Политика за поверителност

1. Въведение

 Настоящата Политика за поверителност и защита на личните данни урежда начина, по който 148 ОУ Професор доктор Любомир Милетич с ЕИК: 00677251 като собственик на сайта 148ou.bg /наричана за краткост по-долу „Администратор на лични данни"/ събира, обработва и съхранява личните данни, в съответствие с изискванията на Закона за защита на личните данни на Република България, „Общия регламент относно защитата на данните" - Регламент (ЕС) 2016/679 и други нормативни български или международни актове.

 Поверителността на информацията е основен приоритет за Администратор на лични данни и като такъв и в съответствие със законодателството и добрите практики се прилагат изискваните технически и организационни мерки за защита на личните данни на физическите лица.

 Настоящата политика дава информация за това как и какви видове лични данни събираме от и за Вас, защо са ни необходими, на кого могат да бъдат предоставени или разкрити и как са защитени. Моля да ги прочетете внимателно. Предоставяйки Вашите лични данни на Администратор на лични данни, независимо дали по електронен път или на хартия, Вие приемате и се съгласявате с практиките, описани в настоящата Политика за поверителност и защита на личните данни. Моля, в случай че имате въпроси, свързани с настоящата политика и в случай че не сте съгласни с някои от условията, съдържащи се в политиката за защита на личните данни, да се свържете с нас.

2. Информация относно Училище като собственик на сайта 148ou.bg като Администратор на лични данни.

 Във връзка с обработката на Вашите лични данни можете да се свържете с нас на следния адрес:

За въпроси относно личните данни и настоящата политика:

148. ОУ "Проф. д-р Любомир Милетич"

Адрес: гр. София, ул. Слатинска 35, 1574 България

Телефон: 02/870-41-16

Имейл: info@148ou.bg

3. Правно основание

3.1. Политиката се прилага при обработването на лични данни във всички административни, образователни и управленски процеси на училището.

3.2. Обработването на лични данни се извършва в съответствие със следните нормативни актове:

• Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета;
• Закон за защита на личните данни;
• Закон за предучилищното и училищното образование;
• Наредба №8 на МОН за информацията и документите в системата на образованието;
• Закон за закрила на детето;
• други приложими нормативни актове.

3.3. Българското законодателство и GDPR предвиждат правила за това как Администратор на лични данни трябва да събира, обработва и съхранява лични данни.

3.4. За да бъде обработването на лични данни в съответствие с правните изисквания, личните данни се събират и използват законосъобразно, осигурена е необходимата сигурност на операциите по обработката и Администраторът е предприел необходимите мерки, за да не бъдат обработваните лични данни обект на неправомерно разкриване. Съгласно основните принципи, спазвани от Администратор на лични данни, Вашите лични данни са:

• обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните;
• събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели;
• подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват;
• точни и поддържани в актуален вид; Администраторът на лични данни е предприел всички разумни мерки, за да се гарантира своевременното изтриване или коригиране на неточни лични данни, като се имат предвид целите, за които те се обработват;
• съхранявани във форма, която да позволява идентифицирането на субекта на данните за период, не по-дълъг от необходимото за целите, за които се обработват личните данни;
• обработвани по начин, който гарантира подходящо ниво на сигурност на личните данни, включително защита срещу неразрешено или незаконосъобразно обработване и срещу случайна загуба, унищожаване или повреждане, като се прилагат подходящи технически или организационни мерки;
• Предприетите технически и организационни мерки са, за да се защитят потребителите на горепосоченият сайт, от неразрешен достъп или неразрешено изменение, разкриване или унищожаване на техните лични данни. За тази цел предприемаме редица технически и организационни мерки, извършва се преглед на практиките за събиране, съхранение и обработка на лични данни, включително на физическите мерки за сигурност, с цел предотвратяването на неразрешен достъп до системите, които използваме;

3.5. Училището обработва лични данни при спазване на принципите на:

• законосъобразност, добросъвестност и прозрачност;
• ограничение на целите;
• свеждане на данните до минимум;
• точност и актуалност на данните;
• ограничение на срока на съхранение;
• цялостност и поверителност;
• отчетност;

4. Цели на Политиката

 С приемането и прилагането на настоящата политика на Администратор на лични данни съгласно българското законодателство и Регламент (ЕС) 2016/679 се определят правилата по отношение на защитата на физическите лица във връзка с обработването на лични данни, както и правилата по отношение на свободното движение на лични данни.

