Normas de confidencialidad de Uni Direct Limited

1. Interpretación

- Definiciones:

Toma de decisiones automatizada (ADM): cuando se toma una decisión basada únicamente en el tratamiento automatizado (incluida la elaboración de perfiles) que produce efectos jurídicos o afecta significativamente a una persona. El RGPD prohíbe la toma de decisiones automatizada (a menos que se cumplan determinadas condiciones), pero no el tratamiento automatizado.
Tratamiento automatizado: cualquier forma de tratamiento automatizado de Datos Personales consistente en el uso de Datos Personales para evaluar determinados aspectos personales relativos a un individuo, en particular para analizar o predecir aspectos relativos a su rendimiento laboral, situación económica, salud, preferencias personales, intereses, fiabilidad, comportamiento, ubicación o movimientos. La elaboración de perfiles es un ejemplo de tratamiento automatizado.
Nombre de la empresa: Uni Direct Limited
Personal de la empresa: todos los empleados, trabajadores [contratistas, trabajadores de agencia, consultores,] directores, miembros y otros.
Consentimiento: acuerdo que debe ser libre, específico, informado y constituir una indicación inequívoca de la voluntad del interesado por la que éste, mediante una declaración o una acción positiva clara, manifiesta su acuerdo con el tratamiento de los datos personales que le conciernen.
Responsable del tratamiento: la persona u organización que determina cuándo, por qué y cómo tratar los Datos Personales. Es responsable de establecer prácticas y políticas en línea con el GDPR. Somos el Controlador de Datos de todos los Datos Personales relacionados con el Personal de nuestra Empresa y los Datos Personales utilizados en nuestro negocio para nuestros propios fines comerciales.
Sujeto de los datos: persona física viva, identificada o identificable sobre la que tenemos Datos Personales. Los Sujetos de Datos pueden ser nacionales o residentes de cualquier país y pueden tener derechos legales en relación con sus Datos Personales.
Evaluación del impacto sobre la privacidad de los datos (EIPD): herramientas y evaluaciones utilizadas para identificar y reducir los riesgos de una actividad de tratamiento de datos. La EIPD puede llevarse a cabo como parte de la privacidad desde el diseño y debe realizarse para todos los programas importantes de cambio de sistemas o de negocio que impliquen el tratamiento de datos personales.
Responsable de Protección de Datos (RPD): la persona cuyo nombramiento es obligatorio en circunstancias específicas en virtud del RGPD. Cuando no se haya designado un RPD obligatorio, este término se refiere a un gestor de protección de datos u otro nombramiento voluntario de un RPD o se refiere al equipo de privacidad de datos de la empresa responsable del cumplimiento de la protección de datos.
EEE: los 28 países de la UE, e Islandia, Liechtenstein y Noruega.
Consentimiento explícito: consentimiento que requiere una declaración muy clara y específica (es decir, no sólo una acción).
Reglamento General de Protección de Datos (RGPD): el Reglamento General de Protección de Datos ((UE) 2016/679). Los Datos Personales están sujetos a las garantías legales especificadas en el RGPD.
Datos Personales: cualquier información que identifique a un Sujeto de Datos o información relacionada con un Sujeto de Datos que podamos identificar (directa o indirectamente) a partir de esos datos solos o en combinación con otros identificadores que poseamos o a los que podamos acceder razonablemente. Los Datos Personales incluyen los Datos Personales Sensibles y los Datos Personales Pseudonimizados, pero excluyen los datos anónimos o los datos a los que se ha suprimido permanentemente la identidad de una persona. Los datos personales pueden ser fácticos (por ejemplo, un nombre, una dirección de correo electrónico, una ubicación o una fecha de nacimiento) o una opinión sobre las acciones o el comportamiento de esa persona.
Violación de los datos personales: cualquier acto u omisión que comprometa la seguridad, confidencialidad, integridad o disponibilidad de los datos personales o las salvaguardias físicas, técnicas, administrativas u organizativas que nosotros o nuestros proveedores de servicios terceros hayamos establecido para protegerlos. La pérdida, el acceso no autorizado, la divulgación o la adquisición de Datos Personales constituye una violación de Datos Personales.
Privacidad desde el diseño: aplicar medidas técnicas y organizativas adecuadas de manera eficaz para garantizar el cumplimiento del GDPR.
Avisos de privacidad (también denominados avisos de tratamiento leal) o políticas de privacidad: avisos independientes que establecen la información que puede proporcionarse a los interesados cuando la empresa recopila información sobre ellos. Estos avisos pueden adoptar la forma de declaraciones generales de privacidad aplicables a un grupo específico de personas (por ejemplo, avisos de privacidad de los empleados o la política de privacidad del sitio web) o pueden ser declaraciones de privacidad independientes y únicas que cubran el tratamiento relacionado con un fin específico.
Tratamiento o Proceso: cualquier actividad que implique el uso de Datos Personales. Incluye la obtención, registro o conservación de los datos, o la realización de cualquier operación o conjunto de operaciones sobre los datos, incluida su organización, modificación, recuperación, uso, divulgación, borrado o destrucción. El tratamiento también incluye la transmisión o transferencia de Datos Personales a terceros.
Pseudonimización o seudónimo: sustitución de la información que identifica directa o indirectamente a una persona por uno o varios identificadores artificiales o seudónimos, de modo que la persona a la que se refieren los datos no pueda ser identificada sin utilizar información adicional que debe mantenerse separada y segura.
Políticas relacionadas: las políticas, los procedimientos operativos o los procesos de la Empresa relacionados con esta Norma de confidencialidad y diseñados para proteger los Datos personales, que pueden estar vigentes en cada momento y que están disponibles previa solicitud.
Datos personales sensibles: información que revele el origen racial o étnico, las opiniones políticas, las creencias religiosas o similares, la afiliación sindical, las condiciones de salud física o mental, la vida sexual, la orientación sexual, los datos biométricos o genéticos y los datos personales relativos a delitos y condenas penales.

