dokumentacji HR bezterminowo.
• Dokumentacja finansowa: Dokumentacja finansowa, która może zawierać dane osobowe (np. faktury, rejestry płatności, raporty wydatków), jest przechowywana przez 6 lat od zakończenia roku obrotowego, zgodnie z przepisami podatkowymi HMRC oraz ustawie o spółkach z 2006 r . Gwarantuje to, że posiadamy dokumentację na wypadek audytów lub zapytań finansowych. Po 6 latach dokumentacja ta jest bezpiecznie niszczona, chyba że dłuższe przechowywanie jest wymagane prawnie w przypadku określonych pozycji.
• Akta projektu i klienta: Dokumenty związane z projektem (w tym korespondencja z klientem, umowy, plany projektu itp.) są przechowywane przez cały okres trwania projektu , a zazwyczaj przez 6 do 10 lat po jego zakończeniu. Dokładny okres przechowywania zależy od zobowiązań umownych i kwestii odpowiedzialności – na przykład umowy często określają, że określone dokumenty powinny być przechowywane przez określoną liczbę lat. W branży budowlanej powszechny jest okres 6-12 lat (12 lat w przypadku dokumentów opieczętowanych). Przyjęliśmy 10-letni okres jako ogólną wytyczną dla akt dużego projektu, aby uwzględnić potencjalne okresy odpowiedzialności za wady ukryte. Akta te są bezpiecznie archiwizowane i dostępne tylko w razie potrzeby w celach informacyjnych lub prawnych.
• Zapytania i dane potencjalnych klientów: Jeśli dana osoba złoży zapytanie, ale nie podpisze z nami umowy, będziemy przechowywać korespondencję dotyczącą zapytania oraz jej dane kontaktowe przez okres do 2 lat od ostatniej interakcji. Ma to na celu umożliwienie nam śledzenia potencjalnych transakcji lub zrozumienia wcześniejszej komunikacji. Po 2 latach braku aktywności (lub natychmiast na żądanie) usuwamy lub anonimizujemy dane dotyczące zapytania. Dane osób, które wyraziły zgodę na otrzymywanie materiałów marketingowych, będziemy przechowywać do momentu wypisania się z subskrypcji lub wycofania zgody. W takim przypadku niezwłocznie usuniemy je z naszych aktywnych list mailingowych (jednocześnie przechowując listę wykluczeń, aby zapewnić respektowanie próśb o brak kontaktu).
• Inne kategorie: Nagrania z monitoringu CCTV (jeśli kiedykolwiek będziemy go używać w naszej siedzibie) będą zazwyczaj przechowywane przez krótki okres (np. 30 dni), chyba że będą potrzebne do dochodzenia. Dane rekrutacyjne (kandydatów do pracy) dotyczące kandydatów, których nie zatrudniamy, są zazwyczaj przechowywane do 6 miesięcy, chyba że kandydat wyrazi zgodę na dłuższe przechowywanie na potrzeby przyszłych rekrutacji.

W każdym przypadku, po upływie okresu przechowywania, bezpiecznie usuniemy dane osobowe lub zanonimizujemy (tak, aby nie można było ich już powiązać z konkretną osobą). Bezpieczne usunięcie może obejmować trwałe usunięcie plików elektronicznych za pomocą odpowiednich narzędzi programowych oraz niszczenie dokumentów fizycznych. Stosujemy harmonogram przechowywania danych i okresowo dokonujemy przeglądu posiadanych danych, aby upewnić się, że nie przechowujemy ich dłużej niż to konieczne.

Prawa jednostki

Osoby, których dane dotyczą (osoby, których dane przechowujemy) mają szereg praw wynikających z brytyjskiego RODO. Façade Creations szanuje i chroni te prawa. Podsumowując, osoby fizyczne mają prawo do:

