Уведомление за поверителност при обработка на данни чрез Канал за подаване на сигнали

Целта на настоящето Уведомление за поверителност е да предостави необходимата информация относно това какви лични данни се обработват, как и за какви цели, във връзка с канала за подаване на сигнали („канал за подаване на сигнали, канала“), който е разработен съгласно Директива (ЕС) 2019/1937 на Европейския парламент и на Съвета от 23 октомври 2019 година относно защитата на лицата, които подават сигнали за нарушения на правото на Съюза („Директива за сигнализиране на нередности“) и съответните национални закони. ВИВУС.БГ ЕООД (ВИВУС.БГ) действа като администратор на лични данни в зависимост от съответните национални закони. Процесът включва канала за подаване на сигнали и всички доклади, подадени чрез него, както и произтичащите от това действия и разследвания, всички в съответствие с Общия регламент относно защита на данните („ОРЗД“).

‍

ВИВУС.БГ действа като администратор на лични данни в зависимост от съответните национални закони. ВИВУС.БГ е част от Групата на Ти Би Ай Банк. В определени случаи, когато разследването по сигнал на служител или друго свързано лице го изисква, обработването на лични може да  се извършва съвместно с Ти Би Ай Банк ЕАД, при условията и реда на приложимите Групови правила.

‍

Целта на обработването на лични данни е да се получават, разследват и разрешават всякакви нарушения, неправомерно поведение или други въпроси, докладвани чрез канала, както и поддръжка на канала в съответствие с вътрешните политики на ВИВУС.БГ и изискванията на Директивата за сигнализиране на нередности и националните закони. Въпреки че в доклада ВИВУС.БГ може да получи всякакъв вид информация, включително невярна или прекомерна, целта е да се установят доказателства, които след това се преразглеждат.  

Цялата обработка се основава на Директивата за сигнализиране на нередности, транспонирана в Закона за защита на лицата, подаващи сигнали или публично оповестяващи информация за нарушения за България и [съответните национални закони за сигнализиране на нередности]. Допълнително, обработката на лични данни, отнасящи се до субектите на разследване, подателите на сигнали и извършващите разследването, се основава на легитимния интерес на администратора за предотвратяване, откриване, разследване и справяне с неправомерни действия. Възможно е до администратора да достигнат специални категории лични данни, които се съдържат в доклада за сигнализиране на нередности, съгласно изключенията, разрешени от член 9 от ОРЗД, като например в областта на заетостта и социалното осигуряване и правото на социална защита (чл. 9, пар. 2, б. „б“) и за установяването, упражняването или защитата на правни претенции или когато съдилищата действат в качеството си на правораздаватели (чл. 9, пар. 2, б. „е“). Всички неподходящи или излишни лични данни се изтриват, съгласно чл. 17 от Директивата за сигнализиране на нередности.

Като правило, подателят на сигнал докладва сигнала си поверително. Подаващият сигнал може да включи лична информация (като име, местоположение, отдел, възраст, пол, финансова информация и т.н.), ако това подпомага разследването. Информацията, предоставена от подателя на сигнал, може също да съдържа специални категории лични данни (като информация за здравето на дадено лице, биометрични данни, вярвания, сексуалност, наказателни присъди). Обстоятелствата по случая може да доведат до индиректно идентифициране на подателя на сигнала. Подателите могат да включват служители от ВИВУС. БГ и външни заинтересовани страни, като лица, различни от служители, които имат връзка с ВИВУС.БГ чрез свързани с работата дейности, като доставчици на услуги, дистрибутори и бизнес партньори. 

Разследванията за неправомерно поведение могат да съдържат информация за други лица (напр. име, фамилия, длъжност, местоположение, финансова информация, снимки или видеозапис), тяхното поведение и обстоятелства, както и друга лична информация. По изключение наблюденията могат да съдържат специални категории лични данни.

‍

Лицето, отговорно за разследването, получава информацията, съдържаща се в доклада. Тези лица са служители, назначени от ВИВУС.БГ, чиято отговорност е обработването на сигналите. Обработват се техните имена, длъжност, потребителско име и регистрационни данни.

‍

Само служителите, отговарящи за разглеждането на сигналите, имат пряк достъп до личните данни в разследването. Личните данни могат да бъдат разкрити на трети страни, като национални органи или външни одитори, в случай на правно задължение или легитимен интерес. Когато подавате сигнал от компютър в обществена или работна мрежа, посетените уеб страници се записват в хронологията на браузъра и/или в системния дневник, което позволява деанонимизиране при изключителни обстоятелства, следователно подаващият сигнал се насърчава да използва частна мрежа и браузър в инкогнито режим.

‍

Администраторът на канала за подаване на сигнали е външен доставчик на услуги: Falcony Ltd., бизнес номер във финландския търговски регистър: 2900763-6, Annankatu 27 A, 00100 Хелзинки, Финландия, +358 20 131 0611, support@falcony.io, (обработващ). ВИВУС.БГ разполага с необходимите споразумения с доставчика, за да гарантират, че обработващият използва лични данни, събрани чрез канала за подаване на сигнали съгласно приложимото законодателство за защита на данните. Обработващият има подизпълнител, който осигурява съхранение на технически данни – Amazon AWS, Ирландия (подобработващ). Данните се обработват и съхраняват само в ЕС/ЕИП.

‍

Данните от разследването се съхраняват не повече от две (2) години след края на всяко разследване. Възможно е данните да се съхраняват за по-дълги периоди поради законови задължения, произтичащи от например наказателна процедура, съдебни искове, закони за безопасност на труда и др.

‍

Подаващият сигнал има правото да: 

• получи от администратора потвърждение дали се обработват лични данни, отнасящи се до него, и, когато случаят е такъв, достъп до личните данни, както и искане за коригиране на личните си данни;

• поиска от администратора ограничаване на обработването на личните данни при обстоятелствата, посочени в член 18 от ОРЗД;

• поиска от администратора изтриване на личните си данни; или
• възрази срещу обработването на личните му данни при обстоятелствата, посочени в член 21 от ОРЗД. 
  

Тези права могат да бъдат ограничени при определени обстоятелства съгласно ОРЗД. 

‍

Всички данни се предават и съхраняват криптирани. Не се изпраща некриптирана информация по незащитени канали. Рискът от нарушение на сигурността и непряка идентификация е минимален.

Ако имате въпроси относно обработката на Ваши лични данни или правната рамка на канала за подаване на сигнали , моля, свържете се с длъжностното лице по защита на данните във ВИВУС.БГ на електронен адрес info@vivus.bg.