Polisi Diogelu Data 

Rhif Polisi:       PL09006  

Teitl y Polisi:           Polisi Diogelu Data  

Dyddiad Dechrau: 29ain Mawrth 2021 

Dyddiad adolygu nesaf:   28ain Chwefror 2022 

Person Cyfrifol:  Raine Williams, Cyfarwyddwr Cwmni  

Mae Cimera yn gwmni er budd cymunedol (CBC) sydd gyda saith cyfarwyddwr, ac ystod o weithwyr llawrydd sydd yn cyrraedd cynulleidfa amrywiol yn ardal gogledd Cymru a thu hwnt.   

Ar gyfer pwy mae’r polisi hwn: 

Holl gyfarwyddwyr, gweithwyr llawrydd a gwirfoddolwyr sy’n ymwneud gyda Cimera (CBC).  

Trosolwg 

Cimera CBC (fel rheolwr data) – rhaid casglu, storio a defnyddio data (prosesu data) a gwybodaeth (data bersonol) am unigolion er mwyn cyflawni ein amcanion sefydliadol yn effeithiol. Bydd peth o’r wybodaeth yma o natur sensitive ynghylch ethnigrwydd neu grefydd person. Fe allai hefyd fod angen i ni rannu data gyda sefydliadau eraill er budd penodol.  

Gall hyn gynnwys gwybodaeth am ein cynulleidfaoedd, rhai sy’n cymryd rhan, staff neu gyrff eraill rydym yn cyd-weithio gyda hwy, neu’n derbyn nawdd ariannol ganddynt ar gyfer ein prosiectau.  

Mae’r polisi hwn yn anelu i ddangos sut byddwn yn gwneud hyn mewn modd sy’n cydfynd â deddfwriaeth diogelu data gyfredol, ac sydd hefyd yn amddiffyn hawliau a phreifatrwydd yr unigolyn.  

 

Cyfrifoldeb Sefydliadol  

O dan ddeddfwriaeth Rheoleiddiadau Gwarchod Data Cyffredinol (GDPR) 2018 mae gennym gyfrifoldeb cyfreithiol i scrhau bod data’n cael ei brosesu’n gywir, yn deg a thryloyw mewn perthynas ag unigolion.  

Rhaid sicrhau bod data a gedwir gennym:  

• Wedi eu casglu am resymau clir, penodol a chyfreithlon, ac i’w defnyddio mewn modd penodol fel eglurwyd pan gasglwyd y data.  
• Perthnasol a chyfyngiedig i’r data rydym ei angen. 
• Mor gywir ag sydd bosib ac wedi eu cadw’n gyfredol fel bod angen.  
• Wedi eu cadw am y cyfnod sydd eu hangen a’u difetha wedyn.  
• Wedi eu prosesu yn ddiogel.  

Ac ein bod fel sefydliad yn medru arddangos ein bod yn cydymffurfio gyda'r egwyddorion hyn.

Cyfrifoldebau staff a hyfforddiant  

Mae’r Swyddog Diogelu Data - Raine Williams (Cyfarwyddwr Cwmni) yn arwain ar ddiogelu data, ond mae gan yr holl staff gyfrifoldeb i sicrhau bod y prosesau amlinellir yn y polisi hwn yn cael eu dilyn.  

Dylai’r holl staff fod yn glir ynghylch eu cyfrifoldebau.  

Er mwyn sicrhau agwedd effeithiol tuag at ddiogelwch data gan y sefydliad yn ei gyfanrwydd bydd y Swyddog Diogelu Data:  

• Yn darparu sesiwn anwytho ar ddiogelwch data a hyfforddiant manwl ar agweddau. 
• Yn darparu sesiynau i wirfoddolwyr sy’n casglu a thrin data, er enghraifft rhestrau postio, tanysgrifio neu ffurflenni gwerthuso.  
• Yn darparu sesiynau hyfforddi staff cyfan pob tair mlynedd i sicrhau gwybodaeth gyfredol. 
• Sicrhau gwybodaeth gyfredol gan ddarparu sesiynau am ddeddfwriaeth newydd fel bo’r angen. 
• Cynnwys diogelu data ar agenda cyfarfodydd cwmni pan fo hynny’n briodol. 

