przetwarzania danych osobowych

Spółki z ograniczoną odpowiedzialnością „VFS BY”

Spółka z ograniczoną odpowiedzialnością „VFS BY” (dalej – „VFS BY” Sp. z o.o. lub Spółka) jest częścią grupy spółek VFS Global, która jest dużym dostawcą usług outsourcingowych i technologicznych dla rządów oraz przedstawicielstw dyplomatycznych na całym świecie.

Spółka wykonuje wyłącznie funkcję administracyjną związaną z przyjmowaniem dokumentów od obywateli zwracających się do misji dyplomatycznych w celu uzyskania wiz, innych dokumentów uprawniających oraz dokumentów podróży, świadczy usługi dodatkowe, w tym zgodnie z istniejącymi zobowiązaniami wobec rządów/misji dyplomatycznych państw obcych. Spółka nie uczestniczy w podejmowaniu decyzji przez misje dyplomatyczne i nie ma na nie wpływu.

ROZDZIAŁ 1

POSTANOWIENIA OGÓLNE. ZAKRES STOSOWANIA

1.1. Spółka przywiązuje szczególną wagę do zapewnienia ochrony danych osobowych. Uwzględniając specyfikę działalności Spółki, w ramach swoich procesów kieruje się ona nie tylko ustawodawstwem Republiki Białorusi, lecz również ustawodawstwem zagranicznym (w szczególności Ogólnym rozporządzeniem o ochronie danych (UE) nr 2016/679 oraz Kodeksem Wizowym Unii Europejskiej).

1.2. Niniejsza Polityka przetwarzania danych osobowych (dalej – Polityka) opisuje, w jaki sposób i w jakich celach Spółka gromadzi, wykorzystuje oraz w inny sposób przetwarza dane osobowe. Polityka określa również prawa osób, których dane osobowe są przetwarzane, oraz tryb realizacji tych praw.

1.3. Niniejsza Polityka ma zastosowanie do stosunków związanych z przetwarzaniem przez Spółkę danych osobowych wnioskodawców na wszystkich etapach składania dokumentów w celu uzyskania wizy, osób odwiedzających pomieszczenia centrów wizowych, osób kierujących do Spółki wnioski i zgłoszenia, kandydatów do zatrudnienia oraz kontrahentów Spółki (dalej – podmioty danych osobowych).

1.4. Niniejsza Polityka nie ma zastosowania do przetwarzania danych osobowych pracowników Spółki w trakcie wykonywania pracy, do przetwarzania danych osobowych w ramach monitoringu wizyjnego w centrach wizowych, a także do przetwarzania plików cookie.

1.5. Informacje o Spółce:

Nazwa Spółki: VFS BY Sp. z o.o.;

Adres prawny i korespondencyjny Spółki:
Republika Białorusi, 220006, Mińsk, ul. Bobrujska 6, lok. 7 (Centrum Handlowe „Galileo”, 5 piętro);

Adres internetowy: https://vfsglobal.by;

Ogólny adres e-mail: [email protected].

1.6. Terminy używane w niniejszej Polityce mają znaczenie określone w Ustawie Republiki Białorusi z dnia 7 maja 2021 r. nr 99-Z „O ochronie danych osobowych” (dalej – „Ustawa”), a także:

Misja dyplomatyczna (lub misja) – przedstawicielstwo dyplomatyczne lub urząd konsularny, rząd państwa obcego, inny państwowy organ imigracyjny państwa obcego odpowiedzialny za wydawanie wiz, innych dokumentów uprawniających oraz dokumentów podróży, w ramach istniejących relacji z którym Spółka udziela wsparcia obywatelom przy składaniu przez nich dokumentów.

1.7. Nadzór nad przestrzeganiem wymogów niniejszej Polityki sprawuje osoba odpowiedzialna za wykonywanie wewnętrznej kontroli przetwarzania danych osobowych w Spółce. W sprawach związanych z realizacją postanowień niniejszej Polityki można kontaktować się z tą osobą, wysyłając wiadomość na adres poczty elektronicznej: [email protected].

ROZDZIAŁ 2

ZASADY I WARUNKI PRZETWARZANIA DANYCH OSOBOWYCH

2.1. Spółka przetwarza wyłącznie te dane osobowe, które są niezbędne do osiągnięcia wskazanych celów, i nie dopuszcza do ich nadmiernego przetwarzania. Szczegółowe informacje dotyczące przetwarzania danych osobowych przedstawiono w Załączniku do niniejszej Polityki (dalej – Załącznik).

