Certyfikacja ISO 27001: Klucz do skutecznego zarządzania bezpieczeństw

Certyfikacja ISO 27001 – czyli jak uzyskać certyfikat ISO 27001 (ISO/IEC 27001:2022)

Certyfikacja ISO/IEC 27001:2022 to formalne potwierdzenie, że system zarządzania bezpieczeństwem informacji (SZBI) organizacji spełnia wymagania międzynarodowej normy ISO/IEC 27001. Dla wielu firm proces ten jest kluczowy, ponieważ nie tylko wspiera skuteczne zarządzanie bezpieczeństwem informacji, ale również buduje zaufanie wśród klientów i partnerów biznesowych. Przystąpienie do certyfikacji wymaga jednak odpowiedniego przygotowania, zarówno na poziomie organizacyjnym, jak i technicznym.

W tym artykule omówimy, co należy wiedzieć, zanim firma zdecyduje się na proces certyfikacji, jakie kroki należy podjąć oraz jakie wyzwania mogą pojawić się po drodze.

Zrozumienie wymagań i wdrożenie normy ISO 27001

Zanim organizacja przystąpi do wdrożenia i certyfikacji, kluczowe jest pełne zrozumienie wymagań normy ISO/IEC 27001:2022. Norma ta obejmuje szereg wymagań dotyczących:

Polityk, procesów i udokumentowanej informacji dotyczącej bezpieczeństwa informacji, które powinny być odpowiednio opracowane, wdrożone i nadzorowane.
Zarządzania ryzykiem, w tym identyfikacji, analizy i oceny ryzyka oraz wyboru odpowiednich sposobów postępowania z ryzykiem.
Zabezpieczeń wymienionych w Załączniku A, które stanowią zbiór referencyjny wspierający organizację w określaniu zabezpieczeń potrzebnych do postępowania z ryzykiem.

Zrozumienie tych wymagań pomoże organizacji w stworzeniu systemu zarządzania bezpieczeństwem informacji zgodnego z ISO/IEC 27001:2022 oraz uniknięciu błędów podczas audytu certyfikacyjnego. Aby dokładniej poznać i zinterpretować wymagania normy, warto skorzystać z profesjonalnych szkoleń prowadzonych przez doświadczonych audytorów wiodących. Takie szkolenia szczegółowo omawiają każdy aspekt normy, pomagając w jej właściwym zrozumieniu i wdrożeniu. ISOQAR organizuje takie szkolenia, oferując praktyczne podejście i możliwość dyskusji z ekspertami, co ułatwia zrozumienie kluczowych wymagań normy i ich zastosowanie w praktyce.

Identyfikacja aktywów głównych i wspierających

Jednym ze sposobów wspierających identyfikację ryzyka związanego z bezpieczeństwem informacji jest określenie aktywów, które organizacja powinna chronić. Proces ten może polegać na zidentyfikowaniu aktywów głównych (primary assets) oraz aktywów wspierających (supporting assets), a następnie na zrozumieniu ich roli w funkcjonowaniu organizacji.

ISO/IEC 27001:2022 nie narzuca jednak obowiązku stosowania podziału na aktywa główne i wspierające ani jednej konkretnej metody oceny ryzyka. Organizacja może przyjąć podejście oparte na aktywach, procesach, zdarzeniach, scenariuszach ryzyka lub połączyć kilka metod, odpowiednio do swojej działalności i kontekstu.

Czym są aktywa?

W kontekście zarządzania bezpieczeństwem informacji aktywa to wszystko, co ma wartość dla organizacji i co wymaga ochrony. Aktywa można podzielić na:

Aktywa główne – Informacje, które organizacja musi chronić. Mogą to być dane osobowe, pliki projektowe, bazy danych klientów, rejestry medyczne, dokumentacja finansowa czy umowy.
Aktywa wspierające – Elementy techniczne, fizyczne lub organizacyjne, które umożliwiają ochronę i wykorzystanie aktywów głównych. Mogą to być serwery, oprogramowanie, urządzenia sieciowe, procedury, a nawet personel.

Zdefiniowanie zakresu certyfikacji systemu zarządzania bezpieczeństwem informacji

Przed przystąpieniem do certyfikacji kluczowe jest również określenie zakresu systemu zarządzania bezpieczeństwem informacji (SZBI), który będzie podlegał certyfikacji. Zakres ten może obejmować całą organizację lub tylko jej wybrane działy, jednostki czy procesy. Ważne, aby zakres był dobrze zdefiniowany, ponieważ będzie miał bezpośredni wpływ na ocenę certyfikacyjną i późniejsze działania nadzorcze.