 

Cadw ac Arolygu Prosesu Data a Chydymffurfiaeth  

Byddwn yn gweithredu awdit data a chaiff ei adolygu pob dwy flynedd. Manylion fel a ganlyn:  

• Y data personol sydd yn ein gofal. 
• Pam rydym yn ei gadw. 
• Sut rydym wedi egluro’r wybodaeth yma i ddeilydd y data. 
• Os ydyw yn ddata categori arbenigol. 
• Cadarnhau lleiafswm y data angenrheidiol ar gyfer y dasg a sut cedwir y data yn ddiogel. 
• Am ba hyd y cedwir y data. 
• Gwirio cywirdeb y data a’i gadw yn gyfredol. 
• Ynrhyw weithredu angenrheidiol. 

Mae’r RGDC (GDPR) yn gosod 6 rheswm tros brosesu data. Yr rhain yw: 

• Caniatad – pan fydd deilydd y data yn rhoi caniatad. 
• Ymrwymiad cyfreithiol – pan fod gofyn cyfreithiol amdano. 
• Cytundeb – fel medrwn weithredu a chynal cytundeb. 
• Rhesymau hanfodol - i ddiogelu bywyd(au). 
• Tasg gyhoeddus – i berfformio tasg er lles cymunedol neu ar gyfer swyddogaethau swyddogol. 
• Rhesymau cyfreithlon - mae’n angenrheidiol o safbwynt gofynion cyfreithiol oni bai bod rhesymau dilys i warchod data personol unigolyn(ion) sy’n dileu y rhesymau cyfreithiol hyn. 

Lle rhoddir caniatad, bydd yr awdit data yn cofnodi’n benodol ar gyfer y math hwnnw o ddata:  

• Sut rhoddir caniatad a lle cofnodir hyn.  
• Sut gall pobl ddileu eu caniatad yn rhwydd, er enghraifft drwy ddad-danysgrifio.  

Ar ol pob adolygiad, bydd staff unigol yn derbyn briff ynghylch eu cyfrifoldebau a’r gweithredu angenrheidiol perthnasol i’r gwahannol ddata.  

Yn ychwanegol i hyn, pan fyddwn yn casglu data sensitive ei natur, mae rheidrwydd gweithredu meini prawf ychwanegol rhesymegol wrth brosesu’r data. Mae’r rhai sy’n berthnasol i’ch gwaith yn cynnwys:  

• Bod yr unigolyn sydd berchen y data personol sensitif wedi rhoi caniatad penodol.  
• Mae’r prosesu yn angenrhaid cyfreithiol er mwyn cydymffurfio gyda chyfreithiau cyflogaeth.  
• Mae’r prosesu yn angenrheidiol er mwyn monitro cydraddoldeb a chyfleoedd cyfartal a dylid ei weithredu gyda mesurau diogelwch priodol er lles hawliau’r unigolyn.  

Byddwn hefyd yn gweithredu awdit proseswyr trydydd parti megis:

• Y math o ddata rennir. 
• Y rhesymau dros ei rannu. 
• Sut trosglwyddir data yn ddiogel. 
• Sut gwyddom fod y prosesydd yn cydymffurfio gyda rheolau cyfreithiol gwarchod data. 
• Na fydd y prosesydd yn rhannu data tu hwnt i Ardal Economaidd Ewropeaidd (AEE) ac os gwneir hynny y dylai eu gwarchod data fod cystal a chwmniau o fewn yr AEE (e.e. Tystysgrif IOS neu Security Shield UD) a sut yr hysbysir unigolion am hyn. 
• Unrhyw weithredu angenrheidiol. 

