VELERIA LONGARELA SL

POLÍTICA

RETENCIÓN DE DATOS PERSONALES

V.00 

ÍNDICE

1. OBJETIVO, ALCANCE Y USUARIOS. 3
2. REGLAS DE CONSERVACIÓN. 3

2.1.       Principio general de retención. 3

2.2.       Excepciones a la regla general. 3

3. CAUSAS HABILITANTES DE LA SUPRESIÓN DE LOS DATOS PERSONALES. 3

3.1.       Terminación de la condición legitimadora del tratamiento. 3

3.2.       Ante una solicitud de derecho de supresión estimatoria. 4

3.3.       Cuando la Organización  actúa como Encargada del Tratamiento y deja de prestar el servicio contratado por el Responsable del Tratamiento. 5

4. MECANISMOS DE SUPRESIÓN DE LOS DATOS PERSONALES. 5

4.1.       Programa de eliminación rutinaria. 6

5. PLAZOS LEGALES DE CONSERVACIÓN DE DATOS. 6

5.1.       Bloqueo de los datos personales. 6

6. SALVAGUARDA DE DATOS DURANTE EL PERIODO DE CONSERVACIÓN. 7

6.1.       Ejecución y cumplimiento. 8

7. PUBLICACIÓN. 8
8. HISTORIAL DE CAMBIOS. 8
9. ANEXO UNO.. 10
10. ANEXO DOS. 18
11. ANEXO TRES. 19

1.      OBJETIVO, ALCANCE Y USUARIOS.

Esta Política establece los periodos de conservación legalmente establecidos para los datos personales tratados por la Organización en el desarrollo de su actividad. Además, fija los estándares mínimos aplicables para la supresión o bloqueo de los datos.

Esta Política  aplica a todas las unidades de negocio, procesos y sistemas en todos los países en los que la Organización lleva a cabo sus negocios y realiza transacciones u otras relaciones comerciales con terceros.

La presente Política deberá ser observada por la Organización , así como por las demás entidades que traten datos de carácter personal en calidad de Encargados del Tratamiento, siendo de aplicación respecto de datos que sean objeto tanto de tratamiento automatizado como de tratamiento no automatizado (soporte papel).

• DD.
• Documentos electrónicos.
• Documentos en papel.
• Correos electrónicos.
• Vídeo y audio.
• Datos generados por los sistemas de control de acceso físico.
• Historial clínico.
• Expediente Académico.

La presente Política resulta de aplicación a todo el personal que maneje datos de carácter personal en el desarrollo de su actividad diaria.

2.      REGLAS DE CONSERVACIÓN.

2.1. Principio general de retención.

La normativa vigente en protección de datos establece los principios de limitación del plazo de conservación y calidad de los datos, en virtud de los cuales, los datos de carácter personal deben ser suprimidos cuando hayan dejado de ser necesarios o pertinentes para la finalidad para la cual hubieran sido recabados o registrados inicialmente.

2.2. Excepciones a la regla general.

No obstante, la excepción al principio general se produce cuando los datos se pretenden conservar para el ejercicio de determinadas acciones legales, defensa de intereses legítimos o para el cumplimiento de algunas obligaciones legales. Estos plazos no son simplemente los de prescripción de las infracciones recogidas en el RGPD y LOPDGDD,  sino que en función de la actividad o actividades desarrolladas por la organización hay que observar diferentes plazos de conservación.  Se adjunta esta información como Anexo número uno.

3.      CAUSAS HABILITANTES DE LA SUPRESIÓN DE LOS DATOS PERSONALES.

3.1. Terminación de la condición legitimadora del tratamiento

Cuando los datos personales tratados ya no sean útiles ni necesarios para la finalidad que justificó su recogida y tratamiento, o una vez cumplida y agotada dicha finalidad, como Regla General,  deberá procederse a la supresión de los datos personales, siempre y cuando no sea necesario proceder al bloqueo de los mismos para responder ante posibles responsabilidades derivadas del tratamiento de datos personales y por el plazo de prescripción de las mismas previstas en el Derecho de la Unión o de los de los Estados miembros que se aplique al responsable del tratamiento.

3.2. Ante una solicitud de derecho de supresión estimatoria

Cuando el interesado haya solicitado el derecho de supresión de los datos personales, y  concurra alguna de las circunstancias siguientes:

• Los datos personales ya no sean necesarios en relación con los fines para los que fueron recogidos o tratados de otro modo.
• El interesado retire el consentimiento en que se basa el tratamiento y éste no se base en otro fundamento jurídico.
• El interesado se oponga al tratamiento con arreglo al artículo 21.1 del RGPD (derecho de oposición), y no prevalezcan otros motivos legítimos para el tratamiento, o el interesado se oponga al tratamiento cuando éste tenga por objeto la mercadotécnica directa (artículo 21.2 del RGPD).
• Los datos personales hayan sido tratados ilícitamente.
• Los datos personales deban suprimirse para el cumplimiento de una obligación legal establecida en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento.
• Los datos personales se hayan obtenido en relación con la oferta de servicios de la sociedad de la información a niños, mencionados en el artículo 8.1 del RGPD.

