GENERALI OSIGURANJE SRBIJA a.d.o. (u daljem tekstu: Društvo) vrši obradu ličnih podataka lica koje zasniva, odnosno koje je zasnovalo radni odnos, odnosno koje je angažovano po drugom osnovu (u daljem tekstu: zaposleni). Društvo lične podatke prikuplja lično od zaposlenog prilikom zasnivanja radnog odnosa i zaključenja Ugovora o radu sa zaposlenim, odnosno prilikom zaključenja drugog ugovora kojim se zaposleni radno angažuje po drugom osnovu u skladu sa zakonom (u daljem tekstu: Ugovor) kao i prilikom ostvarivanja drugih prava iz radnog odnosa.
Svrha obrade, pravni osnov i rok čuvanja
1. Podatke o ličnosti zaposlenih, i to: ime i prezime, prethodno prezime, JMBG, datum rođenja, pol, zanimanje, stepen stručne spreme, adresa boravišta, adresa prebivališta, poštanski broj, opština, mesto rođenja, državljanstvo, država rođenja, broj lične karte, broj radne knjižice, broj telefona, broj tekućeg računa, broj deviznog računa, SWIFT, IBAN, pozicija, podaci o osiguranim članovima porodice, zarada, datum zaposlenja, datum prestanka radnog odnosa, godišnji odmor, bolovanje, medicinsku dokumentaciju (doznake, potvrde o sprečenosti za rad, izveštaj lekara specijaliste, otpusne liste…), i druge zdravstvene podatke (podaci o invaliditetu i drugo), podaci o radnom vremenu i njegovorm korišćenju (podaci sa kartica za pristup prostorijama), podaci o zaposlenju (zaposleno, nezaposleno lice, penzioner), podaci iz potvrda o nekažnjavanju, kao i drugi podaci čiju obradu zahtevaju propisi iz oblasti rada Društvo obrađuje u svrhu ispunjenja obaveza propisanih zakonima koji regulišu zaključenje Ugovora sa zaposlenim, kao i ostvarivanje prava, obaveza i odgovornosti iz Ugovora. Ova obrada podataka se vrši na osnovu obaveza Društva propisanih Zakonom o radu, Zakonom o evidencijama u oblasti rada, Zakonom o bezbednosti i zdravlju na radu, Zakonom o finansijskoj podršci porodice sa decom, Zakonom o penzijskom i invalidskom osiguranju, Zakonom o zapošljavanju i osiguranju za slučaj nezaposlenosti, Zakonom o sprečavanju pranja novca i finansiranja terorizma i drugim zakonima koji regulišu pitanja iz radnog odnosa. Podaci koji se obrađuju u ovu svrhu čuvaju se u rokovima propisanim zakonima i Listom registraturskog materijala sa rokovima čuvanja. Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da ispuni obaveze propisane regulativom iz oblasti rada i u vezi sa radom, kao i zaključenog ugovora o radu.
2. Podatke o ličnosti zaposlenih, i to: ime i prezime, datum rođenja, država rođenja, državljanstvo, pol, službeni imejl, datum zaposlenja, datum prestanka radnog odnosa, lokalni broj zaposlenog, godišnji odmor, bolovanje, stepen stručne spreme, angažovanje zaposlenog u talent programu Generali Grupe, i drugi podaci koji se odnose na radni odnos u Generali Grupi Društvo obrađuje u svrhu stručnog osposobljavanja, upravljanja ljudskim resursima generalno, upravljanjem ljudskim resursima koji su određeni kao talenti, koji su uključeni u programe obuka, kao i u svrhe analiza podataka. Ova obrada podataka se vrši na osnovu Ugovora sa zaposlenim. Podaci koji se obrađuju u ovu svrhu, čuvaju se trajno. Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da ispuni obaveze iz zaključenog ugovora o radu.
