COLECTAREA SI PRELUCRAREA DATELOR CU CARACTER PERSONAL CONFORM DISPOZITIILOR LEGALE IN VIGOARE

S.C. PRINCE S.R.L. -  CASTELUL PRINTUL VANATOR TURDA HOTEL&RESTAURANT

1. Scopul colectarii
Scopuri generale
• Stabileste modul de realizare a activitatii, compartimentele si persoanele implicate;
• Da asigurari cu privire la existenta documentatiei adecvate derularii activitatii;
• Asigura continuitatea activitatii, inclusiv în conditii de fluctuatie a personalului;
• Sprijina auditul si/sau alte organisme abilitate în actiuni de auditare si/sau control, iar pe director, în luarea deciziei;

2.Domeniul de aplicare
Prezenta procedura se aplica activitatilor de prelucrare a datelor cu caracter personal efectuate de S.C. PRINCE S.R.L. , punct de lucru Hotel – Restaurant Castelul Printul Vanator Turda în calitatea acestuia de operator .

3. Documente de referinta
3.1. Legislatie primara:
- Legea nr. 677/2001 pentru protectia persoanelor cu privire la prelucrarea datelor cu caracter personal si libera circulatie a acestor date cu modificarile si completarile ulterioare;
- Legea nr. 506/2004 privind prelucrarea datelor cu caracter personal si protectia vietii private în sectorul comunicatiilor electronice.
 - REGULAMENT nr. 679 din 27 aprilie 2016 privind protectia persoanelor fizice în ceea ce priveste prelucrarea datelor cu caracter personal si privind libera circulatie a acestor date si de abrogare a Directivei 95/46/CE (Regulamentul general privind protectia datelor)
 - DIRECTIVA 95/46/CE din 24 octombrie 1995 privind protectia persoanelor fizice în ceea ce priveste prelucrarea datelor cu caracter personal si libera circulatie a acestor date

3.2. Alte documente, inclusiv documente interne ale entitatii:
- Regulamentul de organizare si functionare;
- Fise de post;

4. Descrierea procesului de colectare
Prezenta procedura se aplica prelucrarilor de date cu caracter personal, efectuate, în tot sau în parte, prin mijloace automate, precum si prelucrarii prin alte mijloace decât cele automate a datelor cu caracter personal care fac parte dintr-un sistem de evidenta sau care sunt destinate sa fie incluse într-un asemenea sistem.
Procedura de lucru a fost elaborata in conformitate prevederile Legii 677/2001 actualizata, privind protectia persoanelor, referitor la prelucrarea datelor cu caracter personal si libera circulatie a acestor date. S.C. PRINCE S.R.L. a notificat autorita?ii de supraveghere inten?ia de colectare a datelor cu caracter personal în vederea înregistrarii în Registrul Autoritatii Na?ionale de Supraveghere a Prelucrarii Datelor.
Pentru obtinerea datelor personale este necesar consim?amântul clar si neechivoc al persoanei vizate.
 Consimtamântul ar trebui acordat printr-o actiune neechivoca care sa constituie o manifestare liber exprimata, specifica, în cunostinta de cauza si clara a acordului persoanei vizate pentru prelucrarea datelor sale cu caracter personal, ca de exemplu o declaratie facuta în scris, inclusiv în format electronic, sau verbal.
Acesta ar putea include bifarea unei casute atunci când persoana viziteaza un site, alegerea parametrilor tehnici pentru serviciile societatii informationale sau orice alta declaratie sau actiune care indica în mod clar în acest context acceptarea de catre persoana vizata a prelucrarii propuse a datelor sale cu caracter personal.
Prin urmare, absenta unui raspuns, casutele bifate în prealabil sau absenta unei actiuni nu ar trebui sa constituie un consimtamânt. Consimtamântul ar trebui sa vizeze toate activitatile de prelucrare efectuate în acelasi scop sau în aceleasi scopuri.

Daca prelucrarea datelor se face în mai multe scopuri, consimtamântul ar trebui dat pentru toate scopurile prelucrarii. În cazul în care consimtamântul persoanei vizate trebuie acordat în urma unei cereri transmise pe cale electronica, cererea respectiva trebuie sa fie clara si concisa si sa nu perturbe în mod inutil utilizarea serviciului pentru care se acorda consimtamântul. Orice prelucrare de date cu caracter personal ar trebui sa fie legala si echitabila. Ar trebui sa fie transparent pentru persoanele fizice ca sunt colectate, utilizate, consultate sau prelucrate în alt mod datele cu caracter personal care le privesc si în ce masura datele cu caracter personal sunt sau vor fi prelucrate.