Przygotowanie dokumentacji systemowej

Jednym z najważniejszych elementów przygotowania do certyfikacji jest odpowiednia udokumentowana informacja wymagana przez normę oraz uznana przez organizację za niezbędną do skutecznego funkcjonowania SZBI. Powinna ona obejmować m.in.:

Zakres systemu zarządzania bezpieczeństwem informacji.
Politykę bezpieczeństwa informacji.
Proces i kryteria oceny ryzyka związanego z bezpieczeństwem informacji.
Proces postępowania z ryzykiem.
Wyniki oceny ryzyka.
Wyniki postępowania z ryzykiem i plan postępowania z ryzykiem.
Deklarację Stosowania.
Cele bezpieczeństwa informacji.
Dowody potwierdzające kompetencje personelu.
Wyniki monitorowania, pomiarów, analiz i ocen.
Program oraz wyniki audytów wewnętrznych.
Wyniki przeglądów zarządzania.
Informacje dotyczące niezgodności i podjętych działań korygujących.

Norma nie narzuca jednego zestawu procedur, nazw dokumentów ani ich formy. Zakres udokumentowanej informacji powinien być dostosowany do wielkości organizacji, charakteru jej działalności, złożoności procesów oraz kompetencji personelu.

Audytorzy będą zwracać uwagę nie tylko na dostępność wymaganej udokumentowanej informacji, ale przede wszystkim na to, czy odpowiada ona rzeczywistemu sposobowi działania organizacji oraz czy procesy i zabezpieczenia zostały skutecznie wdrożone.

Szkolenia pracowników

Osoby wykonujące pracę pozostającą pod kontrolą organizacji powinny być świadome swojej roli w utrzymaniu bezpieczeństwa informacji. Organizacja powinna również zapewnić odpowiednie kompetencje osobom, których praca wpływa na skuteczność SZBI. Kompetencje mogą wynikać z wykształcenia, doświadczenia, szkoleń lub innych odpowiednich działań.

Działania szkoleniowe i podnoszące świadomość powinny obejmować m.in.:

Zasady ochrony informacji.
Postępowanie w przypadku zdarzeń i incydentów bezpieczeństwa informacji.
Wykorzystywanie odpowiednich narzędzi i zabezpieczeń.
Znaczenie przestrzegania polityk i zasad obowiązujących w organizacji.
Konsekwencje niespełniania wymagań SZBI.

Audytorzy często sprawdzają poziom świadomości pracowników i innych osób wykonujących pracę pod kontrolą organizacji, dlatego warto upewnić się, że rozumieją oni swoje obowiązki i stosują ustalone zasady w praktyce.

Ocena gotowości organizacji – Audyt wewnętrzny SZBI

Zanim organizacja przystąpi do audytu certyfikacyjnego, powinna przeprowadzić audyt wewnętrzny, który pozwoli ocenić, w jakim stopniu SZBI spełnia wymagania normy oraz wymagania ustanowione przez samą organizację. Audyt ten może być wykonany przez odpowiednio kompetentne osoby z organizacji lub przez audytorów zewnętrznych. Należy przy tym zapewnić obiektywność i bezstronność procesu audytu. Celem takiego audytu jest:

Zidentyfikowanie potencjalnych luk i niezgodności w systemie zarządzania bezpieczeństwem informacji.
Ocena, czy SZBI jest skutecznie wdrożony i utrzymywany.
Ocena skuteczności wdrożonych zabezpieczeń.
Sprawdzenie zgodności z wymaganiami ISO/IEC 27001:2022 oraz wewnętrznymi wymaganiami organizacji.

Raport z audytu powinien przedstawiać wyniki audytu, w tym zidentyfikowane niezgodności. Organizacja powinna odpowiednio zareagować na stwierdzone niezgodności, przeprowadzić niezbędne korekcje, ustalić ich przyczyny, wdrożyć działania korygujące oraz ocenić skuteczność podjętych działań.

Przed certyfikacją organizacja powinna również przeprowadzić przegląd zarządzania, podczas którego najwyższe kierownictwo ocenia przydatność, adekwatność i skuteczność SZBI.

Dodatkowo organizacje mogą zdecydować się na tzw. audyt wstępny, który przeprowadza niezależny audytor zewnętrzny z jednostki certyfikującej, aby ocenić gotowość przed właściwym audytem certyfikacyjnym. Taki audyt pozwala zidentyfikować obszary wymagające poprawy i upewnić się, że system zarządzania bezpieczeństwem informacji jest dobrze przygotowany do audytu certyfikacyjnego. ISOQAR oferuje audyty wstępne, które pomagają organizacjom ocenić ich zgodność z ISO/IEC 27001:2022 i zapewnić odpowiednie przygotowanie do certyfikacji.

Wybór jednostki certyfikującej

Kolejnym ważnym krokiem w procesie certyfikacji jest wybór odpowiedniej jednostki certyfikującej, która posiada akredytację obejmującą certyfikację według ISO/IEC 27001:2022 oraz odpowiednie doświadczenie. Akredytacja jest istotnym elementem, ponieważ stanowi niezależne potwierdzenie kompetencji i bezstronności jednostki certyfikującej oraz zgodności jej działania z właściwymi wymaganiami.

Akredytacji udzielają niezależne jednostki akredytujące, takie jak UKAS (United Kingdom Accreditation Service) lub PCA (Polskie Centrum Akredytacji), które oceniają i monitorują działalność jednostek certyfikujących.