En estos supuestos, deberá procederse al borrado de los datos personales, siempre y cuando no sea necesario proceder al bloqueo de los mismo para responder ante posibles responsabilidades derivadas del tratamiento de datos personales y por el plazo de prescripción de las mismas previsto en el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento.

No obstante a lo anterior, no se aplicará el derecho de supresión, y por tanto los datos podrán continuar siendo tratados por el Responsable del tratamiento, cuando el tratamiento sea necesario:

• Para ejercer el derecho a la libertad de expresión e información;
• Para el cumplimiento de una obligación legal que requiera el tratamiento de datos impuesta por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento, para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable;
• Por razones de interés público en el ámbito de la salud pública de conformidad con el artículo 9, apartado 2, letras h) e i), y apartado 3;
• Con fines de archivo en interés público, fines de investigación científica o histórica o fines estadísticos, de conformidad con el artículo 89, apartado 1, en la medida en que el derecho indicado en el apartado1 pudiera hacer imposible u obstaculizar gravemente el logro de los objetivos de dicho tratamiento, o
• Para la formulación, el ejercicio o la defensa de reclamaciones.

3.3. Cuando la Organización  actúa como Encargada del Tratamiento y deja de prestar el servicio contratado por el Responsable del Tratamiento. 

El contrato de acceso a datos que regula el tratamiento de datos realizado por el Encargado en nombre de Responsable, deberá recoger un apartado donde se indique la forma expresa el procedimiento de actuación en cuanto a la devolución o destrucción de los datos si estos son almacenados en los sistemas del Encargado.

“Extinguido por cualquier causa el contrato principal, el Encargado del Tratamiento deberá:

Borrar de manera segura todas las copias, BB.DD, archivos temporales y cualquier otro tipo de soportes existentes en los que consten datos de carácter personal tratados por cuenta del Responsable del Tratamiento, ya sea las utilizadas por el Encargado del Tratamiento o por cualquier Subencargado autorizado.

El Encargado del Tratamiento podrá retener aquellos datos de carácter personal tratados por cuenta del Responsable del Tratamiento cuando dicha obligación surja de manera explícita por la legislación de la Unión Europea o de algún Estado Miembro y sólo en la medida y durante el período indicado por dichas legislaciones.

En el caso indicado en el punto anterior, garantizar la confidencialidad de los datos personales tratados por cuenta del RESPONSABLE DEL TRATAMIENTO y asegurarse de que tales datos de carácter personal se tratarán para el o los fin(es) especificados en la legislación antedicha y para ningún otro fin.”

Una vez finalizada la relación comercial que fundamento la relación Encargado – Responsable, este último, deberá solicitar por escrito, la devolución o supresión de los datos borrados por su cuenta.  Se adjunta como Anexo número dos, modelo de comunicado oficial.

En el caso de que la Organización actuara como ET, podría necesitar conservar una  copia de los datos tratados durante los plazos previstos por las disposiciones legales aplicables para acreditar el cumplimiento de sus obligaciones en tanto no hayan prescrito las acciones y plazos legales pertinentes.

Para ello, ante la petición formal de devolución o borrado de los datos tratados, contestará en los terminos del Anexo número tres

4.      MECANISMOS DE SUPRESIÓN DE LOS DATOS PERSONALES.

En atención a los criterios anteriores, si resulta obligatorio proceder al borrador definitivo de los datos personales tratados,  se deberá proceder a la eliminación física de los mismos ya se encuentren éstos en soporte automatizado o no automatizado:

• Si los datos están en soporte no automatizado, se deberá proceder a la destrucción física de los documentos según lo establecido en el apartado 2.1 de la POLÍTICA DESECHADO Y REUTILIZACIÓN DE SOPORTES Y EQUIPOS.

• Si los datos están contenidos en soporte informático, se procederá de igual forma a su eliminación física de la aplicación, sin que sea suficiente el empleo de una marca lógica o el mantenimiento de otro fichero alternativo en el que se registren los derechos de supresión. Sin perjuicio de cualquier otro método de destrucción que pudiera valorarse, el borrado definitivo se realizará de conformidad con lo dispuesto en el aparta 2.2. B de la POLÍTICA DESECHADO Y REUTILIZACIÓN DE SOPORTES Y EQUIPOS.

