Cláusula informativa de privacidad

1.    OBJETO

Recopilar las exigencias del Reglamento 2016/679 del Parlamento Europeo y del Consejo del 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.

Proteger el tratamiento que se realice a los datos de carácter personal que se hallan bajo la responsabilidad de Fagor Ederlan, incluyendo los sistemas de información soportes y equipos empleados para el tratamiento de datos de carácter personal, las personas que intervienen en el tratamiento y los locales en los que se ubican.

Todos los tratamientos realizados se apoyan en una base que los legitima:

• Consentimiento
• Relación contractual
• Intereses vitales del interesado
• Obligación legal para el Responsable del Tratamiento

2.    MEDIDAS DE RESPONSABILIDAD ACTIVA

2.1.       Análisis de riesgos

El Responsable del Tratamiento deberá realizar una valoración del riesgo de los tratamientos que realice, a fin de poder establecer qué medidas aplican y cómo implantarlas. Para ello F.Ederlan cuenta con el procedimiento PSI 10.63-C-03 Analisis de Riesgos de los activos de información.

2.2.       Protección de datos desde el diseño y por defecto

Desde el inicio, el Responsables del Tratamiento tomará medidas organizativas y técnicas para adoptar medidas que garanticen que solo se traten los datos necesarios en lo relativo a la cantidad de datos tratados, la extensión del tratamiento, los periodos de conservación y la accesibilidad a los mismos. Estas pautas se detallan en el procedimiento vigente.

2.3.       Registro de actividades de tratamiento

Tanto el Responsable como el Encargado del Tratamiento mantendrán un registro de operaciones de tratamiento, ya que cuenta con más de 250 trabajadores, aunque los tratamientos que se realizan en Fagor Ederlan S. Coop. no entrañan riesgo para los derechos y libertades de los interesados, son ocasionales y no incluyen categorías especiales de datos o datos relativos a condenas e infracciones penales.

En el Anexo I (RGPD) Registro de actividades de tratamiento se describen detalladamente los datos sujetos a medidas de seguridad y las actividades de tratamiento, junto con los aspectos que les afecten de manera particular.

2.4.       Evaluación del impacto

El Responsable del Tratamiento realizará una Evaluación del Impacto sobre la Protección de Datos (EIPD) cuando:

• Con carácter previo a la puesta en marcha del tratamiento, sea probable que conlleven un alto riesgo para los derechos y libertades de los interesados
• El análisis de riesgo que se lleve a cabo indique que el tratamiento actual de los datos presenta alto riesgo para los derechos o libertades de los interesados.

Cuando el resultado del EIPD haya identificado un alto riesgo que no pueda ser mitigado por medios razonables en términos de tecnología disponible y costes de aplicación, el Responsable del Tratamiento consultará que hacer a la AEPD (Agencia Española Protección de Datos) mediante el envío de la propia Evaluación del Impacto y del Informe Final EIPD.

Consultar información en documento ANEXO II (RGPD) Anexos Adicionales.

  La AEPD podrá ejercer cualquier poder que le otorgue el RGPD, entre ellos prohibir la operación de tratamiento.

Fagor Ederlan no está obligada a realizar la EIPD ya que el tratamiento que realiza de los datos no entraña un alto riesgo para los derechos y libertades de los interesados, no realiza evaluaciones sistemáticas de los datos, no lleva a cabo tratamientos a gran escala de datos especialmente protegidos, ni utiliza tecnologías invasivas con la privacidad.

3.    MEDIDAS DE SEGURIDAD

3.1.       Identificación y autenticación

Medidas y normas relativas a la identificación y autenticación del personal autorizado para acceder a los datos personales. 

Solo el Responsable del Tratamiento y las personas autorizadas pueden acceder a los datos contenidos en el sistema, mediante la identificación con usuarios y contraseñas, que se modificarán según la política de contraseñas definida en el procedimiento vigente. PSI 10.63-C-08 Control Accesos Lògicos.