Wybór akredytowanej jednostki certyfikującej ma duże znaczenie dla wiarygodności certyfikatu. Certyfikaty wydawane w ramach akredytacji jednostek będących sygnatariuszami odpowiednich międzynarodowych porozumień o wzajemnym uznawaniu mogą być szeroko uznawane na rynkach międzynarodowych. Akredytacja zwiększa zaufanie, że audyt został przeprowadzony przez kompetentną i bezstronną jednostkę zgodnie z obowiązującymi wymaganiami.

Przeprowadzenie audytu certyfikacyjnego ISO/IEC 27001:2022

Po odpowiednim przygotowaniu organizacja może przystąpić do audytu certyfikacyjnego, który odbywa się w dwóch kluczowych etapach: etap 1 i etap 2. Każdy z tych etapów ma swoje specyficzne cele i zadania, które muszą być spełnione, aby uzyskać certyfikację zgodną z ISO/IEC 27001:2022.

Etap 1: Przegląd dokumentacji i ocena gotowości

Ten etap skupia się na ocenie formalnych aspektów systemu zarządzania bezpieczeństwem informacji (SZBI). Celem etapu 1 jest ustalenie, czy organizacja jest odpowiednio przygotowana do przejścia do bardziej szczegółowej oceny podczas etapu 2. Audytorzy badają następujące kwestie:

Przegląd dokumentacji SZBI: Audytorzy sprawdzają, czy wszystkie wymagane dokumenty są kompletne i zgodne z wymaganiami normy. Obejmuje to m.in. polityki bezpieczeństwa informacji, procedury zarządzania ryzykiem, plan zarządzania incydentami, rejestr ryzyka oraz dokumenty kontrolne.
Zakres SZBI: Audytorzy oceniają, czy zakres systemu zarządzania bezpieczeństwem informacji jest dobrze zdefiniowany i obejmuje odpowiednie obszary działalności organizacji.
Przygotowanie do etapu 2: Audytorzy mogą zidentyfikować ewentualne luki lub obszary wymagające poprawy przed przejściem do etapu 2. Ten etap ma na celu pomóc organizacji lepiej przygotować się do głównego audytu operacyjnego.

Jeśli audytorzy uznają, że organizacja jest gotowa, można przejść do etapu 2.

Etap 2: Ocena praktycznego wdrożenia SZBI

Etap 2 to główny audyt certyfikacyjny, podczas którego audytorzy oceniają, jak system zarządzania bezpieczeństwem informacji działa w praktyce. Obejmuje to szczegółowe sprawdzenie wdrożenia SZBI w organizacji, weryfikację zgodności z dokumentacją oraz skuteczność środków kontroli. W ramach etapu 2 audytorzy:

Sprawdzają wdrożenie procedur: Audytorzy oceniają, czy polityki i procedury bezpieczeństwa informacji są faktycznie przestrzegane w codziennej działalności organizacji. Weryfikują, czy pracownicy są świadomi swojej roli i odpowiedzialności oraz czy postępują zgodnie z ustalonymi zasadami.
Ocena efektywności zarządzania ryzykiem: Audytorzy badają, jak organizacja identyfikuje, ocenia i zarządza ryzykami związanymi z bezpieczeństwem informacji. Sprawdzają, czy zastosowane środki kontroli są adekwatne i skutecznie minimalizują ryzyko.
Rozmowy z pracownikami: Audytorzy przeprowadzają wywiady z pracownikami na różnych poziomach organizacji, aby upewnić się, że wszyscy rozumieją swoje obowiązki związane z ochroną informacji i wdrażaniem SZBI.
Analiza przypadków: Często podczas etapu 2 audytorzy oceniają, jak organizacja radziła sobie z wcześniejszymi incydentami bezpieczeństwa informacji, analizując ich reakcje, procesy zarządzania incydentami oraz wdrożone działania naprawcze.

Jeśli audyt zakończy się sukcesem, organizacja otrzymuje certyfikat, który jest ważny przez trzy lata, z corocznymi audytami nadzorczymi.

Działania korygujące i ciągłe doskonalenie systemu

Proces certyfikacji nie kończy się na otrzymaniu certyfikatu. Kluczowe jest wdrożenie ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji. Oznacza to, że organizacja powinna regularnie przeglądać swoje procesy, monitorować ryzyka i reagować na nowe zagrożenia.

Działania korygujące, które wynikną z audytów wewnętrznych lub certyfikacyjnych, powinny być wdrażane na bieżąco, aby SZBI był stale aktualny i skuteczny.

Korzyści z certyfikacji ISO/IEC 27001:2022

Certyfikacja ISO/IEC 27001:2022 przynosi wiele korzyści, w tym:

Zwiększone zaufanie klientów i partnerów biznesowych – Certyfikat potwierdza, że organizacja wdrożyła systemowe podejście do zarządzania bezpieczeństwem informacji.
Systematyczne zarządzanie ryzykiem – Organizacja skuteczniej identyfikuje, ocenia i traktuje ryzyko związane z bezpieczeństwem informacji, sprowadzając je do akceptowalnego poziomu.
Wsparcie zgodności z regulacjami – SZBI może wspierać spełnianie wybranych wymagań wynikających z przepisów, takich jak RODO czy regulacje wdrażające NIS2. Sam certyfikat nie stanowi jednak automatycznego potwierdzenia pełnej zgodności z tymi przepisami.
Przewaga konkurencyjna – Firmy posiadające certyfikat mogą wyróżniać się na rynku jako organizacje, które systemowo zarządzają bezpieczeństwem informacji.