S.C. PRINCE S.R.L. Turda, punct lucru Castelul Printul Vanator Hote - Restaurant Turda utilizeaza datele personale numai în scopul prestarii de servicii conform specificului, la care persoana vizata participa. Prelucrarea datelor cu caracter personal în alte scopuri decât scopurile pentru care datele cu caracter personal au fost initial colectate ar trebui sa fie permisa doar atunci când prelucrarea este compatibila cu scopurile respective pentru care datele cu caracter personal au fost initial colectate. În acest caz nu este necesar un temei juridic separat de cel pe baza caruia a fost permisa colectarea datelor cu caracter personal.
Datele cu caracter personal vor fi pastrate pe suport de hartie, respectiv fise de cazare, contracte de colaborare, declaratii de consimtamant, tichete de parcare, facturi si in format electronic, prin introducerea datelor in programul hotelier(protejate în conformitate cu dispozitiile legale). Documentele care contin date cu caracter personal vor fi arhivate si pastrate intr-o sala aflata la subsol, in conditiile prevazute de lege, sala este inchisa, termen de pastrare fiind de 5 ani.

Persoana vizata î?i poate retrage consim?amântul în orice moment, prin cerere scrisa, adresata conducerii S.C. Prince S.R.L., punct de lucru Castelul Printul Vanator Hotel – Retaurant Turda. Cererea scrisa, datata si semnata va fi depusa personal la sediul societatii, sau în format electronic pe mail, pe adresa huntercastle@hotmail.com

4.1.Modul de lucru:
4.1.1.Informatii generale: Datele cu caracter personal destinate a face obiectul prelucrarii trebuie sa fie:
• prelucrate cu buna-credinta si în conformitate cu dispozitiile legale în vigoare;
 • colectate în scopuri determinate, explicite si legitime; prelucrarea ulterioara a datelor cu caracter personal în scopuri statistice, de cercetare istorica sau stiintifica nu va fi considerata incompatibila cu scopul colectarii daca se efectueaza cu respectarea dispozitiilor prezentei legi, inclusiv a celor care privesc efectuarea notificarii catre autoritatea de supraveghere, precum si cu respectarea garantiilor privind prelucrarea datelor cu caracter personal, prevazute de normele care reglementeaza activitatea statistica ori cercetarea istorica sau stiintifica;
• adecvate, pertinente si neexcesive prin raportare la scopul în care sunt colectate si ulterior prelucrate;
• exacte si, daca este cazul, actualizate; în acest scop se vor lua masurile necesare pentru ca datele inexacte sau incomplete din punct de vedere al scopului pentru care sunt colectate si pentru care vor fi ulterior prelucrate, sa fie sterse sau rectificate;
• stocate într-o forma care sa permita identificarea persoanelor vizate strict pe durata necesara realizarii scopurilor în care datele sunt colectate si în care vor fi ulterior prelucrate; stocarea datelor pe o durata mai mare decât cea mentionata, în scopuri statistice, de cercetare istorica sau stiintifica, se va face cu respectarea garantiilor privind prelucrarea datelor cu caracter personal, prevazute în normele care reglementeaza aceste domenii, si numai pentru perioada necesara realizarii acestor scopuri.
Consimtamântul persoanei vizate nu este cerut în urmatoarele cazuri:
• când prelucrarea este necesara în vederea executarii unui contract sau antecontract la care persoana vizata este parte ori în vederea luarii unor masuri, la cererea acesteia, înaintea încheierii unui contract sau antecontract; • când prelucrarea este necesara în vederea protejarii vietii, integritatii fizice sau sanatatii persoanei vizate ori a unei alte persoane amenintate;
 • când prelucrarea este necesara în vederea îndeplinirii unei obligatii legale a operatorului; • când prelucrarea este necesara în vederea aducerii la îndeplinire a unor masuri de interes public sau care vizeaza exercitarea prerogativelor de autoritate publica cu care este învestit operatorul sau tertul caruia îi sunt dezvaluite datele;
• când prelucrarea este necesara în vederea realizarii unui interes legitim al operatorului sau al tertului caruia îi sunt dezvaluite datele, cu conditia ca acest interes sa nu prejudicieze interesul sau drepturile si libertatile fundamentale ale persoanei vizate;
• când prelucrarea priveste date obtinute din documente accesibile publicului, conform legii;
• când prelucrarea este facuta exclusiv în scopuri statistice, de cercetare istorica sau stiintifica, iar datele ramân anonime pe toata durata prelucrarii. Prelucrarea codului numeric personal sau a altor date cu caracter personal având o functie de identificare de aplicabilitate generala poate fi efectuata numai daca:
• persoana vizata si-a dat în mod expres consimtamântul;
sau
• prelucrarea este prevazuta în mod expres de o dispozitie legala.
La încheierea operatiunilor de prelucrare, daca persoana vizata nu si-a dat în mod expres si neechivoc consimtamântul pentru o alta destinatie sau pentru o prelucrare ulterioara, datele cu caracter personal vor fi:
• distruse;
• transferate unui alt operator, cu conditia ca operatorul initial sa garanteze faptul ca prelucrarile ulterioare au scopuri similare celor în care s-a facut prelucrarea initiala;
• transformate în date anonime si stocate exclusiv în scopuri statistice, de cercetare istorica sau stiintifica.

