POLÍTICA DE PROTEÇÃO DE DADOS
1. Propósito, escopo e usuários
VALENFOOD SDAD IMPORT, EXPORT Y DIST. ALIMENTARIA, S.L., doravante denominada a "Empresa", empenha-se em cumprir as leis e regulamentos aplicáveis relativos à proteção de dados pessoais nos países onde opera. Esta política estabelece os princípios básicos pelos quais a Empresa trata os dados pessoais de consumidores, clientes, fornecedores, parceiros comerciais, funcionários e outras pessoas, e indica as responsabilidades dos seus departamentos comerciais e funcionários durante o tratamento de dados pessoais.
Esta política aplica-se à Empresa e às suas subsidiárias controladas direta ou indiretamente que realizam negócios dentro do Espaço Económico Europeu (EEE) ou processam dados pessoais de titulares de dados dentro do EEE.
Os usuários deste documento são todos os funcionários, permanentes ou temporários, e todos os contratados que trabalham em nome da Empresa.
2. Documentos de referência
• O RGPD UE 2016/679 (Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho, de 27 de abril de 2016, relativo à proteção das pessoas singulares no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados e que revoga a Diretiva 95/46/CE)
• Lei Orgânica 3/2018, de 5 de dezembro, de Proteção de Dados Pessoais e garantia dos direitos digitais.
• Real Decreto 1720/2007, de 21 de dezembro, Regulamento de desenvolvimento da Lei Orgânica 15/1999, de 13 de dezembro, de Proteção de Dados de carácter pessoal (RLOPD).
• Política de proteção de dados pessoais dos funcionários
• Política de retenção de dados
• Descrição do cargo de encarregado de proteção de dados
• Diretrizes para o inventário de dados e atividades de tratamento
• Procedimento de solicitação de acesso dos titulares dos dados
• Diretrizes para a avaliaçã{o de impacto de proteção de dados
• Procedimento de transferência transfronteiriça de dados pessoais
• Políticas de segurança da informação
• Procedimento de aviso de violação de segurança
3. Definições
As seguintes definições de termos utilizados neste documento provêm do Artigo 4 do Regulamento Geral de Proteção de Dados da União Europeia:
Dados pessoais: qualquer informação relativa a uma pessoa singular identificada ou identificável ("Titular dos dados") cuja identidade possa ser determinada, direta ou indiretamente, em especial por referência a um identificador, como por exemplo um nome, um número de identificação, dados de localização, um identificador eletrónico ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social.
Dados pessoais sensíveis: Dados pessoais que, pela sua natureza, são particularmente sensíveis em relação aos direitos e liberdades fundamentais, uma vez que o contexto do seu tratamento pode implicar riscos significativos para os direitos e liberdades fundamentais. Devem ser incluídos entre tais dados pessoais os dados de carácter pessoal que revelem a origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas, filiação sindical, dados genéticos, dados biométricos, destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa singular.
Responsável pelo tratamento (Controller): A pessoa singular ou coletiva, autoridade pública, serviço ou outro organismo que, isoladamente ou em conjunto com outros, determine as finalidades e os meios do tratamento.
Subcontratante (Processor): A pessoa singular ou coletiva, autoridade pública, serviço ou outro organismo que trate os dados pessoais por conta do responsável pelo tratamento.
Tratamento: qualquer operação ou conjunto de operação sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a extração, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, a comparação ou interconexão, a limitação, o apagamento ou a destruição.
Anonimização: Remover de forma irreversível a identificação de dados pessoais de modo que a pessoa não possa ser identificada utilizando um tempo, custo e tecnologia razoáveis, seja pelo responsável ou por qualquer outra pessoa. Os princípios de tratamento de dados pessoais não se aplicam a dados anónimos, uma vez que já não são dados pessoais.
Pseudonimização: O tratamento de dados pessoais de forma que deixem de poder ser atribuídos a um titular de dados sem a utilização de informações suplementares, desde que essas informações suplementares sejam mantidas separadamente e sujeitas a medidas técnicas e organizativas para assegurar que os dados pessoais não possam ser atribuídos a uma pessoa singular identificada ou identificável. A pseudonimização reduz, mas não elimina completamente, a capacidade de associar dados pessoais a um titular. Como os dados pseudonimizados ainda são considerados dados pessoais, o tratamento destes dados deve cumprir os princípios de tratamento de dados pessoais.