2. Introducción

La presente Normativa de Privacidad establece la forma en que Uni Direct Limited («nosotros», «nuestro», «nos», «la Empresa») trata los Datos Personales de nuestros clientes, proveedores, empleados, trabajadores y otros terceros.

Esta Norma de confidencialidad se aplica a todos los Datos personales que tratamos, independientemente del soporte en el que estén almacenados o de si se refieren a empleados, trabajadores, clientes, contactos de clientes o proveedores, accionistas, usuarios de sitios web o cualquier otro Sujeto de datos, pasados o presentes.

La presente Norma de confidencialidad se aplica a todo el personal de la empresa («usted», «su»). Debe leer, comprender y cumplir esta Norma de confidencialidad cuando procese datos personales en nuestro nombre y asistir a cursos de formación sobre sus requisitos. Esta Norma de Privacidad establece lo que esperamos de usted para que la Empresa cumpla con la legislación aplicable. Su cumplimiento de esta Norma de Privacidad es obligatorio. Existen Políticas Relacionadas que le ayudarán a interpretar y actuar de acuerdo con esta Norma de Privacidad. Usted también debe cumplir con todas estas Políticas Relacionadas. Cualquier incumplimiento de esta Norma de Privacidad puede dar lugar a medidas disciplinarias.

Esta Norma de confidencialidad (junto con las Políticas relacionadas) es un documento interno y no puede compartirse con terceros, clientes o reguladores sin autorización previa del RPD.

3. Alcance

Reconocemos que el tratamiento correcto y lícito de los Datos Personales mantendrá la confianza en la organización y facilitará el éxito de las operaciones comerciales. Proteger la confidencialidad e integridad de los Datos Personales es una responsabilidad crítica que nos tomamos en serio en todo momento. La Empresa se expone a posibles multas de hasta 20 millones de euros (aproximadamente 18 millones de libras esterlinas) o el 4% de la facturación anual total mundial, lo que sea mayor y en función de la infracción, por incumplimiento de las disposiciones del GDPR.

Todos los directores y gerentes son responsables de garantizar que todo el Personal de la Empresa cumpla con esta Norma de Privacidad y deben implementar prácticas, procesos, controles y capacitación adecuados para garantizar dicho cumplimiento.

El RPD es responsable de supervisar esta Norma de Privacidad y, en su caso, de desarrollar las Políticas Relacionadas.