Dylid arddangos sut rydych yn cydymffurfio gyda’r RCDD/GDPR wrth ymdrin a chytundebau gyda proseswyr trydydd parti, e.e. Egluro’r drefn o gadw data yn ddiogel o fewn termau ac amodau ar gyfer rhestaru postio, y meddalwedd ddefnyddir, neu gymalau diogelu data penodol gynhwysir mewn cytundebau gyda cwmniau cyflogres allanol.

Gweithredu a Chydymffurfio  

Mae’r awdit data yn cynnwys gweithredu penodol ar gyfer mathau unigol o brosesu data. Mae’r gweithredoedd cydymffurfio canlynol yn tanlinellu hyn er nad ydynt yn ganllawiau hollgynhwysfawr. Pan gesglir ffurflenni newydd neu pan ddefnyddir technoleg newydd, dylai staff ysgwyddo cyfrifoldeb dros sicrhau bod awdit data yn digwydd gyda chefnogaeth y Swyddog Diogelu Data.  

Marchnata  

• Sicrhau bod polisiau preifatrwydd ar defnydd o ‘cwcis’ yn gyfredol ac yn cydymffurfio.  
• Sicrhau bod datganiadau arwyddo mewn i restr postio yn dilyn yr angen i fod yn ddiamwys, penodol a, lle yn bosib, i gynnig opsiynau graeanog e.e. medru dewis sut ac am beth maent yn derbyn gwybodaeth gennych, megis ffôn, e-bost.  
• Sicrhau gweithredu awdit ar gyfer proseswyr trydydd parti e.e. meddalwedd postio.  
• Sicrhau bod y sail gyfreithiol tros farchnata uniongyrchol wedi ei sefydlu yn glir ac wedi ei gofnodi yn dilyn y canllawiau priodol.  

Cymryd rhan  

• Sicrhau y caiff data person ifanc ei brosesu gyda chaniatad y rhiant neu warcheidwaid yn unig. 
• Sicrhau y rhennir data person ifanc ar sail yr angen i wybod yn unig e.e. gwybodaeth feddygol ar gyfer tiwtoriaid gweithdai.  
• Sicrhau bod holl weithwyr llawrydd, tiwtoriaid a gwirfoddolwyr yn derbyn briff am eu cyfrifoldebau gwarchod data hyd yn oed os ydynt ar gytundeb tymor byr.  
• Sicrhau bod data eich pobl ifanc yn cael eu cadw yn ddiogel yn ystod sesiynau ymarferol e.e. ffurflenni caniatad gweithdai.  

 

Gweithrediadau  

• Sicrhau bod poisi preifatrwydd a’r defnydd o ‘cwcis’ yn glir ac yn cydymffurfio a bod darparwyr ar lein wedi eu harchwilio.  
• Sicrhau gweithredu archwiliadau, hyfforddiant a briffio staff.  
• Sicrhau bod polisiau TG yn eu lle au bod yn cydymffurfio a bod y staff wedi eu briffio. 
• Sicrhau bod meddalwedd a chaledwedd TG yn cael eu harchwilio a’u bod yn cynnig gwarchodaeth ddigonol. 
• Sicrhau bod prosesau yn eu lle ar gyfer bygythiadau torri diogelwch data, y gallu i adfer data pan ofynnir amdano, hygludedd data a’r hawl i roi cais i anghofio data, ar gallu i gefnogi staff wrth ymateb i geisiadau cyffelyb. 

Holl Staff  

• Sicrhau bod data yn gyfredol cyn gynted ag y darganfyddir camgymeriad e.e. os derbynwich e-bost sy’n bownsio’n ol.  
• Sicrhau na ddyblygir data e.e. rhestrau e-bostio lluosog – sicrhewch na wneir copiau o ddata personol ar gyfrifiaduron personol. 
• Defnyddiwch gyfrineiriau cryf a chyfrineiriau diogelu ffeiliau a chloeon sgriniau ar gyfer cyfrifiaduron sy’n cadw data personol.  
• Sicrhewch mai dim ond staff perthnasol sydd a mynediad i’r data e.e. athrawon gweithdai/ dosbarthiadau, staff gweinyddol a marchnata ar gyfer gyrru diweddariadau a newyddion am ddigwyddiadau diweddaraf a.yn.y.bl. 

