POLITICA PRIVIND PASTRAREA, ARHIVAREA SI DISTRUGEREA DATELOR CU CARACTER PERSONAL A SOCIETATII ENROUSH S.R.L.

Politica privind pastrarea, arhivarea si distrugerea datelor cu caracter personal („Politica”) este realizata in conformitate cu cerintele privind „limitarea pastrarii” cuprinse in Regulamentul General privind Protectia Datelor (“GDPR”) si este aprobata de conducerea societatii  ENROUSH S.R.L., persoana juridica organizata si functionand in conformitate cu legislatia din Romania, cu sediul in Romania, Strada Frunzei 26, etajul 3, Bucuresti, avand Numar de Inregistrare J40/295/2017,  reprezentata legal de Genica Hirdau in calitate de administrator, denumita in continuare “Societatea”.

Scop
Scopul prezentei Politici este de a se asigura ca pastrarea, stocarea, arhivarea si distrugerea inregistrarilor si/sau documentelor care contin date cu caracter personal, care sunt primite sau create de Societate in desfasurarea activitatilor sale, se realizeaza in conformitate cu cerintele GDPR si se aplica tuturor documentelor si/sau inregistrarilor fizice sau digitale, care sunt generate si/sau distribuite de Societate in desfasurarea operatiunilor sale si sunt legate  de datele cu caracter personal colectate si prelucrate de Societate in orice forma, stocate fie la sediu fie in sistemele IT ale Societatii sau accesate de la distanta. 

Definitii
Consimtamant al persoanei vizate inseamna orice manifestare de vointa libera, specifica, informata si lipsita de ambiguitate a persoanei vizate prin care aceasta accepta, printr-o declaratie sau printr-o actiune fara echivoc, ca datele cu caracter personal care o privesc sa fie prelucrate.
Operator inseamna persoana fizica sau juridica, autoritatea publica, agentia sau alt organism care, singur sau impreuna cu altele, stabileste scopurile si mijloacele de prelucrare a datelor cu caracter personal.
Clienti destinatarii produselor Societatii.
Persoana vizata se refera la persoana fizica identificata sau identificabila la care se refera datele cu caracter personal.
Date cu Caracter Personal inseamna orice informatii privind o persoana fizica identificata sau identificabila („persoana vizata”); o persoana fizica identificabila este o persoana care poate fi identificata, direct sau indirect, in special prin referire la un element de identificare, cum ar fi un nume, un numar de identificare, date de localizare, un identificator online, sau la unul sau mai multe elemente specifice, proprii identitatii sale fizice, fiziologice, genetice, psihice, economice, culturale sau sociale.
Personal inseamna personalul permanent si / sau temporar, angajat in cadrul Societatii in baza unui contract de munca sau a unui contract pe durata nedeterminata/determinata sau a unui contract cu norma intreaga/cu norma partiala. In sensul prezentei Politici, personalul include si angajatii inchiriati, managementul superior si consultantii de management, precum si consilierii juridici si avocatii Societatii.
Prelucrare inseamna orice operatiune sau set de operatiuni efectuate asupra datelor cu caracter personal sau asupra seturilor de date cu caracter personal, cu sau fara utilizarea de mijloace automatizate, cum ar fi colectarea, inregistrarea, organizarea, structurarea, stocarea, adaptarea sau modificarea, extragerea, consultarea, utilizarea, divulgarea prin transmitere, diseminarea sau punerea la dispozitie in orice alt mod, alinierea sau combinarea, restrictionarea, stergerea sau distrugerea. 
Imputernicitul Operatorului se refera la persoana fizica sau juridica, autoritate publica, agentie sau alt organism, care prelucreaza date cu caracter personal in numele Operatorului.
Perioada de pastrare a datelor cu caracter personal se refera la perioada pentru care Societatea, in calitate de Operator, poate pastra date cu caracter personal (in format fizic sau in format electronic).
Categorii speciale de date cu caracter personal („date sensibile cu caracter personal") reprezinta Datele cu Caracter Personal care releva originea etnica sau rasiala, opiniile politice, convingerile religioase sau filosofice sau apartenenta la sindicate de munca, precum si date genetice, date biometrice, date privind starea de sanatate sau date privind viata sau orientarea sexuala a persoanei fizice.

Pastrarea Documentelor
Societatea aplica procedurile cuprinse in Anexa A cu privire la pastrarea de documente care contin Date cu Caracter Personal. Documentele electronice vor fi tratate si pastrate ca si cand ar fi documente in format fizic.