3. Podatke o ličnosti zaposlenih (uključujući zaposlene po ugovoru o delu i zaposlene na određeno vreme), bivših zaposlenih, kandidata za posao i to: lični identifikacioni podaci (npr. ime i prezime, datum rođenja, pol adresa, pasoš, itd.), informacije o zaposlenima (npr. broj zaposlenog, poslovna jedinica, pravno lice, direkcija, itd.), finansijske informacije (npr. broj računa u banci, ekonomska situacija, itd.), IT informacije (npr. IP adresa, kolačići, elektronska prepiska, istorija internet pretraživanja, itd.), zdravstveno stanje, krivične osuđujuće presude i krivična dela ili sa njima povezane bezbednosne mere, Društvo obrađuje u svrhu upravljanja ljudskim resursima u okviru SIMBA SAP sistema, a na osnovu Ugovora sa zaposlenim i definisanih obaveza . Podaci koji se obrađuju u ovu svrhu čuvaju se u rokovima propisanim zakonima i Listom registraturskog materijala sa rokovima čuvanja. Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da ispuni obaveze propisane regulativom iz oblasti rada i u vezi sa radom, kao i zaključenog ugovora o radu.
4. Podatke o ličnosti zaposlenih, i to: ime i prezime, finansijsku šifru, službeni imejl, naziv i mesto radnog mesta, JMBG i informaciju o zaradi prilikom popunjavanja administrativne zabrane, Društvo obrađuje u svrhu ostvarivanja pogodnosti za zaposlene pri kupovini robe/usluga kod trećih lica sa kojima Društvo ima poslovnu saradnju, odnosno radi organizovanja sistematskih pregleda za zaposlene. Ova obrada podataka se vrši na osnovu pristanka zaposlenog. Podaci koji se obrađuju u ovu svrhu, čuvaju se do ispunjenja svrhe, odnosno do opoziva pristanka. Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da omogući ostvarivanje pogodnosti za zaposlene, kao i da organizuje sistematske preglede.
5. Podatke o ličnosti zaposlenih, i to: ime i prezime i broj telefona (privatni) Društvo obrađuje u poslovne svrhe, tj. u svrhe prosleđivanja klijentima i potencijalnim klijentima. Zaposleni su upoznati da je uslov da se privatni telefon koristi u poslovne svrhe instalacija Mobile Device Management alata koji Društvu omogućuje daljinski pristup uređaju u slučaju njegovog gubitka time i mogućnost lociranja uređaja ili brisanje podataka. Takođe alat obezbeđuje primenu sigurnosnih politika definisanih od strane Grupe. Ova obrada podataka se vrši na osnovu pristanka zaposlenog. Podaci koji se obrađuju u ovu svrhu, čuvaju se do okončanja Ugovora, odnosno do opoziva pristanka. Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da obezbedi sve neophodne sigurnosne protokole bez kojih nije moguće korišćenje privatnog telefona u poslovne svrhe.
6. Podatke o ličnosti sa snimaka video nadzora, Društvo obrađuje u svrhu bezbednosti zaposlenih, klijenata i sistema od vitalnog značaja za poslovanje. Ova obrada podataka se vrši na osnovu legitimnog interesa Društva koji se ogleda u zaštiti ljudi i imovine. Podaci koji se obrađuju u ovu srhu, čuvaju se godinu dana od dana nastanka snimka. Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da ispuni poštovanje bezbednosnih politika koje su na snazi.
7. Podatak o ličnosti zaposlenih, i to broj mobilnog telefona koje zaposleni navede za kontakt, Društvo obrađuje u svrhu komuniciranja sa zaposlenima u vidu slanja obaveštenja o aktuelnostima i informacija od značaja za zaposlene (važna saopštenja, informacije o Generalistu, o novim obukama i slično). Ova obrada se vrši na osnovu legitimnog interesa. Podaci koji se obrađuju u ovu svrhu čuvaju se do okončanja Ugovora tj. ugovorenih obaveza. Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da zaposlenima pruži sve relevantne informacije u vezi sa njihovim radnim angažovanjem.