2.2. W ramach niektórych procesów (jak wskazano w Załączniku) Spółka występuje jako Podmiot Upoważniony, tj. przetwarza dane osobowe na zlecenie innych podmiotów (administratorów). To właśnie one określają cele, warunki przetwarzania oraz zakres przetwarzanych danych i ponoszą bezpośrednią odpowiedzialność wobec podmiotu danych za przetwarzanie. Spółka, jako Podmiot Upoważniony, jest związana instrukcjami takich podmiotów i jest zobowiązana do ich przestrzegania.

Na przykład wykaz dokumentów niezbędnych do ubiegania się o wizę jest zawsze określany przez rząd/misję dyplomatyczną i zależy od kraju, do którego składany jest wniosek. To właśnie rząd/misja dyplomatyczna określa cel i warunki przetwarzania danych osobowych, które zostaną zebrane, przetworzone i przekazane przez Spółkę w ramach procesu składania wniosku wizowego. Oznacza to, że administratorem w odniesieniu do tego procesu jest rząd / misja dyplomatyczna państwa obcego, natomiast Spółka występuje jako Podmiot Upoważniony. Analogicznie Spółka występuje jako Podmiot Upoważniony przy zbieraniu danych biometrycznych w ramach przetwarzania wniosków o wydanie wizy. Szczegółowe informacje na temat sposobu, w jaki odpowiedni rząd/misja dyplomatyczna przetwarza dane osobowe wnioskodawców, można uzyskać na stronie internetowej odpowiedniej misji dyplomatycznej.

2.3. Spółka przetwarza dane osobowe zarówno z wykorzystaniem środków automatyzacji (tj. w formie elektronicznej), jak i bez ich wykorzystania, dokonując – w zależności od celu (celów) przetwarzania – następujących operacji na danych osobowych: zbierania, systematyzacji, przechowywania, zmiany, wykorzystywania, anonimizacji, udostępniania, przekazywania (w tym przekazywania transgranicznego), usuwania (niszczenia), a także innych działań dopuszczonych przez właściwe przepisy prawa. Dane osobowe nie podlegają rozpowszechnianiu.

Przetwarzanie odbywa się wyłącznie w takim zakresie, jaki jest niezbędny do osiągnięcia konkretnych celów przetwarzania.

2.4. W przypadkach, gdy dla przetwarzania danych osobowych brak jest innej podstawy prawnej, Spółka uzyskuje zgodę podmiotu danych osobowych.

2.5. Przechowywanie danych osobowych odbywa się w formie umożliwiającej identyfikację podmiotu danych osobowych nie dłużej, niż wymagają tego deklarowane cele przetwarzania. Okresy przechowywania określane są z uwzględnieniem wymogów prawa, specyfiki działalności Spółki oraz jej obowiązku działania z uwzględnieniem wymagań misji dyplomatycznych, przepisów prawa obcego (w tym między innymi wymogów Kodeksu Wizowego UE) i są wskazane w Załączniku do niniejszej Polityki.

Po upływie ustalonych okresów przechowywania dokumenty zawierające dane osobowe są niszczone, a dane osobowe zawarte w systemach informacyjnych (zasobach) są usuwane.

ROZDZIAŁ 3

PRZEKAZYWANIE DANYCH OSOBOWYCH OSOBOM TRZECIM (PODMIOTOM UPOWAŻNIONYM). PRZEKAZYWANIE TRANSGRANICZNE

3.1. Podmioty upoważnione

3.1.1. Spółka angażuje następujące kategorie podmiotów upoważnionych do przetwarzania danych osobowych:

• spółki angażowane przez Spółkę do świadczenia usług dodatkowych (na przykład usługi kurierskiego doręczania dokumentów, wysyłki wiadomości SMS);
• spółki wykonujące funkcje call center;
• spółki wykonujące funkcje archiwów;
• spółki w inny sposób zaangażowane w procesy przetwarzania danych i działające na zlecenie oraz zgodnie z instrukcjami Spółki (o ile takie występują).