3.2.       Control de acceso

El personal sólo accederá a aquellos datos y recursos que precise para el desarrollo de sus funciones. En el procedimiento vigente se definen las pautas establecidas para conceder, alterar o anular el acceso sobre los datos y los recursos, conforme a los criterios establecidos por el Responsable del Tratamiento.

El Departamento Sistemas cuenta con la relación de usuarios autorizados a cada sistema de información. Asimismo, se incluye el tipo de acceso autorizado para cada uno de ellos. Esta lista se mantiene actualizada. De existir personal ajeno al Responsable del Tratamiento con acceso a los recursos deberá estar sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.  

El acceso a la documentación en papel se limita exclusivamente al personal autorizado.  

3.3.       Gestión de Soportes y Documentos

Los soportes que contengan datos de carácter personal deberán permitir identificar el tipo de información que contienen, ser inventariados y serán almacenados en un lugar de acceso restringido al que solo tendrán acceso las personas con autorización que se detallan en la descripción en Registro de Actividades de Tratamiento.

Los soportes que vayan a ser desechados, deberán ser previamente destruidos de forma que no sea posible el acceso a la información contenida en ellos o su recuperación posterior.  

En el traslado de la documentación se adoptarán las medidas para evitar la sustracción, pérdida o acceso indebido a la información.

La salida de soportes y documentos que contengan datos de carácter personal, incluidos los comprendidos en correos electrónicos, fuera de los locales bajo el control del Responsable del Tratamiento, deberá ser autorizada por el mismo.

En el procedimiento vigente, se definen las medidas de seguridad que deberán llevarse a cabo para cada una de las tareas enumeradas.  

3.4.       Almacenamiento de la información.

Los datos están almacenados en las carpetas de red, bases datos en nuestros servidores y en la Intranet de Fagor Ederlan S. Coop.

Los equipos de usuario, no saldrán, por regla general de las instalaciones y serán protegidos con contraseñas complejas.  

3.5.       Criterios de archivo

El archivo de los soportes o documentos se realizará según establece el procedimiento vigente PSI 10.63-C-01 Copias de Seguridad, de manera que se garantiza la correcta conservación de los documentos, la localización y consulta de la información y posibilitarán el ejercicio de los derechos de los afectados.

3.6.       Custodia de soportes

En tanto los documentos con datos personales no se encuentren archivados en los dispositivos de almacenamiento indicados en el punto anterior, por estar en proceso de tramitación, las personas que se encuentren a su cargo deberán custodiarlos e impedir el acceso a personas no autorizadas.  

3.7.       Copias de soportes

El Responsable del Tratamiento controlará las copias o reproducciones de los documentos

3.8.       Acceso a datos a través de redes de comunicación

Para acceder a los datos a través de redes de comunicación debe cumplirse los procedimientos aplicables en la organización, PSI 10.63-C-08 Control acceso lógicos.

3.9.       Régimen de trabajo fuera de los locales

No se llevarán a cabo tratamiento de los datos personales fuera de los locales del Responsable del Tratamiento. Si fuera necesario, se emitirá una autorización especificando los usuarios y la duración permitida

3.10.   Copias de respaldo y recuperación

Los procedimientos establecidos para las copias de respaldo y para su recuperación garantizarán su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción. Las directivas de copia y recuperación se detallan en el procedimiento vigente. PSI 10.63-C-01 Copias de Seguridad

Las pruebas anteriores a la implantación o modificación de sistemas de información se realizarán con datos reales previa copia de seguridad, y garantizando el nivel correspondiente al tratamiento realizado.

4.    NOTIFICACIÓN DE BRECHAS DE SEGURIDAD

Se considerarán “brechas de seguridad” a todas aquellas violaciones de seguridad que ocasionen la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.

4.1.       Comunicación a la Agencia de Protección de Datos

Tan pronto como el Responsable del Tratamiento tenga conocimiento de que se ha producido una brecha de la seguridad de los datos personales, debe efectuar la correspondiente notificación a la Agencia Española de Protección de Datos, sin dilación y a más tardar en las 72 horas siguientes. La única excepción a esta obligación de notificación tendría lugar cuando el Responsable pueda demostrar que la brecha de la seguridad de los datos personales no entraña un riesgo para los derechos y las libertades de las personas físicas.