4.1. Programa de eliminación rutinaria

Los registros que pueden destruirse de manera rutinaria a menos que estén sujetos a una investigación legal o reglamentaria en curso son los siguientes:

• Anuncios y avisos de reuniones diarias y otros eventos que incluyen aceptaciones y disculpas;
• Solicitud de información ordinaria como las direcciones de viajes;
• Reservas para reuniones internas sin cargos/costes externos;
• Documentos de comunicación como cartas, portadas de fax, mensajes de correo electrónico, hojas de ruta, hojas de felicitaciones y elementos similares que acompañan a los documentos pero que no agregan ningún valor;
• Hojas con mensajes;
• Lista de direcciones reemplazadas, listas de distribución, etc.;
• Documentos duplicados tales como copias CC y FYI, borradores sin cambios, impresiones de instantáneas o extractos de bases de datos y archivos diarios;
• Publicaciones internas almacenadas que están obsoletas o reemplazadas; y
• Revistas comerciales, catálogos de proveedores, folletos y boletines de vendedores u otras organizaciones externas.

En todos los casos, la eliminación está sujeta a los requisitos de comunicación que puedan existir en el contexto de un litigio.

5.      PLAZOS LEGALES DE CONSERVACIÓN DE DATOS.

En los casos en los que exista obligación legal de conservar los datos durante un periodo de tiempo determinado, y/o durante los plazos de prescripción de las acciones que pudieran derivarse de la actividad o servicio prestado, de conformidad con lo dispuesto en el artículo 32 de la  Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, la Organización procederá al bloqueo de los datos durante los referidos plazos.

5.1. Bloqueo de los datos personales.

Una vez que los datos dejen de ser necesarios para el tratamiento en cuestión, así como cuando se proceda a  su rectificación o supresión, éstos se mantendrán debidamente bloqueados para, en su caso, ponerlos a disposición de las Administraciones y Organismos Públicos competentes, Jueces y Tribunales o el Ministerio Fiscal, durante el plazo de prescripción de las acciones (abajo indicadas)  que pudieran derivarse de la relación mantenida con el interesado (empleado, cliente, proveedor, etc.),  y/o los plazos de conservación previstos legalmente.

“El bloqueo de los datos consiste en la identificación y reserva de los mismos, adoptando medidas técnicas y organizativas, para impedir su tratamiento, (incluyendo su acceso y visualización), excepto para la puesta a disposición de los datos a los jueces y tribunales, el Ministerio Fiscal o las Administraciones Públicas competentes, en particular de las autoridades de protección de datos, para la exigencia de posibles responsabilidades derivadas del tratamiento y solo por el plazo de prescripción de las mismas”.

Es decir, los datos bloqueados deben ser protegidos de manera que se evite la posibilidad de realizar cualquier tratamiento con ellos (acceso, visualización, gestión, envío de información, supresión…).

Para ello, se pueden utilizar métodos de encriptación, utilizando un algoritmo de cifrado con cierta clave para transformar un mensaje, de tal forma que el mensaje pase a ser incomprensible o, al menos, difícil de comprender a toda persona que no tenga dicha clave. Únicamente podrán ser utilizados y desencriptados cuando la Autoridad competente los solicite.

“Cuando la configuración del sistema de información no permita el bloqueo o se requiera una adaptación que implique un esfuerzo desproporcionado, debe procederse a un copiado seguro de la información de modo que conste evidencia digital, o de otra naturaleza, que permita evidenciar:

• La autenticidad de la evidencia.
• La fecha del bloqueo.
• La no manipulación de los datos.”

En este sentido, cuando el bloqueo no sea posible, se debe realizar una copia segura y conservarla en un lugar distinto a la ubicación anterior (de donde debe ser eliminada), evitando de este modo su disponibilidad para todos los miembros de la organización.

Para garantizar que los datos personales no se conservan más tiempo del necesario, el responsable del tratamiento ha de establecer plazos para su supresión o revisión periódica, en cada caso, para cada actividad de tratamiento.

Para ello, y sin perjuicio de cualesquiera otros plazos que puedan estar previstos en otras normas o circulares que resulten igualmente de aplicación, se recoge en el Anexo I los plazos durante los cuales será necesario conservar los datos personales que hubiesen sido objeto de tratamiento en función de la actividad que tenga causa en el tratamiento de datos personales.