3.1.2. Spółka przeprowadza analizę podmiotów upoważnionych angażowanych do przetwarzania danych, oceniając ich wiarygodność w zakresie ochrony danych osobowych. Spółka prowadzi ewidencję swoich podmiotów upoważnionych, a także regularnie kontroluje wykonywanie przez nie środków zapewniających ochronę danych osobowych przetwarzanych na zlecenie Spółki.

3.2. Przekazywanie transgraniczne

3.2.1. W ramach swojej działalności Spółka może przekazywać dane osobowe na terytorium państw obcych.

Spółka może dokonywać transgranicznego przekazywania danych w następujących celach:

• w celu wykonania umowy zawartej (lub zawieranej) z podmiotem danych osobowych, dla dokonania czynności określonych tą umową. W szczególności, w celu rozpatrzenia wniosku wizowego podmiotu danych, informacje zebrane przez Spółkę w imieniu odpowiedniej misji dyplomatycznej przekazywane są tej misji dyplomatycznej (tj. informacje będą przekazywane za granicę – z kraju, w którym złożono wniosek, do kraju, o którego wizę ubiega się podmiot danych). Jeżeli wykonanie umowy wymaga przekazania dokumentów konsulatowi/ambasadzie/innemu organowi państwa obcego znajdującemu się poza terytorium Republiki Białorusi (na przykład, jeżeli misja dyplomatyczna nie posiada przedstawicielstwa na Białorusi), dokonywane jest również transgraniczne przekazanie danych na terytorium odpowiedniego państwa obcego;
• w celu rozpatrzenia zapytania/wniosku/wycofania;
• w celu kontroli i zapewnienia zwiększonego bezpieczeństwa przetwarzania danych, a także ze względu na wymagania misji dyplomatycznych, Spółka może przekazywać dane osobowe wnioskodawców na serwery (magazyny chmurowe) znajdujące się za granicą, w szczególności na terytorium państwa obcego, w którym zapewniony jest odpowiedni poziom ochrony praw podmiotów danych osobowych (Republika Federalna Niemiec). Podmiotem zapewniającym przechowywanie danych osobowych jest VF Worldwide Holdings Ltd. (Unit No: 1804-A, Preatoni Tower, Plot No: JLT-PH1-L2A, Jumeirah Lakes Towers, Dubai, UAE).

3.2.2. Przekazywanie danych odbywa się przez Spółkę na terytorium państw, w których zapewniony jest odpowiedni poziom ochrony praw podmiotów danych osobowych (wykaz został określony Rozporządzeniem Narodowego Centrum Ochrony Danych Osobowych Republiki Białorusi z dnia 15.11.2021 nr 14 „O transgranicznym przekazywaniu danych osobowych”; przykładowe państwa: kraje Unii Europejskiej, w szczególności Niemcy, Wielka Brytania, Rosja). Do takiego przekazywania stosuje się ogólne podstawy przetwarzania bez konieczności uzyskiwania jakichkolwiek dodatkowych zezwoleń/zgód.

3.3. Przypadki udostępniania danych osobowych

3.3.1. Dane osobowe mogą być udostępniane przez Spółkę uprawnionym organom państwowym i organizacjom, a także innym organizacjom, jeżeli takie udostępnienie jest dopuszczalne zgodnie z obowiązującymi przepisami prawa (w tym na wniosek odpowiedniego organu lub organizacji).

ROZDZIAŁ 4

PRAWA PODMIOTÓW DANYCH OSOBOWYCH ORAZ MECHANIZM ICH REALIZACJI

4.1. Zgodnie z ustawodawstwem Republiki Białorusi podmioty danych osobowych mają prawo realizować wobec Spółki, działającej jako Administrator, następujące prawa (w dowolnym czasie, bez podawania przyczyn):

4.1.1. Prawo do uzyskania informacji o przetwarzaniu danych osobowych.

Podmiot danych ma prawo uzyskać informacje o nazwie i miejscu siedziby Administratora, potwierdzenie faktu przetwarzania danych osobowych, konkretny wykaz przetwarzanych danych osobowych, źródło ich pozyskania, podstawy prawne i cele przetwarzania danych osobowych, okres, na który wyrażono zgodę na przetwarzanie, nazwę i miejsce siedziby podmiotu upoważnionego (podmiotów upoważnionych), jeżeli przetwarzanie danych osobowych zostało powierzone takiemu podmiotowi (takim podmiotom).

