REGISTRO DE ATIVIDADES DE TRATAMENTO

Tratamento: Clientes

Tratamento: Clientes potenciais

ANEXO 

INFORMAÇÕES DE INTERESSE GERAL

O presente documento foi concebido para o tratamento de dados pessoais de baixo risco, daí decorrendo que não pode ser utilizado para tratamento de dados pessoais que inclua dados pessoais relativos à origem étnica ou racial, ideologia política religiosa ou filosófica, filiação sindical, dados genéticos e biométricos dados, dados de saúde e dados sobre a orientação sexual das pessoas, bem como qualquer outro processamento de dados que implique um alto risco para os direitos e liberdades das pessoas.

O artigo 5.1.f do Regulamento Geral de Proteção de Dados (doravante, RGPD) determina a necessidade de estabelecer garantias de segurança adequadas contra tratamentos não autorizados ou ilícitos, perda de dados pessoais, destruição ou danos acidentais. Isto implica o estabelecimento de medidas técnicas e organizacionais destinadas a garantir a integridade e confidencialidade dos dados pessoais e a possibilidade de demonstrar, conforme estabelecido no artigo 5.2, que essas medidas foram postas em prática (responsabilidade proativa).

Além disso, deve estabelecer mecanismos visíveis, acessíveis e simples para o exercício dos direitos e ter procedimentos internos definidos para garantir um atendimento eficaz às solicitações recebidas.

ATENÇÃO AO EXERCÍCIO DE DIREITOS

O responsável pelo tratamento informará todos os trabalhadores sobre o procedimento para fazer face aos direitos dos interessados, definindo claramente os mecanismos através dos quais os direitos podem ser exercidos (meios eletrónicos, referência ao Encarregado da Proteção de Dados se existir, endereço postal , etc.) e levando em consideração o seguinte:

• Mediante apresentação do documento de identidade nacional ou passaporte, os titulares dos dados pessoais (interessados) poderão exercer os seus direitos de acesso, retificação, apagamento, oposição, portabilidade e limitação do tratamento. O exercício dos direitos é gratuito.
• O responsável pelo tratamento deve responder aos interessados ​​sem demora injustificada e de forma concisa, transparente, inteligível, com linguagem clara e simples e conservar prova do cumprimento do dever de resposta aos pedidos de exercício de direitos formulados.
• Se o pedido for apresentado por via eletrónica, a informação será prestada por estes meios sempre que possível, salvo solicitação em contrário do interessado.
• Os pedidos deverão ser respondidos no prazo de 1 mês a contar da recepção, podendo ser prorrogados por mais dois meses tendo em conta a complexidade ou o número de pedidos, mas nesse caso o interessado deverá ser informado da prorrogação no prazo de um mês a contar da recepção do pedido. solicitação, indicando os motivos do atraso.

DIREITO DE ACESSO: No direito de acesso, será fornecida aos interessados ​​uma cópia dos dados pessoais disponíveis juntamente com a finalidade para a qual foram recolhidos, a identidade dos destinatários dos dados, os períodos de conservação previstos ou os critérios utilizados para determinar isto, a existência do direito de solicitar a retificação ou eliminação dos dados pessoais, bem como a limitação ou oposição ao seu tratamento, o direito de apresentar uma reclamação junto da Agência Espanhola de Proteção de Dados e se os dados não tiverem sido obtidos do interessado parte, qualquer informação disponível sobre sua origem. O direito de obter uma cópia dos dados não pode afetar negativamente aos direitos e liberdades de outras partes interessadas.

• Formulário para exercício do direito de acesso.

DIREITO DE RETIFICAÇÃO: No direito de retificação, os dados dos interessados ​​que sejam inexatos ou incompletos serão modificados tendo em conta as finalidades do tratamento. O interessado deverá indicar no pedido a que dados se referem e a correção a efetuar, fornecendo, quando necessário, documentação que justifique a inexatidão ou o caráter incompleto dos dados objeto de tratamento. Caso os dados tenham sido comunicados pelo responsável a outros responsáveis, estes deverão notificá-los da retificação dos mesmos, salvo se tal for impossível ou exigir um esforço desproporcional, fornecendo ao interessado informações sobre os referidos destinatários, se solicitado.