8. Podatak o ličnosti koji se odnosi na podatak da li je službeno vozilo koje zaposleni duže korišćeno u toku radnog vremena ili nakon završetka radnog vremena i lokaciju službenog vozila Društvo obrađuje u svrhu obračuna adekvatnih poreskih stopa i nadoknade troškova goriva. Podaci koji se obrađuju u ovu svrhu čuvaju se do ispunjenja svrhe obrade. Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da ispuni obaveze propisane regulativom koja reguliše poreska pitanja i utvrđene internim aktima koja reguliša pitanja ovog benefita.
9. Podatke o ličnosti iz video zapisa, kao i fotografije zaposlenog, Društvo obrađuje u svrhu promovisanja Društva i njegovih aktivnosti putem internih i eksternih kanala komunikacije. Ova obrada podataka se vrši na osnovu pristanka zaposlenog. Podaci koji se obrađuju u ovu svrhu, čuvaju se do ispunjenja svrhe, odnosno do opoziva pristanka. Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da promoviše svoje aktivnosti na internim i eksternim kanalima komunikacije.
10. Podatke o ličnosti zaposlenih, i to ime I prezime, imejl adresa, lista nadređenih, IP adresa i kolačići Društvo obrađuje u svrhu omogućavanja zaposlenima koji su se izjasnili dažele da koriste aplikaciju za rezervisanje parking mesta u poslovnoj zgradi sedišta Društva. Ova obrada se vrši na osnovu pristanka zaposlenog i legitimnog interesa. Podaci koji se obrađuju u ovu svrhu čuvaju se do okončanja zaposlenja u sedištu Društva. Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da zaposlenima pruži pogodnost parkiranja na parkingu sedišta Društva, kao i rezervacije tog mesta putem aplikacije.
11. Podatke o ličnosti zaposleni i to najčešće: biografske i identifikacione podatke, kontakt podatke, podatke o zaposlenima kao što su npr. fakture, evidencije prisustva/odsustva, itd. podatke koji se odnose na navodna prijavljena ponašanja koja se pripisuju vama ili u kojima možete biti uključeni, slike i drugu dokumentaciju, posebne kategorije ličnih podataka koje mogu biti obuhvaćene prijavom, sadržaj komunikacije koja se razmenjuje između lica koje ukazuje na nepravilnosti i lica koja obrađuju prijave, finansijske informacije, Društvo obrađuje u svrhu upravljanja prijavama zabrinutosti u vezi sa praksama ili postupcima koji se smatraju činjenično ili potencijalno kršenjem zakona, Kodeksa ponašanja ili drugih internih propisa Generali Grupe. Lični podaci koji se odnose na krivične presude i prestupe se generalno ne traže od lica koja ukazuju na nepravilnosti niti se prikupljaju. Međutim, u slučaju da lica koja ukazuju na nepravilnosti dostave te kategorije ličnih podataka, oni će se obrađivati samo ako su striktno povezani sa upravljanjem prijavom i istragom koja iz nje proizilazi. Bez prikupljanja i obrade podataka o ličnosti, odnosno u slučaju anonimne prijave ili u slučaju odbijanja da se da dozvola za otkrivanje identiteta, možda nećemo biti u mogućnosti da u potpunosti sprovedemo korektivne mere koje se odnose na umešano lice(a). Stoga lica koja ukazuju na nepravilnosti Društvo podstiče da prijavi svaku zabrinutost davanjem svih traženih informacija, uključujući njihov identitet i davanje dozvole za otkrivanje identiteta ako je potrebno.
Lične podatke možete dostaviti direktno vi ili mogu biti prikupljeni od sledećih trećih strana: članica Generali Grupe koje su primile prijave, zaposlenih ili bivših zaposlenih u Društvu ili Generali Grupi kao i kandidata, dobavljača, konsultanata i drugih zainteresovanih strana kojima je dozvoljeno da podnesu prijave.
