Fuentes de datos
Los datos personales deben recogerse directamente del interesado, a menos que se aplique una de las siguientes condiciones:
- La naturaleza del objetivo comercial hace necesaria la recogida de datos personales de otras personas u organismos.
- La recogida debe llevarse a cabo en circunstancias de emergencia para proteger los intereses vitales del interesado o para evitar pérdidas o lesiones graves a otra persona.
Si se recopilan datos personales de una persona distinta del interesado, éste debe ser informado de la recopilación, a menos que se dé una de las siguientes circunstancias:
- El interesado había recibido la información requerida por otros medios.
- La información debe ser confidencial por obligación de secreto profesional.
- Una ley nacional prevé expresamente la recogida, el tratamiento o la transferencia de los datos personales.
Cuando se haya determinado que es necesario notificar a un interesado, la notificación deberá producirse con prontitud, pero a más tardar en el plazo de un mes natural a partir de la primera recogida o registro de los datos personales, en el momento de la primera comunicación si se utilizan para la comunicación con el interesado, en el momento de la divulgación si se divulgan a otro destinatario.
Notificación al interesado
Malvern International proporcionará, cuando lo exija la ley aplicable, un contrato, o cuando considere que es razonablemente apropiado hacerlo, a los titulares de los datos información sobre el propósito del procesamiento de sus datos personales.
Cuando se pida a un interesado que dé su consentimiento para el tratamiento de sus datos personales, y cuando se recopile cualquier dato personal del interesado, se harán todas las revelaciones oportunas, de forma que llamen la atención sobre ellas, a menos que se aplique una de las siguientes situaciones:
- El interesado ya dispone de la información.
- Se aplica una exención legal a los requisitos de divulgación y/o consentimiento.
- La divulgación puede hacerse por vía electrónica o por escrito.
Avisos de confidencialidad para el personal
Malvern International proporcionará al personal de la empresa un aviso de privacidad relativo a la recopilación y el tratamiento de sus datos personales.
Malvern International también incluirá un Aviso de Privacidad en línea para terceros potenciales distintos del Personal de la Empresa y un ‘Aviso de Cookies’ en línea que cumpla con los requisitos de la ley aplicable.
Elaboración de perfiles y toma de decisiones automatizada
Malvern International no participa actualmente en perfiles ni en toma de decisiones automatizada. Si fuera necesario participar en perfiles y toma de decisiones automatizada, solo se hará para celebrar o ejecutar un contrato con el interesado o cuando esté autorizado por ley. En tales casos, al interesado se le dará la oportunidad de:
- Expresar su punto de vista
- Obtener una explicación de la decisión automatizada
- Revisar la lógica utilizada por el sistema automatizado
- Completar el sistema automatizado con datos adicionales
- Hacer que una persona revise la decisión automatizada
- Impugnar la decisión automatizada
- Oponerse a la toma de decisiones automatizada.
La elaboración de perfiles y la toma de decisiones automatizadas están fuertemente restringidas por la ley de protección de datos y sólo deben llevarse a cabo una vez que se haya completado una evaluación del impacto sobre la protección de datos. El personal no está autorizado a llevar a cabo actividades que impliquen la elaboración automatizada de perfiles o la toma de decisiones sin solicitar previamente el asesoramiento y el apoyo del responsable de protección de datos.
Marketing digital
Malvern International solo enviará material promocional o de marketing directo a cualquier contacto a través de canales digitales como teléfonos móviles, correo electrónico e Internet, siempre que dicho material cumpla con la ley de protección de datos. Cualquier persona asociada con Malvern International que desee llevar a cabo una campaña de marketing digital sin obtener el consentimiento previo del interesado debe obtener primero la aprobación del Delegado de Protección de Datos.
Cuando se apruebe el tratamiento de datos personales con fines de marketing digital, el interesado deberá ser informado en el primer contacto de que tiene derecho a oponerse, en cualquier momento, a que sus datos sean tratados con tales fines. Si el interesado presenta una objeción, el tratamiento de sus datos personales relacionado con el marketing digital debe cesar inmediatamente y sus datos deben mantenerse en una lista de supresión con un registro de su decisión de no participar, en lugar de eliminarse por completo.
Cabe señalar que cuando el marketing digital se lleva a cabo en un contexto de ‘empresa a empresa’, no existe ningún requisito legal para obtener una indicación de consentimiento para llevar a cabo marketing digital a particulares, siempre que se les dé la oportunidad de optar por no participar.
Conservación de datos
Para garantizar un procesamiento justo, los datos personales no serán retenidos por Malvern International por más tiempo del necesario en relación con los fines para los que fueron recopilados originalmente o para los que fueron procesados posteriormente.