• Prawo dostępu: Możesz zażądać potwierdzenia, czy przetwarzamy Twoje dane osobowe, a jeśli tak, możesz zażądać kopii posiadanych przez nas danych osobowych, a także informacji o tym, jak je wykorzystujemy. Jest to powszechnie znane jako „wniosek o dostęp do danych osobowych”. Informacje te przekażemy w zwięzły i przejrzysty sposób, zazwyczaj w ciągu jednego miesiąca od otrzymania ważnego wniosku.
• Prawo do sprostowania: Jeśli jakiekolwiek dane osobowe, które posiadamy na Twój temat, są nieprawidłowe lub niekompletne, masz prawo zażądać ich poprawienia lub aktualizacji. Po weryfikacji niezwłocznie usuniemy wszelkie nieścisłości.
• Prawo do usunięcia danych: Masz prawo zażądać usunięcia swoich danych osobowych w pewnych okolicznościach – na przykład, jeśli dane nie są już potrzebne do celów, dla których zostały zebrane, lub jeśli wycofasz zgodę, a nie mamy innej podstawy prawnej do przetwarzania. Jest to czasami nazywane „prawem do bycia zapomnianym”. Należy pamiętać, że prawo to nie jest bezwzględne; możemy być zobowiązani do przechowywania niektórych informacji, jeśli mamy do tego obowiązek prawny lub nadrzędny prawnie uzasadniony interes (poinformujemy Cię, jeśli tak się stanie).
• Prawo do ograniczenia przetwarzania: Możesz poprosić nas o ograniczenie przetwarzania Twoich danych w określonych okolicznościach. Na przykład, jeśli kwestionujesz dokładność danych lub sprzeciwiasz się naszemu przetwarzaniu (patrz poniżej), możesz zażądać ograniczenia do czasu rozwiązania problemu. Po ograniczeniu przetwarzania będziemy nadal przechowywać Twoje dane, ale nie będziemy ich wykorzystywać ani udostępniać, z wyjątkiem ograniczonych okoliczności (takich jak za Twoją zgodą lub w związku z roszczeniami prawnymi).
• Prawo do sprzeciwu: W przypadku przetwarzania Twoich danych osobowych w oparciu o prawnie uzasadniony interes , masz prawo sprzeciwić się takiemu przetwarzaniu. W przypadku wniesienia sprzeciwu zaprzestaniemy przetwarzania danych, których to dotyczy, chyba że wykażemy istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec Twoich praw, lub przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń. Masz również bezwarunkowe prawo sprzeciwu wobec wykorzystywania Twoich danych osobowych do celów marketingu bezpośredniego – w przypadku wniesienia sprzeciwu natychmiast zaprzestaniemy takiego wykorzystywania.
• Prawo do przenoszenia danych: Jeśli przekazałeś nam dane, a przetwarzanie odbywa się w sposób zautomatyzowany na podstawie Twojej zgody lub w celu wykonania umowy, masz prawo zażądać kopii tych danych w powszechnie używanym formacie nadającym się do odczytu maszynowego i/lub przekazać je innemu administratorowi danych (o ile jest to technicznie możliwe). Prawo to dotyczy przede wszystkim danych, które aktywnie przekazałeś. Będziemy wspierać takie żądania w miarę możliwości.

Aby skorzystać z któregokolwiek z tych praw, prosimy o kontakt pod adresem info@facadecreations.co.uk , podając szczegóły swojego żądania. Możemy być zmuszeni do weryfikacji Twojej tożsamości, aby upewnić się, że nie ujawnimy danych niewłaściwej osobie, a w niektórych przypadkach możemy poprosić o wyjaśnienie zakresu Twojego żądania (na przykład, jeśli kontaktowałeś się z nami wielokrotnie). Odpowiemy na wszystkie ważne żądania tak szybko, jak to możliwe, nie później niż w ciągu miesiąca od ich otrzymania. Jeśli będziemy potrzebować więcej czasu (do dwóch miesięcy w przypadku złożonych żądań), poinformujemy Cię o przedłużeniu terminu i jego przyczynach. Zasadniczo nie pobieramy opłat za rozpatrzenie żądań, chyba że żądanie jest ewidentnie bezpodstawne lub nadmierne. W takim przypadku możemy naliczyć rozsądną opłatę lub odrzucić żądanie (podając uzasadnienie).