Podaci koji se obrađuju u ovu svrhu čuvaju se u periodu koji ne prelazi onaj koji je neophodan za njihovo upravljanje, obično ne duže od pet godina nakon što lice koje je prijavilo nedolično ponašanja bude obavešteno o završetku relevantnog procesa.
Bez prikupljanja i obrade podataka o ličnosti Društvo nije u mogućnosti da adekvatno upravlja prijavama zabrinutosti u skladu sa internim aktima i pravilima Generali grupe.
Pristup i prenos podataka
Sve podatke o ličnosti Društvo razmenjuje sa trećim licima sa kojima ima zaključen ugovor o poslovnoj saradnji (zdravstvene ustanove, pružaoci pravnih usluga, konsultanti, banke, benefit program za zaposlene, firma za obezbeđenje poslovnog prostora…), članicama Generali Grupe i trećim licima koja po zakonu moraju imati pristup tim podacima (Republički fond za penzijsko i invalidsko osiguranje, Poreska uprava, sudski i drugi državni organi).
U cilju ispunjenja svrhe iz tačke 2, Društvo prosleđuje podatke ORACLE Italia ORACLE Italia, S.r.l., Viale Fulvio Testi, 136-20092 Cinisello Balsamo (MI) P.I. 03189950961, radi sprovođenja ugovorenih usluga koje ORACLE kao obrađivač podataka pruža Poslodavcu u postupku čuvanja i smeštanja navedenih podataka u Oracle cloude sistemu u Velikoj Britaniji, Holandiji i Nemačkoj, a u skladu zaključenim ugovorom i aneksom ugovora o obradi podataka. Prenos podataka u Veliku Britanju, Holandiju i Nemačku vrši se na osnovu primerenog nivoa zaštite podataka o ličnosti, u skladu sa članom 64. Zakona o zaštiti podataka o ličnosti. Pristup navedenim podacima koji su smešteni u cloude sistemu imaju Generali CEE Holding Na Pankraci 1658/121, 140 21 Prague 4 i Assicurazioni Generali S.p.A, Piazza Duca degli Abbruzi 2, 34132 Trst, Italija na osnovu ugovora o pristupu i korišćenju podataka kojim je omogućena dalja obrada podataka o zaposlenima.
U cilju ispunjenja svrhe iz tačke 3, Društvo prosleđuje podatke Generali CEE Holding B.V., sa sedištem u Amsterdamu, Holandija, kompanija zavedena u poslovnom registru koji vodi Holandska privredna komora pod reg. br. 34275688, koja obavlja svoje poslovne aktivnosti u Češkoj Republici, preko svoje filijale Generali CEE Holding BV, organizačni složka, sa sedištem na adresi: Na Pankráci 1658/121, Nusle, 140 00, Prague 4, Češka Republika radi sprovođenja ugovorenih usluga koje Generali CEE Holding B.V. kao obrađivač pruža Poslodavcu u postupku čuvanja i smeštanja navedenih podataka u SIMBA SAP sistemu, a u skladu sa zaključenim Sporazumom o obradi podataka o ličnosti. Obrađivač Generali CEE Holding B.V. za obezbeđivanje i održavanje sistema angažuje podoobrađivače SAP Italia S.p.A. i PricewaterhouseCoopers Česká republika, s.r.o.
Bezbednost podataka
Sve podatke koje obrađuje Društvo čuva u elektronskom obliku i fizički. Društvo sve podatke obrađuje kao poslovnu tajnu, uz primenu svih raspoloživih tehničkih i organizacionih mera zaštite podataka, u skladu sa zakonom i internim aktima. Takođe, Društvo poseduje sertifikat ISO27001 koji reguliše zaštitu informacija kojima Društvo raspolaže i do kojih dolazi u svom poslovanju.