Principiile care guverneaza perioada de pastrare si arhivare a Datelor cu Caracter Personal
Societatea va respecta cerintele stabilite in acest sens de GDPR si de legislatia nationala aplicabila si va pastra toate Datele cu Caracter Personal intr-un format care permite identificarea Persoanelor Vizate nu mai mult decat este necesar scopului pentru care sunt prelucrare datele cu caracter personal.
In acest context, Societatea va:
Cunoaste Datele cu Caracter Personal aflate in posesia sa si motivele colectarii acestora;
Analiza cu atentie si va putea justifica perioada de pastrate Datelor cu Caracter Personal;
Mentine in vigoare o politica privind perioadele standard de pastrare daca este posibil, pe langa obligatiile de documentare;
Analiza cu regularitate datele cu caracter personal si va sterge sau anonimiza Datele cu Caracter Personal de care nu mai este nevoie;
Implementa procese corespunzatoare pentru a respecta cerintele persoanelor fizice cu privire la stergere, conform „dreptului de a fi uitat”;
Identifica clar orice Date cu Caracter Personal care trebuie pastrate pentru arhivare in interes public, cercetare stiintifica sau istorica sau in scopuri statistice; si
Analiza cu atentie orice dificultati care survin din pastrarea Datelor cu Caracter Personal pentru perioade mai lungi decat necesar, precum dificultatea de a asigura corectitudinea si valabilitatea datelor cu caracter personal colectate.

Perioada de pastrate a Datelor cu Caracter Personal
Societatea va desemna o persoana responsabila pentru protectia datelor („Responsabil cu Protectia Datelor”), care va stabili perioadele de pastrare pentru fiecare categorie de Datele cu Caracter Personal prelucrate de Societate si fiecare scop al prelucrarii acestora separat, in conformitate cu pasii de mai jos:
Pasul 1: Responsabilul cu Protectia Datelor confirma ca Datele cu Caracter Personal si scopurile de prelucrare sunt inregistrate in Sistemul de Stocare de Date cu Caracter Personal. 
Pasul 2: Responsabilul cu Protectia Datelor comunica cu departamentele Societatii si persoanele responsabile si obtine o imagine completa si detaliata asupra prelucrarii Datelor cu Caracter Personal.
Pasul 3: Responsabilul cu Protectia Datelor efectueaza o evaluare preliminara a Perioadelor de Pastrare pentru fiecare categorie de Date cu Caracter Personal prelucrate de Societate si pentru fiecare scop de prelucrare a acestora.
Pasul 4: Responsabilul cu Protectia Datelor inainteaza catre departamentul de Resurse Umane al Societatii o cerere de solicitare a unei opinii cu privire la stabilirea Perioadelor de Pastrare, atasand toate datele relevante colectate si actiunile intreprinse, in conformitate cu pasii de mai sus.
Pasul 5: Departamentul de Resurse Umane inainteaza opinia sa catre Responsabilul cu Protectia Datelor.
Pasul 6: Responsabilul cu Protectia Datelor inregistreaza perioadele de pastrare in Sistemul de Stocare a datelor cu caracter personal relevant.
Pasul 7: Responsabilul cu Protectia Datelor inregistreaza perioadele de pastrare in Anexa A la prezenta.
Sefii de departament ai Societatii sunt responsabili cu informarea Responsabilului cu Protectia Datelor cu privire la orice modificare a datelor cu caracter personal prelucrate de Societate si la scopurile prelucrarii.
Societatea are dreptul de a pastra Datele cu Caracter Personal pentru o perioada mai indelungata decat perioada necesara in scopul prelucrarii, printre altele, in caz de investigatie guvernamentala, demararea unui litigiu impotriva Societatii, planificare de urgenta (ex. distrugerea sistemelor IT sau a incintelor fizice ale Societatii) sau atunci cand exista o prevedere legala sau un motiv intemeiat care sa justifice pastrarea datelor pentru o perioada mai indelungata. In aceste situatii, Societatea se va asigura ca Datele cu Caracter Personal sunt stocate in mod sigur, securizat si accesibil si ca toate documentele esentiale in functionarea Societatii in caz de urgenta sunt duplicate sau salvate de rezerva in mod regulat, sau pastrate in afara premiselor Societatii.

Distrugerea de documente - Stergerea datelor cu caracter personal
Stergerea inseamna fie distrugerea fizica a  Datelor cu Caracter Personal cu o substanta materiala, ex. documente (prin distrugerea de documente sau prin ardere sau alte mijloace potrivite) sau distrugerea electronica a Datelor cu Caracter Personal digitale sau digitalizate (prin stergerea lor intr-un cos de reciclare si cu golirea ulterioara a respectivului cos sau in orice alt mod eficient din punct de vedere tehnic).

Societatea va fi responsabila pentru procesele aflate in desfasurare cu privire la identificarea de inregistrari care contin Date cu Caracter Personal si pentru supervizarea distrugerii sau stergerii acestora in oricare dintre situatiile de mai jos:
perioada de pastrare ia sfarsit;
Persoana vizata si-a retras consimtamantul cu privire la prelucrare datelor sale cu caracter personal si nu mai exista un temei legal pentru prelucrare;
datele cu caracter personal nu au fost actualizate iar termenul lor de valabilitate a expirat;
Persoana vizata si-a exercitat dreptul de a fi uitata;