Póngase en contacto con el RPD si tiene alguna pregunta sobre el funcionamiento de esta Norma de Privacidad o el GDPR o si le preocupa que esta Norma de Privacidad no se esté cumpliendo o no se haya cumplido. En particular, debe ponerse siempre en contacto con el RPD en las siguientes circunstancias:

si no está seguro de la base jurídica en la que se apoya para tratar los Datos Personales (incluidos los intereses legítimos utilizados por la Empresa) (véase la sección 5.1 más abajo);
si necesita basarse en el Consentimiento y/o necesita captar el Consentimiento Explícito (véase la sección 5.2 a continuación);
si necesita redactar avisos de confidencialidad o avisos de tratamiento leal (véase el apartado 5.3 );
si no está seguro del periodo de conservación de los Datos Personales objeto de Tratamiento (véase la sección 9 más abajo);
si no está seguro de qué medidas de seguridad o de otro tipo debe aplicar para proteger los Datos Personales (véase la sección 10.1 );
si se ha producido una violación de datos personales(sección 10.2 );
si no está seguro sobre qué base transferir Datos Personales fuera del EEE (véase la sección 11 más abajo);
si necesita ayuda para tramitar los derechos invocados por un interesado (véase la sección 12);
cuando vaya a emprender una nueva actividad de tratamiento, o un cambio significativo en la misma, que probablemente requiera una DPIA (véase la sección 13.4 a continuación) o tenga previsto utilizar los Datos Personales para fines distintos de aquellos para los que fueron recogidos;
Si tiene previsto llevar a cabo actividades que impliquen el tratamiento automatizado, incluida la elaboración de perfiles o la toma de decisiones automatizada (véase el apartado 13.5 );
Si necesita ayuda para cumplir la legislación aplicable al llevar a cabo actividades de marketing directo (véase la sección 13.6 ); o
si necesita ayuda con cualquier contrato u otras áreas en relación con el intercambio de Datos Personales con terceros (incluidos nuestros proveedores) (véase la sección 13.7 a continuación).

4. Principios de protección de datos personales

Nos adherimos a los principios relativos al Tratamiento de Datos Personales establecidos en el GDPR que requieren que los Datos Personales sean:

Procesados de forma legal, justa y transparente (Legalidad, Equidad y Transparencia).
Recogida únicamente con fines específicos, explícitos y legítimos (Limitación de la finalidad).
Adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se tratan (minimización de datos).
Precisión y, en su caso, actualización (Exactitud).
No se conservan en una forma que permita la identificación de los interesados durante más tiempo del necesario para los fines para los que se tratan los datos (limitación del almacenamiento).
Tratados de forma que se garantice su seguridad utilizando medidas técnicas y organizativas apropiadas para protegerlos contra el tratamiento no autorizado o ilícito y contra la pérdida, destrucción o daños accidentales (Seguridad, Integridad y Confidencialidad).
No se transfiere a otro país sin que existan las salvaguardias adecuadas (Limitación de transferencia).
Puesta a disposición de los interesados y posibilidad de que los interesados ejerzan determinados derechos en relación con sus datos personales (derechos y solicitudes de los interesados).

Somos responsables y debemos poder demostrar el cumplimiento de los principios de protección de datos enumerados anteriormente (Responsabilidad).

5. Legalidad, equidad, transparencia

- Legalidad y equidad

Los datos personales deben tratarse de forma lícita, leal y transparente en relación con el interesado.

Solo puede recopilar, procesar y compartir datos personales de forma justa y lícita y con fines específicos. El GDPR restringe nuestras acciones con respecto a los Datos Personales a los fines legales especificados. Estas restricciones no pretenden impedir el tratamiento, sino garantizar que tratamos los datos personales de forma justa y sin afectar negativamente al interesado.

El RGPD permite el tratamiento para fines específicos, algunos de los cuales se exponen a continuación:

el interesado ha dado su consentimiento;
el tratamiento es necesario para la ejecución de un contrato con el interesado;
para cumplir nuestras obligaciones legales.;
proteger los intereses vitales del interesado; o
perseguir nuestros intereses legítimos para fines en los que no prevalecen porque el Tratamiento perjudica los intereses o los derechos y libertades fundamentales de los Sujetos de Datos. Los fines para los que tratamos Datos Personales por intereses legítimos deben establecerse en los Avisos de Privacidad o Avisos de Tratamiento Justo aplicables.