4.1.2. Prawo do wprowadzania zmian do danych osobowych w przypadku, gdy dane osobowe są niekompletne, nieaktualne lub nieprawidłowe. Wniosek składany jest wraz z odpowiednimi dokumentami i (lub) ich poświadczonymi kopiami, potwierdzającymi konieczność wprowadzenia zmian do danych osobowych.

Jednocześnie Spółka nie jest zobowiązana i nie może wprowadzać zmian do danych osobowych podmiotu danych, jeżeli cele przetwarzania danych osobowych nie przewidują późniejszych zmian takich danych. Przykładami takich sytuacji są brak możliwości wprowadzenia zmian do utworzonego zapisu na złożenie dokumentów, bezpośrednio do samych dokumentów przyjmowanych od wnioskodawców itp.

4.1.3. Prawo do uzyskania informacji o udostępnianiu danych osobowych osobom trzecim. Podmiot danych ma prawo uzyskać informację o tym, jakie dane osobowe i komu (jakim osobom trzecim) były udostępniane w ciągu roku poprzedzającego datę złożenia wniosku. Prawo to może być realizowane bezpłatnie raz w roku kalendarzowym, o ile przepisy prawa nie stanowią inaczej.

4.1.4. Prawo do zaprzestania przetwarzania danych osobowych i(lub) ich usunięcia, w przypadku braku podstaw do dalszego przetwarzania danych osobowych. Jeżeli zaprzestanie przetwarzania i(lub) usunięcie danych jest niemożliwe, Administrator podejmuje działania mające na celu niedopuszczenie do dalszego przetwarzania.

4.1.5. Prawo do wycofania swojej zgody na przetwarzanie danych osobowych. Wycofanie zgody nie ma zastosowania do przetwarzania dokonanego przed wycofaniem takiej zgody.

4.1.6. Prawo do zaskarżenia działań (bezczynności) i decyzji ООО „VFS BY”, naruszających prawa podmiotu danych przy przetwarzaniu danych osobowych, do Narodowego Centrum Ochrony Danych Osobowych. Wydana przez nie decyzja może zostać zaskarżona do sądu.

4.2. Prawa wskazane powyżej mogą być realizowane wobec Spółki wyłącznie w tych przypadkach, gdy występuje ona jako Administrator danych osobowych.

W przypadkach, gdy Spółka występuje jako Podmiot Upoważniony (na przykład bezpośrednio w ramach procesu przyjmowania dokumentów od wnioskodawców w imieniu misji dyplomatycznej), przy rozpatrywaniu otrzymanych wniosków działa ona zgodnie z instrukcjami odpowiedniego administratora i zastrzega sobie prawo do pozostawienia wniosku bez merytorycznego rozpatrzenia, jeżeli nie została upoważniona przez administratora do udzielenia odpowiedzi (z powiadomieniem podmiotu danych osobowych o przyczynach odmowy). Szczegółowe informacje dotyczące praw i mechanizmów ich realizacji zapewnianych przez misje dyplomatyczne można znaleźć na stronach internetowych odpowiednich misji dyplomatycznych.

Co do zasady, w sytuacjach, gdy administratorem jest organizacja zagraniczna, rząd/przedstawicielstwo dyplomatyczne państwa obcego, prawa podmiotów danych mogą różnić się od wskazanych w pkt 4.1 powyżej (ponieważ zastosowanie mają wobec nich przepisy prawa obcego, w szczególności postanowienia Ogólnego rozporządzenia o ochronie danych (UE) nr 2016/679). Prawa i mechanizmy ich realizacji określane są w takim przypadku przez odpowiednich administratorów.

We wszystkich przypadkach Spółka wspiera realizację praw podmiotów danych osobowych i kieruje się zasadą poszanowania ich uzasadnionych interesów.

4.3. W celu realizacji praw należy złożyć do Spółki wniosek w formie pisemnej albo w postaci dokumentu elektronicznego z wykorzystaniem podpisu elektronicznego uznawanego w Republice Białorusi, a w przypadku realizacji prawa do wycofania zgody – również w formie, w jakiej taka zgoda została udzielona.

Wniosek powinien zawierać imię i nazwisko, adres miejsca zamieszkania (miejsca pobytu), datę urodzenia, opis istoty żądania, własnoręczny podpis albo podpis elektroniczny.