 С приемането и прилагането на настоящата политика на Администратора на лични данни съгласно Закона за защита на личните данни и Регламент (ЕС) 2016/679 се защитават основни права и свободи на физическите лица, и по-специално тяхното право на защита на личните данни.

 С настоящата политика Администраторът на лични данни цели да гарантира:

1. Законосъобразност на обработването на лични данни, извършвано от Администратора на лични данни;
2. Правата на физическите лица, субекти на личните данни съгласно Регламент (ЕС) 2016/679;
3. Спазването на изискванията на регламента към Администратора на лични данни в качеството му на Администратор и/или Обработващ, включително:
   • Защита на данните на етапа на проектирането и по подразбиране;
   • Регистри на дейностите по обработване;
   • Подходящи технически и организационни мерки, които се преразглеждат и при необходимост се актуализират;
   • Мерки за оценка на риска, свързан с обработката на личните данни;
   • Спазването на изискванията при възлагане на обработката на Ваши лични данни на трети страни (Обработващи);
   • Задълженията на длъжностните лица, обработващи лични данни, и/или лицата, които имат достъп до лични данни и работят под ръководството на обработващите лични данни, тяхната отговорност при неизпълнение на тези задължения;
4. Като се имат предвид достиженията на техническия прогрес, разходите за прилагане и естеството, обхватът, контекстът и целите на обработването, както и рисковете с различна вероятност и тежест за правата и свободите на физическите лица, Администратора на лични данни и/или Обработващ лични данни прилага подходящи технически и организационни мерки за осигуряване на съобразено с този риск ниво на сигурност.
5. Гарантира спазването на основните принципи при предаване на лични данни на трети държави или международни организации извън ЕС.

5. Обхват

Дефиниции:

 „Лични данни" означава всяка информация, свързана с идентифицирано физическо лице или физическо лице, което може да бъде идентифицирано („субект на данни"); физическо лице, което може да бъде идентифицирано, е лице, което може да бъде идентифицирано, пряко или непряко, по-специално чрез идентификатор като име, идентификационен номер, данни за местонахождение, онлайн идентификатор или по един или повече признаци, специфични за физическата, физиологичната, генетичната, психическата, умствената, икономическата, културната или социална идентичност на това физическо лице;

 „Обработване" означава всяка операция или съвкупност от операции, извършвана с лични данни или набор от лични данни чрез автоматични или други средства като събиране, записване, организиране, структуриране, съхранение, адаптиране или промяна, извличане, консултиране, употреба, разкриване чрез предаване, разпространяване или друг начин, по който данните стават достъпни, подреждане или комбиниране, ограничаване, изтриване или унищожаване;

 Политиката за защита на данните се прилага по отношение на обработването на лични данни на клиенти, потребители, служители, там, където са станали известни такива на партньори и доставчици, както са описани в регистрите на дейностите по обработка, установени в съответствие с член 30 от Общия регламент относно защитата на данните - Регламент (ЕС) 2016/679 („Регистри на дейностите по обработване").

5.1. Училището обработва лични данни на следните категории лица:

• потребители на сайта;
• ученици;
• родители и настойници;
• педагогически и непедагогически персонал;
• кандидати за обучение;
• посетители на училището.

6. Цели на обработката на лични данни

 Съгласно изискванията на Раздел I - Прозрачност и условия от Общия регламент относно защитата на данните - Регламент (ЕС) 2016/679, Администраторът предоставя прозрачна информация, комуникация и условия за упражняването на правата на субектите на данни съгласно член 12 от Регламента.