Storio Data yn Ddiogel  

Bydd yr awdit data yn mynegi sut fydd diogelu gwahannol fathau o ddata. Dylai ymarfer cyffredinol gynnwys: 

• Y defnydd o gypyrddau gyda chlo lle cedwir data ar bapur, co’ bach neu eitemau eraill. 
• Nid yw rhwygo papur data bellach yn angenrheidiol.  
• Cyfrineiriau mewngofnodi cyfrifiadur cryf na chaiff eu rhannu ac y caiff eu newid yn aml. 
• Gwaharddiadau ar lefelau mynediad a’r defnydd o gyfrineiriau i fannau lle storir data ar system gwmwl neu rwydwaith.  
• Defnyddio proseswyr trydydd parti sydd a system gwmwl ac sydd wedi cael eu harchwilio a’u derbyn.  
• Peidio arbed data ar gyfrifiaduron personol, phonau symudol neu ddyfeisiadau cyffelyb.  

Dylid nodi yn yr awdit lle cedwir data categori arbennig ac archwilio bod y mesurau diogelwch yn ddigonol.  

Bygythiadau i ddiogelwch data

Pe bai achos o dorri diogelwch data, dylid rhoi gwybod i’r Swyddog Diogelu Data ar unwaith. Yn ddibynol ar amgylchiadau dylai eich ymateb gynnwys: 

• Cwblhau adroddiad digwyddiad.   
• Cymryd camau i ganfod natur y torri diogelwch.  
• Gweithredu er mwyn lleihau’r difrod all ddigwydd os na gedwir data yn ddiogel – camau disgyblu posib. 

Os yw’r torri diogelwch yn debygol o arwain at berygl i hawliau a rhyddid pobl, er engrhaifft agwedd wahaniaethol, difrod i enw da neu golled ariannol, mae’n orfodol adrodd am y digwyddiad i Swyddfa y Comisynydd Gwybodaeth (https://ico.org.uk) o fewn 72 awr. Dylai’r Swyddog Diogelu Data wneud yr adroddiad hwn a chyfathrebu hyn i Fwrdd y Cyfarwyddwyr.  

Os bydd aelod o staff yn sylweddoli eu bod wedi bod yn ymdrin gyda data mewn modd nad yw’n cydymffurfio gyda’r awdit data neu o ran y modd casglwyd y data yn wreiddiol, dylid egluro hyn wrth y Swyddog Diogelu Data fel y gellir gweithredu mesurau adferol gynted ag y bod modd.  

 

Hawliau Unigol  

Gall unigolion ddileu eu caniatad i brosesu eu data ar unrhyw adeg. Gallant hefyd wneud cais i roi cyfyngiadau ar y prosesu e.e Gallant ddymuno derbyn gwybodaeth am un math o weithgaredd a dim un arall. Dylent hefyd fedru wneud cais i ddiweddaru eu data a gwneud cywiriadau yn gyflym a di-drafferth.  

Mewn achosoion lle defnyddiwyd caniatad fel sail gyfreithiol i brosesu eu data, dylai hefyd fod yn rhwydd i’r unigolyn ddileu ei ganiatad, ac fe ddylai hyn ddigwydd ar unwaith.  

Mae gan unigolion hefyd yr hawl i ofyn i’w holl ddata gael ei anghofio h.y. dileu yr holl ddata sydd amdanynt. Mae ganddynt hefyd yr hawl i hygludo data h.y. ein bod ni fel sefydliad yn medru cyflwyno eu data mewn ffurf addas i’w drosglwyddo i sefydliad arall, neu ein bod ni yn trefnu’r trosglwyddiad ar eu rhan.  

Os yw’r data yn cael ei brosesu ar gyfer diben arall, megis gofyniad cyfreithiol, gallwn ni fel sefydliad wrthod y cais hwn, ond fe ddylir cyfeirio hyn at y Swyddog Diogelu Data.  