La notificación contemplará lo requerido por la Autoridad de Control como se recoge el procedimiento Protección de Datos Personales.

El Responsable del Tratamiento registrará los hechos relacionados con dicha brecha de seguridad, incluyendo el tipo de incidente, descripción del mismo, gravedad, estado y medidas adoptadas para su resolución.

4.2.       Comunicación al interesado

Cuando la brecha de seguridad entrañe un alto riesgo para los derechos o libertades de los interesados, la notificación a la Agencia Española de Protección de Datos deberá complementarse con una notificación dirigida a estos últimos.

Deberá comunicarse al interesado la brecha de seguridad de los datos de carácter personal siempre que no se den las siguientes circunstancias:

• El Responsable del Tratamiento ha adoptado medidas de protección, técnicas y organizativas apropiadas para dar solución a la brecha de seguridad de los datos de carácter personal, por ejemplo el cifrado.
• El Responsable del Tratamiento ha tomado medidas correctivas para garantizar que no se repetirá la brecha de seguridad de los datos de carácter personal.
• Cuando la comunicación suponga un esfuerzo desproporcionado.

5.    INFORMACIÓN Y OBLIGACIONES DEL PERSONAL

5.1.       Información al personal

Para asegurar que todas las personas conocen las normas de seguridad que afectan al desarrollo de sus funciones, así como las consecuencias del incumplimiento de las mismas, serán informadas mediante el envío o publicación del presente documento.

5.2.       Funciones y obligaciones del personal

Todo el personal que acceda a los datos de carácter personal está obligado a conocer y observar las medidas, normas, procedimientos, reglas y estándares que afecten a las funciones que desarrolla.

Esta información se encuentra recogida en el Anexo A (PSI 10.63-C-02 ) Políticas Uso Activos Información, que se encuentra publicado en la intranet de Fagor Ederlan y también es entregado a los trabajadores durante el proceso del plan de acogida y se encuentra publicado en nuestra intranet para estar disponible

Constituye una obligación del personal notificar al Responsable del Tratamiento las incidencias de seguridad de las que tengan conocimiento respecto a los recursos protegidos, según los procedimientos establecidos en este Documento, y en el procedimiento vigente.  Todas las personas deberán guardar el debido secreto y confidencialidad sobre los datos personales que conozcan en el desarrollo de su trabajo. El personal que realice trabajos que no impliquen el tratamiento de datos personales tendrá limitado el acceso a estos datos, a los soportes que los contengan, o a los recursos del sistema de información.  Cuando se trate de personal ajeno, el contrato de prestación de servicios recogerá expresamente la prohibición de acceder a los datos personales y la obligación de secreto respecto de aquellos datos que hubiera podido conocer durante la prestación del servicio.

5.3.       Responsable del Tratamiento

Responsable del Tratamiento es el encargado jurídicamente de la seguridad de los datos personales y de las medidas establecidas en el presente documento, implantará las medidas de seguridad establecidas en él y adoptará las medidas necesarias para que el personal afectado por este documento conozca las normas que afecten al desarrollo de sus funciones.

Su obligación principal es implantar las medidas de seguridad establecidas en este documento, incluida la elección de encargados, de forma que garantice y esté en condiciones de demostrar que el tratamiento se realiza conforme al RGPD.

El Responsable del Tratamiento deberá:

• Garantizar la difusión de este Documento entre todo el personal que vaya a utilizar datos personales.
• Mantenerlo actualizado siempre que se produzcan cambios relevantes en el sistema de información o en la organización del mismo.
• Adecuar en todo momento el contenido del mismo a las disposiciones vigentes en materia de seguridad de datos.
• Mantener un registro de actividades de tratamiento y determinar las medidas de seguridad aplicables a los tratamientos que realizan.
• Designar a un Delegado de Protección de Datos cuando el tratamiento lo lleva a cabo una autoridad u organismo público, cuando las actividades principales del responsable o el encargado del tratamiento consisten en operaciones de tratamiento que requieren el seguimiento regular y sistemático de los interesados a gran escala, o cuando las actividades principales del responsable o el encargado del tratamiento consisten en el tratamiento a gran escala de categorías especiales de datos personales.

