ВЪТРЕШНА ПОЛИТИКА ЗА ОБРАБОТВАНЕ НА ЛИЧНИ ДАННИ

1. Предмет и цели

Настоящият Вътрешен правилник за обработването на лични данни („Правилник“) има за предмет осигуряването на минималните технически и организационни мерки при обработването на лични данни от страна на „Атлетик Фит“ ООД, със седалище и адрес на управление в гр. София, ул. „Лъчезар Станчев“ 5, вписано в Търговския регистър към Агенция по вписванията с ЕИК 207 402 950 – администратор на лични данни съобразно приложимото законодателство и в обхвата на този Правилник.

Правилникът и съответно установените с него технически или организационни мерки, имат за цел да гарантират подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане.

Настоящият Правилник е изцяло съобразен с публично обявената от Атлетик Фит Политика на поверителност, достъпна в интернет на страницата на дружеството, и цели привеждането в действие на описаните в нея практики на вътрешно ниво. Всички дейности и мерки по защитата на личните данни, които не са изрично уредени в настоящия правилник, ще бъдат извършвани съобразно обявеното в Политиката на поверителност.

2. Основни понятия

• „Лични данни”:

Всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано.

• „Администратор”

Физическо или юридическо лице, публичен орган, агенция или друга структура, която сама или съвместно с други определя целите и средствата за обработването на лични данни.

• „Обработващ”

Физическо или юридическо лице, публичен орган, агенция или друга структура, която обработва лични данни от името на администратора.

• „Обработване”

Всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства, като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване.

Всички други понятия, които не са изрично дефинирани в настоящия Правилник, следва да бъдат тълкувани съобразно смисъла, придаден им в относимите законодателни актове, включително, но не само Общия регламент относно защитата на данните (Регламент (ЕС) 2016/679) и Закона за защита на личните данни.

3. Приложимост

Настоящит Правилник е приложим към всяко действие по обработване на лични данни от страна на Атлетик Фит, включително и чрез неговите служители. Всички служители на Атлетик Фит, имащи достъп до лични данни, са запознати с настоящия Правилник и в допълнение са обвързани от декларация за конфиденциалност по отношение на личните данни, обработвани от Атлетик Фит, до които те имат достъп.

4. Видове лични данни, начини на събиране, цели на използване

Атлетик Фит събира и обработва лични данни на своите клиенти – посетителите на спортните центрове на Атлетик Фит. Атлетик Фит обработва и личните данни на своите служители.

Атлетик Фит обработва лични данни в рамките на предоставеното от клиентите съгласие с цел предоставяне на заявените от клиентите услуги, за целите на изпълнението на договор между страните, както и когато обработването е необходимо за целите на легитимните интереси на Атлетик Фит или на трета страна.

Целите на обработването включват например предоставяне на заявените услуги, осъществяване на връзка с клиентите, директен маркетинг и статистически нужди, запознаване на клиентите с актуални инициативи на Атлетик Фит, както и за цялостното подобряване на качеството на предлаганите от Атлетик Фит услуги.

Атлетик Фит не използва личните данни за цели, различни от посочените.

5. Приложими принципи при обработването на лични данни

Атлетик Фит ще обработва лични данни при съблюдаване на следните принципи:

• законосъобразност, добросъвестност и прозрачност – личните данни ще бъдат обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на физическите лица – субекти на данните;
• ограничение на целите – личните данни ще бъдат събирани за конкретни легитимни цели и няма да бъдат обработвани допълнително по начин, несъвместим с тези цели, освен за статистически цели;
• свеждане на данните до минимум – обработваните лични данни ще бъдат подходящи, свързани с и ограничени до необходимото във връзка с целите, за които са били събрани;
• точност – обработваните лични данни ще бъдат точни и при необходимост да бъдат поддържани в актуален вид;
• ограничение на съхранението – личните данни ще бъдат съхранявани във форма, която да позволява идентифицирането на физическото лице – субект на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни;
• цялостност и поверителност – личните данни ще бъдат обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки;
• отчетност – Атлетик Фит ще поддържа вътрешни процеси и документация, с които да може да докаже спазването на посочените по-горе принципи.

