Fontes de dados
Os dados pessoais devem ser coletados diretamente do titular dos dados, a menos que uma das situações a seguir se aplique:
- A natureza da finalidade comercial exige a coleta de dados pessoais de outras pessoas ou órgãos.
- A coleta deve ser realizada em circunstâncias de emergência para proteger os interesses vitais do titular dos dados ou para evitar perdas ou danos graves a outra pessoa.
Se os dados pessoais forem coletados de alguém que não seja o titular dos dados, o titular dos dados deverá ser informado sobre a coleta, a menos que uma das situações a seguir se aplique:
- O titular dos dados recebeu as informações necessárias por outros meios.
- As informações devem permanecer confidenciais devido a uma obrigação de sigilo profissional.
- Uma lei nacional prevê expressamente a coleta, o processamento ou a transferência dos dados pessoais.
Quando for determinado que a notificação a um titular de dados é necessária, a notificação deve ocorrer imediatamente, mas no máximo um mês após a primeira coleta ou registro dos dados pessoais, no momento da primeira comunicação, se usados para comunicação com o titular dos dados, no momento da divulgação, se divulgados a outro destinatário.
Notificação do titular dos dados
A Malvern International, quando exigido pela lei aplicável, por contrato ou quando considerar que é razoavelmente apropriado fazê-lo, fornecerá aos titulares dos dados informações sobre a finalidade do processamento de seus dados pessoais.
Quando um titular de dados for solicitado a dar consentimento para o processamento de seus dados pessoais e quando qualquer dado pessoal for coletado do titular de dados, todas as divulgações apropriadas serão feitas, de forma a chamar a atenção para elas, a menos que uma das seguintes situações se aplique:
- O titular dos dados já tem as informações.
- Uma isenção legal se aplica aos requisitos de divulgação e/ou consentimento.
- A divulgação pode ser feita eletronicamente ou por escrito.
Avisos de privacidade para funcionários
A Malvern International fornecerá aos Funcionários da Empresa um aviso de privacidade relacionado à coleta e ao processamento de seus dados pessoais.
A Malvern International também incluirá um Aviso de Privacidade on-line para possíveis terceiros que não sejam funcionários da Empresa e um ‘Aviso de Cookie’ on-line que atenda às exigências da lei aplicável.
Criação de perfil e tomada de decisão automatizada
Atualmente, a Malvern International não se envolve na criação de perfis e na tomada de decisões automatizadas. Se for necessário participar da criação de perfis e da tomada de decisões automatizadas, isso ocorrerá somente para firmar ou executar um contrato com o titular dos dados ou quando isso for autorizado por lei. Nesses casos, o titular dos dados terá a oportunidade de:
- Expressar seu ponto de vista
- Obter uma explicação sobre a decisão automatizada
- Revisar a lógica usada pelo sistema automatizado
- Completar o sistema automatizado com dados adicionais
- Solicitar a um ser humano que faça uma revisão da decisão automatizada
- Contestar a decisão automatizada
- Objetar que a tomada de decisão automatizada seja realizada.
A criação de perfis e a tomada de decisões automatizadas são fortemente restringidas pela lei de proteção de dados e só devem ser realizadas após a conclusão de uma avaliação do impacto da proteção de dados. A equipe não tem permissão para realizar atividades que envolvam a criação de perfis ou a tomada de decisões automatizadas sem antes buscar a orientação e o apoio do Diretor de Proteção de Dados.
Marketing digital
A Malvern International somente enviará material promocional ou de marketing direto a qualquer contato por meio de canais digitais, como telefones celulares, e-mail e Internet, quando esse material estiver em conformidade com a lei de proteção de dados. Qualquer pessoa associada à Malvern International que deseje realizar uma campanha de marketing digital sem obter o consentimento prévio do titular dos dados deve primeiro ter a aprovação do Diretor de Proteção de Dados.
Quando o processamento de dados pessoais for aprovado para fins de marketing digital, o titular dos dados deverá ser informado, no momento do primeiro contato, de que tem o direito de se opor, em qualquer estágio, a que seus dados sejam processados para tais fins. Se o titular dos dados apresentar uma objeção, o processamento relacionado ao marketing digital de seus dados pessoais deverá ser interrompido imediatamente e seus detalhes deverão ser mantidos em uma lista de supressão com um registro de sua decisão de exclusão, em vez de serem completamente excluídos.
Deve-se observar que, quando o marketing digital é realizado em um contexto de ‘empresa para empresa’, não há exigência legal de obter uma indicação de consentimento para realizar marketing digital para indivíduos, desde que eles tenham a oportunidade de optar por não participar.