Prava povodom obrade podataka
Zaposleni ima sva zakonska prava u pogledu obrade ličnih podataka, a to su: pravo na pristup, ispravku, dopunu i brisanje podataka o ličnosti, pravo na ograničenje obrade, pravno na prigovor, kao i pravo na prenosivost podataka. Ukoliko je zaposleni dao pristanak za obradu podata o ličnosti, taj pristanak se može opozvati u svakom trenutku u skladu sa Zakonom o zaštiti podataka o ličnosti. Opoziv pristanka neće uticati na dopuštenost obrade na osnovu pristanka pre opoziva.
Ukoliko smatra da je obrada podataka o ličnosti izvršena suprotno odredbama Zakona, zaposleni ima pravo da podnese pritužbu Povereniku za informacije od javnog značaja i zaštitu podataka o ličnosti.
Kontakt
Za pitanja koje se tiču vaših prava u vezi sa obradom podataka o ličnosti, ili ukoliko postoje saznanja ili sumnja o njihovom narušavanju, možete nam se obratiti putem:
• kontakt centra: 011 222 0 555
• e-pošte: dpo@generali.rs
• pošte: GENERALI OSIGURANJE SRBIJA a.d.o., Španskih boraca 3, 11070 Novi Beograd.
O B A V E Š T E NJ E
o Politici sigurnosti informacija koja je na snazi kod
Poslodavca Generali Osiguranje Srbija a.d.o.
1. UVOD
Informacijska sigurnost u okviru Generali Osiguranje Srbija a.d.o. (u daljem tekstu: GOS i/ili Poslodavac) predstavlja zaštitu informacija i imovine od potencijalno visokih rizika narušavanja zaštite (internih ili eksternih, slučajnih ili namernih) kroz uspostavljanje, implementaciju, izvršavanje, nadziranje, preispitivanje, održavanje i poboljšanje sistema upravljanja sigurnošću informacija (ISMS) radi osiguranja kontinuiteta poslovanja, smanjenja poslovnog rizika, povećanja zadovoljstva klijenata kao i povećanja prihoda od investicija i poslovnih prilika.
Primarni ciljevi ove Politike su održavanje poverljivosti, integriteta i dostupnosti informacionog sistema za pružanje usluga zaposlenima GOS-a i drugim zainteresovanim stranama:
• Poverljivost – odnosi se na neotrkrivanje i nedostupnost podataka ili informacija neovlašćenim licima, pravnim licima ili procesima.
• Dostupnost – odnosi se na dostupnost ili mogućnost upotrebe podataka ili informacija na zahtev ovlašćenog lica ili procesa.
• Integritet – odnosi se na podatke ili informacije koje nisu bile izmenjene ili uništene, sa ili bez ovlašćenja, u smislu tačnosti i kompetentnosti.
• Zaštita podataka – odnosi se na kontrolisanje zaštite ličnih podataka koji se mogu identifikovati (uključujući podatke o klijentima, potencijalnim klijentima i zaposlenima) u skladu sa lokalnim Zakonom o zaštiti podataka o ličnosti i internim politikama.
Primena sistema upravljanja sigurnošću informacija obavlja se u skladu sa zahtevima standarda ISO 27001:2013, bez isključenja.
2. ODGOVORNOST ZAPOSLENIH
Svi zaposleni su odgovorni za implementaciju politike sigurnosti i zaštite informacija i moraju da pruže podršku organima upravljanja GOS koji su usvojili politiku i pravila poslovanja u cilju zaštite informacijske sigurnosti. Stoga, zaposleni su dužni da se upoznaju sa Politikom sigurnosti informacija i drugih akata društva koji regulišu pitanja sigurnosti informacija i da redovno prate izmene objavljene na Intranetu GOS-a.
Imovina poverena zaposlenima za obavljanje posla vlasništvo je Poslodavca. Korišćenje opreme koju su zadužili (hardver i/ili softver) dozvoljeno je isključivo za aktivnosti u vezi sa službenim zaduženjima.
