Polityka prywatności a przekazanie danych/czas przetwarzania

Witam,

chciałbym zapytać czy w Polityce Prywatności serwisu internetowego wystarczy zawrzeć odpowiednią klauzulę jeśli dane osobowe użytkownika będą przekazywane dalej czy należy to ująć w jakimś specjalnym dokumencie/rozpisce? Pytam o tym w kontekście nadchodzących przepisów o ochronie danych.

Przykładowo: użytkownik mojej strony zamawia towar i płaci za niego przez payU. Oczywiście jego dane automatycznie zostaną przekazane do PayU i do firmy przewozowej, bo inaczej nie ma możliwości wykonania usługi. Czy takie klauzule w Polityce Prywatności będą wystarczające:

4. Jeśli płatność za towary realizowana będzie za pomocą operatora pośredniczącego (payU) to dane osobowe Klienta zostaną przekazane temu operatorowi w celu możliwości realizacji transakcji. Dane przekazane operatorowi będą przetwarzane zgodnie z jego polityką prywatności i regulaminem.

Kliknij, aby rozszerzyć...

5. Dane osobowe zostaną przekazane firmie realizującej wysyłkę towaru z firmy (nazwa firmy) do Klienta. Dane przekazane firmie wysyłkowej będą przetwarzane zgodnie z jej polityką prywatności i regulaminem.

Kliknij, aby rozszerzyć...

Chciałbym również zapytać jak określić czas przetwarzania danych. Obecnie wszystkie złożone zamówienia przechowuję w bazie danych wraz z danymi klientów. Nowe przepisy wymagają by określić czas przechowywania danych adekwatny do potrzeb. Jak więc określić ten czas?

Obecne przepisy także wymagają określenia czasu przetwarzania danych. Danych nie można przetwarzać jeśli ustał już cel przetwarzania. Dla określenia tego okresu najlepiej jest posiłkować się terminem przedawnienia roszczeń oraz terminem przedawnienia danin publicznych.

OK czyli przechowywanie danych w bazie danych mogę uzasadnić terminem rękojmi jaka obowiązuje na sprzedawany produkt?

A co do tego przekazania danych?

ST190 napisał:

OK czyli przechowywanie danych w bazie danych mogę uzasadnić terminem rękojmi jaka obowiązuje na sprzedawany produkt?

Kliknij, aby rozszerzyć...

Pamiętaj jeszcze o przedawnieniu zobowiązań podatkowych oraz o roszczeniach kodeksowych.

ST190 napisał:

A co do tego przekazania danych?

Kliknij, aby rozszerzyć...

Odbiorców danych definiuje art. 4 pkt 9 i 10 RODO.

Natomiast art. 30 RODO nakazuje umieszczać w rejestrze czynności zarówno informacje o okresie retencji jak i informacje o kategoriach odbiorców.