Debe identificar y documentar el fundamento jurídico en el que se basa cada actividad de tratamiento.

Consentimiento

Un Controlador de Datos solo debe procesar Datos Personales sobre la base de una o más de las bases legales establecidas en el GDPR, que incluyen el Consentimiento.

Un interesado consiente el tratamiento de sus datos personales si manifiesta claramente su acuerdo, ya sea mediante una declaración o una acción positiva. El consentimiento requiere una acción afirmativa, por lo que el silencio, las casillas previamente marcadas o la inactividad probablemente no sean suficientes. Si el consentimiento se da en un documento que trata otros asuntos, el consentimiento debe mantenerse separado de esos otros asuntos.

Los interesados deben poder retirar fácilmente su consentimiento para el tratamiento en cualquier momento y la retirada debe respetarse sin demora. Puede ser necesario renovar el consentimiento si tiene intención de tratar datos personales para un fin diferente e incompatible que no se reveló cuando el interesado dio su consentimiento por primera vez.

A menos que podamos basarnos en otro fundamento jurídico para el Tratamiento, normalmente se requiere el Consentimiento Explícito para el Tratamiento de Datos Personales Sensibles, para la Toma de Decisiones Automatizada y para las transferencias transfronterizas de datos. Normalmente nos basaremos en otra base jurídica (y no exigiremos el Consentimiento Explícito) para el Tratamiento de la mayoría de los tipos de Datos Sensibles. En los casos en que se requiera el consentimiento explícito, deberá enviar un aviso de tratamiento leal al interesado para recabar su consentimiento explícito.

Deberá demostrar que ha obtenido el consentimiento y llevar un registro de todos los consentimientos para que la empresa pueda demostrar el cumplimiento de los requisitos de consentimiento.

Transparencia (notificación a los interesados)

El RGPD exige que los responsables del tratamiento faciliten información detallada y específica a los interesados, dependiendo de si la información se ha obtenido directamente de los interesados o de otra fuente. Dicha información debe facilitarse a través de los correspondientes avisos de privacidad o avisos de tratamiento leal, que deben ser concisos, transparentes, inteligibles, fácilmente accesibles y estar redactados en un lenguaje claro y sencillo, de modo que el interesado pueda comprenderlos fácilmente.

Siempre que recopilemos Datos Personales directamente de los Sujetos de Datos, incluso con fines de recursos humanos o empleo, debemos proporcionar al Sujeto de Datos toda la información requerida por el GDPR, incluida la identidad del Controlador de Datos y DPO, cómo y por qué usaremos, procesaremos, divulgaremos, protegeremos y conservaremos esos Datos Personales a través de un Aviso de Procesamiento Justo que debe presentarse cuando el Sujeto de Datos proporciona por primera vez los Datos Personales….

Cuando los Datos Personales se recopilan indirectamente (por ejemplo, de un tercero o de una fuente públicamente disponible), debe proporcionar al Sujeto de los Datos toda la información requerida por el GDPR tan pronto como sea posible después de recopilar/recibir los datos. También debe comprobar que los Datos Personales fueron recopilados por el tercero de conformidad con el GDPR y sobre una base que contemple nuestro Tratamiento propuesto de esos Datos Personales.

6. Limitación de la finalidad

Los Datos Personales deben recopilarse únicamente con fines específicos, explícitos y legítimos. No deben ser tratados de forma incompatible con dichos fines.

No puede utilizar los Datos Personales para fines nuevos, diferentes o incompatibles con los que se revelaron cuando se obtuvieron por primera vez, a menos que haya informado al Titular de los Datos de los nuevos fines y éste haya dado su consentimiento cuando sea necesario.

7. 7. Minimización de datos

Los Datos Personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se tratan.

Sólo podrá Tratar Datos Personales cuando el desempeño de sus funciones laborales así lo requiera. No puede tratar Datos Personales por ningún motivo que no esté relacionado con sus funciones laborales.

Sólo puede recopilar los Datos Personales que necesite para desempeñar su trabajo: no recopile datos excesivos. Asegúrese de que los Datos Personales recogidos son adecuados y pertinentes para los fines previstos.

Debe asegurarse de que, cuando los Datos Personales ya no sean necesarios para los fines especificados, se eliminen o anonimicen de acuerdo con las directrices de conservación de datos de la Empresa.