5.4.       Encargado(s)  del Tratamiento(s)

El encargado de tratamiento es la persona física o jurídica que trata datos de carácter personal por cuenta del Responsable de Tratamiento, como consecuencia de la existencia de una relación jurídica que le vincula con el mismo y delimita el ámbito de su actuación para la prestación de un servicio.

Sus obligaciones mínimas son:

• Ofrecer garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que se garantice la protección de los datos de carácter personal a los que tenga acceso
• Mantener el registro de actividades de tratamiento, recogido en el documento ANEXO I (RGPD) Actividades de Tratamiento.
• Determinar las medidas de seguridad aplicables a los tratamientos que realizan.
• Designará a un Delegado de Protección de Datos cuando el tratamiento lo lleva a cabo una autoridad u organismo público, cuando las actividades principales del responsable o el encargado del tratamiento consisten en operaciones de tratamiento que requieren el seguimiento regular y sistemático de los interesados a gran escala, o cuando las actividades principales del responsable o el encargado del tratamiento consisten en el tratamiento a gran escala de categorías especiales de datos personales.

El tratamiento se regirá por un contrato que establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales, las obligaciones y los derechos.  

5.5.       Responsable de Seguridad  

El Responsable de Seguridad coordinará la puesta en marcha de las medidas de seguridad controlando el cumplimiento de las mismas y colaborará con el Responsable del Tratamiento en la difusión del Documento de Seguridad.

5.6.       Delegado de Protección de Datos  

La empresa no tiene obligación legal de contar con un Delegado de Protección de Datos. Si se nombrar, sus obligaciones serían:

• Informará y asesorará al Responsable del Tratamiento y/o al Encargado de Tratamiento y a los empleados que se ocupen del tratamiento de las obligaciones que les incumben.
• Supervisará el cumplimiento de las políticas del Responsable del Tratamiento y/o del Encargado de Tratamiento en materia de protección de datos incluida la asignación de responsabilidades, la concienciación y formación del personal y las auditorías correspondientes.
• Ofrecerá asesoramiento cuando se le solicite acerca de la evaluación de impacto relativa a la protección de datos.
• Cooperará con las autoridades de control.
• Actuará como punto de contacto de la autoridad de control para cuestiones relativas al tratamiento y realizará consultas en su caso sobre cualquier otro asunto.
• Desempeñará sus funciones prestando la debida atención a los riesgos asociados a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y fines del tratamiento.

5.7.       Personal

Proteger la información a la que tenga acceso en virtud de su puesto y funciones de acuerdo a lo establecido en el presente Documento de Seguridad. y en virtud de los acuerdos de confidencialidad firmados y reflejados en el código ético.

5.8.       Administrador de Sistemas

Ejecutar las acciones necesarias para proteger la información de acuerdo a lo establecido en el presente Documento de Seguridad.

5.9.       Consecuencias del incumplimiento  

El incumplimiento de las obligaciones y medidas de seguridad establecidas en el presente documento por el personal afectado, se sancionará conforme a la normativa vigente en Fagor Ederlan.

6.    DERECHOS DE LOS INTERESADOS

El Responsable del Tratamiento facilitará a los interesados el ejercicio de sus derechos, por medios presenciales y electrónicos, en las direcciones de correo postal y electrónico que figuran en el documento ANEXO I (RGPD) Actividades de Tratamiento. Además tomará las medidas necesarias para verificar la identidad de quienes soliciten acceso a los datos y de quienes ejerzan los restantes derechos (derecho al olvido, subsanar datos,…). Los procedimientos y las formas para ello deben ser visibles, accesibles y sencillos.