Retenção de dados
Para garantir um processamento justo, os dados pessoais não serão retidos pela Malvern International por mais tempo do que o necessário em relação às finalidades para as quais foram originalmente coletados ou para as quais foram processados posteriormente.
O período de tempo pelo qual a Malvern International precisa reter dados pessoais está definido no Anexo 1. Isso leva em conta os requisitos legais, contratuais e comerciais que influenciam os períodos de retenção. Todos os dados pessoais devem ser excluídos ou destruídos o mais rápido possível quando for confirmado que não há mais necessidade de retê-los, a menos que haja uma finalidade legítima para não fazê-lo. Qualquer decisão de não destruir ou excluir dados pessoais de acordo com as orientações de retenção do Apêndice 1 deve ser documentada por escrito e aprovada pelo CEO.
Proteção de dados
A Malvern International adotará medidas físicas, técnicas e organizacionais para garantir a segurança dos dados pessoais. Isso inclui a prevenção de perda ou dano, alteração, acesso ou processamento não autorizado e outros riscos aos quais ela possa estar exposta em virtude de ação humana ou do ambiente físico ou natural.
O conjunto mínimo de medidas de segurança a ser adotado pela Malvern International é fornecido a seguir:
- Impedir que pessoas não autorizadas tenham acesso aos sistemas de processamento de dados nos quais os dados pessoais são processados.
- Impedir que pessoas autorizadas a usar um sistema de processamento de dados acessem dados pessoais além das necessidades e autorizações.
- Garantir que os dados pessoais durante a transmissão eletrônica durante o transporte não possam ser lidos, copiados, modificados ou removidos sem autorização.
- Certifique-se de que os registros de acesso estejam em vigor para determinar se, e por quem, os dados pessoais foram inseridos, modificados ou removidos de um sistema de processamento de dados.
- Garantir que, no caso de o processamento ser realizado por um processador de dados, os dados possam ser processados somente de acordo com as instruções do controlador de dados.
- Garantir que os dados pessoais sejam protegidos contra destruição ou perda indesejada.
- Assegurar que os dados pessoais coletados para diferentes finalidades possam ser e sejam processados separadamente.
- Garantir que os dados pessoais não sejam mantidos por mais tempo do que o necessário.
- Assegurar que o pessoal apropriado da empresa seja treinado sobre os principais requisitos de conformidade de acordo com a legislação de proteção de dados e sobre como eles podem garantir que a segurança dos dados pessoais seja mantida de acordo com esta política.
Responsabilidades do pessoal da empresa
Todos que trabalham para a Malvern International ou em nome dela têm alguma responsabilidade por garantir que os dados sejam coletados, armazenados e tratados adequadamente, de acordo com esta política e as políticas associadas.
O CEO e o Parceiro de Negócios de RH são responsáveis por revisar esta política e atualizar o Conselho de Administração sobre as responsabilidades de proteção de dados da Malvern International e quaisquer riscos relacionados ao processamento de dados. Todas as perguntas relacionadas a esta política ou à proteção de dados devem ser encaminhadas a essa pessoa.
O pessoal da empresa deve:
- somente acessarão os Dados Pessoais se precisarem deles para o trabalho que realizam para a Malvern International e somente se forem autorizados a fazê-lo. Eles só devem usar os dados para a finalidade legal especificada para a qual foram obtidos.
- não compartilhar dados pessoais informalmente.
- manter os Dados Pessoais seguros e não compartilhá-los com pessoas não autorizadas.
- revisar regularmente e, quando necessário ou solicitado, atualizar os Dados Pessoais com os quais lidam. Isso inclui nos informar se seus próprios detalhes de contato forem alterados.
- não fazer cópias desnecessárias de Dados Pessoais e deve manter e descartar quaisquer cópias de forma segura.
- use senhas fortes e não compartilhe suas senhas com nenhuma outra pessoa.
- devem bloquear as telas de seus computadores quando não estiverem em suas mesas.
- não levar os Dados Pessoais para fora das instalações da Empresa sem autorização de seu gerente de linha ou do Parceiro de Negócios de RH.
- pedir ajuda ao Parceiro de Negócios de RH se não tiver certeza sobre a proteção de dados ou se perceber que podemos melhorar alguma área de proteção ou segurança de dados.
Os dados pessoais devem ser criptografados antes de serem transferidos eletronicamente para contatos externos autorizados. Fale com a equipe de TI para obter mais informações sobre como fazer isso.
Considere a possibilidade de tornar os dados anônimos ou usar chaves/códigos separados para que o Titular dos Dados não possa ser identificado.
Os Dados Pessoais não devem ser salvos em computadores pessoais ou outros dispositivos que não pertençam à Malvern International.
Os dados pessoais nunca devem ser transferidos para fora da Área Econômica Europeia, exceto em conformidade com a lei e com a autorização do CEO.