La duración del tiempo que Malvern International necesita conservar los datos personales se detalla en el Apéndice 1. Esto tiene en cuenta los requisitos legales, contractuales y comerciales que influyen en los períodos de retención. Todos los datos personales deben eliminarse o destruirse lo antes posible una vez que se haya confirmado que ya no es necesario conservarlos, a menos que exista un propósito legítimo para no hacerlo. Cualquier decisión de no destruir o eliminar datos personales de acuerdo con la guía de retención en el Apéndice 1 debe documentarse por escrito y ser aprobada por el Director Ejecutivo.
Protección de datos
Malvern International adoptará medidas físicas, técnicas y organizativas para garantizar la seguridad de los datos personales. Esto incluye la prevención de pérdidas o daños, alteraciones no autorizadas, acceso o tratamiento, y otros riesgos a los que pueda estar expuesto en virtud de la acción humana o del entorno físico o natural.
El conjunto mínimo de medidas de seguridad que deben adoptar Malvern International se proporciona a continuación:
- Impedir que personas no autorizadas accedan a los sistemas en los que se tratan datos personales.
- Impedir que las personas autorizadas a utilizar un sistema de tratamiento de datos accedan a datos personales más allá de las necesidades y autorizaciones.
- Garantizar que los datos personales en curso de transmisión electrónica durante el transporte no puedan ser leídos, copiados, modificados o eliminados sin autorización.
- Garantizar la existencia de registros de acceso para determinar si los datos personales se han introducido, modificado o eliminado de un sistema de tratamiento de datos, y quién lo ha hecho.
- Garantizar que, en caso de que el tratamiento lo lleve a cabo un encargado del tratamiento, los datos sólo puedan tratarse de conformidad con las instrucciones del responsable del tratamiento.
- Garantizar la protección de los datos personales contra su destrucción o pérdida no deseadas.
- Garantizar que los datos personales recogidos para distintos fines puedan tratarse y se traten por separado.
- Garantizar que los datos personales no se conservan más tiempo del necesario.
- Garantizar que el personal adecuado de la empresa reciba formación sobre los principales requisitos de cumplimiento de la legislación en materia de protección de datos y sobre cómo pueden garantizar que la seguridad de los datos personales se mantiene de acuerdo con esta política.
Responsabilidades del personal de la empresa
Todos los que trabajan para Malvern International, o en nombre de estas, tienen alguna responsabilidad en asegurar que los datos se recopilen, almacenen y manejen de manera apropiada, de acuerdo con esta política y las políticas asociadas.
El CEO y el Socio de Negocios de RR. HH. son responsables de revisar esta política y de informar a la Junta Directiva sobre las responsabilidades de protección de datos de Malvern Internationaly cualquier riesgo en relación con el Procesamiento de datos. Cualquier pregunta relacionada con esta política o protección de datos debe dirigirse a esta persona.
El personal de la empresa debe:
- solo acceda a los Datos Personales si los necesitan para el trabajo que realizan para Malvern International y solo si están autorizados para hacerlo. Solo deben utilizar los datos para el propósito legal específico para el cual se obtuvieron.
- no compartir los Datos Personales de manera informal.
- mantener seguros los Datos Personales y no compartirlos con personas no autorizadas.
- revisar periódicamente y, cuando se requiera o solicite, actualizar los Datos Personales que tratan. Esto incluye comunicarnos si cambian sus propios datos de contacto.
- no haga copias innecesarias de los Datos Personales y conserve y elimine cualquier copia de forma segura.
- Utiliza contraseñas seguras y no las compartas con nadie.
- deben bloquear la pantalla del ordenador cuando no estén en su mesa.
- no sacar los Datos Personales de las instalaciones de la empresa sin la autorización de su superior inmediato o del HR Business Partner.
- pida ayuda al socio empresarial de RR.HH. si tiene dudas sobre la protección de datos o si observa algún aspecto de la protección de datos o la seguridad que podamos mejorar.
Los datos personales deben encriptarse antes de ser transferidos electrónicamente a contactos externos autorizados. Póngase en contacto con el departamento de TI para obtener más información al respecto.
Considere la posibilidad de anonimizar los datos o de utilizar claves/códigos distintos para que el interesado no pueda ser identificado.
Los datos personales no deben guardarse en ordenadores personales ni en otros dispositivos que no pertenezcan a Malvern International.
Los datos personales no deben transferirse nunca fuera del Espacio Económico Europeo, salvo en cumplimiento de la ley y con autorización del Director General.