8. Precisión

Los Datos Personales deben ser exactos y, en caso necesario, mantenerse actualizados. Deberán corregirse o suprimirse sin demora cuando sean inexactos.

Usted se asegurará de que los Datos Personales que utilizamos y conservamos sean exactos, completos, estén actualizados y sean pertinentes para el fin para el que los hemos recopilado. Deberá comprobar la exactitud de los Datos Personales en el momento de su recogida y posteriormente a intervalos regulares. Debe tomar todas las medidas razonables para destruir o modificar los Datos Personales inexactos o caducados.

9. Limitación de almacenamiento

Los datos personales no deben conservarse en una forma identificable durante más tiempo del necesario para los fines para los que se tratan.

No debe conservar los Datos Personales en una forma que permita la identificación del Sujeto de los Datos durante más tiempo del necesario para el fin o fines comerciales legítimos para los que los recopilamos originalmente, incluido el fin de satisfacer cualquier requisito legal, contable o de elaboración de informes.

La Empresa mantendrá políticas y procedimientos de conservación para garantizar que los Datos Personales se eliminen después de un tiempo razonable para los fines para los que se estaban conservando, a menos que una ley exija que dichos datos se conserven durante un tiempo mínimo.

Usted tomará todas las medidas razonables para destruir o borrar de nuestros sistemas todos los Datos Personales que ya no necesitemos de conformidad con todos los calendarios y políticas de conservación de registros aplicables de la Empresa. Esto incluye solicitar a terceros que eliminen dichos datos cuando proceda.

Se asegurará de que los interesados estén informados del periodo durante el cual se almacenan los datos y de cómo se determina dicho periodo en cualquier Aviso de Privacidad o Aviso de Tratamiento Justo aplicable.

10. Seguridad, integridad y confidencialidad

- Protección de datos personales

Los Datos Personales deben protegerse mediante medidas técnicas y organizativas apropiadas contra el Tratamiento no autorizado o ilícito, y contra la pérdida, destrucción o daño accidentales.

Desarrollaremos, implantaremos y mantendremos salvaguardas adecuadas a nuestro tamaño, alcance y negocio, nuestros recursos disponibles, la cantidad de Datos Personales que poseemos o mantenemos en nombre de otros y los riesgos identificados (incluido el uso de encriptación y seudonimización cuando proceda). Evaluaremos y comprobaremos periódicamente la eficacia de dichas salvaguardias para garantizar la seguridad de nuestro Tratamiento de Datos Personales. Usted es responsable de proteger los Datos Personales que poseemos. Debe aplicar medidas de seguridad razonables y adecuadas contra el tratamiento ilegal o no autorizado de Datos Personales y contra la pérdida accidental o el daño de los Datos Personales. Debe prestar especial atención a la protección de los Datos Personales Sensibles frente a la pérdida y el acceso, uso o divulgación no autorizados.

Usted debe seguir todos los procedimientos y tecnologías que ponemos en marcha para mantener la seguridad de todos los Datos Personales desde el punto de recogida hasta el punto de destrucción. Solo podrá transferir Datos Personales a terceros proveedores de servicios que acepten cumplir las políticas y procedimientos exigidos y que se comprometan a poner en práctica las medidas adecuadas, según se solicite.

Debe mantener la seguridad de los datos protegiendo la confidencialidad, integridad y disponibilidad de los Datos Personales, definidos de la siguiente manera:

Confidencialidad significa que sólo pueden acceder a los Datos Personales las personas que tienen necesidad de conocerlos y están autorizadas a utilizarlos.
Integridad significa que los Datos Personales son exactos y adecuados para los fines para los que se tratan.
Disponibilidad significa que los usuarios autorizados puedan acceder a los Datos Personales cuando los necesiten para fines autorizados.

Debe cumplir con todos los aspectos aplicables de nuestra Política de Seguridad de la Información y la Política de Cumplimiento del GDPR en vigor de vez en cuando y cumplir y no intentar eludir las salvaguardas administrativas, físicas y técnicas que implementamos y mantenemos de acuerdo con el GDPR y las normas pertinentes para proteger los Datos Personales.