Gall unigolion ofyn am fynediad at eu data, ac mae’n rhaid i’r sefydliad ddarparu yr holl ddata gedwir am yr unigolyn hwnnw yn ddi-dâl ac o fewn mis i’r cais gael ei wneud.  

Fel sefydliad medrwn ofyn am estyniad i’r cyfnod hwn pan fo’r cais yn gymleth neu’n niferus. Byddwn yn hysbysu’r unigolyn am yr estyniad o fewn mis i’r cais gael ei wneud gan egluro’r rhesymau dros yr estyniad.  

Os yw’r cais yn ormodol neu yn amlwg ddi-bwrpas, ac yn arbennig pan fo’n gofyn am waith ailadroddus i’w gwblhau, mae’n rhesymol wedyn i ofyn am daliad sy’n adlewyrchu’r gwaith gweinyddol neu hyd yn oed wrthod gwneud y dasg. Os bydd cais yn cael ei wrthod byddwn yn ysgrifennu atoch o fewn mis i egluro’r rhesymau am y penderfyniad a’ch hysbysu am eich hawl i gwyno i awdurdod goruchwyliol, neu gymryd camau cyfreithiol.  

 

Ynglŷn â'r polisi cwci hwn

Mae'r Polisi Cwcis hwn yn esbonio beth yw cwcis a sut rydyn ni'n eu defnyddio, y wybodaeth rydyn ni'n ei chasglu gan ddefnyddio cwcis a sut mae'r wybodaeth honno'n cael ei defnyddio, a sut i reoli'r dewisiadau cwcis.

Mae eich caniatâd yn berthnasol i'r parth cimera.co.uk

Beth yw cwcis?

Ffeiliau testun bach yw cwcis a ddefnyddir i storio darnau bach o wybodaeth. Fe'u storir ar eich dyfais pan fydd y wefan yn cael ei llwytho ar eich porwr. Mae cwcis yn ein helpu:

• gwneud i'r wefan weithredu'n gywir
• ei gwneud yn fwy diogel
• darparu profiad defnyddiwr gwell
• helpu ni i ddeall sut mae'r wefan yn perfformio
• ein helpu i ddadansoddi'r hyn sy'n gweithio'n dda a lle mae angen ei wella

Sut ydyn ni'n defnyddio cwcis?

Fel y rhan fwyaf o'r gwasanaethau ar-lein, mae ein gwefan yn defnyddio cwcis parti cyntaf a thrydydd parti at sawl pwrpas. Mae cwcis parti cyntaf yn angenrheidiol yn bennaf er mwyn i'r wefan weithredu yn y ffordd iawn, ac nid ydynt yn casglu unrhyw ddata y gellir eich adnabod yn bersonol.

Mae'r cwcis trydydd parti a ddefnyddir ar ein gwefan ar gyfer:

• deall sut mae'r wefan yn perfformio a chadw ein gwasanaethau'n ddiogel
• helpu i ddeall sut mae defnyddwyr yn rhyngweithio â'n gwefan
• darparu profiad defnyddiwr gwell i chi
• helpu i gyflymu eich rhyngweithio â'n gwefan yn y dyfodol

Sut alla i reoli'r dewisiadau cwci?

Gallwch newid neu dynnu eich caniatâd o'r Datganiad Cwci ar ein gwefan ar unrhyw adeg.

Os ydych yn penderfynu newid eich dewisiadau yn nes ymlaen trwy eich sesiwn bori, gallwch glicio ar y ddolen ‘Rheoli Cydsyniad’ isod. Bydd hyn yn dangos yr hysbysiad cydsynio eto gan eich galluogi i newid eich dewisiadau neu dynnu'ch caniatâd yn ôl yn llwyr. Yn ogystal â hyn, mae gwahanol borwyr yn darparu gwahanol ddulliau i rwystro a dileu cwcis a ddefnyddir gan wefannau.