Los cajones del escritorio y los archivadores deben estar cerrados con llave. No deje papeles con datos personales por ahí.
Los datos personales deben destruirse y eliminarse de forma segura cuando ya no sean necesarios.
Aplicación de la política
Cualquier infracción deliberada o negligente de esta política por parte del personal de la empresa puede dar lugar a la adopción de medidas disciplinarias contra dicho personal de conformidad con nuestro procedimiento disciplinario.
Es un delito penal ocultar o destruir Datos Personales que formen parte de una solicitud de acceso del sujeto (véase más abajo). Esta conducta también constituiría una falta grave con arreglo a nuestro procedimiento disciplinario, que podría dar lugar al despido.
Debe tenerse en cuenta que, si bien esta política proporciona ejemplos, no es en absoluto una lista exhaustiva y es posible que se le notifiquen otras normas específicas de vez en cuando.
Derechos y solicitudes de los interesados
Los Sujetos de Datos (que incluye al Personal de la Empresa) tienen una serie de derechos en relación con sus datos personales procesados por Malvern International. Estos se detallarán en el aviso de privacidad relevante para el sujeto de datos. Se emitirá un aviso de privacidad al personal de la empresa. Los terceros podrán acceder a los avisos de privacidad en línea o podrán solicitar una copia directamente.
Malvern International establecerán un sistema para permitir y facilitar el ejercicio de los derechos de los interesados relacionados con:
- Acceso a la información
- Objeción al tratamiento
- Objeción a la toma de decisiones automatizada y a la elaboración de perfiles
- Restricción del tratamiento
- Portabilidad de los datos
- Rectificación de datos
- Borrado de datos
Si un particular realiza una solicitud relacionada con cualquiera de los derechos enumerados anteriormente, Malvern International considerará cada solicitud de conformidad con todas las leyes y regulaciones de protección de datos aplicables. Si un miembro del personal recibe una solicitud, no se le permite gestionarla por sí mismo y debe notificar al responsable de protección de datos lo antes posible.
Los Interesados pueden hacer una solicitud relacionada con sus derechos siempre que sea por escrito. Sin embargo, se anima a los Interesados a solicitar y utilizar el formulario de solicitud de interesado (disponible en RRHH) y presentarlo al departamento de RRHH. Esto garantizará que la solicitud sea recibida por las personas adecuadas dentro de Malvern International y pueda ser procesada rápidamente.
Se pedirá a los interesados que verifiquen su identidad cuando presenten su solicitud. En caso contrario, su solicitud podría no ser atendida.
Los interesados tienen derecho a obtener la siguiente información sobre sus propios datos personales:
- Los fines de la recogida, tratamiento, uso y almacenamiento de sus datos personales.
- La fuente o fuentes de los datos personales, si no se han obtenido del interesado.
- Las categorías de datos personales almacenados para el interesado.
- Los destinatarios o categorías de destinatarios a los que se han transmitido o pueden transmitirse los datos personales, junto con la ubicación de dichos destinatarios.
- El periodo previsto de conservación de los datos personales o la justificación para determinar el periodo de conservación.
- El uso de cualquier toma de decisiones automatizada, incluida la elaboración de perfiles.
- Derecho del interesado a oponerse al tratamiento de sus datos personales, a presentar una reclamación ante la autoridad de protección de datos, a solicitar la rectificación o supresión de sus datos personales, a solicitar la limitación del tratamiento de sus datos personales.
Todas las solicitudes de acceso o rectificación de datos personales deben dirigirse al Departamento de Recursos Humanos, que registrará cada solicitud a medida que la reciba. Se proporcionará una respuesta a cada solicitud dentro de los 30 días siguientes a la recepción de la solicitud escrita del interesado. La verificación adecuada deberá confirmar que el solicitante es el interesado o su representante legal autorizado. Los interesados tendrán derecho a exigir a Malvern International la corrección o el complemento de los datos personales erróneos, engañosos, desactualizados o incompletos.
Si Malvern International no puede responder a la solicitud dentro de los 30 días, se comprometerá a proporcionar lo siguiente dentro del plazo especificado:
- Un acuse de recibo de la solicitud.
- Cualquier información localizada hasta la fecha.
- Detalles de cualquier información o modificación solicitada que no se facilitará al interesado, el motivo o motivos de la denegación y cualquier procedimiento disponible para recurrir la decisión.
- Una fecha estimada en la que se facilitarán las respuestas restantes (a más tardar 3 meses después de la presentación de la solicitud inicial).
- Una estimación de los costes que deberá pagar el interesado (por ejemplo, si la solicitud es excesiva).