 Данни могат да се обработват и за защитата и запазването на правата на Администратора, като по-конкретно, може да има случаи, в които е възможно Администраторът да разкрие данните, ако разкриването е необходимо (а) за защитата, упражняването или запазването на законните права, неприкосновеността на личния живот, безопасността или собствеността на Администратора, неговите служители, посредници и контрагенти, (б) за защитата на Администратора срещу измама, или (в) за целите на управлението на риска.

 Личните Ви данни ще бъдат обработвани и съхранявани за цели, необходими за сключването и изпълнението на договора за предоставяне на услугите по осъществяване на поръчката Ви; за цели, необходими за защита и прилагане на легитимните интереси на Администратора и цели, свързани със спазване на законовите задължения на Администратора. Това са цели, свързани със законните интереси на Администратора, като: осигуряване на нормалното функциониране и използване на Сайта от Ваша страна и от страна на другите потребители; поддръжка и администриране на Услугите; разрешаване на възникнали спорове; установяване и предотвратяване на злонамерени действия; откриване и разрешаване на технически проблеми или проблеми с функционалността; развитие и подобряване на Услугите; осъществяване на комуникация с Вас, включително по електронен път, по важни въпроси, свързани с Услугите; осъществяване и закрила на правата и законните интереси на Администратора, включително и по съдебен ред. За тези цели е възможно да е необходимо обработване на част или на всички посочени по-горе категории.

 Целите и информацията по отношението на обработката на личните данни, извършвана от Администратора, се предоставят в съответствие с извършването на основните процеси в Администратора.

 Личните данни се обработват и за следните цели:

• организиране на учебния процес;
• водене на училищна документация;
• издаване на удостоверения, дипломи и други официални документи;
• поддържане на електронни дневници;
• комуникация с родители и настойници;
• осигуряване на безопасността в училището;
• изпълнение на законови задължения към държавни институции.

7. Защо Администраторът на лични данни събира и съхранява лични данни?

 Администраторът на лични данни събира и съхранява лични данни с цел осъществяване на своите законови функции и задължения, свързани с организирането, управлението и администрирането на образователния процес.

 Обработването на лични данни се извършва в съответствие с разпоредбите на Регламент (ЕС) 2016/679, Закона за защита на личните данни, Закона за предучилищното и училищното образование и подзаконовите нормативни актове на Министерството на образованието и науката.

 Личните данни се събират и обработват за следните основни цели:

7.1. Организиране и управление на образователния процес

 Администраторът обработва лични данни на ученици и техните родители с цел:

• записване на ученици;
• водене на задължителната училищна документация;
• поддържане на електронни и хартиени регистри;
• оценяване и проследяване на образователния напредък;
• организиране на изпити и състезания;
• издаване на удостоверения, служебни бележки и дипломи.

7.2. Изпълнение на законови задължения

 Училището има законово задължение да събира и съхранява определени лични данни съгласно:

• Закона за предучилищното и училищното образование;
• Наредба №8 на Министерството на образованието и науката;
• Закона за държавния архив;
• Закона за счетоводството.

7.3. Комуникация с родители и настойници

 Личните данни се използват за:

• информиране на родителите за учебния процес;
• уведомяване за резултати и отсъствия;
• организиране на родителски срещи;
• комуникация при извънредни ситуации.

7.4. Осигуряване на безопасност и сигурност

 Личните данни могат да бъдат обработвани и за:

• контрол на достъпа до училищната сграда;
• видеонаблюдение с цел опазване на сигурността на учениците и персонала;
• предотвратяване на инциденти и нарушения.

7.5. Управление на човешките ресурси

 Училището обработва лични данни на служители с цел:

• управление на трудовите правоотношения;
• изплащане на възнаграждения;
• изпълнение на задължения към НАП и НОИ.

7.6. Финансово-счетоводна дейност

 Обработването на лични данни е необходимо за:

• счетоводна отчетност;
• финансови операции;
• отчетност пред държавни институции.

8. Получаване на бюлетин

 Към момента Училището не предоставя бюлетини с маркетингова цел.