Pisemny wniosek należy przesłać na adres: Republika Białorusi, 220006, Mińsk, ul. Bobrujska 6, lok. 7 (Centrum Handlowe „Galileo”, 5 piętro). Wniosek w postaci dokumentu elektronicznego należy przesłać na adres poczty elektronicznej [email protected].

4.4. Termin rozpatrzenia wniosku wynosi nie więcej niż 15 dni od dnia otrzymania odpowiedniego wniosku. Wyjątek stanowi rozpatrzenie wniosku dotyczącego realizacji prawa do uzyskania informacji związanych z przetwarzaniem danych osobowych, które zostanie rozpatrzone w ciągu 5 dni roboczych od dnia otrzymania odpowiedniego wniosku.

4.5. Ustawodawstwo przewiduje przypadki, w których Administrator może odmówić realizacji praw wskazanych powyżej. W takim przypadku Spółka powiadamia podmiot danych w określonych terminach o przyczynach odmowy.

4.6. Oprócz mechanizmu składania wniosków zgodnie z pkt 4.3 niniejszej Polityki, ponieważ Spółka jest częścią grupy spółek VFS Global, podmiot danych może skorzystać z jednolitego specjalistycznego formularza wniosku dotyczącego przetwarzania danych osobowych obowiązującego w grupie spółek VFS Global lub z adresu poczty elektronicznej [email protected]. Jednak w takim przypadku wniosek (oraz zawarte w nim dane osobowe) będzie przetwarzany również na terytorium Niemiec (jurysdykcja zapewniająca odpowiedni poziom ochrony danych osobowych). Wskazane kanały komunikacji mają charakter alternatywny względem tych przewidzianych przez przepisy prawa. Dlatego też wnioski przesłane za ich pośrednictwem, jak również odpowiedzi na takie wnioski, nie stanowią oficjalnych wystąpień/odpowiedzi zgodnie z ustawodawstwem Republiki Białorusi.

4.7. W przypadku przesłania przez podmiot danych wniosku w dowolny sposób oraz niewystarczających danych do dokładnej identyfikacji nadawcy, Spółka ma prawo zażądać dodatkowych informacji, minimalnie niezbędnych do dokładnej identyfikacji. Spółka nie rozpatruje anonimowych zgłoszeń.

4.8. Spółka zastrzega sobie prawo do pozostawienia bez merytorycznego rozpatrzenia wniosków podmiotów danych osobowych, których przedmiotem jest realizacja praw wskazanych w pkt 4.1 niniejszej Polityki, przesłanych w formie lub w sposób odmienny od określonych w niniejszym Rozdziale.

4.9. W przypadku utraty lub ujawnienia danych osobowych Spółka informuje podmioty, których dotyczy utrata lub ujawnienie danych osobowych, o tym fakcie.

ROZDZIAŁ 5

ŚRODKI ZAPEWNIAJĄCE OCHRONĘ DANYCH OSOBOWYCH

5.1. Spółka podejmuje niezbędne środki prawne, techniczne i organizacyjne w celu ochrony danych osobowych podmiotów danych. W szczególności Spółka podejmuje następujące działania:

• wyznacza osobę odpowiedzialną za sprawowanie wewnętrznej kontroli nad przetwarzaniem danych osobowych;
• ogranicza dostęp pracowników i innych upoważnionych osób do danych osobowych w zależności od ich obowiązków funkcjonalnych;
• zapewnia kontrolę dostępu do pomieszczeń centrów wizowych;
• zapewnia terminowe usuwanie (niszczenie) danych osobowych zgodnie z ustalonymi okresami przechowywania;
• zapewnia świadomość pracowników w zakresie ochrony danych osobowych;
• stosuje w swojej działalności techniczne i organizacyjne środki bezpieczeństwa przetwarzania danych;
• regularnie weryfikuje metody i procedury przekazywania danych pod kątem ich zgodności z politykami wewnętrznymi i obowiązującymi przepisami prawa;
• stosuje inne środki ochrony ukierunkowane na podwyższony poziom ochrony danych (w tym zgodnie z międzynarodowymi standardami).

 

Załącznik do
Polityki
przetwarzania danych osobowych
VFS BY Sp. z o.o.

SZCZEGÓŁY PRZETWARZANIA DANYCH OSOBOWYCH W VFS BY SP. Z O.O.

Przetwarzanie danych osobowych przez Spółkę jako Podmiot Upoważniony

Przetwarzanie danych osobowych przez Spółkę jako Administratora