In functie de natura Datelor cu Caracter Personal si de scopul distrugerii acestora, Societatea poate opta pentru una dintre urmatoarele metode de distrugere/stergere:
Stergere permanenta - Societatea poate sterge permanent Datele cu Caracter Personal prin taierea/arderea documentelor fizice sau stergerea oricaror urme ale datelor electronice.
Prelucrare offline- Daca nu este posibila stergerea permanenta, Datele cu Caracter Personal pot fi stocate offline. Prelucrarea offline reduce disponibilitatea Datelor cu Caracter Personal si riscul de utilizare necorespunzatoare sau eroare. Insa, prelucrarea offline este, de asemenea, considerata o prelucrare a datelor cu caracter personal si impune o baza legala de justificare, precum si in conformitate cu cerintele GDPR.
Anonimizare - Societatea poate anonimiza Datele cu Caracter Personal astfel incat acestea sa nu se mai regaseasca „intr-o forma care permite identificarea persoanelor vizate”. Anonimizarea poate fi efectuata prin (i) stergerea elementelor care individualizeaza datele cu caracter personal astfel incat acestea sa nu mai poata fi legate de o anumita persoana fizica, (ii) stergerea elementelor specifice de informatii care ar putea imediat individualiza o persoana vizata sau (iii) separarea Datelor cu Caracter Personal de cele fara caracter personal.
Pseudonimizare - In cazul in care anonimizarea nu este posibila, Datele cu Caracter Personal pot fi pseudonimizate (ex. codificate). Pseudonimizarea poate asigura conformitatea cu alte principii ale GDPR, cum ar fi minimizarea si securitatea datelor.
Imposibilitatea de utilizare -Imposibilitatea de utilizare inseamna ca Datele cu Caracter Personal nu au fost distruse sau sterse prin niciuna dintre metodele de mai sus si, asadar, sunt pastrate in continuare, inactiv, cu exceptia unor motive tehnice sau exceptionale, adica in cazul in care stergerea lor ar provoca stergerea altor date cu caracter personal. In acest caz si cu conditia ca Societatea sa nu intentioneze sa le utilizeze in viitor, datele cu caracter personal vor fi tratate ca sterse permanent si nicio alta actiune nu mai este necesara.

In cazul stocarii de date in baze de date la care este posibil accesul de la distanta (ex. cloud), stergerea va fi asigurata in urma consultatii cu furnizorul de servicii de stocare online.

Orice stergere a Datellor cu Caracter Personal va fi efectuata astfel incat sa nu fie afectata confidentialitatea acestor date, astfel incat aceste date si orice alte Date cu Caracter Personal confidentiale sa nu devina accesibile persoanelor neautorizate, chiar daca sunt sterse.

Imediat ce se identifica expirarea sau apropierea unei expirari a perioadei de pastrare, seful de departament il va notifica in scris pe seful departamentului de Resurse Umane, care va demara imediat o procedura interna de confirmare pentru verificarea existentei unui temei juridic privind pastrarea respectivelor date cu caracter personal si consimtamantul cu privire la stergerea/distrugerea respectivelor date.

Sarcini si obligatii 
Fiecare departament al Societatii va fi responsabil pentru documentatiile pe care le creeaza, utilizeaza, editeaza, transmite si distruge. In caz de indoiala, seful de departament il va contacta imediat pe seful departamentului de Resurse Umane pentru clarificare si asistenta.

Conducerea Societatii va fi raspunzatoare pentru implementarea prezentei Politici, pentru aprobarea procedurilor corespunzatoare de implementat si pentru asigurarea ca intreg personalul este la curent cu prezenta Politica si cu cuprinsul acesteia.

Pentru a asigura implementarea corespunzatoare a prezentei Politici, Societatea va:
Elabora masuri organizationale si tehnice corespunzatoare pentru a se asigura ca metodele de distrugere/stergere mentionate mai sus sunt implementate pe deplin;
Elabora masuri  organizationale si tehnice corespunzatoare pentru a se asigura ca prelucrarea datelor cu caracter personal in scopul arhivarii in interes public, in scopul cercetarii stiintifice sau istorice sau in scopuri statistice respecta cerintele GDPR.

Modificarea Politicii  
Politica va fi revizuita o data la trei (3) ani, cu exceptia aparitiei de modificari semnificative ale cadrului legal statutar sau in cazul in care activitatile Societatii necesita revizuirea acesteia in avans. Fiecare versiune modificata a Politicii va fi comunicata personalului Societatii.

Departamentul de resurse Umane al Societatii va fi responsabil pentru revizuirea Politicii si identificarea oricaror modificari care necesita operate, tinand intotdeauna cont de cele mai bune practici si de modificarile relevante ale cadrului legal sau juridic.

 
ANEXA A
PASTRAREA DOCUMENTELOR

Anexa privind Pastrarea Documentelor este organizata dupa cum urmeaza:
SECTIUNEA A – Documente contabile si financiare
SECTIUNEA B – Documente privind plata salariilor
SECTIUNEA C – Documente referitoare la personal
SECTIUNEA D – Documente juridice 
SECTIUNEA E – Documente de asigurare

SECTIUNEA A – Documente contabile si financiare

SECTIUNEA B – Documente privind plata salariilor

SECTIUNEA C – Documente referitoare la personal
Perioada de pastrare aplicabila tuturor documentelor cuprinse in dosarul personal este de 50 ani.

SECTIUNEA D – Documente juridice 

ENROUSH S.R.L.