INFORMACJA O PRZETWARZANIU DANYCH OSOBOWYCH

(obowiązek informacyjny realizowany w związku z art. 13 i art. 14 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679)
Informujemy, że:
1) Administratorem Państwa danych osobowych jest Fundacja Lepsza Jakość Życia, stanowiący Instytucję Zarządzającą dla systemu Wniosek, z siedzibą w Radomiu, przy Al . Józefa Grzecznarowskiego 2, 26-600 Radom.
2) Przetwarzanie przekazanych danych osobowych odbywa się na podstawie art. 6 ust. 1 lit. c) czyli przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze oraz art. 6 ust. 1 lit. e) czyli przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679. Dane osobowe są niezbędne dla realizacji wnisoku złożonego przez stronę. Dane osobowe są przetwarzane na podstawie:
a) rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1303/2013 z dnia 17 grudnia 2013r. ustanawiającego wspólne przepisy dotyczące Europejskiego Funduszu Rozwoju Regionalnego, Europejskiego Funduszu Społecznego, Funduszu Spójności, Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich oraz Europejskiego Funduszu Morskiego i Rybackiego oraz ustanawiającego przepisy ogólne dotyczące Europejskiego Funduszu Rozwoju Regionalnego, Europejskiego Funduszu Społecznego, Funduszu Spójności i Europejskiego Funduszu Morskiego i Rybackiego oraz uchylającego rozporządzenie Rady (WE) nr 1083/2006 (Dz. Urz. UE L 347 z 20.12.2013, str. 320, z późn.zm.),
b) rozporządzenia wykonawczego Komisji (UE) nr 1011/2014 z dnia 22 września 2014 r.ustanawiającego szczegółowe przepisy wykonawcze do rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 1303/2013 w odniesieniu do wzorów służących do przekazywania Komisji określonych informacji oraz szczegółowe przepisy dotyczące wymiany informacji między beneficjentami a instytucjami zarządzającymi, certyfikującymi, audytowymi i pośredniczącymi (Dz. Urz. UE L 286 z 30.09.2014, str. 1),
c) ustawy z dnia 11 lipca 2014 r. o zasadach realizacji programów w zakresie polityki spójności finansowanych w perspektywie finansowej 2014–2020 (Dz. U. z 2017 r. poz. 1460, z późn. zm.).
3) Państwa dane osobowe będą przetwarzane w celu założenia i utrzymania konta w systemie, złożenia i oceny wniosków o dofinansowanie projektu, kontaktowania się w sprawach związanych ze złożonymi wnioskami, realizacji wnisoków złożonych przez system Wniosek, kontrolnym i archiwizacyjnym.
4) Państwa dane osobowe mogą zostać przekazane podmiotom realizującym badania ewaluacyjne na zlecenie Instytucji Zarządzającej. Dane osobowe mogą zostać również powierzone specjalistycznym firmom, realizującym na zlecenie Instytucji Zarządzającej, Instytucji Pośredniczącej kontrole i audyt oraz udostępnione innym podmiotom na mocy prawa.
5) Podanie danych jest warunkiem koniecznym do założenia konta w systemie oraz złożenia wniosku o dofinansowanie projektu i realizacji.
6) Przekazane dane osobowe nie będą przekazywane do państwa trzeciego lub organizacji międzynarodowej.
7) Przekazane dane osobowe nie będą poddawane zautomatyzowanemu podejmowaniu decyzji, w tym profilowaniu.
8) Przekazane dane osobowe będą przechowywane do czasu rozliczenia złożonego wniosku.
9) Z Inspektorem Ochrony Danych można skontaktować się wysyłając wiadomość na adres poczty elektronicznej: iod@wnisoek.org.pl.
10) W przypadkach i na zasadach określonych w RODO przysługuje Państwu prawo żądania:
• dostępu do treści swoich danych i ich sprostowania, usunięcia lub ograniczenia przetwarzania,
• wniesienia sprzeciwu wobec przetwarzania danych,
• wniesienia skargi do organu nadzorczego, którym jest Prezes Urzędu Ochrony Danych Osobowych.

PROCEDURY ROZPOCZĘCIA, KONTYNUOWANIA I ZAKOŃCZENIA PRACY Z SYSTEMEM TELEINFORMATYCZNYM

1) Użytkownik rozpoczynając pracę zobowiązany jest do sprawdzenia zabezpieczenia pomieszczenia, swojego stanowiska pracy oraz stanu sprzętu komputerowego, przy pomocy którego pracuje. Przed rozpoczęciem pracy, w trakcie rozpoczynania pracy z systemem teleinformatycznym oraz w trakcie pracy, każdy pracownik jest obowiązany do zwrócenia szczególnej uwagi, czy nie wystąpiły objawy, mogące świadczyć o naruszeniu zasad ochrony danych. Rozpoczęcie pracy użytkownika w systemie teleinformatycznym obejmuje uruchomienie komputera, wprowadzenie identyfikatora i hasła w sposób minimalizujący ryzyko podejrzenia przez osoby nieupoważnione oraz ogólne stwierdzenie poprawności działania systemu.
2) Krótkotrwałe przerwy w pracy (bez opuszczania stanowiska pracy) nie wymagają zamykania aplikacji.
3) Odchodząc od swojego komputera, każdy użytkownik powinien zablokować dostęp do systemu poprzez użycie przycisku wyloguj i zamknięcie ona przeglądarki .
4) Zakończenie pracy polega na wylogowaniu z systemu i zamknięciu wszystkich okien i kart przeglądarki. Użytkownik powinien zaczekać przy komputerze do chwili zakończenia wylogowywania i zamykania otwartych okien przeglądarki.
5) Hasło użytkownika jest jego własnością i zna je wyłącznie dany użytkownik. Zabronione jest przekazywanie hasła innym osobom. W przypadku podejrzenia odkrycia hasła przez nieupoważnioną osobę, użytkownik jest zobowiązany do zgłoszenia tego faktu w celu jego natychmiastowej zmiany.
6) Za wszelkie operacje w systemie wykonywane z wykorzystaniem indywidualnego loginu oraz hasła odpowiada właściciel danego identyfikatora.