Przystąpienie do certyfikacji ISO/IEC 27001:2022 to proces wymagający odpowiedniego przygotowania i zaangażowania całej organizacji. Kluczem do sukcesu jest zrozumienie wymagań normy, przeprowadzenie oceny ryzyka i postępowania z ryzykiem, wdrożenie odpowiednich zabezpieczeń, przeprowadzenie audytu wewnętrznego i przeglądu zarządzania oraz zapewnienie kompetencji i świadomości personelu.

Otrzymanie certyfikatu to nie tylko potwierdzenie zgodności SZBI z wymaganiami międzynarodowej normy, ale także znaczący krok w kierunku budowania zaufania, zarządzania ryzykiem i zwiększania odporności organizacji w dynamicznie zmieniającym się środowisku cyfrowym.

ISOQAR świadczy akredytowane przez UKAS usługi certyfikacji systemów zarządzania bezpieczeństwem informacji zgodnych z normą ISO/IEC 27001:2022. Akredytacja zwiększa zaufanie do kompetencji, bezstronności i sposobu działania jednostki certyfikującej. Jeśli chcesz dowiedzieć się więcej na temat procesu certyfikacji lub uzyskać informacje dotyczące kosztów, zapraszamy do kontaktu za pośrednictwem formularza lub telefonicznie. Nasi specjaliści chętnie odpowiedzą na pytania dotyczące zakresu, przebiegu i harmonogramu certyfikacji oraz przygotują odpowiednią ofertę.

Skuteczne przygotowanie do certyfikacji wymaga nie tylko opracowania odpowiedniej dokumentacji, ale przede wszystkim właściwego zrozumienia wymagań normy oraz kompetencji osób odpowiedzialnych za ocenę funkcjonowania SZBI. Dlatego zapraszamy na szkolenia Wymagania ISO/IEC 27001:2022 oraz Audytor wewnętrzny ISO/IEC 27001:2022, które pomagają przygotować pracowników do utrzymywania, audytowania i ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji.

Polityka prywatności

W związku z prowadzoną przez siebie działalnością gospodarczą, Administrator zbiera i przetwarza dane osobowe zgodnie z właściwymi przepisami, w tym przede wszystkim z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – dalej jako RODO. Przetwarzając dane, Administrator zapewnia ich bezpieczeństwo i poufność oraz dostęp do informacji o tym przetwarzaniu dla osób, których dane dotyczą.

1. Administrator danych osobowych
Administratorem Państwa danych osobowych jest ISOQAR CEE sp. z o.o z siedzibą w Warszawie, adres: ul. Wąwozowa 11, 02-796 Warszawa, NIP 9512091016, wpisana do Krajowego Rejestru Sądowego prowadzonego przez Sąd Rejonowy w dla m.st. Warszawy, XIII Wydział Gospodarczy Krajowego Rejestru Sądowego pod numerem KRS: 0000178492. Administrator wyznaczył Inspektora Ochrony Danych Krzysztofa Radtke, z którym można się skontaktować drogą elektroniczną: iod@isoqar.pl

2. Pozyskiwanie danych osobowych, cele przetwarzania.
W zależności od łączących nas z Państwem relacji, przetwarzamy dane osobowe w n/w celach i zakresach:

>> Potencjalni klienci, w tym osoby które wypełniły formularz kontaktowy na naszej stronie:
Dane osobowe (najczęściej imię, nazwisko, adres mail, nr telefonu), przetwarzamy w celu odpowiedzi na Państwa zapytania i prośby, co jest prawnie uzasadnionym interesem Administratora (podstawa z art. 6 ust. 1 lit. f RODO) – do czasu zgłoszenia przez Państwa sprzeciwu, w celach marketingowych na podstawie dodatkowych zgód (podstawa z art. 6 ust. 1 lit. a RODO) – do czasu cofnięcia przez Państwa zgody. Na podstawie naszego prawnie uzasadnionego interesu możemy przetwarzać Państwa dane także w celu dochodzenia ewentualnych roszczeń, w celach statystycznych, a także dla ciągłego doskonalenia jakości świadczonych przez nas usług. Podanie przez Państwa danych osobowych w formularzu kontaktowym nie jest obowiązkiem prawnym, lecz jest konieczne w celu odpowiedzi na Państwa zapytania.