4.1.2. Dreptul de acces la date Orice persoana vizata are dreptul de a obtine de la operator, la cerere si în mod gratuit pentru o solicitare pe an, confirmarea faptului ca datele care o privesc sunt sau nu sunt prelucrate de acesta. Operatorul este obligat, în situatia în care prelucreaza date cu caracter personal care privesc solicitantul, sa comunice acestuia, împreuna cu confirmarea, cel putin urmatoarele:
• informatii referitoare la scopurile prelucrarii, categoriile de date avute în vedere si destinatarii sau categoriile de destinatari carora le sunt dezvaluite datele;
• comunicarea într-o forma inteligibila a datelor care fac obiectul prelucrarii, precum si a oricarei informatii disponibile cu privire la originea datelor;
• informatii asupra principiilor de functionare a mecanismului prin care se efectueaza orice prelucrare automata a datelor care vizeaza persoana respectiva;
• informatii privind existenta dreptului de interventie asupra datelor si a dreptului de opozitie, precum si conditiile în care pot fi exercitate;
• informatii asupra posibilitatii de a consulta registrul de evidenta a prelucrarilor de date cu caracter personal, de a înainta plângere catre autoritatea de supraveghere, precum si de a se adresa instantei pentru atacarea deciziilor operatorului, în conformitate cu dispozitiile prezentei legi. Operatorul ar trebui sa ia toate masurile rezonabile pentru a verifica identitatea unei persoane vizate care solicita acces la date, în special în contextul serviciilor online si al identificatorilor online.
Un operator nu ar trebui sa retina datele cu caracter personal în scopul exclusiv de a fi în masura sa reactioneze la cereri potentiale. Pentru a spori suplimentar controlul asupra propriilor date, persoana vizata ar trebui, în cazul în care datele cu caracter personal sunt prelucrate prin mijloace automate, sa poata primi datele cu caracter personal care o privesc si pe care le-a furnizat unui operator, într-un format structurat, utilizat în mod curent, prelucrabil automat si interoperabil si sa le poata transmite unui alt operator.

4.1.3.Dreptul de interventie asupra datelor
Orice persoana vizata are dreptul de a obtine de la operator, la cerere si în mod gratuit:
• dupa caz, rectificarea, actualizarea, blocarea sau stergerea datelor a caror prelucrare nu este conforma legisla?iei în vigoare, în special a datelor incomplete sau inexacte.
Persoana vizata va înainta operatorului o cerere întocmita în forma scrisa, datata si semnata. În cerere solicitantul poate arata daca doreste ca informatiile sa îi fie comunicate la o anumita adresa, care poate fi si de posta electronica, sau printr-un serviciu de corespondenta care sa asigure ca predarea i se va face numai personal.
 • dupa caz, transformarea în date anonime a datelor a caror prelucrare nu este conforma legisla?iei în vigoare;
• notificarea catre tertii carora le-au fost dezvaluite datele a oricarei operatiuni, daca aceasta notificare nu se dovedeste imposibila sau nu presupune un efort disproportionat fata de interesul legitim care ar putea fi lezat.
 Operatorul este obligat sa comunice masurile luate, precum si, daca este cazul, numele tertului caruia i-au fost dezvaluite datele cu caracter personal referitoare la persoana vizata, în termen de 15 zile de la data primirii cererii, cu respectarea eventualei optiuni a solicitantului.