6. Предоставяне на достъп на субектите на данни

В случай че субект на данни подаде искане за достъп до обработваната за него информация, Атлетик Фит ще отговори без ненужно забавяне и във всички случаи в срок от един месец от получаване на искането. При необходимост този срок може да бъде удължен с още два месеца, като се взема предвид сложността и броя на исканията. Субектът на данни следва да бъде уведомен за тази оценка в рамките на първоначалния едномесечен срок. Информацията се предоставя под формата на устна или писмена справка, в зависимост от начина и характера на отправеното искане. Служителите на Атлетик Фит трябва да положат всички разумни усилия, за да се убедят, че отправеното искане изхожда от съответното лице, като за целта имат право да изискат предоставяне на допълнителна информация в ограничен обем, отговарящи на тези цели.

Всички дейности по този раздел следва да бъдат надлежно документирани.

7. Споделяне на лични данни с трети лица

Споделянето на лични данни с трети лица се извършва изцяло в съответствие с принципите, посочени в публично обявената от Атлетик Фит Политика на поверителност, достъпна в интернет на страницата на дружеството. Тези цели/основания включват:

• инструкциите/съгласието на съответния клиент;

• когато това е стриктно необходимо за предоставяне на заявена от клиент услуга, като например при осъществяване на плащане чрез външен доставчик на разплащателни услуги;

• за защита на законовите права и интереси на Атлетик Фит, както и на тези на клиентите и служителите на дружеството;

• когато Атлетик Фит има задължение по закон да разкрие тези лични данни.

Категориите лични данни при всеки такъв тип споделяне се определят съобразно случая, като във всеки такъв случай Атлетик Фит полага усилия да предоставя не повече от необходимия минимум от лични данни, както и да се убеди, доколкото това е възможно, че тези трети лица ще полагат адекватни усилия за защита на личните данни на клиентите, които отговарят на изискванията на този Правилник, Политиката на поверителност на Атлетик Фит и приложимото законодателство.

Всички дейности по този раздел следва да бъдат надлежно документирани.

8. Съхраняване на лични данни

Атлетик Фит ще провежда веднъж годишно периодичен преглед относно необходимостта за обработване на данните, както и евентуално за заличаването им. При установена необходимост, съответните лични данни следва да бъдат изтрити в срок от 6 месеца от установяване на липсата на основание/необходимост от запазването им, включително и от всички архиви, резервни копия, бази данни на получатели на тези лични данни и т.н.

9. Технически и организационни мерки по осигуряване на сигурността на обработването на личните данни

При определянето на подходящите технически и организационни мерки, приложими към обработката на лични данни, Атлетик Фит взема предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхвата, контекста и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на субектите на данни. Тези данни подлежат на текуща преценка и актуализация и биха могли да включват, когато е целесъобразно:

• технически мерки:
  • гарантиране на постоянна поверителност, цялостност, наличност и устойчивост на системите и услугите за обработване чрез използване на облачна услуга, която предоставя технологична възможност за покриване на тези изисквания;
  • способност за своевременно възстановяване на наличността и достъпа до личните данни в случай на физически или технически инцидент посредством използване на доставчик, който предоставя възможност за поддържане на резервни копия и възстановяването им при необходимост;
  • процес на периодично изпитване, преценяване и оценка на ефективността на техническите и организационните мерки с оглед да се гарантира сигурността на обработването.
• физически мерки:
  • използване на хранилища с ограничен достъп.
• организационни мерки
  • гарантиране на достъпа до лични данни само на лица, чиито служебни задължения или конкретно възложена задача налагат такъв достъп – съобразно нивото на правомощия и при спазване на принципа „необходимост да знае”;
  • изискване за подписване на декларация за конфиденциалност (поверителност/неразгласяване), с което служителите поемат безусловно задължение за неразпространение на личните данни – преди да на служителите да бъде предоставен достъп до лични данни;
  • обучение;
  • тренировка на персонала за реакция при събития, застрашаващи сигурността на данните;
  • осигуряване на запознаването с настоящия Правилник, Политиката на поверителност и другата вътрешна документация по отношение на защитата на личните данни.

10. Поддържане на регистри

Атлетик Фит, предвид качеството си на администратор на лични данни, поддържа регистри на дейностите по обработване на лични данни съобразно чл. 30, параграф 1 от Общия регламент относно защитата на данните. Тъй като съдържанието на тези регистри е конфиденциално по своя характер, те се поддържат самостоятелно, като достъпът до тях и описанието на съдържанието им е ограничено стриктно до лицата, които по естеството на служебните си задължения имат за задача да поддържат тези регистри или имат необходимост да получат информация за съдържанието им.

Настоящата Политика за обработване на лични данни е утвърден от Нико Ангелов, в качеството си на Управител на дружеството, на 15.10.2024 г.