Notificación de una violación de datos personales

El RGPD exige que los responsables del tratamiento notifiquen cualquier violación de datos personales a la autoridad reguladora aplicable y, en determinados casos, al interesado.

Hemos establecido procedimientos para tratar cualquier sospecha de violación de datos personales y notificaremos a los interesados o a cualquier regulador aplicable cuando estemos legalmente obligados a hacerlo.

Si sabe o sospecha que se ha producido una violación de datos personales, no intente investigar el asunto usted mismo. Póngase inmediatamente en contacto con la persona o el equipo designado como punto de contacto clave para las violaciones de datos personales y siga el plan de respuesta a las violaciones de seguridad. Conserve todas las pruebas relacionadas con la posible violación de datos personales.

11.Limitación de transferencia

El GDPR restringe las transferencias de datos a países fuera del EEE con el fin de garantizar que el nivel de protección de datos que ofrece a las personas el GDPR no se vea socavado. Usted transfiere Datos Personales originados en un país a través de las fronteras cuando transmite, envía, visualiza o accede a esos datos en o hacia un país diferente.

Sólo podrá transferir Datos Personales fuera del EEE si se da una de las siguientes condiciones:

la Comisión Europea ha emitido una decisión que confirma que el país al que transferimos los datos personales garantiza un nivel adecuado de protección de los derechos y libertades de los interesados;
existen salvaguardias adecuadas, como normas corporativas vinculantes (BCR), cláusulas contractuales tipo aprobadas por la Comisión Europea, un código de conducta aprobado o un mecanismo de certificación, cuya copia puede solicitarse al RPD;
el interesado ha dado su consentimiento explícito a la transferencia propuesta tras haber sido informado de los posibles riesgos; o
la transferencia es necesaria por una de las otras razones establecidas en el GDPR, incluido el cumplimiento de un contrato entre nosotros y el Titular de los datos, razones de interés público, para establecer, ejercer o defender reclamaciones legales o para proteger los intereses vitales del Titular de los datos cuando el Titular de los datos está física o legalmente incapacitado para dar su consentimiento y, en algunos casos limitados, por nuestro interés legítimo.

Debe cumplir las directrices de la empresa sobre transferencias transfronterizas de datos.

12. Derechos y solicitudes del interesado

Los interesados tienen derechos en lo que respecta al tratamiento de sus datos personales. Entre ellos se incluyen los derechos a:

retirar el consentimiento al tratamiento en cualquier momento;
recibir determinada información sobre las actividades de Tratamiento del Responsable del Tratamiento;
solicitar el acceso a los Datos Personales que obran en nuestro poder;
impedir que utilicemos sus Datos Personales con fines de marketing directo;
pedirnos que borremos los Datos Personales si ya no son necesarios en relación con los fines para los que fueron recogidos o Tratados o rectificar los datos inexactos o completar los datos incompletos;
restringir el tratamiento en circunstancias específicas;
impugnación Tratamiento justificado por nuestros intereses legítimos o por el interés público;
solicitar una copia de un acuerdo en virtud del cual se transfieran Datos Personales fuera del EEE;
oponerse a las decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles (ADM);
impedir un tratamiento que pueda causar daños o molestias al interesado o a cualquier otra persona;
ser notificado de una violación de datos personales que pueda suponer un alto riesgo para sus derechos y libertades;
presentar una reclamación ante la autoridad de control; y
en circunstancias limitadas, recibir o solicitar que sus Datos Personales sean transferidos a un tercero en un formato estructurado, de uso común y legible por máquina.

Debe verificar la identidad de una persona que solicite datos en virtud de cualquiera de los derechos enumerados anteriormente (no permita que terceros le persuadan para que revele Datos Personales sin la debida autorización).

Deberá remitir inmediatamente a su superior cualquier solicitud que reciba del interesado y seguir el proceso de respuesta de la empresa.

13. Rendición de cuentas

- El responsable del tratamiento debe aplicar de manera eficaz las medidas técnicas y organizativas apropiadas para garantizar el cumplimiento de los principios de protección de datos. El Responsable del Tratamiento es responsable del cumplimiento de los principios de protección de datos y debe poder demostrarlo.