• Formulário para exercício do direito de retificação

DIREITO DE EXCLUSÃO: No direito de apagamento, os dados dos interessados ​​serão apagados quando estes manifestarem a sua recusa ao tratamento e não houver fundamento legal que o impeça, não são necessários em relação aos fins para os quais foram recolhidos, retiram-se o consentimento dado e não existe outra base legal que legitime o tratamento ou este é ilícito. Caso a eliminação resulte do exercício do direito do interessado de se opor ao tratamento dos seus dados para fins de marketing, os dados identificativos do interessado poderão ser conservados de forma a evitar futuros tratamentos. Caso os dados tenham sido comunicados pelo responsável a outros responsáveis, estes deverão notificá-los da sua eliminação, salvo se tal for impossível ou exigir um esforço desproporcionado, fornecendo ao interessado informações sobre os referidos destinatários, se solicitado.

• Formulário para exercício do direito de eliminação.

DIREITO DE OPOSIÇÃO: No direito de oposição, quando os interessados ​​manifestarem a sua recusa ao tratamento dos seus dados pessoais ao responsável, este deixará de os tratar enquanto não existir nenhuma obrigação legal que o impeça. Quando o tratamento se basear numa missão de interesse público ou no interesse legítimo do responsável, mediante pedido de exercício do direito de oposição, o responsável deixará de tratar os dados, salvo se comprovadas razões imperiosas que prevaleçam sobre os interesses, direitos e liberdades do interessado ou sejam necessários para a formulação, exercício ou defesa de reivindicações. Caso o interessado se oponha ao tratamento para fins de marketing direto, os dados pessoais deixarão de ser tratados para esses fins.

• Formulário para exercício do direito de oposição.

DIREITO DE PORTABILIDADE: No direito de portabilidade, se o tratamento for realizado por meios automatizados e baseado no consentimento ou for realizado no âmbito de um contrato, os interessados ​​podem solicitar o recebimento de uma cópia dos seus dados pessoais de forma estruturada, comumente utilizada e mecânica legível. Da mesma forma, têm o direito de solicitar que sejam transmitidos diretamente a um novo responsável, cuja identidade deverá ser comunicada, quando for tecnicamente possível.

• Formulário para exercício da portabilidade de dados.

DIREITO DE LIMITAÇÃO AO TRATAMENTO: No direito de limitar o tratamento, os interessados ​​​​podem solicitar a suspensão do tratamento dos seus dados para contestar a sua exatidão enquanto o responsável pelo tratamento realiza as verificações necessárias ou no caso de o tratamento ser realizado com base no interesse legítimo do responsável pelo tratamento ou no cumprimento de missão de interesse público, verificando se essas razões prevalecem sobre os interesses, direitos e liberdades do interessado. O interessado poderá também solicitar a conservação dos dados se considerar que o tratamento é ilícito e, em vez do apagamento, solicitar a limitação do tratamento, ou se o responsável pelo tratamento já não precisar deles para os fins para os quais foram recolhidos, o interessado Você precisa deles para a formulação, exercício ou defesa de reclamações. O facto de o tratamento dos dados do interessado ser limitado devem ser claramente indicados nos sistemas do responsável. Caso os dados tenham sido comunicados pelo responsável pelo tratamento a outros responsáveis ​​pelo tratamento, estes deverão notificá-los da limitação do seu tratamento, salvo se tal for impossível ou exigir um esforço desproporcionado, fornecendo ao interessado informações sobre os referidos destinatários, se solicitado.

• Formulário para exercício da limitação do tratamento.

Se o pedido do interessado não for processado, o responsável pelo tratamento informá-lo-á, sem demora e o mais tardar um mês após a sua recepção, dos motivos da sua omissão e da possibilidade de apresentar uma reclamação à Agência. . Proteção de Dados Espanhola e exercer ações judiciais.

MEDIDAS DE SEGURANÇA

Dependendo do tipo de tratamento que revelou ao preencher este formulário, as medidas mínimas de segurança que deverá ter em conta são as seguintes:

MEDIDAS ORGANIZACIONAIS

INFORMAÇÕES QUE DEVEM SER CONHECIDAS POR TODO O PESSOAL COM ACESSO A DADOS PESSOAIS

Todo o pessoal com acesso a dados pessoais deve estar ciente das suas obrigações em relação ao tratamento de dados pessoais e será informado sobre essas obrigações. As informações mínimas que serão conhecidas por todo o pessoal serão as seguintes:

• DEVER DE CONFIDENCIALIDADE E SEGREDO
• O acesso de pessoas não autorizadas aos dados pessoais deve ser evitado. Para tanto, evitar-se-á deixar dados pessoais expostos a terceiros (telas eletrônicas desacompanhadas, documentos em papel em áreas de acesso público, mídias com dados pessoais, etc.). Esta consideração inclui as telas utilizadas para exibir imagens do sistema de videovigilância. Quando você estiver ausente do local de trabalho, a tela será bloqueada ou a sessão será encerrada.
• Documentos em papel e meios eletrônicos serão armazenados em local seguro (armários ou salas de acesso restrito) 24 horas por dia.
• Documentos ou mídias eletrônicas (CDs, pen drives, discos rígidos, etc.) com dados pessoais não serão descartados sem a garantia de sua efetiva destruição.
• Nenhum dado pessoal ou qualquer outra informação pessoal será comunicado a terceiros, prestando especial atenção à não divulgação de dados pessoais protegidos durante consultas telefónicas, emails, etc.
• O dever de sigilo e confidencialidade persiste mesmo quando termina o vínculo laboral do trabalhador com a empresa.