Procedura naruszenia danych

Pomimo naszych solidnych środków bezpieczeństwa, naruszenie bezpieczeństwa danych (incydent prowadzący do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, modyfikacji, nieautoryzowanego ujawnienia lub dostępu do danych osobowych) nadal może wystąpić. Firma Façade Creations opracowała przejrzysty Plan Reagowania na Naruszenia Danych , aby zapewnić szybką i skuteczną obsługę takich incydentów. Nasza procedura wygląda następująco:

1. Wykrywanie i ograniczanie: Pracownicy są szkoleni w zakresie natychmiastowego zgłaszania kierownictwu wszelkich podejrzeń naruszenia danych (np. utraty urządzenia, podejrzanej aktywności systemu lub błędnej wiadomości e-mail wysłanej do niewłaściwego adresata). Po zgłoszeniu lub wykryciu potencjalnego naruszenia, podejmiemy szybkie działania w celu ograniczenia – na przykład izolując zainfekowany system, wycofując błędnie wysłane wiadomości e-mail lub zmieniając dane uwierzytelniające, aby zapobiec dalszemu nieautoryzowanemu dostępowi. Prowadzimy również rejestr incydentów, ich czasu i podjętych działań.
2. Ocena: Zespół odpowiedzialny (kierowany przez kadrę kierowniczą wyższego szczebla i dział IT, w tym nasz kierownik ds. ochrony danych) zbada i oceni zakres oraz wagę naruszenia. Ustalamy, jakie dane osobowe są objęte naruszeniem, ile osób jest nim dotkniętych, potencjalne konsekwencje dla tych osób oraz czy dane zostały odzyskane, czy nadal są narażone. Ta ocena ryzyka jest przeprowadzana niezwłocznie, ponieważ na jej podstawie podejmujemy dalsze kroki w zakresie powiadomienia.
3. Powiadomienie: Jeśli naruszenie może spowodować ryzyko naruszenia praw i wolności osób fizycznych (na przykład ryzyko kradzieży tożsamości, straty finansowej, bezpieczeństwa osobistego lub innej poważnej szkody), powiadomimy brytyjskie Biuro Komisarza ds. Informacji ( ICO) w ciągu 72 godzin od momentu powzięcia o nim wiedzy, zgodnie z wymogami prawa. Nasze powiadomienie ICO będzie zawierać szczegółowe informacje o charakterze naruszenia, kategoriach i przybliżonej liczbie osób i danych, których dotyczy naruszenie, prawdopodobnych konsekwencjach oraz podjętych lub proponowanych środkach zaradczych. Jeśli upłynie 72-godzinny termin, a my nie zbierzemy wszystkich tych informacji, prześlemy wstępne powiadomienie i przekażemy więcej szczegółów, gdy będą dostępne. Ponadto, jeśli naruszenie może spowodować wysokie ryzyko dla osób, których ono dotyczy (np. wyciek wrażliwych informacji, który może prowadzić do oszustwa lub szkody), poinformujemy te osoby bez zbędnej zwłoki w jasny sposób o tym, co się stało i o krokach, które powinny podjąć w celu ochrony. Udzielimy osobom poszkodowanym wskazówek dotyczących łagodzenia wszelkich negatywnych skutków (takich jak resetowanie haseł, monitorowanie podejrzanej aktywności itp.). Jeśli naruszenie nie stwarza poważnego ryzyka (na przykład, jeśli dane zostały zaszyfrowane lub szybko odzyskane), możemy nie musieć powiadamiać osób, jednak nadal dokumentujemy incydent wewnętrznie.
4. Przegląd i zapobieganie: Po zajęciu się bezpośrednim incydentem przeprowadzimy przegląd po wystąpieniu naruszenia, aby w pełni zrozumieć przyczynę i zidentyfikować wszelkie obszary wymagające poprawy. Podejmiemy wszelkie niezbędne działania naprawcze, aby zapobiec podobnym incydentom w przyszłości, takie jak udoskonalenie procedur, wzmocnienie środków bezpieczeństwa lub zapewnienie dodatkowych szkoleń personelu. Wszystkie naruszenia i zdarzenia potencjalnie niebezpieczne są rejestrowane w naszym wewnętrznym rejestrze naruszeń, wraz ze szczegółami naszej reakcji i rezultatów, zgodnie z naszymi zobowiązaniami dotyczącymi odpowiedzialności.