La empresa debe disponer de los recursos y controles adecuados para garantizar y documentar el cumplimiento del GDPR, incluidos:

nombrar a un RPD debidamente cualificado (cuando sea necesario) y a un ejecutivo responsable de la privacidad de los datos;
aplicar el principio de privacidad desde el diseño en el tratamiento de datos personales y completar las EIPD cuando el tratamiento suponga un alto riesgo para los derechos y libertades de los interesados;
integrar la protección de datos en los documentos internos, incluida la presente Norma de confidencialidad, las Políticas relacionadas, los Avisos de confidencialidad o los Avisos de tratamiento leal;
formar periódicamente al personal de la empresa sobre el GDPR, la presente Norma de Privacidad y las políticas relacionadas, así como sobre cuestiones de protección de datos, incluidos, por ejemplo, los derechos de los interesados, el consentimiento, la base jurídica, la DPIA y las violaciones de datos personales. La Empresa debe mantener un registro de asistencia a la capacitación por parte del Personal de la Empresa; y
Comprobación periódica de las medidas de protección de la intimidad aplicadas y realización de revisiones y auditorías periódicas para evaluar el cumplimiento, incluida la utilización de los resultados de las pruebas para demostrar el esfuerzo de mejora del cumplimiento.

Mantenimiento de registros

El GDPR nos obliga a mantener registros completos y precisos de todas nuestras actividades de tratamiento de datos.

Debe conservar y mantener registros corporativos precisos que reflejen nuestro tratamiento, incluidos los registros de los consentimientos de los interesados y los procedimientos para obtener los consentimientos.

Estos registros deben incluir, como mínimo, el nombre y los datos de contacto del responsable del tratamiento y del RPD, descripciones claras de los tipos de datos personales, los tipos de interesados, las actividades de tratamiento, los fines del tratamiento, los terceros destinatarios de los datos personales, los lugares de almacenamiento de los datos personales, las transferencias de datos personales, el periodo de conservación de los datos personales y una descripción de las medidas de seguridad aplicadas. Con el fin de crear dichos registros, deben crearse mapas de datos que incluyan los detalles expuestos anteriormente junto con los flujos de datos apropiados.

Formación y auditoría

Debemos asegurarnos de que todo el personal de la empresa ha recibido la formación adecuada para poder cumplir la legislación sobre protección de datos. También debemos comprobar periódicamente nuestros sistemas y procesos para evaluar su cumplimiento.

Debe recibir toda la formación obligatoria relacionada con la protección de datos y asegurarse de que su equipo recibe una formación obligatoria similar.

Debe revisar periódicamente todos los sistemas y procesos bajo su control para asegurarse de que cumplen con esta Norma de Privacidad y comprobar que existen los controles y recursos de gobernanza adecuados para garantizar el uso y la protección adecuados de los Datos Personales.

Privacidad desde el diseño y evaluación de impacto de la protección de datos (EIPD)

Estamos obligados a aplicar medidas de privacidad desde el diseño en el tratamiento de datos personales mediante la aplicación de medidas técnicas y organizativas adecuadas (como la seudonimización) de manera eficaz, para garantizar el cumplimiento de los principios de privacidad de datos.

Debe evaluar qué medidas de Privacidad por Diseño pueden implementarse en todos los programas/sistemas/procesos que traten Datos Personales teniendo en cuenta lo siguiente:

el estado de la técnica;
el coste de la aplicación;
la naturaleza, el alcance, el contexto y los fines del tratamiento; y
los riesgos de diversa probabilidad y gravedad para los derechos y libertades de los Interesados que plantea el Tratamiento.

Los responsables del tratamiento de datos también deben realizar DPIA con respecto al tratamiento de alto riesgo.

Debe llevar a cabo una DPIA (y discutir sus conclusiones con el DPO) cuando implemente programas importantes de cambio de sistema o de negocio que impliquen el Tratamiento de Datos Personales, incluyendo:

uso de nuevas tecnologías (programas, sistemas o procesos), o cambio de tecnologías (programas, sistemas o procesos);
Tratamiento automatizado, incluida la elaboración de perfiles y ADM;
tratamiento a gran escala de datos sensibles; y
vigilancia sistemática a gran escala de una zona de acceso público.

Una DPIA debe incluir:

una descripción del tratamiento, sus fines y los intereses legítimos del responsable del tratamiento, si procede;
una evaluación de la necesidad y proporcionalidad del tratamiento en relación con su finalidad;
una evaluación del riesgo para las personas; y
las medidas de mitigación de riesgos aplicadas y la demostración de su cumplimiento.