• VIOLAÇÕES DE SEGURANÇA DE DADOS PESSOAIS
• Quando ocorrerem violações de segurança de dados pessoais, como roubo ou acesso indevido a dados pessoais, a Agência Espanhola de Proteção de Dados será notificada dentro de 72 horas sobre essas violações de segurança, incluindo todas as informações necessárias para esclarecer os fatos que deram origem ao acesso indevido a dados pessoais. dados. A notificação será feita por meio eletrônico através da sede eletrônica da Agência Espanhola de Proteção de Dados no endereço https://sedeagpd.gob.es/sede-electronica-web/.

MEDIDAS TÉCNICAS

EU IA

• Quando o mesmo computador ou dispositivo é utilizado para o tratamento de dados pessoais e para fins de uso pessoal, recomenda-se a existência de vários perfis ou utilizadores diferentes para cada uma das finalidades. Os usos profissionais e pessoais do computador devem ser mantidos separados.
• Recomenda-se ter perfis com direitos de administração para instalação e configuração do sistema e usuários sem privilégios ou direitos de administração para acesso a dados pessoais. Esta medida impedirá a obtenção de privilégios de acesso ou a modificação do sistema operacional em caso de ataque à segurança cibernética.
• Será garantida a existência de senhas para acesso aos dados pessoais armazenados em sistemas eletrônicos. A senha terá pelo menos 8 caracteres, uma mistura de números e letras.
• Quando os dados pessoais forem acedidos por pessoas diferentes, para cada pessoa com acesso aos dados pessoais, existirá um nome de utilizador e uma palavra-passe específicos (identificação inequívoca).
• A confidencialidade das senhas deve ser garantida, evitando que sejam expostas a terceiros. Para gerenciamento de senhas você pode consultar o guia de privacidade e segurança na internet da Agência Espanhola de Proteção de Dados e do Instituto Nacional de Cibersegurança. Em nenhum caso as senhas serão compartilhadas ou deixadas anotadas em local comum e acessadas por outras pessoas que não o usuário.

DEVER DE SALVAGUARDA

Seguem abaixo as medidas técnicas mínimas para garantir a salvaguarda dos dados pessoais:

• ATUALIZANDO COMPUTADORES E DISPOSITIVOS: Os dispositivos e computadores utilizados para o armazenamento e processamento de dados pessoais devem ser mantidos o mais atualizados possível.
• MALWARE: Os computadores e dispositivos onde se realiza o tratamento automatizado de dados pessoais disporão de um sistema antivírus que garanta, na medida do possível, o roubo e destruição de informações e dados pessoais. O sistema antivírus deve ser atualizado periodicamente.
• FIREWALL OU FIREWALL: Para evitar o acesso remoto indevido aos dados pessoais, serão envidados esforços para garantir a existência de um firewall ativado e corretamente configurado nos computadores e dispositivos nos quais é realizado o armazenamento e/ou processamento de dados pessoais.
• CRIPTOGRAFIA DE DADOS: Quando for necessária a extração de dados pessoais fora das instalações onde é realizado o seu tratamento, seja por meio físico ou eletrônico, deverá ser considerada a possibilidade de utilização de método de criptografia para garantir a confidencialidade dos dados pessoais em caso de acesso indevido à informação .
• COPIA DE SEGURANÇA: Periodicamente será feita uma cópia de segurança em uma segunda mídia diferente daquela usada para o trabalho diário. A cópia será armazenada em local seguro, diferente de onde se encontra o computador com os arquivos originais, de forma a permitir a recuperação dos dados pessoais em caso de perda de informações.

As medidas de segurança serão revistas periodicamente; a revisão poderá ser realizada por mecanismos automáticos (software ou programas de computador) ou manualmente. Considere que qualquer incidente de segurança de computador que tenha acontecido com alguém que você conhece pode acontecer com você e prepare-se contra isso.