4.1.4.Dreptul de opozitie
• Persoana vizata are dreptul de a se opune în orice moment, din motive întemeiate si legitime legate de situatia sa particulara, ca date care o vizeaza sa faca obiectul unei prelucrari, cu exceptia cazurilor în care exista dispozitii legale contrare. În caz de opozitie justificata prelucrarea nu mai poate viza datele în cauza.
• Persoana vizata are dreptul de a se opune în orice moment, în mod gratuit si fara nici o justificare, ca datele care o vizeaza sa fie prelucrate în scop de marketing direct, în numele operatorului sau al unui tert, sau sa fie dezvaluite unor terti într-un asemenea scop.
• În vederea exercitarii acestor drepturi, persoana vizata va înainta operatorului o cerere întocmita în forma scrisa, datata si semnata. În cerere solicitantul poate arata daca doreste ca informatiile sa îi fie comunicate la o anumita adresa, care poate fi si de posta electronica, sau printr-un serviciu de corespondenta care sa asigure ca predarea i se va face numai personal.
• Operatorul este obligat sa comunice persoanei vizate masurile luate, precum si, daca este cazul, numele tertului caruia i-au fost dezvaluite datele cu caracter personal referitoare la persoana vizata, în termen de 15 zile de la data primirii cererii, cu respectarea eventualei optiuni a solicitantului.
Metodele de restrictionare a prelucrarii de date cu caracter personal ar putea include, printre altele, mutarea temporara a datelor cu caracter personal selectate într-un alt sistem de prelucrare, sau anularea accesului utilizatorilor la datele selectate sau înlaturarea temporara a datelor publicate de pe un site. În ceea ce priveste sistemele automatizate de evidenta a datelor, restrictionarea prelucrarii ar trebui, în principiu, asigurata prin mijloace tehnice în asa fel încât datele cu caracter personal sa nu faca obiectul unor operatiuni de prelucrare ulterioara si sa nu mai poata fi schimbate. Faptul ca prelucrarea datelor cu caracter personal este restrictionata ar trebui indicat în mod clar în sistem. 5.Responsabilitati si raspunderi în derularea activitatii
Responsabilita?ile utilizatorilor din cadrul S.C. PRINCE S.R.L., punct de lucru Castelul Printul Vanator Hotel – Restaurant Turda sunt:
• sa cunoasca si sa aplice prevederile actelor normative din domeniul prelucrarii datelor cu caracter personal precum si ale prezentei proceduri;
• sa informeze persoana vizata atunci când datele cu caracter personal sunt colectate direct de la aceasta, în conditiile legii, cu privire la: identitatea operatorului, scopul în care se face prelucrarea datelor, destinatarii sau categoriile de destinatari ai datelor, obligativitatea furnizarii tuturor datelor cerute si consecintele refuzului de a le pune la dispozitie, drepturile prevazute de lege, în special drepturile de acces, de interventie asupra datelor si de opozitie, conditiile în care pot fi exercitate aceste drepturi;
• sa prelucreze numai datele cu caracter personal necesare îndeplinirii atributiilor de serviciu si sa acorde sprijin conducatorului operatorului pentru realizarea activitatilor specifice ale acestuia;
• sa pastreze confidentialitatea datelor prelucrate, a contului de utilizator, a parolei/codului de acces la sistemele informatice/ baze de date prin care sunt gestionate date cu caracter personal;
• sa respecte masurile de securitate, precum si celelalte reguli stabilite de operator;
• sa informeze de îndata conducerea institutiei despre împrejurari de natura a conduce la o diseminare neautorizata de date cu caracter personal sau despre o situatie în care au fost accesate/ prelucrate date cu caracter personal prin încalcarea normelor legale, despre care a luat la cunostinta.
Orice persoana care actioneaza sub autoritatea operatorului sau a persoanei împuternicite , inclusiv persoana împuternicita, care are acces la datele cu caracter personal nu trebuie sa le prelucreze decât la instructiunile operatorului, cu exceptia cazului în care este obligat prin lege. Statele membre prevad ca orice persoana care a suferit prejudicii ca urmare a unei prelucrari ilegale sau a oricarei actiuni incompatibile cu dispozitiile de drept intern adoptate în temeiul prezentei directive are dreptul sa obtina reparatii de la operator pentru prejudiciul suferit.
 Operatorul poate fi exonerat de raspundere, total sau partial daca dovedeste ca nu îi este imputabila fapta care a provocat prejudiciul.
 • Tinând seama de natura, domeniul de aplicare, contextul si scopurile prelucrarii, precum si de riscurile cu grade diferite de probabilitate si gravitate pentru drepturile si libertatile persoanelor fizice, operatorul pune în aplicare masuri tehnice si organizatorice adecvate pentru a garanta si a fi în masura sa demonstreze ca prelucrarea se efectueaza în conformitate cu prezentul regulament. Respectivele masuri se revizuiesc si se actualizeaza daca este necesar.