9. Cookies („бисквитки")

 Бисквитките или Cookies („бисквитки") са малки файлове с информация, които се запазват във Вашият интернет браузър или твърд диск при посещение на Сайта. Ние използваме бисквитките с цел подобряване функционалността на нашата услуга, като Ви даваме възможността ефективно да навигирате сред страниците със запазване на Вашите предпочитания.

 Също така, ние използваме бисквитки с цел да анализираме как нашите потребители използват услугата, взаимодействат с нашето съдържание и разглеждат рекламите ни. Разрешаваме на одобрени трети страни да използват бисквитки и други подобни технологии за тези цели.

 Чрез бисквитките се проследяват посещаваните от Вас секции в сайтовете ни, колко време отделяте за разглеждане на сайта, кои реклами сте гледали.

 Вие не сте длъжни да се съгласите с използването на бисквитките.

 Целта на бисквитките не е да се установява самоличността на потребителите. За целта е създадена изрична Политика.

10. Ще бъдат ли предоставяни личните Ви данни на трети лица?

 Администраторът на лични данни може да предоставя лични данни на трети лица или организации само когато това е необходимо за изпълнение на законово задължение, за осъществяване на дейността на училището или за изпълнение на договорни отношения.

 Предоставянето на лични данни се извършва при стриктно спазване на изискванията на Регламент (ЕС) 2016/679 (GDPR) и Закона за защита на личните данни, като се гарантира, че третите лица обработват личните данни при същото ниво на защита и сигурност.

10.1. Предоставяне на лични данни на държавни институции

 При наличие на законово основание Администраторът може да предоставя лични данни на следните институции:

• Министерство на образованието и науката (МОН);
• Регионално управление на образованието (РУО);
• Национална агенция за приходите (НАП);
• Национален осигурителен институт (НОИ);
• Министерство на вътрешните работи (МВР);
• съдебни органи;
• органи на местното самоуправление;
• други държавни органи, когато това се изисква по закон.

10.2. Предоставяне на лични данни на служители

 Достъп до лични данни имат само служители на училището, за които този достъп е необходим за изпълнение на служебните им задължения. Всички служители са задължени да спазват правилата за поверителност и защита на личните данни.

10.3. Предоставяне на лични данни на съконтрагенти

 Администраторът може да предоставя лични данни на свои съконтрагенти или доставчици на услуги (например доставчици на информационни системи, счетоводни услуги, поддръжка на електронни платформи и др.), когато това е необходимо за изпълнение на договорни отношения или за осигуряване на нормалното функциониране на дейността на училището.

 В тези случаи:

• съконтрагентите действат като обработващи лични данни;
• между страните се сключва договор за обработване на лични данни, който гарантира защита на информацията;
• обработването се извършва само за конкретно определени цели.

10.4. Предоставяне на лични данни при наличие на съгласие

 В определени случаи личните данни могат да бъдат предоставени на трети лица само след получаване на изрично съгласие от субекта на данните или от неговия законен представител, когато това се изисква от закона.

10.5. Ограничения при предоставяне на лични данни

 Администраторът на лични данни не предоставя, не продава и не предоставя за търговски цели личните данни на ученици, родители, служители или други лица на трети страни. Личните данни се използват единствено за целите, за които са събрани, и не се обработват по начин, който е несъвместим с тези цели.

11. Задължение за предоставяне на лични данни на ученици

 В определени случаи предоставянето на лични данни е необходимо условие за предоставяне на образователните услуги от страна на училището. Личните данни на учениците и техните родители или законни представители се събират и обработват с цел:

• кандидатстване и записване на ученици;
• сключване и изпълнение на договор за обучение;
• организиране и провеждане на образователния процес;
• участие в извънкласни дейности, състезания и образователни програми;
• изпълнение на законови задължения на училището.

 В определени случаи предоставянето на лични данни е задължително, когато това се изисква от закон или е необходимо за сключване и изпълнение на договор за образователна услуга. Непредоставянето на необходимите лични данни може да доведе до невъзможност училището:

• да обработи заявление за кандидатстване;
• да запише ученика в училището;
• да предостави определени образователни или административни услуги.