Se desejar mais informações ou orientações técnicas para garantir a segurança dos dados pessoais e das informações que sua empresa processa, o Instituto Nacional de Cibersegurança (INCIBE) em seu site www.incibe.es, coloca à sua disposição ferramentas com foco empresarial em sua seção «Proteja sua empresa» onde, entre outros serviços, dispõe de:

• uma seção de treinamento com um jogo, desafios para resposta a incidentes e vídeos interativos formação setorial,
• un Kit de conscientização Para funcionários,
• diverso ferramentas para ajudar a empresa a melhorar sua segurança cibernética, incluindo policies para o empregador, o pessoal técnico e o trabalhador, um catálogo de empresas e soluções de segurança e um ferramenta de análise de risco.
• dossiês temáticos complementado com vídeos e infográficos e outros recursos,
• guias para o empresário,

Além disso, o INCIBE, através do Escritório de segurança do usuário da Internet, também coloca à sua disposição  ferramentas Informática gratuita e informação adicional podem ser úteis para a sua empresa ou atividade profissional.

CAPTURA DE IMAGENS COM CÂMERAS E FINS DE SEGURANÇA

(VIDEO VIGILÂNCIA)

A imagem de uma pessoa, na medida em que a identifique ou possa identificá-la, constitui um dado pessoal que pode ser tratado para diversas finalidades. Embora o mais comum seja a utilização de câmeras para garantir a segurança de pessoas, bens e instalações, elas também podem ser utilizadas para outros fins, como controlar o desempenho laboral dos trabalhadores. Seguem abaixo as diretrizes básicas a serem respeitadas para que o processamento das imagens obtidas pelas câmeras de videovigilância cumpra as normas de proteção de dados. Contudo, recomenda-se consultar o Guia sobre o uso de câmeras de vídeo para segurança e outros fins para um conhecimento mais exaustivo das obrigações que este tipo de tratamento acarreta. 

• LOCALIZAÇÃO DAS CÂMERAS: Será evitada a captação de imagens em áreas destinadas ao descanso dos trabalhadores, bem como a captação de vias públicas caso sejam utilizadas câmaras exteriores, permitindo apenas a captação da extensão mínima indispensável à preservação da segurança de pessoas, bens e instalações.
   

• LOCALIZAÇÃO DE MONITORES: Os monitores onde são exibidas as imagens das câmeras ficarão localizados em espaço de acesso restrito para que não sejam acessíveis a terceiros. Somente pessoal autorizado terá acesso às imagens gravadas.
   

• PRESERVAÇÃO DE IMAGEM: As imagens serão armazenadas pelo prazo máximo de um mês, com exceção de imagens que comprovem a prática de atos que ameacem a integridade de pessoas, bens e instalações. Nesse caso, as imagens deverão ser disponibilizadas à autoridade competente no prazo de 72 horas após o conhecimento da existência da gravação.
  
  

• DEVER DE INFORMAÇÃO: A informação sobre a existência das câmaras e gravação de imagens será prestada através de crachá informativo colocado em local suficientemente visível que identifique, pelo menos, a identidade do responsável e a possibilidade dos interessados ​​exercerem os seus direitos relativamente dados de proteção de dados. O próprio pictograma também pode incluir um código de conexão ou endereço de internet no qual esta informação é exibida. Existem modelos tanto do pictograma como do texto no site da Agência.
  • Modelo de cartaz de alerta de área de videovigilância.
    
    

• CONTROLE TRABALHISTA: Quando as câmeras forem utilizadas para fins de controle trabalhista conforme previsto no artigo 20.3 do Estatuto do Trabalhador, o trabalhador e seus representantes sindicais serão informados por qualquer meio que garanta o recebimento de informações sobre as medidas de segurança. controle estabelecido pelo empregador com indicação expressa da finalidade do controle trabalhista das imagens captadas pelas câmeras.
   

• DIREITO DE ACESSO ÀS IMAGENS: Para cumprir o direito de acesso dos interessados ​​às gravações do sistema de videovigilância, será solicitada uma fotografia recente e o Documento Nacional de Identidade do interessado para verificação da sua identidade, bem como os dados da data e momento a que se refere o direito de acesso. Não será facultado ao interessado acesso direto às imagens das câmeras nas quais sejam exibidas imagens de terceiros. Caso não seja possível ao interessado visualizar as imagens sem a exibição de imagens de terceiros, será fornecido documento confirmando ou negando a existência de imagens do interessado.

Para mais informações você pode consultar os guias e fichas de videovigilância e relatórios legais publicados pela Agência Espanhola de Proteção de Dados na seção Video vigilância.