- El nombre y los datos de contacto de la persona con la que el interesado debe ponerse en contacto para el seguimiento.
Cabe señalar que pueden darse situaciones en las que facilitar la información solicitada por un interesado suponga revelar datos personales de otra persona. En tales casos, la información debe redactarse o retenerse según sea necesario o apropiado para proteger los derechos de esa persona.
Solicitudes de las fuerzas de seguridad y divulgación de información
En determinadas circunstancias, se permite compartir datos personales sin el conocimiento o consentimiento del interesado. Este es el caso cuando la divulgación de los datos personales es necesaria para alguno de los siguientes fines:
- Prevención o detección de delitos.
- Detención o procesamiento de delincuentes.
- La liquidación o recaudación de un impuesto o derecho.
- Por orden de un Tribunal o por cualquier norma jurídica.
Si Malvern International procesa datos personales para uno de estos fines, entonces puede aplicar una excepción a las reglas de procesamiento descritas en esta política, pero solo en la medida en que no hacerlo probablemente perjudicaría el caso en cuestión.
Formación sobre protección de datos
Todos los empleados Malvern International que tengan acceso a datos personales tendrán sus responsabilidades bajo esta política descritas como parte de su formación de incorporación del personal. Malvern International proporcionará formación periódica sobre protección de datos y orientación procesal para su personal y la finalización de esta formación es obligatoria.
Transferencias entre sitios Malvern International
Para que Malvern International lleve a cabo sus operaciones de manera efectiva en sus diversas sedes, puede haber ocasiones en las que sea necesario transferir datos personales de una sede a otra, para permitir el acceso a los datos personales desde una ubicación en el extranjero. En caso de que esto ocurra, la sede que envía los datos personales sigue siendo responsable de garantizar la protección de dichos datos personales y también el cumplimiento de las transferencias de datos fuera del Espacio Económico Europeo. Todo el personal debe asegurarse de que los datos se transfieran utilizando medios oficiales y autorizados. El personal no tiene permitido compartir datos de forma informal utilizando plataformas personales como WhatsApp u otros servicios de mensajería instantánea.,
Transferencias a terceros
Malvern International solo transferirá datos personales a terceros o permitirá el acceso a ellos cuando se garantice que la información será procesada legítimamente y protegida adecuadamente por el destinatario. Cuando se lleve a cabo el procesamiento por parte de un tercero, Malvern International identificará primero si, según la ley aplicable, el tercero se considera un controlador de datos o un procesador de datos de los datos personales que se transfieren.
Cuando se considere que el tercero es un responsable del tratamiento de datos, se celebrará un acuerdo adecuado con el responsable del tratamiento para aclarar las responsabilidades de cada parte con respecto a los datos personales transferidos.
Donde se considere que un tercero es un encargado del tratamiento de datos, Malvern International se esforzará por celebrar un acuerdo de tratamiento adecuado con el encargado del tratamiento. El acuerdo exigirá al encargado del tratamiento que proteja los datos personales de divulgaciones adicionales y que solo procese los datos personales de conformidad con Malvern International instrucciones. Además, el acuerdo exigirá al encargado del tratamiento que implemente medidas técnicas y organizativas adecuadas para proteger los datos personales, así como procedimientos para notificar las violaciones de seguridad de los datos personales.
Cuando Malvern International externaliza servicios a un tercero, identificará si el tercero procesará datos personales en su nombre y si la externalización implicará transferencias de datos personales a un tercer país. En cualquier caso, se asegurará de incluir disposiciones adecuadas en el acuerdo de externalización para dicho procesamiento y para las transferencias a terceros países.
Tramitación de reclamaciones
Los interesados que deseen presentar una reclamación sobre el tratamiento de sus datos personales deben dirigirse al buzón de protección de datos gdpr@malvernplc.com
Notificación de infracciones
Cualquier persona que sospeche que se ha producido una violación de datos personales debido al robo o exposición de datos personales debe notificarlo inmediatamente al responsable de protección de datos facilitando una descripción de lo ocurrido. La notificación del incidente puede hacerse por correo electrónico a la dirección gdpr@malvernplc.com
El Delegado de Protección de Datos investigará todos los incidentes reportados para confirmar si ha ocurrido o no una violación de datos personales. Si se confirma una violación de datos personales, el Delegado de Protección de Datos seguirá el procedimiento autorizado pertinente en función de la criticidad y la cantidad de sus datos personales involucrados. Para violaciones de datos personales graves, Malvern International iniciará y presidirá un equipo de respuesta de emergencia para coordinar y gestionar la respuesta a la violación de datos personales.