>> Potencjalni klienci, w tym osoby które wypełniły formularz zapytania ofertowego
Dane osobowe (najczęściej osoba kontaktowa, nazwa firmy, adres i kod pocztowy, strona www, adres mail, nr telefonu), przetwarzamy w celu przygotowania i przesłania oferty, co jest prawnie uzasadnionym interesem Administratora (podstawa z art. 6 ust. 1 lit. f RODO) – do czasu zgłoszenia przez Państwa sprzeciwu, w celach marketingowych na podstawie dodatkowych zgód (podstawa z art. 6 ust. 1 lit. a RODO) – do czasu cofnięcia przez Państwa zgody. Na podstawie naszego prawnie uzasadnionego interesu możemy przetwarzać Państwa dane także w celu dochodzenia ewentualnych roszczeń, w celach statystycznych, a także dla ciągłego doskonalenia jakości świadczonych przez nas usług. Podanie przez Państwa danych osobowych w formularzu kontaktowym nie jest obowiązkiem prawnym, lecz jest konieczne w celu odpowiedzi na Państwa zapytania.

>> Odbiorcy newslettera
Państwa dane osobowe przetwarzane są w celu marketingu produktów i usług Administratora, tj. przesyłania informacji o charakterze marketingowym (podstawa z art. 6 ust. 1 lit. a RODO) – zgoda osoby, której dane dotyczą. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Dane osobowe będą przechowywane do czasu wycofania zgody na przetwarzanie danych osobowych.

>> Klienci - zawarcie i realizacja umowy w związku z prowadzoną przez nas działalnością
W przypadku gdy jesteś naszym klientem lub kontrahentem i zawierasz umowę, przetwarzamy niezbędne dla tego celu dane osobowe w celu zawarcia i realizacji tej umowy, czyli na podstawie art. 6 ust. 1 lit. b RODO. Jeżeli jesteś reprezentantem lub osobą kontaktową występującą w imieniu naszego klienta lub kontrahenta, Twoje dane osobowe przetwarzamy w celu kontaktu służbowego, co stanowi nasz prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO). Kontaktem służbowym jest dla nas wszelka korespondencja (elektroniczna, papierowa), jak też kontakt telefoniczny dotyczący zawartej współpracy i realizowanej usługi, w szczególności: dokonywanie uzgodnień, umawianie spotkań służbowych, udzielenie odpowiedzi na pytania, kierowanie informacji z naszej strony. Naszym prawnie uzasadnionym interesem jest również kontakt z osobami kontaktowymi po stronie klienta dotyczący opinii na temat realizacji umowy, przy czym z inicjatywą takiego kontaktu może się do nas zwrócić zarówno klient, jak i my.

Takie dane osobowe przetwarzamy także w celach podatkowych i rachunkowych, gdy przepisy prawa obligują nas do ich przechowywania lub ujawniania odpowiednim podmiotom. Podstawą prawną przetwarzania przez nas danych osobowych w celach podatkowo – księgowych jest art. 6 ust. 1 lit. c RODO. Takie dane przechowujemy przez czas niezbędny dla realizacji umowy, a następnie do czasu przedawnienia roszczeń, jakie mogą wynikać z takiej umowy, bądź przez czas wymagany przepisami prawa. Dane związane z zawartymi umowami przechowujemy przez taki okres czasu w celach dowodowych, zabezpieczenia roszczeń lub obrony przed nimi, co stanowi nasz prawnie uzasadniony interes o jakim mowa w art. 6 ust. 1 lit. f RODO.

>> Prowadzenie korespondencji e-mailowej oraz tradycyjnej:
Przekazane przez Państwa dane (najczęściej imię, nazwisko, adres mailowy, adres korespondencyjny), w przypadku skierowania do nas korespondencji e-mailowej lub drogą tradycyjną, są przetwarzane wyłącznie w celu komunikacji i załatwienia sprawy, której dotyczy ta korespondencja. W takim przypadku podstawą prawną przetwarzania jest uzasadniony interes Administratora na podstawie art. 6 ust. 1 lit f RODO, polegający na prowadzeniu korespondencji kierowanej do niego w związku z prowadzoną działalnością gospodarczą.
Podanie danych osobowych jest dobrowolne, jednakże niezbędne do udzielenia odpowiedzi na Państwa zapytanie. Dane będziemy przetwarzać w czasie wykonania umowy, a po upływie tego okresu przedawnienia roszczeń wynikających z łączącego nas stosunku prawnego.

>> O soby odwiedzające naszą stronę internetową:
Informujemy Państwa, że podczas korzystania z naszej strony internetowej, mogą być pobierane dodatkowe informacje wysyłane przez Państwa przeglądarkę internetową oraz zawarte w logach systemowych, w szczególności: adres IP przypisany do komputera użytkownika lub zewnętrzny adres IP dostawcy Internetu, nazwa domeny, rodzaj przeglądarki, czas dostępu, typ systemu operacyjnego; od użytkowników naszej strony www, mogą być także gromadzone dane nawigacyjne, w tym informacje o linkach i odnośnikach, w które zdecydują się kliknąć lub innych czynnościach, podejmowanych na Stronie. Podstawą prawną tego rodzaju czynności jest prawnie uzasadniony interes Administratora (art. 6 ust. 1 lit. f RODO), polegający na ułatwieniu korzystania z usług świadczonych drogą elektroniczną oraz na poprawie funkcjonalności tych usług. Dane wykorzystywane będą wyłącznie w celach statystycznych (analiza ruchu na naszej stronie www) oraz w celach marketingowych (by lepiej dopasować treść Serwisu do preferencji użytkowników).