 Личните данни се обработват само за конкретни и законни цели и не се използват за други цели, които са несъвместими с първоначалните.

12. Как ще съхраняваме и защитаваме Вашите лични данни?

 Администраторът на лични данни обработва (събира, съхранява, използва и при необходимост предоставя) личните данни, които са му предоставени, при стриктно спазване на изискванията на Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните – GDPR), Закона за защита на личните данни и приложимото българско законодателство. Администраторът се ангажира да обработва личните данни по законосъобразен, добросъвестен и прозрачен начин и да предприема всички необходими мерки за гарантиране на тяхната сигурност и поверителност.

12.1. Съхранение на личните данни

 Личните данни се съхраняват в хартиени и/или електронни регистри на администратора, като достъп до тях имат само упълномощени лица, за които обработването на съответните данни е необходимо за изпълнение на служебните им задължения. Администраторът се стреми да поддържа личните данни точни, актуални и пълни, като при необходимост предприема действия за тяхното актуализиране или коригиране. Личните данни не се съхраняват за период по-дълъг от необходимия за постигане на целите, за които са събрани, освен когато съхранението им се изисква от приложимото законодателство, включително нормативните актове, уреждащи архивирането на документи в образователната система.

12.2. Мерки за защита на личните данни

 Администраторът предприема подходящи технически и организационни мерки, за да гарантира защита на личните данни срещу:

• неразрешен достъп;
• неправомерно разкриване;
• загуба или унищожаване;
• неправомерно изменение или използване.

Организационни мерки:

 Администраторът прилага вътрешни правила и процедури за защита на личните данни, включително:

• определяне на отговорни лица за обработване на лични данни;
• ограничаване на достъпа до информация само до служители с необходимите права;
• обучение на персонала относно правилата за защита на личните данни;
• водене на регистри на дейностите по обработване на лични данни.

Физически мерки:

 За защита на хартиените носители и архивите се прилагат и физически мерки, включително:

• съхранение на документи в заключени помещения или шкафове;
• контрол на достъпа до архиви;
• ограничен достъп до административни помещения.

12.3. Защита при инциденти

 В случай на нарушение на сигурността на личните данни администраторът предприема незабавни действия за ограничаване на последствията, извършва вътрешна проверка и при необходимост уведомява компетентния надзорен орган — Комисията за защита на личните данни, в съответствие с изискванията на GDPR.

13. Мога ли да разбера какви мои лични данни се съхраняват и обработват?

 Всеки субект на лични данни има право да получи информация дали Администраторът на лични данни обработва негови лични данни и ако това е така — да получи достъп до тези данни. Настоящата политика за защита на личните данни съдържа информация относно категориите лични данни, които Администраторът събира и обработва, както и целите, за които те се използват. В допълнение, по Ваше искане Администраторът на лични данни е длъжен да Ви предостави информация относно това какви лични данни се съхраняват за Вас и по какъв начин се обработват.

13.1. Информация, която имате право да получите

 В случай че Администраторът обработва Ваши лични данни, имате право да получите следната информация:

• данни за контакт на организацията — Администратор на лични данни;
• данни за контакт на длъжностното лице по защита на личните данни;
• целите, за които се обработват личните данни;
• правното основание за обработването;
• категориите лични данни, които се обработват;
• получателите или категориите получатели, пред които са или ще бъдат разкрити личните данни;
• информация за получатели в трети държави или международни организации, когато се извършва прехвърляне на данни, както и гаранциите за защита на тези данни;
• когато обработването се основава на законните интереси на Администратора или на трета страна — информация за тези интереси;
• предвидения срок за съхранение на личните данни или критериите за определяне на този срок;
• информация относно правото Ви да поискате коригиране или изтриване на лични данни, както и ограничаване на обработването;
• информация за правото Ви да възразите срещу обработването на личните Ви данни;
• информация за правото Ви да оттеглите даденото съгласие по всяко време, когато обработването се основава на съгласие;
• информация за правото Ви да подадете жалба до Комисията за защита на личните данни;
• информация дали предоставянето на лични данни е законово или договорно изискване и какви са възможните последици, ако такива данни не бъдат предоставени;
• информация относно източника на личните данни, когато те не са събрани директно от Вас;
• информация за наличие на автоматизирано вземане на решения, включително профилиране, както и информация относно използваната логика и възможните последици от такава обработка.