El ejercicio de los derechos será gratuito para el interesado, excepto en los casos en que se formulen solicitudes manifiestamente infundadas o excesivas, especialmente por repetitivas, el Responsable del Tratamiento podrá cobrar un canon que compense los costes administrativos de atender a la petición o negarse a actuar. El canon no podrá implicar un ingreso adicional para el Responsable del Tratamiento, sino que deberá corresponderse efectivamente con el verdadero coste de la tramitación de la solicitud.

El Responsable del Tratamiento informará al interesado sobre las actuaciones derivadas de su petición en el plazo de un mes, podrá extenderse dos meses más cuando se trate de solicitudes especialmente complejas y deberá notificar esta ampliación dentro del primer mes. Si el Responsable del Tratamiento decide no atender una solicitud, deberá informar de ello, motivando su negativa, dentro del plazo de un mes desde su presentación.

El interesado podrá pedir copia no solo de los datos base, sino también de las copias y documentos realizados a partir de los datos base, el Responsable del Tratamiento atenderá a este derecho facilitando el acceso remoto a un sistema seguro que ofrezca al interesado un acceso directo a sus datos personales.

El Responsable del Tratamiento podrá contar con la colaboración de los Encargados de Tratamiento para atender al ejercicio de derechos de los interesados, pudiendo incluir esta colaboración en el contrato de Encargado de Tratamiento.

6.1.       Derechos de acceso

Este derecho permite al interesado dirigirse al Responsable del Tratamiento para solicitarle información sobre si sus propios datos de carácter personal están siendo objeto de tratamiento, la finalidad del tratamiento que, en su caso, se esté realizando, así como la información disponible sobre el origen de dichos datos y las comunicaciones realizadas o previstas de los mismos.

6.2.       Derechos de rectificación y cancelación

Estos derechos son las dos opciones que dispone el ciudadano cuando sus datos personales sometidos a tratamiento resulten ser inexactos, incompletos, inadecuados o excesivos. En estos supuestos, el titular de los datos puede requerir al Responsable del Tratamiento para que rectifique los datos y registre los que correspondan o bien para que cancele sus datos y los elimine.

6.3.       Derechos de oposición

Este derecho consiste en la facultad que posee el titular de los datos par a dirigirse al Responsable del Tratamiento y requerirle para que deje de tratar sus datos de carácter personal en los siguientes supuestos:

• Cuando se estén tratando sus datos personales sin consentimiento.
• Cuando el tratamiento de sus datos se realice con fines de publicidad o de prospección comercial.
• Cuando el tratamiento tenga por finalidad la adopción de una decisión referida al afectado y basada únicamente en un tratamiento automatizado de sus datos de carácter personal.

6.4.       Derechos a la limitación del tratamiento

Este derecho permite al interesado obtener del Responsable del Tratamiento la limitación del tratamiento de los datos cuando se cumpla alguna de las siguientes condiciones:

• El interesado impugne la exactitud de los datos personales
• El tratamiento sea ilícito y el interesado se oponga a la supresión de los datos personales y solicite en su lugar la limitación del uso
• El responsable ya no necesite los datos personales para los fines del tratamiento, pero el interesado los necesite para la formulación, el ejercicio o la defensa de reclamaciones.
• El interesado se haya opuesto al tratamiento de sus datos mientras se verifica si los motivos legítimos del responsable prevalecen sobre los del interesado.

6.5.       Derechos a la portabilidad de los datos

El propósito de este derecho es capacitar al interesado y darle más control sobre los datos personales que le afectan, para ello el interesado puede recibir los datos personales que haya proporcionado al Responsable del Tratamiento en un formato estructurado, de uso común y legible por máquina, así como transmitirlos a otro Responsable del Tratamiento sin que lo impida el Responsable al que se los hubiera facilitado.

6.6.       Derecho al olvido

Este derecho permite al interesado obtener del Responsable del Tratamiento la supresión de los datos que le conciernen, el cual estará obligado a suprimir los datos personales cuando concurra alguna de las circunstancias siguientes:

• Los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos.
• El interesado retire el consentimiento.
• Los datos personales hayan sido tratados ilícitamente.
• Los datos personales deban suprimirse para el cumplimiento de una obligación legal.