 • Având în vedere stadiul actual al tehnologiei, costurile implementarii, si natura, domeniul de aplicare, contextul si scopurile prelucrarii, precum si riscurile cu grade diferite de probabilitate si gravitate pentru drepturile si libertatile persoanelor fizice pe care le prezinta prelucrarea, operatorul, atât în momentul stabilirii mijloacelor de prelucrare, cât si în cel al prelucrarii în sine, pune în aplicare masuri tehnice si organizatorice adecvate, cum ar fi pseudonimizarea, care sunt destinate sa puna în aplicare în mod eficient principiile de protectie a datelor, precum reducerea la minimum a datelor, si sa integreze garantiile necesare în cadrul prelucrarii, pentru a îndeplini cerintele prezentului regulament si a proteja drepturile persoanelor vizate.
• Operatorul pune în aplicare masuri tehnice si organizatorice adecvate pentru a asigura ca, în mod implicit, sunt prelucrate numai date cu caracter personal care sunt necesare pentru fiecare scop specific al prelucrarii. Respectiva obligatie se aplica volumului de date colectate, gradului de prelucrare a acestora, perioadei lor de stocare si accesibilitatii lor. În special, astfel de masuri asigura ca, în mod implicit, datele cu caracter personal nu pot fi accesate, fara interventia persoanei, de un numar nelimitat de persoane. În cazul în care datele cu caracter personal sunt obtinute direct de la persoana vizata, operatorul este obligat sa furnizeze persoanei vizate cel putin urmatoarele informatii, cu exceptia cazului în care aceasta persoana poseda deja informatiile respective:
a) identitatea operatorului si a reprezentantului acestuia, daca este cazul;
b) scopul în care se face prelucrarea datelor;
c) informatii suplimentare, precum: destinatarii sau categoriile de destinatari ai datelor; daca furnizarea tuturor datelor cerute este obligatorie si consecintele refuzului de a le furniza; existenta drepturilor prevazute de prezenta lege pentru persoana vizata, în special a dreptului de acces, de interventie asupra datelor si de opozitie, precum si conditiile în care pot fi exercitate;
d) orice alte informatii a caror furnizare este impusa prin dispozitie a autoritatii de supraveghere, tinând seama de specificul prelucrarii.
În cazul în care datele nu sunt obtinute direct de la persoana vizata, operatorul este obligat ca, în momentul colectarii datelor sau, daca se intentioneaza dezvaluirea acestora catre terti, cel mai târziu pâna în momentul primei dezvaluiri, sa furnizeze persoanei vizate cel putin urmatoarele informatii, cu exceptia cazului în care persoana vizata poseda deja informatiile respective:
a) identitatea operatorului si a reprezentantului acestuia, daca este cazul;
b) scopul în care se face prelucrarea datelor;
c) informatii suplimentare, precum: categoriile de date vizate, destinatarii sau categoriile de destinatari ai datelor, existenta drepturilor prevazute de prezenta lege pentru persoana vizata, în special a dreptului de acces, de interventie asupra datelor si de opozitie, precum si conditiile în care pot fi exercitate;
d) orice alte informatii a caror furnizare este impusa prin dispozitie a autoritatii de supraveghere, tinând seama de specificul prelucrarii În cazul în care datele cu caracter personal sunt prelucrate în scopuri de marketing direct, persoana vizata ar trebui sa aiba dreptul de a se opune unei astfel de prelucrari, inclusiv crearii de profiluri în masura în care aceasta are legatura cu marketingul direct, indiferent daca prelucrarea în cauza este cea initiala sau una ulterioara, în orice moment si în mod gratuit.
Acest drept ar trebui adus în mod explicit în atentia persoanei vizate si prezentat în mod clar si separat de orice alte informatii. În vederea demonstrarii conformitatii cu normele legislative în vigoare, operatorul sau persoana împuternicita de operator ar trebui sa pastreze evidente ale activitatilor de prelucrare aflate în responsabilitatea sa.
Fiecare operator si fiecare persoana împuternicita de operator ar trebui sa aiba obligatia de a coopera cu autoritatea de supraveghere si de a pune la dispozitia acesteia, la cerere, aceste evidente, pentru a putea fi utilizate în scopul monitorizarii operatiunilor de prelucrare respective. Operatorul ar trebui sa comunice persoanei vizate o încalcare a securitatii datelor cu caracter personal, fara întârzieri nejustificate, atunci când încalcarea este susceptibila sa genereze un risc ridicat pentru drepturile si libertatile persoanei fizice, pentru a-i permite sa ia masurile de precautie necesare.

Conducerea S.C. PRINCE S.R.L. – Castelul Printul Vanator Hotel - Restaurant