13.2. Как можете да получите достъп до Вашите лични данни?

 За да упражните правото си на достъп до личните данни, е необходимо да отправите писмено искане до Администратора на лични данни или до длъжностното лице по защита на личните данни на посочените в настоящата политика контактни данни. След получаване на искането Администраторът разглежда заявлението и предоставя необходимата информация в срок, определен от приложимото законодателство. С цел защита на личните данни Администраторът може да изиска удостоверяване на самоличността на заявителя. За тази цел може да бъде необходимо да предоставите:

• Вашите имена;
• електронен адрес или други данни за контакт, използвани при предходна комуникация с Администратора.

14. Право на изтриване („Правото да бъдеш забравен")

 Субектът на лични данни има право да поиска от Администратора на лични данни изтриване на свързаните с него лични данни без ненужно забавяне, когато са налице основанията, предвидени в Регламент (ЕС) 2016/679. Администраторът е длъжен да изтрие личните данни, когато е налице някое от следните обстоятелства:

• личните данни повече не са необходими за целите, за които са били събрани или обработвани;
• субектът на данните оттегли своето съгласие, когато обработването се основава на съгласие и няма друго правно основание за обработване;
• субектът на данните възрази срещу обработването и няма законни основания за продължаване на обработването;
• личните данни са били обработвани незаконосъобразно;
• личните данни трябва да бъдат изтрити с цел спазване на правно задължение по правото на Европейския съюз или по българското законодателство;
• личните данни са събрани във връзка с предоставянето на услуги на информационното общество на дете.

Упражняване на правото

 За да упражни правото си на изтриване („правото да бъдеш забравен"), субектът на данни следва да подаде писмено искане до Администратора на лични данни.

 Искането може да бъде подадено:

• на електронната поща на училището;
• чрез писмено заявление;
• чрез длъжностното лице по защита на личните данни.

 Администраторът може да изиска удостоверяване на самоличността на заявителя, за да предотврати неправомерен достъп до лични данни.

Ограничения на правото на изтриване

 Правото на изтриване не се прилага, когато обработването на лични данни е необходимо:

• за изпълнение на законово задължение на администратора;
• за изпълнение на задача от обществен интерес;
• за установяване, упражняване или защита на правни претенции;
• за архивни цели в обществен интерес;
• когато съхранението на данните се изисква от нормативни актове, уреждащи дейността на образователните институции.

 В случаите, когато училището е задължено по закон да съхранява определени документи (например ученически досиета, дипломи, удостоверения и други официални документи), личните данни не могат да бъдат изтрити преди изтичане на съответния срок за съхранение.

Срок за отговор

 Администраторът разглежда искането и предоставя отговор на заявителя в срок до един месец от получаването му, съгласно изискванията на Регламент (ЕС) 2016/679.

15. Информация относно компетентния надзорен орган

 Съгласно разпоредбите на Регламент (ЕС) 2016/679 (Общ регламент относно защитата на данните) всеки субект на лични данни има право да подаде жалба до компетентния надзорен орган, ако счита, че обработването на неговите лични данни нарушава приложимото законодателство за защита на личните данни. Компетентният надзорен орган в Република България е:

Комисия за защита на личните данни

Седалище и адрес на управление: гр. София 1592, бул. „Проф. Цветан Лазаров" №2

Адрес за кореспонденция: гр. София 1592, бул. „Проф. Цветан Лазаров" №2

Телефон: 02 915 3 518

Електронна поща: kzld@government.bg / kzld@cpdp.bg

Уебсайт: www.cpdp.bg

 Всеки субект на лични данни има право да се обърне към Комисията за защита на личните данни с жалба или сигнал, когато счита, че неговите права по отношение на защитата на личните данни са били нарушени.