7.    TRANSFERENCIAS INTERNACIONALES

Los datos solo podrán ser comunicados fuera del Espacio Económico Europeo a aquellos países, territorios, sectores u organismos internacionales sobre los que la Comisión Europea haya considerado que disponen de un nivel adecuado de protección o, en otro caso, se aporten garantías suficientes o se den algunas de las circunstancias previstas como excepciones, que permiten transferir los datos sin garantías de protección adecuada por razones de necesidad vinculadas al interés del propio titular de los datos o a intereses generales.

Las transferencias se pueden llevar a cabo sin necesidad de autorización previa, salvo que las garantías se aporten a través de un contrato ad hoc o de un acuerdo administrativo entre autoridades públicas.

No será necesario notificar a la Agencia Española de Protección de Datos, salvo que las transferencias se amparen en el interés legítimo imperioso del responsable del tratamiento.

Fagor Ederlan no transfiere datos de carácter personal, salvo alguna excepción por razones de interés del propio titular, en cuyo caso se solicita su consentimiento expreso.

8.    TRATAMIENTO DE DATOS DE MENORES

Los Responsables del Tratamiento deberán verificar que para los niños menores de 14 años de edad, el consentimiento se ha dado o se ha autorizado por los padres o tutores del menor.

9.    PROCEDIMIENTOS DE REVISIÓN

9.1.       Revisión del documento de seguridad

El documento se mantendrá en todo momento actualizado y se revisará siempre que se produzcan cambios relevantes en el sistema de información, en el contenido de la información tratada o como consecuencia de los controles periódicos realizados. En todo caso se entenderá como cambio relevante cuando pueda repercutir en el cumplimiento de las medidas de seguridad implantadas

Asimismo, deberá adecuarse, en todo momento, a las disposiciones vigentes en materia de seguridad de los datos de carácter personal. El Responsable del Tratamiento los revisará anualmente, realizando los cambios que considere oportuno.

9.2.       Auditorías

Deberán realizarse auditorías para verificar el cumplimiento de las medidas de seguridad, cuando:

• Se lleven a cabo modificaciones sustanciales en el sistema de información que puedan repercutir en el cumplimiento de las medidas de seguridad implantadas, con el objeto de verificar la adaptación, adecuación y eficacia de las mismas.
• Se sospeche que los datos pueden estar comprometidos

El informe analizará la adecuación de las medidas y controles al Reglamento, identificará las deficiencias y propondrá las medidas correctoras o complementarias necesarias.

Los informes de auditoría han de ser analizados por el Responsable de Seguridad competente, que elevará las conclusiones al Responsable del Tratamiento para que adopte las medidas correctoras.

9.3.       Listas de verificación

Esta lista pretende llevar de una forma ordenada una valoración de la situación de la organización frente a las principales obligaciones del RGPD. Su contenido se encuentra definido en el documento Anexo II (RGPD) Anexos Adicionales, apartado Lista de Verificación y se presenta como un listado de preguntas que Responsables de Tratamiento y Encargados de Tratamiento deberán formularse, y responder adecuadamente, a la hora de determinar cuál es su situación ante la aplicación del RGPD.

10. DEFINICIONES

Datos personales: Toda información sobre una persona física identificada o identificable.

Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no.

Limitación del Tratamiento: el marcado de los datos de carácter personal conservados con el fin de limitar su tratamiento en el futuro.

Fichero: Todo conjunto estructurado de datos personales, accesibles con arreglo a criterios determinados, ya sea centralizado, descentralizado o repartido de forma funcional o geográfica.

Responsable del Tratamiento o Responsable: La persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.

Encargado del Tratamiento o Encargado: La persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento.

Consentimiento del Interesado: Toda manifestación de voluntad libre, específica, informada e inequívoca por la que el interesado acepta, ya sea mediante una declaración o una clara acción afirmativa, el tratamiento de datos personales que le conciernen.

Violación de la Seguridad de los Datos Personales: Toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.

Autoridad de Control: La autoridad pública independiente establecida por un Estado miembro.

11. HISTORIAL DE MODIFICACIONES