>> Uczestnicy organizowanych przez nas szkoleń i webinariów:
Zapisując się na nasze wydarzenia prowadzone w formie on-line (szkolenia, webinaria), Państwa dane osobowe będą przetwarzane w następujących celach: zawarcie umowy (realizacja Twojego zamówienia udziału w wydarzeniu, w tym przyjęcie rejestracji, wysłanie zaproszenia na wydarzenie (podstawa: wykonanie umowy o przeprowadzenie wydarzenia lub żądanie uczestnika przed jej zawarciem – art. 6 ust. 1 lit. b RODO), realizacja obowiązku prawnego dotyczącego wystawiania i księgowania faktur (jeżeli podajesz dane osobowe do faktury) a także prowadzenie sprawozdawczości finansowej (podstawa: art. 6 ust. 1 lit. c w zw. z ustawą z dnia 29 września 1994 r. o rachunkowości, ustawą z dnia 29 sierpnia 1997 r. Ordynacja podatkowa oraz ustawą z dnia 11 marca 2004 r. o podatku od towarów i usług) i ponadto: bieżący kontakt, rozpatrzenie ewentualnych reklamacji, zabezpieczenie roszczeń – te cele są naszymi prawnie uzasadnionymi interesami (podstawa: art. 6 ust. 1 lit. f RODO). W przypadku chęci otrzymywania newslettera dane będą przetwarzane za zgodą (art. 6 ust. 1 lit. a RODO).

Dane dla powyższych celów będą przetwarzane przez następujący okres: dane niezbędne dla realizacji umowy / rozpatrzenia reklamacji przetwarzane są przez czas niezbędny do jej realizacji, a następnie do czasu przedawnienia roszczeń, jakie mogą wynikać z tytułu zawarcia umowy; dane przetwarzane w celach kontaktowych przechowujemy przez czas niezbędny dla realizacji kontaktu / odpowiedzi na pytania, a następnie do końca roku kalendarzowego, następującego po roku, w którym nastąpiło rozwiązanie sprawy lub zakończenie kontaktu; dane niezbędne do realizacji wydarzenia płatnego przechowywane będą do maksymalnie 5 lat liczonych od zakończenia roku obrachunkowego, w którym wystawiono dokument księgowy; dane przetwarzane w przypadku wyrażenia zgody na newsletter – do czasu jej odwołania.

3. Odbiorcy danych osobowych
Administrator może przekazać Państwa dane osobowe wyłącznie w przypadku, jeśli jest to niezbędne do realizacji celów przetwarzania: podmiotom świadczącym dla nas usługi informatyczne, wspomagającym naszą działalność, firmom doradczym, audytorskim, a także prawniczym, podwykonawcom niektórych naszych funkcjonalności, firmom dostarczającym narzędzia komunikacji (np. hosting poczty e-mail), firmom dostarczającym narzędzia analityczne, przedsiębiorstwom pocztowym i kurierskim, bankom, ZUS, US, także innym, w ramach spoczywających na Administratorze obowiązków prawnych.

4. Okres przetwarzania
Okres przetwarzania danych przez Administratora zależy od rodzaju świadczonej usługi i celu przetwarzania. Okres przetwarzania danych określony może także wynikać z przepisów, w przypadku, gdy stanowią one podstawę przetwarzania. W przypadku przetwarzania danych na podstawie uzasadnionego interesu Administratora, wówczas dane przetwarzane są przez okres umożliwiający jego realizację lub do zgłoszenia skutecznego sprzeciwu względem przetwarzania danych. Jeśli przetwarzanie odbywa się na podstawie zgody, dane przetwarzane są do jej wycofania. W przypadku, gdy podstawę przetwarzania stanowi niezbędność do zawarcia i wykonania umowy, dane będą przetwarzane do momentu jej rozwiązania. Okres przetwarzania danych może być przedłużony w przypadku, gdy przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony przed ewentualnymi roszczeniami, a po tym okresie, jedynie w przypadku i w zakresie, w jakim będą wymagać tego przepisy prawa. Po upływie okresu przetwarzania, dane są nieodwracalnie usuwane lub anonimizowane.

5. PRAWO KONTROLI, DOSTĘPU DO TREŚCI WŁASNYCH DANYCH ORAZ ICH POPRAWIANIA,
Osoba, której dane dotyczą, ma prawo dostępu do treści swoich danych osobowych oraz prawo ich sprostowania, usunięcia (chyba, że na Administratorze będzie spoczywał obowiązek ich dalszego przetwarzania), ograniczenia przetwarzania, prawo do przenoszenia danych, prawo wniesienia sprzeciwu, prawo do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem.

>> Podstawy prawne żądania Użytkownika:
Dostęp do danych – art. 15 RODO.
Sprostowanie danych – art. 16 RODO.
Usunięcie danych (tzw. prawo do bycia zapomnianym) – art. 17 RODO.
Ograniczenie przetwarzania – art. 18 RODO.
Przeniesienie danych – art. 20 RODO.
Sprzeciw – art. 21 RODO
Cofnięcie zgody – art. 7 ust. 3 RODO.

