Klauzula informacyjna dotyczy przetwarzania danych osobowych osoby zgłaszającej nieprawidłowości stanowiące naruszenie przepisów prawa, osoby, której dotyczy zgłoszenie nieprawidłowości oraz wszystkich innych osób, których dane Administrator (Diagnostica Bank Komórek Macierzystych sp. z o. o.) pozyskał w związku ze zgłoszeniem, a także prowadzeniem działań wyjaśniających i następczych (np. osób pomagających w dokonaniu zgłoszenia, osób powiązanych z osobą dokonującą zgłoszenia,
świadków nieprawidłowości).
Administratorem danych osobowych jest Diagnostica Bank Komórek Macierzystych sp. z o. o. („DBKM” lub „Administrator”) z siedzibą w Krakowie, ul. Prof. Michała Życzkowskiego 18, 31-864 Kraków, wpisana do rejestru przedsiębiorców, prowadzonego przez Sąd Rejonowy dla Krakowa- Śródmieścia w Krakowie, XI Wydział Gospodarczy Krajowego Rejestru Sądowego, pod numerem KRS 0000488713, NIP 945-19-93-048, REGON 356743076.
Z Administratorem można skontaktować się pod adresem e-mail: iod@dbkm.pl albo przesyłając korespondencję na adres siedziby podany powyżej.
Administrator powołał Inspektora Ochrony Danych (IOD), z którym można skontaktować się pod adresem e-mail: iod@dbkm.pl.
Pana/Pani dane osobowe będą przetwarzane w następujących celach, w oparciu o następujące podstawy prawne:
a) w celu przeciwdziałania, wykrywania i wyjaśniania nieprawidłowości, które mogą mieć miejsce w związku z działalnością DBKM oraz w celu podejmowania stosownych środków
zaradczych, w tym w szczególności w celu analizy otrzymanego zgłoszenia oraz prowadzenia rejestru zgłoszeń naruszeń − podstawą prawną przetwarzania jest obowiązek prawny ciążący
na Administratorze (art. 6 ust. 1 lit. c) RODO w związku z przepisami ustawy o ochronie sygnalistów);
b) w zakresie szczególnych kategorii danych osobowych, np. danych o stanie zdrowia lub informacji o poglądach politycznych, które mogą zostać przekazane do DBKM w zgłoszeniu o
nieprawidłowości lub w trakcie podejmowania działań wyjaśniających i następczych − podstawą prawną przetwarzania jest ważny interes publiczny, jakim jest przeciwdziałanie nieprawidłowościom i ochrona sygnalistów (art. 9 ust. 2 lit. g) RODO);
c) w zakresie obrony interesów gospodarczych Administratora − podstawą prawną przetwarzania danych osobowych jest prawnie uzasadniony interes Administratora (art. 6 ust.
1 lit f RODO), polegający na dochodzeniu roszczeń i obronie przed roszczeniami.
DBKM może przetwarzać w celach wskazanych powyżej następujące kategorie danych osobowych:
• zgłaszający nieprawidłowość (sygnalista): dane identyfikacyjne (np. imię (imiona) i nazwisko, adres pocztowy, numer telefonu, adres e-mail) oraz wszelkie informacje
dotyczące zgłoszonej nieprawidłowości i ujawnione w toku działań następczych;
• osoba, której dotyczy zgłoszenie nieprawidłowości: dane identyfikacyjne (np. imię (imiona) i nazwisko, stanowisko i inne informacje mogące w sposób bezpośredni lub
pośredni identyfikować osobę, której dotyczy zgłoszenie) oraz wszelkie informacje dotyczące zgłoszonej nieprawidłowości i ujawnione w toku działań następczych;
• dane innych osób (np. osoby pomagającej w zgłoszeniu, osoby powiązanej z osobą zgłaszającą, świadków): dane identyfikacyjne w zależności od charakteru relacji
ze zgłoszeniem (np. imię (imiona) i nazwisko, stanowisko i inne informacje mogące w sposób bezpośredni lub pośredni identyfikować osobę) oraz wszelkie informacje dotyczące
zgłoszonej nieprawidłowości i ujawnione w toku działań następczych.
Podanie danych osobowych przez osobę dokonującą zgłoszenia jest dobrowolne. Podanie dodatkowych danych przez osobę, której dotyczy zgłoszenie
lub inne osoby może być konieczne w zależności od okoliczności zgłoszonej sytuacji i działań podjętych przez Administratora w związku ze zgłoszeniem.
Odbiorcami danych osobowych przetwarzanych przez DBKM mogą być podmioty świadczące na rzecz DBKM usługi wsparcia bieżących działań, np. podmioty świadczące
usługi wsparcia IT, w tym obsługę i serwisowanie systemów informatycznych, w tym obsługi systemu do obsługi zgłoszeń nieprawidłowości, podmioty świadczące usługi hostingu danych i usługi
chmurowe, dostawcy usług poczty elektronicznej, podmioty świadczące usługi prawne, audytorskie lub usługi obejmujące gromadzenie dowodów oraz podmioty publiczno-prawne, na zasadach przewidzianych przez powszechnie obowiązujące przepisy prawa. Odbiorcami danych mogą być także podmioty z grupy kapitałowej, do której należy Administrator, w zakresie niezbędnym do
obsługi zgłoszenia, a także osoby uczestniczące bezpośrednio w dochodzeniu lub reakcji na zgłoszenie, takie jak eksperci zewnętrzni.
Dane osobowe przetwarzane w związku z przyjęciem zgłoszenia lub podjęciem działań następczych oraz dokumenty związane z tym zgłoszeniem są
przetwarzane przez Administratora przez okres 3 lat po zakończeniu roku kalendarzowego, w którym przekazano zgłoszenie zewnętrzne do organu publicznego właściwego do podjęcia działań
następczych lub zakończono działania następcze lub po zakończeniu postępowań zainicjowanych tymi działaniami. Dane osobowe uwzględnione w rejestrze zgłoszeń wewnętrznych przechowywane są przez okres 3 lat, po zakończeniu roku kalendarzowego, w którym zakończono działania następcze lub po zakończeniu postępowań zainicjowanych tymi działaniami. Dane osobowe, które nie mają znaczenia dla rozpatrywania zgłoszenia nie są zbierane, a w razie przypadkowego zebrania, są niezwłocznie usuwane. Usunięcie tych danych osobowych następuje w terminie 14 dni od chwili ustalenia, że nie mają one znaczenia dla sprawy.
Przysługuje Panu/Pani prawo żądania od Administratora dostępu do danych osobowych Pana/Pani dotyczących, ich sprostowania, usunięcia, ograniczenia przetwarzania.
Przysługuje Panu/Pani prawo do złożenia sprzeciwu wobec przetwarzania danych osobowych w celu realizowania prawnie uzasadnionych interesów Administratora, przy czym prawo sprzeciwu nie będzie mogło być wykonane w przypadku istnienia ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec Pana/Pani interesów, praw i wolności.
Przysługuje Panu/Pani skarga do właściwego organu nadzorczego, w szczególności w państwie swojego zwykłego pobytu, swojego miejsca pracy lub miejsca popełnienia domniemanego naruszenia. W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa.