Procedura dokonywania zgłoszeń wewnętrznych i podejmowania działań następczych w SoftKraft Sp. z o.o.

1. Cel dokumentu

1. Procedura dokonywania zgłoszeń wewnętrznych i podejmowania działań następczych (dalej zwana: “Procedura”) zostaje wprowadzona w SoftKraft Spółka z ograniczoną odpowiedzialnością (dalej zwaną “SOFTKRAFT”) na podstawie: przepisów Dyrektywy Parlamentu Europejskiego i Rady (UE) 2019/1937 z dnia 23 października 2019 r. w sprawie ochrony osób zgłaszających naruszenia prawa Unii (Dz. Urz. UE L 305 z 26.11.2019, str. 17, Dz. Urz. UE L 347 z 20.10.2020, str. 1, Dz. Urz. UE L 265 z 12.10.2022, str. 1 oraz Dz. Urz. UE L 150 z 09.06.2023, str. 40), dalej: „Dyrektywa” ustawy z dnia 14 czerwca 2024 roku o ochronie sygnalistów (Dz. U. z 2024 roku, poz. 928 ze zm.), dalej „Ustawa”.
2. Celem Procedury jest stworzenie kompleksowej regulacji problematyki przypadków zgłoszeń wewnętrznych, podejmowania działań następczych oraz ochrony osób dokonujących zgłoszeń.
3. W Procedurze zostają użyte pojęcia zgodnie z ich definicjami zawartymi w Ustawie, z zastrzeżeniem ilekroć w niniejszej Procedurze jest mowa o SOFTKRAFT należy przez to rozumieć podmiot prawny zdefiniowany Ustawą.
4. Procedura zgłoszeń wewnętrznych określa między innymi:
   a. definicje pojęć używanych w Procedurze;
   b. wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, lub podmiot zewnętrzny, upoważnione przez podmiot prawny do przyjmowania zgłoszeń wewnętrznych;
   c. bezstronną wewnętrzną jednostkę organizacyjną lub osobę w ramach struktury organizacyjnej podmiotu prawnego, upoważnione do podejmowania działań następczych, włączając w to weryfikację zgłoszenia wewnętrznego i dalszą komunikację z sygnalistą, w tym występowanie o dodatkowe informacje i przekazywanie sygnaliście informacji zwrotnej; funkcję tę może pełnić wewnętrzna jednostka organizacyjna lub osoba, o których mowa w pkt 1, jeżeli zapewniają bezstronność;
   d. przedmiot zgłoszenia wewnętrznego i osoby dokonujące zgłoszeń;
   e. rodzaje zgłoszeń wewnętrznych,
   f. sposoby przekazywania zgłoszeń wewnętrznych przez sygnalistę wraz z jego adresem korespondencyjnym lub adresem poczty elektronicznej, zwanymi dalej „adresem do kontaktu”;
   g. treść zgłoszenia wewnętrznego,
   h. rejestr zgłoszeń wewnętrznych,
   i. tryb postępowania z informacjami o naruszeniach prawa zgłoszonymi anonimowo;
   j. postępowanie wyjaśniające,
   k. obowiązek potwierdzenia sygnaliście przyjęcia zgłoszenia wewnętrznego w terminie 7 dni od dnia jego otrzymania, chyba że sygnalista nie podał adresu do kontaktu, na który należy przekazać potwierdzenie;
   l. poufność zgłoszeń;
   m. ochronę danych osobowych;
   n. anonimowość;
   o. ochrona osób dokonujących zgłoszenia wewnętrznego;
   p. zgłoszenia zewnętrzne i ujawnienie publiczne,
   q. aktualizację Procedury,
   r. postanowienia końcowe.

2. Przedmiot i Podmioty Procedury

1. Przedmiotem zgłoszenia wewnętrznego mogą być naruszenia przepisów prawa powszechnie obowiązującego, w tym dotyczące:

   1. korupcji,
   2. zamówień publicznych,
   3. usług, produktów i rynków finansowych;
   4. przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu;
   5. bezpieczeństwa produktów i ich zgodności z wymogami;
   6. bezpieczeństwa transportu;
   7. ochrony środowiska;
   8. ochrony radiologicznej i bezpieczeństwa jądrowego;
   9. bezpieczeństwa żywności i pasz;
   10. zdrowia i dobrostanu zwierząt;
   11. zdrowia publicznego;
   12. ochrony konsumentów;
   13. ochrony prywatności i danych osobowych;
   14. bezpieczeństwa sieci i systemów teleinformatycznych;
   15. interesów finansowych Skarbu Państwa Rzeczypospolitej Polskiej, jednostki samorządu terytorialnego oraz Unii Europejskiej;
   16. rynku wewnętrznego Unii Europejskiej, w tym publicznoprawnych zasad konkurencji i pomocy państwa oraz opodatkowania osób prawnych;
   17. konstytucyjnych wolności i praw człowieka i obywatela – występujące w stosunkach jednostki z organami władzy publicznej i niezwiązane z dziedzinami wskazanymi w pkt 1–16 powyżej.

2. Osobami, które mogą dokonywać zgłoszeń wewnętrznych (dalej “Sygnalistami”) są:
   a. pracownicy oraz byli pracownicy;
   b. pracownicy tymczasowi oraz byli pracownicy tymczasowi;
   c. osoby świadczące pracę na innej podstawie niż stosunek pracy, w tym na podstawie umowy cywilnoprawnej (kontraktorzy, podwykonawcy, współpracownicy)
   d. kandydaci do pracy lub świadczenia usług;
   e. stażyści;
   f. wolontariusze;
   g. praktykanci;
   h. wspólnicy;
   i. członkowie Zarządu i Rady Nadzorczej;
   j. prokurenci;
   k. przedsiębiorcy;
   l. osoby świadczące pracę pod nadzorem i kierownictwem wykonawcy, podwykonawcy lub dostawcy;
   m. oraz inne osoby zdefiniowane w Ustawie jako Sygnaliści.

3. Osoby odpowiedzialne za przyjmowanie zgłoszeń wewnętrznych oraz osoby uprawnione do podejmowanie działań następczych są upoważnione zgodnie z wewnętrznymi procedurami firmy. 4. Osoby wspomniane w pkt 3. powyżej mogą udzielać dalszych upoważnień do podejmowania działań następczych.

3. Obsługa zgłoszeń wewnętrznych

1. Obsługa procesu podejmowania działań następczych obejmuje co najmniej następujące czynności: 1) przyjmowanie zgłoszeń, 2) prowadzenie rejestru zgłoszeń, 3) selekcję zgłoszeń (podział na zgłoszenia bezprzedmiotowe i zgłoszenia wymagające dalszych działań), 4) informowanie sygnalisty o podejmowanych działaniach oraz ewentualnie o konieczności poinformowania innych instytucji czy organów o podejrzeniu naruszenia prawa, 5) prowadzenie postępowań wyjaśniających, 6) spełnienie obowiązku informacyjnego, 7) zapewnienie poufności osobie dokonującej zgłoszenia i osobie, której dotyczy zgłoszenie.
2. Zgłoszenia mogą mieć charakter zgłoszenia 1) jawnego, 2) poufnego - gdy osoba dokonująca zgłoszenia nie zgadza się na ujawnianie swoich danych,
3. Sposobami dokonywania zgłoszeń wewnętrznych są: 1) zgłoszenia pisemne, 2) zgłoszenia ustne,
4. Zgłoszenia pisemne mogą być dokonane za pośrednictwem poczty elektronicznej na adres whistleblowing@softkraft.co, przy czym wiadomość może mieć formę dokumentową w postaci treści wiadomości e-mail, formę dokumentową w postaci skanu odręcznie podpisanego załącznika przesłanego w wiadomości e-mail lub formę elektroniczną w postaci podpisanego zgodnie z art. 78[1] Kodeksu cywilnego.
5. Zgłoszenia ustne mogą być dokonywane wyłącznie w formie nagrania słowno-dźwiękowego. Nagranie może zostać przesłane za pośrednictwem środków komunikacji elektronicznej, zgodnie z art. 2 pkt 5 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2020 r. poz. 344), na adres e-mail whistleblowing@softkraft.co. W przypadku zgłoszenia dokonanego w formie ustnej, które okaże się niekompletne, Osoba upoważniona do przyjmowania zgłoszeń wezwie sygnalistę celem umówienia się na spotkanie i dopełnienia zgłoszenia ustnego. Dopełnienie zgłoszenia, o którym mowa w zdaniu poprzednim zostanie utrwalone w formie nagrania.
6. Osoba dokonująca zgłoszenia powinna, w miarę możliwości, dokonać zgłoszenia wewnętrznego zgodnie z wzorem stanowiącym Załącznik nr 1 do Procedury.
7. Zgłoszenie wewnętrzne może zostać udokumentowane zebranymi dowodami i wykazem świadków.
8. SOFTKRAFT lub osoba odpowiedzialna za przyjmowanie zgłoszeń prowadzi rejestr zgłoszeń wewnętrznych.
9. Zgłoszenia wewnętrze są przyjmowane przez osoby odpowiedzialne określone w pkt 2.3. Procedury. Zasady postępowania po przyjęciu zgłoszenia wewnętrznego dokumentuje się zgodnie z wzorem, stanowiącym Załącznik nr 2 do Procedury. Dokumentacja postępowania po przyjęciu zgłoszenia wewnętrznego obejmuje między innymi: protokoły, pisemne wyjaśnienia, opinie, stanowiska organów czy instytucji i inne.
10. Osoba odpowiedzialna za przyjmowanie zgłoszeń dokonuje weryfikacji zgłoszenia i uznaje zgłoszenie za: 1) oczywiście bezprzedmiotowe czy bezzasadne; albo 2) wymagające podjęcia dalszego działania następczego w postaci podjęcia postępowania wyjaśniającego i rekomendacji dalszych działań lub czynności.
11. Podczas rozpatrywania zgłoszeń wewnętrznych wszyscy uczestnicy postępowania są zobowiązani do dołożenia należytej staranności, aby uniknąć podjęcia decyzji na podstawie chybionych i bezpodstawnych oskarżeń, nie mających potwierdzenia w faktach i zebranych dowodach oraz z zachowaniem poszanowania godności i dobrego imienia pracowników, współpracowników i innych osób, których zgłoszenie dotyczy.
12. Procedura weryfikacji zostanie zakończona z uwagi na uznanie zgłoszenia za oczywiście bezprzedmiotowe czy bezzasadne w szczególności w związku ze stwierdzeniem, że zgłoszone naruszenie miało wyraźnie i obiektywnie znikomą wagę, nie było merytoryczne, miało na celu obrażenie innej osoby lub osób, dotyczy stwierdzenia faktu nie podlegającego zmianie lub nie wymaga dalszych działań następczych lub wyjaśniających. W przypadku uznania, że zgłoszenie wewnętrzne wymaga podjęcia dalszych działań wyjaśniających lub następczych, osoba lub osoby odpowiedzialne za przyjmowanie zgłoszeń prowadzą postępowanie wyjaśniające.
13. Osoba lub osoby odpowiedzialne za przyjmowanie zgłoszeń naruszeń potwierdzają sygnaliście przyjęcie zgłoszenia wewnętrznego w formie dokumentowej, pisemnej lub innej formie. Nie dotyczy to zgłoszeń anonimowych, które nie będa rozpatrywane. O ile sygnalista nie określi formy oczekiwanej korespondencji z SOFTKRAFT, osoby odpowiedzialne za przyjmowanie zgłoszeń dokonają wyboru przekazania tej informacji: na adres poczty elektronicznej wskazanej w zgłoszeniu, w formie dokumentowej lub pisemnej, w formie ustnej, w innej formie zapewniającej skuteczne dostarczenie informacji sygnaliście.
14. Informacja zwrotna na temat: 1) przyjęcia zgłoszenia przedstawiana jest sygnaliście w terminie 7 dni od dnia przyjęcia zgłoszenia wewnętrznego; 2) planowanych lub podjętych działań następczych i powodów takich działań przedstawiana jest sygnaliście w terminie 3 miesięcy od dnia przyjęcia zgłoszenia wewnętrznego.
15. W toku postępowania wyjaśniającego, osoby odpowiedzialne za przyjmowanie zgłoszeń naruszeń pozyskują informacje niezbędne do wyjaśnienia sprawy od pracowników i współpracowników i podjęcia decyzji co do sposobu załatwienia sprawy. Przed uzyskaniem informacji od pracowników i współpracowników należy ich poinformować o przetwarzaniu danych osobowych, celu przetwarzania i podstawie prawnej takiego działania.
16. Postępowanie wyjaśniające obejmuje (w zależności od okoliczności stanu faktycznego) między innymi: 1) przesłuchanie sygnalisty, o ile jest to możliwe, 2) przesłuchanie osoby lub osób przywołanych w zgłoszeniu wewnętrznym, której dotyczy zgłoszenie, 3) przesłuchanie podejrzanego o dokonanie naruszenia, 4) uzyskanie informacji od przełożonych/współpracowników mogących mieć związek z naruszeniem lub wiedzę o naruszeniu, 5) analiza danych, dowodów w postaci dokumentów, 6) zeznania świadków, 7) przyjęcie oświadczeń i informacji w formie pisemnej lub elektronicznej, 8) inne czynności, które okażą się niezbędne dla należytego wyjaśnienia sprawy.
17. Postępowanie wyjaśniające jest przeprowadzane w ramach powołanej przez osoby odpowiedzialne do przyjmowania zgłoszeń komisji składającej się z osób odpowiedzialnych za prowadzenie działań następczych.
18. Z postępowania wyjaśniającego sporządza się protokół w formie dokumentowej / pisemnej.
19. Po zakończeniu postępowania wyjaśniającego i ustaleniu przyczyn i powodów naruszeń, SOFTKRAFT bądź osoby odpowiedzialne za działania następcze wdrażają działania następcze mające na celu usunięcie skutków naruszenia i uniknięcie w przyszłości podobnych przypadków naruszeń.

4. Ochrona danych osobowych i poufność zgłoszeń

1. Zarządzanie danymi osobowymi odbywać się będzie zgodnie z przepisami i zasadami Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) oraz innymi właściwymi przepisami dotyczącymi ochrony danych osobowych.
2. SOFTKRAFT jest administratorem danych zgromadzonych w Rejestrze zgłoszeń wewnętrznych.
3. Dane osobowe sygnalistów oraz inne dane pozwalające na ustalenie ich tożsamości nie podlegają ujawnieniu, chyba że sygnalista wyraził na to zgodę w zgłoszeniu naruszenia wewnętrznego.
4. Wzór klauzuli dotyczących przetwarzania danych osobowych stanowi Załącznik nr 3 do Procedury.
5. Do przyjmowania i weryfikacji zgłoszeń wewnętrznych, podejmowania działań następczych oraz przetwarzania danych osobowych mogą być dopuszczone wyłącznie osoby posiadające pisemne upoważnienie SOFTKRAFT. Osoby upoważnione są obowiązane do zachowania poufności. Wzór klauzuli poufności stanowi Załącznik nr 4 do Procedury.
6. Osoba odpowiedzialna za przyjmowanie zgłoszeń w terminie 7 dni od otrzymania zgłoszenia wysyła sygnaliście potwierdzenie otrzymania zgłoszenia oraz dołącza do tego informację o przetwarzaniu danych osobowych, celu przetwarzania danych osobowych i podstawie prawnej takiego działania. Osoba lub osoby odpowiedzialne za przyjmowanie zgłoszeń i działania następcze - mogą przetwarzać dane osoby, której zgłoszenie dotyczy, nawet bez jej zgody. Przepisu art. 14 ust. 2 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólnego rozporządzenia o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.[1])) nie stosuje się, chyba że sygnalista działał z naruszeniem art. 6 Ustawy.
7. SOFTKRAFT stosuje rozwiązania techniczne i organizacyjne zapewniające przechowywanie danych osobowych sygnalisty oddzielnie od dokumentu lub innego nośnika informacji obejmujących zgłoszenie, włączając w to, w odpowiednim przypadku, usunięcie z treści dokumentu lub innego nośnika danych osobowych sygnalisty.
8. SOFTKRAFT uniemożliwia uzyskanie dostępu do informacji objętej zgłoszeniem nieupoważnionym osobom oraz zapewnia ochronę poufności tożsamości osoby dokonującej zgłoszenia i osoby, której zgłoszenie dotyczy.

5. Rejestr zgłoszeń wewnętrznych {#rejestr-zgłoszeń-wewnętrznych}

1. Każde zgłoszenie wewnętrzne musi zostać odnotowane w Rejestrze zgłoszeń wewnętrznych. Obsługą Rejestru zajmują się osoby/a odpowiedzialne za przyjmowanie zgłoszeń.
2. Rejestr zgłoszeń wewnętrznych zawiera: identyfikator zgłoszenia; przedmiot naruszenia; datę zgłoszenia; dane osobowe Sygnalisty oraz osoby której zgłoszenie dotyczy dane kontaktowe Sygnalisty; informację o podjętych działaniach następczych; * datę zakończenia sprawy;
3. Dane w rejestrze zgłoszeń wewnętrznych są przechowywane przez okres 3 lat po zakończeniu roku kalendarzowego, w którym zakończono działania następcze, lub po zakończeniu postępowań zainicjowanych tymi działaniami.

6. Działania zakazane wobec sygnalistów

1. Każdemu sygnaliście przysługuje pełna ochrona przed działanami represyjnymi, dyskryminacją oraz wszelkimi innymi rodzajami niesprawiedliwego traktowania, stanowiącymi lub mogącymi stanowić rezultat dokonanego zgłoszenia.
2. Wobec Sygnalisty nie mogą być podejmowane działania odwetowe, w tym w szczególności działania o których mowa w Ustawie.
3. Ochrona przed działaniami odwetowymi dotyczy: Sygnalisty; osób pomagających w zgłoszeniu; osób powiązanych z Sygnalistą; jednostek pomagających lub powiązanych z Sygnalistą.
4. Dokonywanie nieprawdziwych zgłoszeń o wystąpieniu naruszenia, wykorzystywanie zgłaszania naruszeń w złej wierze lub w sposób uwłaczający innym osobom jest zabronione i nie upoważnia do jakiejkolwiek ochrony prawnej.
5. Za niekorzystne traktowanie z powodu dokonania zgłoszenia lub ujawnienia publicznego uważa się także groźbę lub próbę zastosowania takiego traktowania.
6. Sygnalista świadczący pracę na rzecz SOFTKRAFT na podstawie stosunku prawnego innego niż stosunek pracy, nie może być niekorzystnie traktowany z powodu dokonania zgłoszenia lub ujawnienia publicznego. Przez niekorzystnie traktowanie rozumie się w szczególności rozwiązanie, wypowiedzenie lub odmowę nawiązania stosunku prawnego z sygnalistą, chyba że druga strona udowodni, że kierowała się obiektywnie uzasadnionymi powodami.

7. Prawo zgłoszenia zewnętrznego

1. Zgłoszenie może w każdym przypadku nastąpić również do organu do Rzecznika Praw Obywatelskich albo organu publicznego z pominięciem procedury przewidzianej w regulaminie zgłoszeń wewnętrznych.
2. Informacje o zasadach dokonywania zgłoszeń zewnętrznych zostały umieszone na stronie internetowej Rzecznika Praw Obywatelskich.
3. Sygnalista ma prawo do ujawnienia publicznego na zasadach określonych w Ustawie.

8. Postanowienia końcowe

1. Procedura zostaje wprowadzona na czas nieokreślony i wchodzi w życie 25 września 2024 roku.
2. Procedura wymaga przeglądu i aktualizacji minimum raz w roku.
3. W sprawach nieuregulowanych w niniejszej Procedurze zastosowanie ma Ustawa, a następnie odpowiednie przepisy i postanowienia Dyrektywy.

9. Załączniki do procedury:

1. Wzór zgłoszenia nieprawidłowości - Załącznik nr 1
2. Zasady postępowania po przyjęciu zgłoszenia - Załącznik nr 2
3. Wzór klauzuli dotyczącej przetwarzania danych osobowych - Załącznik nr 3
4. Wzór klauzuli dotyczącej zachowania poufności - Załącznik nr 4