W przypadku stwierdzenia, że przetwarzanie danych osobowych narusza przepisy obowiązującego prawa, osoba, której dane dotyczą, ma prawo wnieść skargę do Prezesa Urzędu Ochrony Danych Osobowych z siedzibą w Warszawie.

6. PLIKI „COOKIES”

Informacje ogólne o plikach cookies

Strona Administratora używa plików „cookies”. Instalacja plików „ cookies ” jest konieczna do prawidłowego świadczenia usług na stronie internetowej. W plikach „ cookies ” znajdują się informacje niezbędne do prawidłowego funkcjonowania strony, a także dają one możliwość opracowywania ogólnych statystyk odwiedzin strony internetowej. W ramach strony stosowane są następujące rodzaje plików „cookies”:

Rodzaje plików cookies ze względu na czas przechowywania

>> Pliki cookies sesyjne – pliki tymczasowe, które przechowywane są w urządzeniu końcowym Użytkownika wyłącznie do momentu wylogowania się, opuszczenia strony internetowej lub zamknięcia przeglądarki internetowej.

>> Pliki cookies stałe – pliki przechowywane w urządzeniu końcowym Użytkownika przez czas określony w parametrach plików cookies lub do momentu ich usunięcia przez Użytkownika.

Rodzaje plików cookies ze względu na cel

>> Niezbędne – umożliwiające prawidłowe działanie strony, bez których niektóre funkcjonalności mogą być niedostępne.

>> Funkcjonalne – pozwalające na zapamiętanie wybranych przez Użytkownika ustawień (np. języka, rozmiaru czcionki, wyglądu strony), personalizację interfejsu Użytkownika i poprawę wygody korzystania z serwisu.

>> Statystyczne – służące do zbierania danych o sposobie korzystania ze strony, tworzenia statystyk i raportów dotyczących funkcjonowania strony (bez identyfikacji konkretnego Użytkownika). Pomagają zrozumieć, w jaki sposób Użytkownicy korzystają z serwisu, co umożliwia ulepszanie jego struktury i zawartości.

>> Wydajnościowe – umożliwiające zbieranie informacji o wydajności i szybkości działania strony, pozwalają na rozpoznawanie problemów technicznych oraz optymalizację działania serwisu.

>> Marketingowe – umożliwiające profilowanie i targetowanie reklam dopasowanych do zainteresowań Użytkowników, a także personalizację treści marketingowych wyświetlanych na stronie i w sieciach reklamowych.

Wykorzystywanie plików cookies przez Administratora

Własne pliki cookies
Administrator wykorzystuje własne pliki cookies, aby lepiej poznać sposób interakcji Użytkowników z treściami znajdującymi się na stronie. Pozwala to na:

> zapewnienie prawidłowego funkcjonowania strony,

> dostosowanie ustawień serwisu do preferencji Użytkownika,

> zbieranie anonimowych danych statystycznych (np. liczba odwiedzin i czas spędzony na stronie),

> realizację celów marketingowych, w tym personalizację treści reklamowych oraz targetowanie odbiorców (m.in. we współpracy z usługami Google Ads).

Zewnętrzne pliki cookies

>> Google Analytics
Na naszej stronie internetowej wdrożono usługę Google Analytics, udostępnianą przez Google Ireland Limited („Google”). Google Analytics wykorzystuje pliki cookies w celach statystycznych, które umożliwiają analizę sposobu korzystania przez Użytkowników ze strony. Zbierane dane to m.in. informacje o czasie wizyty i rodzaju przeglądarki, z wyłączeniem prywatnych adresów IP czy dokładnej geolokalizacji. Szczegółowe informacje o tym, jak Google przetwarza dane, dostępne są pod adresem:
https://policies.google.com/terms?hl=en&gl=b

>> Google Ads
Na naszej stronie mogą być wykorzystywane kody śledzące (tzw. tagi) Google Ads w celu prowadzenia kampanii marketingowych (m.in. remarketingu), personalizacji reklam i targetowania Użytkowników. Pliki cookies mogą służyć do identyfikowania preferencji Użytkownika i wyświetlania reklam dostosowanych do jego zainteresowań.

>> Facebook Pixel
W serwisie może być zaimplementowany Facebook Pixel, narzędzie służące do analizy ruchu i optymalizowania kampanii reklamowych w serwisie Facebook. Facebook Pixel pozwala na wyświetlanie Użytkownikom spersonalizowanych reklam w serwisie Facebook, a także mierzenie skuteczności tych reklam.

>> LinkedIn
Na stronie mogą znajdować się wtyczki lub linki odsyłające do serwisu LinkedIn. Po kliknięciu w taką wtyczkę, dane Użytkownika (np. informacje o aktywności na stronie) mogą być przetwarzane przez właściciela LinkedIn w celach analitycznych lub marketingowych.

>> Callback24
W celu usprawnienia kontaktu z Użytkownikiem i usprawnienia obsługi zapytań wykorzystujemy narzędzie Callback24, które może zapisywać pliki cookies. Służą one do analizowania aktywności Użytkowników oraz optymalizacji komunikacji.