ZASADY ZGŁASZANIA INCYDENTU

W przypadku stwierdzenia naruszenia bezpieczeństwa danych w systemie teleinformatycznym lub na nośnikach z informacjami, a także w przypadku podejrzenia takiego naruszenia, na co wskazuje: włamanie do pomieszczenia, stan urządzeń, zawartość zbiorów danych, ujawnione hasła dostępu, ujawnienie osobom nieuprawnionym np. danych osobowych ze zbioru danych znajdujących się w systemie teleinformatycznym lub nietypowy sposób działania programu, wszyscy pracownicy mają obowiązek zgłaszania wszelkich zdarzeń, które naruszają lub mogą naruszyć zapisy niniejszej polityki.

Do incydentów bezpieczeństwa należą w szczególności:

1) zdarzenia losowe zewnętrzne (pożar obiektu/pomieszczenia, zalanie wodą, utrata zasilania, utrata łączności);
2) zdarzenia losowe wewnętrzne (awarie serwera, komputerów, twardych dysków, oprogramowania, pomyłki informatyków, użytkowników, utrata/zagubienie danych);
3) umyślne incydenty (włamanie do systemu teleinformatycznego lub pomieszczeń, kradzież danych/sprzętu, wyciek informacji, ujawnienie danych osobom nieupoważnionym, świadome zniszczenie dokumentów/danych, działanie wirusów i innego szkodliwego oprogramowania).

Zdarzenia związane z bezpieczeństwem informacji należy zgłaszać przez formularz zgłaszania problemów.

Postępowanie z incydentami

1) Pracownik wsparcia technicznego dokonuje wstępnej identyfikacji zdarzenia i na podstawie dostępnych informacji oraz analizy okoliczności zdarzenia, kwalifikuje zdarzenie (lub serię zdarzeń) jako:
• zdarzenie nie mające cech naruszenia bezpieczeństwa informacji,
• incydent związany z naruszeniem bezpieczeństwa informacji;

2) O możliwości zaistnienia przypadku naruszenia bezpieczeństwa informacji mogą świadczyć:
• przypadki naruszenia poufności (ujawnienie niepowołanym osobom), integralności (uszkodzenie, przekłamanie, zniszczenie) i dostępności (dane nie są dostępne w użytecznej postaci na żądanie uprawnionych użytkowników) danych, niezależnie od ich nośnika, w tym także przechowywanych i przetwarzanych w systemach teleinformatycznych oraz transmitowanych przez łącza sieci,
• niedostępność oraz działania niezgodne ze specyfikacją (błędne) systemów teleinformatycznych, zwłaszcza systemów i aplikacji krytycznych (z wyłączeniem kontrolowanych i zaplanowanych prac niemających wpływu na bezpieczeństwo informacji,
• infekcje, propagacja i działanie szkodliwego oprogramowania (malware – kody i skrypty mające szkodliwe, przestępcze lub złośliwe działanie, do których zaliczają się między innymi wirus, robak internetowy, koń trojański, spyware, keylogger, rootkit, dialer, exploit etc.),
• rozpoznanie, penetracja i próby omijania systemów zabezpieczeń,
• niewłaściwe wykorzystywanie lub nadużywanie zasobów informacyjnych,
• ataki odmowy usługi na systemy teleinformatyczne,
• ataki nieautoryzowanego dostępu do aplikacji, systemów oraz ataki eskalacji poziomu uprawnień w systemach,
• kradzież lub zniszczenie urządzeń przetwarzających lub/i przechowujących informacje oraz nośników danych,
• wyłudzenia (lub próby wyłudzeń) informacji wrażliwych, takich jak np. hasła dostępowe czy tajemnice,
• ataki socjotechniczne, ataki z wykorzystaniem phishing’u, skimming’u oraz innych technik zagrażających naruszeniu poufności, dostępności i integralności informacji,
• incydenty wielokomponentowe (złożone incydenty dotyczące wielu systemów, wykorzystujące wiele wektorów ataków itp.),
• łamanie zasad przepisów prawa powszechnego lub regulaminów w obszarze bezpieczeństwa informacji (niestosowanie zasady ochrony haseł),

3) Pracownik wsparcia technicznego po zaklasyfikowaniu zgłoszenia jako incydent powiadamia niezwłocznie administratora systemu;
4) Osoba wyznaczona, we współpracy z administratorem systemu teleinformatycznego (jeżeli dotyczy), przeprowadza analizę incydentu;
5) Analiza incydentu uwzględnia następujące kryteria:
• charakter incydentu i jego znaczenie związane z naruszeniem bezpieczeństwa fizycznego lub teleinformatycznego,
• miejsce wystąpienia incydentu - identyfikacja punktu, w którym nastąpiło zdarzenie (lokalizacja, serwer, stacja robocza itp.),
• liczba komórek organizacyjnych Jednostki, zakres zasobów dotkniętych incydentem,
• identyfikację zasobów potrzebnych przy dalszych działaniach w ramach postępowania z incydentem związanym z bezpieczeństwem informacji,
• możliwości rozszerzania się incydentu i sposoby jego ograniczania,
• rodzaj ujawnionej informacji (jeśli ma zastosowanie – np. dane osobowe).