Bilo koji pokušaj da se pristupi bilo kom sistemu na nedozvoljen način rezultira momentalnim uklanjanjanjem sa mreže i oduzimanjem privilegija. Dodatno, nedozvoljeno korišćenje opreme i narušavanje bezbednosti informacija shodno usvojenim aktima Poslodavca smatra se i povredom radne obaveze iz kojih razloga prema zaposlenom može biti pokrenut postupak otkaza ugovora o radu odnosno prema istom mogu biti preduzete druge mere u skladu sa Pravilnikom o radu i Zakonom o radu. Takođe, u slučaju narušavanja bezbednosti informacija prema zaposlenom mogu biti pokrenuti i drugi odgovarajući postupci pred nadležnim organima u skladu sa Zakonom (krivični postupak, postupak nakande štete i sl.)
Pod narušavanjem bezbednosti smatraju se sledeći slučajevi:
• zloupotreba naloga
• davanje naloga i lozinke drugom zaposlenom
• zloupotreba e-maila
• zloupotreba interneta
• kršenje smernica Politike sigurnosti informacija i relevantnih procedura
• zloupotreba, objavljivanje i iznošenje poverljivih informacija
• neodgovarajuća upotreba ili zloupotreba sredstava i imovine Društva
• namerno izazvane greške u procesu rada
• zloupotreba prava pristupa
• kršenje odredbi ugovora o radu
• kršenje tj. nepravilna primena politike “čist sto čist ekran“. Politika “čist sto čist ekran“ podrazumeva “zaključavanje” tj logout prilikom svakog dužeg udaljavanja od radne stanice. Takođe, ova politika podrazumeva odlaganje sa stola svih važnih i poverljivih informacija u fizičkom obliku, kako bi iste bile nedostupne drugim licima.
Zaposleni je dužan da ODMAH prijavi zaposlenima u Sektoru za informacionu bezbednost na e-mail adresu iso@generali.rs sve incidente vezane za informacionu sigurnost, uključujući:
• kršenje sigurnosti ili nepoštovanje politike sigurnosti informacija (sve sumnjive aktivnosti treba da budu prijavljene)
• sigurnosne propuste ili slabosti koje zaposleni otkrije prilikom pristupa sistemu GOS-a
• zaraženost kompjutera virusom,
• krađu, gubitak ili neovlašćeno otkrivanje GOS vlasničke informacije
Prijava incidenata se vrši u skladu sa Uputstvom za upravljanje incidentima i poboljšanjima.
3. ODGOVORNOST GENERALI OSIGURANJE SRBIJA ado
GOS je obavezan da radi na konstantnom unapređenju sigurnosti informacija. S tim u vezi, GOS je na sebe preuzeo obavezu preispitivanja politika sigurnosti informacija najmanje jednom godišnje. Odgovornosti u vezi sa implemetacijom politike sigurnosti informacija, kontrolu njenih postavki i pružanje podrške rukovodstvu GENERALI OSIGURANJE SRBIJA a.d.o. su date u nadležnost Komisiji za bezbednost informacija, pomoćnom stručnom telu Izvršnog odbora.
4. MONITORING
GOS ima mogućnost i sredstva pomoću kojih može da pristupi svakom informatičkom resursu. Na taj način sve aktivnosti zaposlenog nad sredstvima GOS-a biće praćene od strane ovlašćenog osoblja Poslodavca.
IZJAVA ZAPOSLENOG
Svrha ovog obaveštenja jeste da se zaposleni upoznaju sa procedurama i pravilima u vezi zaštite sigurnosti informacija koji su na snazi kod Poslodavca. Imajući u vidu značaj razumevanja i važnosti Politike sigurnosti informacija ovo obaveštenje je neophodno dostaviti svim zaposlenima u GOS, bez izuzetka, koji su dužni da prijem i sadržinu istog potvrde svojeručnim potpisom na izjavi u nastavku ovog Obaveštenja.