Sieci reklamowe (w szczególności sieć Google) mogą również wykorzystywać pliki cookies do zbierania ogólnych, anonimowych danych statystycznych, a przede wszystkim do personalizacji i targetowania reklam, w tym do określania, czy dany Użytkownik wyświetlał już określoną reklamę.

Zarządzanie plikami cookies

Użytkownik może w każdej chwili zadecydować o zakresie dostępu plików cookies do swojego urządzenia. Zmian w tym zakresie można dokonać poprzez konfigurację ustawień w przeglądarce internetowej. Brak zmiany tych ustawień oznacza akceptację dla stosowania plików cookies.

Instrukcje dotyczące zarządzania plikami cookies w najpopularniejszych przeglądarkach:

Dodatkowe informacje

Więcej informacji na temat plików cookies można znaleźć na stronach:

> w języku polskim: http://wszystkoociasteczkach.pl

> w języku angielskim: https://www.aboutcookies.org

Podczas korzystania z naszej strony mogą znajdować się odnośniki do zewnętrznych serwisów, takich jak Facebook czy LinkedIn. Po kliknięciu w link i aktywowaniu wtyczki społecznościowej, dane Użytkownika mogą być przetwarzane bezpośrednio przez właściciela danego portalu (np. Facebooka, LinkedIn).

>> Szczegółowe informacje o sposobie przetwarzania danych przez Facebook: https://www.facebook.com/privacy/explanation

>> Szczegółowe informacje o sposobie przetwarzania danych przez LinkedIn: https://pl.linkedin.com/legal/user-agreement

Jeżeli Użytkownik nie chce, aby jego dane dotyczące aktywności na naszej stronie były zbierane i przetwarzane przez wyżej wymienione portale, powinien wylogować się z kont (profili) w tych portalach przed kliknięciem w dany link.

Informacje dodatkowe

Na stronie internetowej Administratora znajdują się odnośniki (linki) do serwisu społecznościowego Facebook i Linkedin – zewnętrznych portali społecznościowych.. Jeśli podczas wizyty na naszej stronie internetowej użytkownik kliknie w wybrany link, poprzez aktywację tzw. wtyczki społecznościowej (plug-in) portalu społecznościowego dochodzi do przekazania przez Użytkownika jego danych oraz ich przetwarzania przez portal społecznościowy. Cel oraz zakres przetwarzania danych osobowych przez portal społecznościowy oraz związane z tym prawa i obowiązki Administratora takiego portalu służące ochronie prywatności Użytkowników dostępne są w zakładce dotyczącej ochrony danych osobowych tego portalu. Za przetwarzanie danych, które następuje po kliknięciu na dany link odpowiedzialny jest właściciel portalu społecznościowego.

Szczegółowa informacja o tym, jak Google wykorzystuje dane Użytkowników dostępna jest na stronie:
https://policies.google.com/terms?hl=en&gl=b

Szczegółowa informacja o tym, jak Facebook wykorzystuje dane Użytkowników dostępna jest na stronie:
https://www.facebook.com/privacy/explanation.

Szczegółowa informacja o tym, jak Linkedin wykorzystuje dane Użytkowników dostępna jest na stronie:
https://pl.linkedin.com/legal/user-agreement.

Jeżeli Użytkownik nie chce by jego dane o aktywności na stronie internetowej należącej do Isoqar sp. z o.o. były gromadzone przez wyżej wskazane portale powinien wylogować się z konta (profilu) na danym portalu przed kliknięciem w określony link.

7. PRZEKAZYWANIE DANYCH DO PAŃSTW TRZECICH
Państwa dane osobowe mogą być przekazywane poza Europejski Obszar Gospodarczy (dalej: EOG) – jednostce certyfikującej Alcumus ISOQAR Ltd., której siedziba mieści się w Wielkiej Brytani .

8. ZAUTOMATYZOWANE PRZETWARZANIE DANYCH
Administrator nie dokonuje automatycznego przetwarzania – profilowania w rozumieniu RODO polegającego na wykorzystaniu danych osobowych podanych przez Użytkownika do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy jej sytuacji ekonomicznej, osobistych preferencji, wiarygodności oraz zachowania Użytkownika

9. POSTANOWIENIA KOŃCOWE
Administrator stosuje środki techniczne i organizacyjne zapewniające ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, a w szczególności zabezpiecza dane przed ich udostępnieniem osobom nieupoważnionym, zabraniem przez osobę nieuprawnioną, przetwarzaniem z naruszeniem obowiązujących przepisów oraz zmianą, utratą, uszkodzeniem lub zniszczeniem.
Administrator udostępnia odpowiednie środki techniczne zapobiegające pozyskiwaniu modyfikowaniu przez osoby nieuprawnione, danych osobowych przesyłanych drogą elektroniczną.
W sprawach nieuregulowanych niniejszą Polityką prywatności stosuje się odpowiednio przepisy RODO oraz inne właściwe przepisy prawa polskiego.

Certyfikacja ISO 27001 – Co musisz wiedzieć, zanim przystąpisz do certyfikacji systemu zarządzania bezpieczeństwem informacji?