Każde naruszenie danych traktujemy jako poważną sprawę. Stosując tę ​​procedurę, dążymy do minimalizacji szkód wyrządzonych osobom fizycznym i wyciągamy wnioski z incydentów, aby stale wzmacniać nasze środki ochrony danych.

Przegląd i aktualizacje

dokonujemy przeglądu , aby zapewnić jej zgodność ze zmieniającymi się przepisami prawa i naszą działalnością. Polityka jest weryfikowana co najmniej raz w roku . Przeglądy będą również przeprowadzane w przypadku istotnych zmian – na przykład w przypadku wprowadzenia nowych czynności przetwarzania danych, zmian w przepisach lub w przypadku istotnych ustaleń z audytu ochrony danych lub dochodzenia w sprawie naruszenia.

Aktualizacje polityki będą zatwierdzane przez kierownictwo firmy. Dyrektor (Hashim Choksi) jest odpowiedzialny za formalne zatwierdzanie wszelkich zmian oraz monitorowanie bieżącego przestrzegania niniejszej polityki w całej organizacji. W przypadku wprowadzenia zmian, zmieniona polityka zostanie opublikowana na naszej stronie internetowej , a data „ostatniej aktualizacji” zostanie odpowiednio dostosowana. W przypadku istotnych zmian możemy również powiadomić pracowników lub inne osoby, których one dotyczą, bezpośrednio (na przykład pocztą elektroniczną lub w wewnętrznej notatce), zwłaszcza jeśli zmiany te wpłyną na sposób, w jaki przetwarzamy ich dane lub przysługujące im prawa.

Przeprowadzamy również okresowe audyty ochrony danych i kontrole zgodności (wewnętrznie lub z pomocą zewnętrznych doradców), aby upewnić się, że nasze praktyki są zgodne z niniejszą polityką. Wszelkie ustalenia z takich audytów zostaną wykorzystane do ulepszenia naszych procesów i mogą skutkować aktualizacjami polityki lub dodatkowymi szkoleniami.

Regularnie dokonując przeglądu i aktualizacji naszej polityki i praktyk, Façade Creations potwierdza nasze zaangażowanie na rzecz wysokich standardów ochrony danych i aktywnie dostosowuje się do nowych wydarzeń.

ICO i skargi

Chcemy, aby użytkownicy mieli zaufanie do sposobu, w jaki przetwarzamy dane osobowe. W przypadku jakichkolwiek wątpliwości lub skarg dotyczących naszych praktyk ochrony danych, zachęcamy do bezpośredniego kontaktu z nami, abyśmy mogli zająć się sprawą. Ponadto mają Państwo prawo złożyć skargę do brytyjskiego organu nadzorującego ochronę danych, czyli Information Commissioner 's Office (ICO) . Z ICO można skontaktować się za pośrednictwem strony internetowej (ico.org.uk) lub telefonicznie.

W naszych informacjach o ochronie prywatności (np. na naszej stronie internetowej oraz w klauzulach umownych dotyczących ochrony danych) uwzględniamy informacje o prawie osób fizycznych do kontaktu z ICO. Będziemy w pełni współpracować z ICO w przypadku jakichkolwiek dochodzeń. Oczywiście mamy nadzieję, że uda nam się rozwiązać wszelkie wątpliwości, współpracując z Państwem bezpośrednio – Państwa zaufanie jest dla nas niezwykle ważne.

Skontaktuj się z nami

Jeśli masz pytania dotyczące niniejszej Polityki ochrony danych lub chcesz skorzystać z któregokolwiek ze swoich praw związanych z ochroną danych, nie wahaj się z nami skontaktować:

E-mail: info@facadecreations.co.uk
Adres pocztowy: Zapytania dotyczące ochrony danych – Façade Creations Ltd, 124 City Road, Londyn, EC1V 2NX, Wielka Brytania

Z przyjemnością Państwu pomożemy i postaramy się jak najszybciej odpowiedzieć na wszystkie uzasadnione prośby.

Façade Creations Ltd – zarejestrowana w Anglii i Walii (numer spółki: 16267073)

Ostatnia aktualizacja: październik 2025 r.