Tratamiento automatizado (incluida la elaboración de perfiles) y toma de decisiones automatizada

En general, la ADM está prohibida cuando una decisión tiene un efecto legal o similar significativo sobre un individuo, a menos que:

el interesado ha dado su consentimiento explícito;
el tratamiento está autorizado por la ley; o
el tratamiento es necesario para la ejecución o la celebración de un contrato.

Si se tratan determinados tipos de datos sensibles, los motivos (b) o (c) no estarán permitidos, pero dichos datos sensibles podrán tratarse cuando sea necesario (a menos que puedan utilizarse medios menos intrusivos) para un interés público sustancial, como la prevención del fraude.

Si una decisión va a basarse únicamente en el tratamiento automatizado (incluida la elaboración de perfiles), deberá informarse a los interesados, en la primera comunicación con ellos, de su derecho a oponerse. Este derecho debe señalarse explícitamente a su atención y presentarse de forma clara y separada del resto de la información. Además, deben establecerse medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado.

También debemos informar al interesado de la lógica implicada en la toma de decisiones o la elaboración de perfiles, la importancia y las consecuencias previstas y darle derecho a solicitar la intervención humana, expresar su punto de vista o impugnar la decisión.

Debe llevarse a cabo una DPIA antes de emprender cualquier actividad de tratamiento automatizado (incluida la elaboración de perfiles) o ADM.

Marketing directo

Estamos sujetos a ciertas normas y leyes de privacidad cuando comercializamos con nuestros clientes.

Por ejemplo, se requiere el consentimiento previo del interesado para el marketing directo electrónico (por ejemplo, por correo electrónico, mensajes de texto o llamadas automáticas). La excepción limitada para los clientes existentes conocida como «soft opt in» permite a las organizaciones enviar mensajes de texto o correos electrónicos de marketing si han obtenido los datos de contacto en el curso de una venta a esa persona, están comercializando productos o servicios similares, y dieron a la persona la oportunidad de optar por no recibir marketing cuando recogieron los datos por primera vez y en cada mensaje posterior.

El derecho a oponerse a la mercadotecnia directa debe ofrecerse explícitamente al interesado de forma inteligible para que se distinga claramente de otra información.

La oposición de un interesado a la mercadotecnia directa debe ser atendida con prontitud. Si un cliente se opone en cualquier momento, sus datos deben suprimirse lo antes posible. La supresión implica conservar la información suficiente para garantizar que las preferencias de marketing se respeten en el futuro.

Compartir datos personales

Por lo general, no estamos autorizados a compartir Datos Personales con terceros a menos que se hayan establecido determinadas salvaguardias y acuerdos contractuales.

Usted sólo puede compartir los Datos Personales que poseemos con otro empleado, agente o representante de nuestro grupo (que incluye nuestras filiales y nuestra sociedad matriz junto con sus filiales) si el destinatario tiene una necesidad laboral de conocer la información y la transferencia cumple con las restricciones de transferencia transfronteriza aplicables.

Sólo podrá compartir los Datos Personales que tenemos con terceros, como nuestros proveedores de servicios, si:

necesitan conocer la información para prestar los servicios contratados;
compartir los Datos Personales cumple con el Aviso de Privacidad proporcionado al Titular de los Datos y, si es necesario, se ha obtenido el Consentimiento del Titular de los Datos;
el tercero ha aceptado cumplir las normas, políticas y procedimientos de seguridad de datos exigidos y ha implantado las medidas de seguridad adecuadas;
la transferencia cumple las restricciones aplicables a las transferencias transfronterizas; y
se ha obtenido un contrato escrito completamente ejecutado que contiene cláusulas de terceros aprobadas por el GDPR.

Modificaciones de esta Norma de confidencialidad

Nos reservamos el derecho a modificar estas Normas de confidencialidad en cualquier momento y sin previo aviso, por lo que le rogamos que las consulte periódicamente para obtener la copia más reciente de las mismas.

La presente Norma de confidencialidad no prevalece sobre las leyes y reglamentos nacionales aplicables en materia de confidencialidad de datos en los países en los que opera la Empresa.