As gavetas da mesa e os armários de arquivos devem ser trancados. Não deixe papéis com dados pessoais espalhados.
Os dados pessoais devem ser triturados e descartados de forma segura quando não forem mais necessários.
Aplicação de políticas
Qualquer violação deliberada ou negligente desta política pelo pessoal da empresa pode resultar em ação disciplinar contra esse pessoal, de acordo com nosso procedimento disciplinar.
É um crime ocultar ou destruir Dados Pessoais que fazem parte de uma solicitação de acesso de um sujeito (veja abaixo). Essa conduta também constituiria má conduta grave de acordo com nosso procedimento disciplinar, o que poderia resultar em demissão.
Observe que, embora esta política forneça exemplos, ela não é de forma alguma uma lista exaustiva e você poderá ser notificado sobre outras regras específicas de tempos em tempos.
Direitos do titular dos dados e solicitações do titular dos dados
Os Titulares de Dados (o que inclui o Pessoal da Empresa) têm vários direitos em relação aos seus dados pessoais processados pela Malvern International. Esses direitos serão detalhados no aviso de privacidade relevante para o titular dos dados. Os Funcionários da Empresa receberão um aviso de privacidade. Os terceiros poderão acessar os avisos de privacidade on-line ou solicitar uma cópia diretamente.
A Malvern International estabelecerá um sistema para permitir e facilitar o exercício dos direitos dos titulares de dados relacionados a:
- Acesso às informações
- Objeção ao processamento
- Objeção à tomada de decisões automatizada e à criação de perfis
- Restrição de processamento
- Portabilidade de dados
- Retificação de dados
- Apagamento de dados
Se um indivíduo fizer uma solicitação relacionada a qualquer um dos direitos listados acima, a Malvern International considerará cada solicitação de acordo com todas as leis e regulamentos de proteção de dados aplicáveis. Se um membro da equipe receber uma solicitação, ele não poderá gerenciar a solicitação por conta própria e deverá notificar o responsável pela proteção de dados o mais rápido possível.
Os Titulares dos Dados podem fazer uma solicitação relacionada a seus direitos, desde que seja por escrito. No entanto, os Titulares dos Dados são incentivados a solicitar e usar o formulário de solicitação do titular dos dados (disponível no RH) e enviá-lo ao departamento de RH. Isso garantirá que a solicitação seja recebida pelas pessoas certas dentro da Malvern International e possa ser processada prontamente.
Os titulares dos dados deverão verificar sua identidade ao enviar a solicitação. Se isso não for feito, a solicitação poderá não ser concluída.
Os titulares de dados têm o direito de obter as seguintes informações sobre seus próprios dados pessoais:
- As finalidades da coleta, do processamento, do uso e do armazenamento de seus dados pessoais.
- A(s) fonte(s) dos dados pessoais, caso não tenham sido obtidos do titular dos dados.
- As categorias de dados pessoais armazenados para o titular dos dados.
- Os destinatários ou categorias de destinatários para os quais os dados pessoais foram ou podem ser transmitidos, juntamente com a localização desses destinatários.
- O período de armazenamento previsto para os dados pessoais ou a justificativa para determinar o período de armazenamento.
- O uso de qualquer tomada de decisão automatizada, incluindo a criação de perfis.
- O direito do titular dos dados de se opor ao processamento de seus dados pessoais, apresentar uma reclamação à autoridade de proteção de dados, solicitar a retificação ou o apagamento de seus dados pessoais, solicitar a restrição do processamento de seus dados pessoais.
Todas as solicitações recebidas para acesso ou retificação de dados pessoais devem ser encaminhadas ao Departamento de RH, que registrará cada solicitação à medida que ela for recebida. Uma resposta a cada solicitação será fornecida em até 30 dias após o recebimento da solicitação por escrito do titular dos dados. A verificação adequada deve confirmar que o solicitante é o titular dos dados ou seu representante legal autorizado. Os titulares dos dados terão o direito de exigir que a Malvern International corrija ou complemente dados pessoais errôneos, enganosos, desatualizados ou incompletos.
Se a Malvern International não puder responder à solicitação dentro de 30 dias, ela se comprometerá a fornecer o seguinte dentro do prazo especificado:
- Uma confirmação de recebimento da solicitação.
- Qualquer informação localizada até o momento.
- Detalhes de quaisquer informações ou modificações solicitadas que não serão fornecidas ao titular dos dados, o(s) motivo(s) da recusa e quaisquer procedimentos disponíveis para recorrer da decisão.
- Uma data estimada para o fornecimento de quaisquer respostas restantes (no máximo 3 meses a partir do envio da solicitação inicial).
