Polityka Ochrony Danych Osobowych

1 Cel i zakres polityki

1. Niniejsza Polityka ma na celu zapewnienie zgodności działalności Momentum AI sp. z o.o. z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 (RODO) oraz innymi przepisami krajowymi dotyczącymi ochrony danych osobowych.
2. Polityka obowiązuje wszystkich pracowników, zleceniobiorców i podwykonawców Spółki, którzy w ramach swoich obowiązków mają dostęp do danych osobowych przetwarzanych przez Spółkę.
3. Zakres podmiotowy obejmuje dane osobowe Klientów, Pracowników, Kandydatów do pracy, Kontrahentów i innych osób, z którymi Spółka utrzymuje relacje biznesowe lub prawne.

2 Zasady przetwarzania danych osobowych

Spółka przetwarza dane osobowe zgodnie z następującymi zasadami RODO:

• Zgodność z prawem, rzetelność i przejrzystość — dane przetwarzane są wyłącznie na podstawie jednej z przesłanek legalności wskazanych w art. 6 RODO
• Ograniczenie celu — dane zbierane są wyłącznie w konkretnych, wyraźnych i prawnie uzasadnionych celach
• Minimalizacja danych — zbierane są wyłącznie dane adekwatne i niezbędne do realizacji celu
• Prawidłowość — dane są aktualne; podjęte są rozsądne kroki w celu niezwłocznego usunięcia lub sprostowania danych nieprawidłowych
• Ograniczenie przechowywania — dane są przechowywane nie dłużej niż jest to niezbędne do celów, w których są przetwarzane
• Integralność i poufność — dane są przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo
• Rozliczalność — Administrator odpowiada za przestrzeganie powyższych zasad i jest w stanie to wykazać

3 Role i odpowiedzialności

4 Środki techniczne i organizacyjne

5 Procedura zgłaszania naruszeń danych

W przypadku podejrzenia lub stwierdzenia naruszenia ochrony danych osobowych obowiązuje następująca procedura:

6 Obsługa żądań osób, których dane dotyczą

1. Wszelkie żądania dotyczące praw osób (dostęp, sprostowanie, usunięcie, ograniczenie, przenoszalność, sprzeciw) kierowane do Spółki są niezwłocznie przekazywane do IOD.
2. Odpowiedź na żądanie udzielana jest bez zbędnej zwłoki, nie później niż w ciągu 30 dni od jego otrzymania. Termin może zostać wydłużony o kolejne 60 dni w sprawach szczególnie skomplikowanych.
3. Realizacja żądania jest co do zasady bezpłatna. Opłata może zostać pobrana w przypadku żądań ewidentnie nieuzasadnionych lub nadmiernych.
4. Spółka prowadzi rejestr przychodzących żądań i udzielonych odpowiedzi.

7 Powierzenie przetwarzania danych

1. Spółka powierza przetwarzanie danych osobowych wyłącznie podmiotom zapewniającym wystarczające gwarancje wdrożenia odpowiednich środków technicznych i organizacyjnych.
2. Każde powierzenie przetwarzania danych wymaga zawarcia pisemnej umowy powierzenia (Data Processing Agreement — DPA) zgodnej z art. 28 RODO.
3. Lista aktualnych podmiotów przetwarzających przechowywana jest w Rejestrze Podmiotów Przetwarzających i jest dostępna dla IOD i Zarządu.
4. Umowy powierzenia podlegają przeglądom co najmniej raz w roku lub po każdej istotnej zmianie zakresu usług przez podmiot przetwarzający.

8 Szkolenia i podnoszenie świadomości

• Szkolenie wstępne — każdy nowy pracownik przechodzi obowiązkowe szkolenie z ochrony danych osobowych przed uzyskaniem dostępu do danych
• Szkolenie cykliczne — wszyscy pracownicy uczestniczą w corocznym szkoleniu aktualizacyjnym z zakresu RODO i bezpieczeństwa informacji
• Szkolenia specjalistyczne — pracownicy działów przetwarzających szczególne kategorie danych objęci są dodatkowymi szkoleniami dedykowanymi
• Testy phishingowe — Dział IT przeprowadza kwartalne symulowane ataki phishingowe w celu podnoszenia czujności pracowników
• Dokumentacja szkoleń — uczestnictwo w szkoleniach jest dokumentowane i przechowywane w aktach pracowniczych przez okres zatrudnienia + 3 lata

9 Audyty i przeglądy

• Wewnętrzny audyt RODO — przeprowadzany co najmniej raz na 12 miesięcy przez IOD we współpracy z Działem IT i Prawnym
• Zewnętrzny audyt bezpieczeństwa — co najmniej raz na 24 miesiące lub po znaczących zmianach infrastruktury
• Testy penetracyjne — co najmniej raz w roku dla kluczowych systemów
• Przegląd Rejestru Czynności Przetwarzania (RCP) — co kwartał i przy każdej nowej czynności przetwarzania
• Wyniki audytów są dokumentowane i przedkładane Zarządowi; zidentyfikowane niezgodności muszą być usunięte w ustalonych terminach

10 Rewizja polityki

1. Niniejsza Polityka podlega przeglądowi co najmniej raz w roku lub w przypadku istotnych zmian w przepisach prawa, technologii, strukturze organizacyjnej lub zakresie przetwarzania danych.
2. Zmiany Polityki zatwierdza Zarząd Spółki na wniosek IOD.
3. Aktualna wersja Polityki jest udostępniana wszystkim pracownikom i współpracownikom poprzez wewnętrzne repozytorium dokumentów.
4. Niniejsza Polityka wchodzi w życie z dniem 15 marca 2026 roku.