6.      SALVAGUARDA DE DATOS DURANTE EL PERIODO DE CONSERVACIÓN.

Se aplicarán todas las medidas de seguridad necesarias para asegurar la salvaguarda de los datos personales conservados. Si se eligen medios de almacenamiento electrónicos, también se almacenarán los procedimientos y sistemas que garanticen que se pueda acceder a la información durante el período de retención (tanto respecto al soporte de información como a la legibilidad de formatos) para proteger la información contra pérdidas como resultado de futuros cambios tecnológicos.

6.1.           Ejecución y cumplimiento.

La persona designada como responsable de seguridad tiene la responsabilidad de garantizar que cada una de las sedes de la Organización cumpla con esta Política.

Cualquier sospecha de incumplimiento de esta Política debe informarse de inmediato a la Organización. Se investigarán todas las instancias de supuestas infracciones de la Política  y se tomarán medidas según corresponda.

El incumplimiento de esta Política  puede tener consecuencias negativas, que incluyen, entre otras, la pérdida de confianza del cliente, litigios y pérdida de ventajas competitivas, pérdidas financieras y daños a la reputación, lesiones personales, daños o pérdidas de la Organización.

El incumplimiento de esta Política  por parte de empleados permanentes, temporales o contratados, o de terceros, a los que se haya otorgado acceso a las instalaciones o a la información de la Organización, puede dar como resultado procedimientos disciplinarios o el cese de su empleo o contrato.

Tal incumplimiento también puede conducir a acciones legales contra las partes involucradas en tales actividades.

7.      PUBLICACIÓN.

La presente Política  debe ser conocida y estar accesible para todos los integrantes de la Organización, por lo cual se distribuirá la misma a través de los canales habilitados para ello dentro de la organización.

8.      HISTORIAL DE CAMBIOS.

Firma Representante 1 /                                                          Firma Representante 2 / Firma CEO

9.      ANEXO UNO

PLAZOS CONSERVACIÓN DE LA DOCUMENTACIÓN

(Adecuar según tratamientos de cliente)

10.  ANEXO DOS

COMUNICADO.- FIN DE RELACIONES PROFESIONALES  COMO ENCARGADO DE TRATAMIENTO

En …………………., a ……… de ……………… de 2021.

Don. / Doña. ………………………………… como director/a-gerente de la empresa ………………con N.I.F. ………………… y domiciliada en …………………………………….. .

MANIFIESTA

Que con motivo de  la extinción de  la relación profesional que hasta la fecha mantiene con Don. /Doña.……………………….,  en nombre y relación de la sociedad………………………………

1. Da por terminada, con esta misma fecha, la relación comercial ……………….. (Indicar servicio prestado), iniciada en fecha …………..

2. Proceder a la devolución /supresión de todos los datos facilitados en su momento para la realización de  la mencionada relación entre ambas partes, atendiendo a los plazos legales de prescripción de los mismos, sin que al respecto pueda formularse reclamación alguna.

3. La devolución deberá realizarse en el siguiente formato xxxxx

En lugar  y fecha arriba indicados.

Fdo.: ………………………………

11.  ANEXO TRES

CONTESTACIÓN SOLICITUD DE DESTRUCCIÓN/DEVOLUCIÓN DE LOS DATOS PERSONALES POR PARTE DE………………….………….SEGÚN CONTRATO DE ENCARGO UNA VEZ FINALIZADO EL PERIODO  TRANSITORIO ACORDADO.

En …………………., a ……… de ……………… de 2021.

Estimado cliente,

De conformidad con lo dispuesto en el artículo 28.1.g del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016, el Encargado del Tratamiento podrá retener aquellos datos de carácter personal tratados por cuenta del Responsable del Tratamiento cuando dicha obligación surja de manera explícita por la legislación de la Unión Europea o de algún Estado Miembro y sólo en la medida y durante el período indicado por dichas legislaciones.

A tal efecto, la Organización, procederá a la entrega (portabilidad) de toda la documentación que haya  tenido en su poder, así como, los resultados derivados del procesamiento de datos personales y todos los datos personales almacenados en relación con el Acuerdo de los usuarios de Linde.

No obstante, la Organización conservará copia de los datos tratados durante los plazos previstos por las disposiciones legales aplicables para acreditar el cumplimiento de nuestras obligaciones en tanto no hayan prescrito las acciones y plazos legales pertinentes.

Mientras tanto, toda la información permanecerá debidamente bloqueada, de manera que sólo será posible acceder a la misma para atender las posibles responsabilidades nacidas del Tratamiento, durante el plazo de prescripción de éstas, garantizando así, la confidencialidad de los datos tratados.

Vencido el plazo indicado en el apartado anterior, procederemos a eliminar de forma parmente y confidencial los datos personales y demás información tratada por cuenta del Cliente.

Atentamente,

Fdo. ……………

En calidad de……………….