- Uma estimativa de quaisquer custos a serem pagos pelo titular dos dados (por exemplo, quando a solicitação for de natureza excessiva).
- O nome e as informações de contato da pessoa que o titular dos dados deve contatar para acompanhamento.
Deve-se observar que podem ocorrer situações em que o fornecimento das informações solicitadas por um titular de dados revelaria dados pessoais de outro indivíduo. Nesses casos, as informações devem ser redigidas ou retidas conforme necessário ou apropriado para proteger os direitos dessa pessoa.
Solicitações e divulgações de aplicação da lei
Em determinadas circunstâncias, é permitido que os dados pessoais sejam compartilhados sem o conhecimento ou o consentimento do titular dos dados. Esse é o caso quando a divulgação dos dados pessoais é necessária para qualquer uma das seguintes finalidades:
- A prevenção ou detecção de crimes.
- A apreensão ou acusação de infratores.
- A avaliação ou cobrança de um imposto ou taxa.
- Por ordem de um Tribunal ou por qualquer regra de direito.
Se a Malvern International processar dados pessoais para uma dessas finalidades, ela poderá aplicar uma exceção às regras de processamento descritas nesta política, mas somente na medida em que não fazê-lo provavelmente prejudicaria o caso em questão.
Treinamento em proteção de dados
Todos os funcionários da Malvern International que tiverem acesso a dados pessoais terão suas responsabilidades de acordo com esta política descritas como parte do treinamento de integração da equipe. A Malvern International fornecerá treinamento regular em Proteção de Dados e orientação de procedimentos para seus funcionários, e a conclusão desse treinamento é obrigatória.
Traslados entre os locais da Malvern International
Para que a Malvern International realize suas operações de forma eficaz em seus diversos sites, pode haver ocasiões em que seja necessário transferir dados pessoais de um site para outro, para permitir o acesso aos dados pessoais de um local no exterior. Caso isso ocorra, o site que envia os dados pessoais permanece responsável por garantir a proteção desses dados pessoais e também a conformidade com as transferências de dados fora da Área Econômica Europeia. Toda a equipe deve garantir que os dados sejam transferidos por meios oficiais e autorizados. Os funcionários não têm permissão para compartilhar dados informalmente usando plataformas pessoais, como o WhatsApp ou outros serviços de mensagens instantâneas,
Transferências para terceiros
A Malvern International somente transferirá dados pessoais ou permitirá o acesso de terceiros quando tiver certeza de que as informações serão processadas de forma legítima e protegidas adequadamente pelo destinatário. Quando o processamento de terceiros ocorrer, a Malvern International identificará primeiro se, de acordo com a lei aplicável, o terceiro é considerado um controlador ou processador de dados dos dados pessoais que estão sendo transferidos.
Quando o terceiro for considerado um controlador de dados, será firmado um acordo apropriado com o controlador para esclarecer as responsabilidades de cada parte em relação aos dados pessoais transferidos.
Quando o terceiro for considerado um processador de dados, a Malvern International se esforçará para firmar um contrato de processamento adequado com o processador de dados. O contrato exigirá que o processador de dados proteja os dados pessoais de divulgação posterior e processe os dados pessoais somente em conformidade com as instruções da Malvern International. Além disso, o contrato exigirá que o processador de dados implemente medidas técnicas e organizacionais adequadas para proteger os dados pessoais, bem como procedimentos para fornecer notificação de violações de dados pessoais.
Quando a Malvern International estiver terceirizando serviços para um terceiro, ela identificará se o terceiro processará dados pessoais em seu nome e se a terceirização implicará em transferências de dados pessoais para países terceiros. Em ambos os casos, a Malvern International se certificará de incluir provisões adequadas no contrato de terceirização para esse processamento e transferências para países terceiros.
Tratamento de reclamações
Os titulares de dados com uma reclamação sobre o processamento de seus dados pessoais devem ser encaminhados à caixa de correio de proteção de dados gdpr@malvernplc.com
Relatórios de violações
Qualquer indivíduo que suspeite da ocorrência de uma violação de dados pessoais devido ao roubo ou exposição de dados pessoais deve notificar imediatamente o Diretor de Proteção de Dados, fornecendo uma descrição do ocorrido. A notificação do incidente pode ser feita por e-mail em gdpr@malvernplc.com
O Diretor de Proteção de Dados investigará todos os incidentes relatados para confirmar se houve ou não uma violação de dados pessoais. Se uma violação de dados pessoais for confirmada, o Diretor de Proteção de Dados seguirá o procedimento autorizado relevante com base na criticidade e na quantidade de dados pessoais envolvidos. No caso de violações graves de dados pessoais, a Malvern International iniciará e presidirá uma equipe de resposta de emergência para coordenar e gerenciar a resposta à violação de dados pessoais.