Tratamento transfronteiriço de dados pessoais: O tratamento de dados pessoais que ocorra no contexto das atividades de estabelecimentos em mais do que um Estado-Membro de um responsável pelo tratamento ou de um subcontratante na União, se o responsável ou subcontratante estiver estabelecido em mais do que um Estado-Membro; ou o tratamento de dados pessoais que ocorra no contexto das atividades de um único estabelecimento de um responsável ou subcontratante na União, mas que afete substancialmente ou seja suscetível de afetar substancialmente titulares de dados em mais do que um Estado-Membro.
Autoridade de controlo: uma autoridade pública independente criada por um Estado-Membro nos termos do artigo 51.º;
Autoridade de controlo principal: A autoridade de controlo com a responsabilidade principal de lidar com uma atividade de tratamento de dados transfronteiriça, por exemplo, quando um titular de dados apresenta uma reclamação sobre o tratamento dos seus dados pessoais; é responsável, entre outros, por receber os avisos de violação de segurança de dados, ser notificada sobre a atividade de tratamento de risco e terá plena autoridade no que respeita aos seus deveres para garantir o cumprimento das disposições do RGPD UE.
Cada "autoridade de controlo local" manterá no seu próprio território e supervisionará qualquer tratamento de dados local que afete os titulares dos dados ou que seja realizado por um responsável ou subcontratante da UE, ou não pertencente à UE, quando o tratamento se dirige a titulares que residam no seu território. As suas tarefas e poderes incluem a realização de inquéritos e a aplicação de medidas administrativas e coimas, a promoção da consciencialização pública sobre os riscos, regras, segurança e direitos em relação ao tratamento de dados pessoais, bem como obter acesso às instalações do responsável e do subcontratante, incluindo qualquer equipamento e meios de tratamento de dados.
“Estabelecimento principal em relação a um responsável pelo tratamento” com estabelecimentos em mais de um Estado-Membro, ou seja, o local da sua administração central na União, a menos que as decisões sobre as finalidades e os meios do tratamento de dados pessoais sejam tomadas noutro estabelecimento do responsável na União e este último tenha o poder de mandar executar tais decisões, caso em que o estabelecimento que tiver tomado tais decisões deve ser considerado o estabelecimento principal. “Estabelecimento principal em relação a um subcontratante” com estabelecimentos em mais de um Estado-Membro, ou seja, o local da sua administração central na União ou, se o subcontratante não tiver administração central na União, o local onde são exercidas as principais atividades de tratamento no contexto das atividades de um estabelecimento do subcontratante, na medida em que este esteja sujeito a obrigações específicas por força do presente Regulamento.
Grupo empresarial: Qualquer holding juntamente com a sua subsidiária.
4. Princípios básicos sobre o tratamento de dados pessoais
Os princípios de proteção de dados descrevem as responsabilidades básicas das organizações que tratam dados pessoais. O artigo 5.º, n.º 2, do RGPD estipula que “o responsável pelo tratamento é responsável pelo cumprimento dos princípios e deve poder demonstrá-lo” de:
4.1. Licitude, lealdade e transparência
Os dados pessoais devem ser tratados de forma lícita, leal e transparente em relação ao titular dos dados.
4.2. Limitação das finalidades
Os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas e legítimas, e não podem ser tratados posteriormente de uma forma incompatível com essas finalidades.
4.3. Minimização dos dados
Os dados pessoais devem ser adequados, pertinentes e limitados ao que é necessário relativamente às finalidades para as quais são tratados. A Empresa deve aplicar a anonimização ou pseudonimização aos dados pessoais, se possível, para reduzir o risco relativo aos titulares.
4.4. Exatidão
Os dados pessoais devem ser exatos e, se necessário, atualizados; devem ser adotadas todas as medidas adequadas para que os dados inexatos, tendo em conta as finalidades para que são tratados, sejam apagados ou retificados sem demora.
4.5. Limitação da conservação
Os dados pessoais não devem ser conservados por mais tempo do que o necessário para as finalidades para as quais os dados pessoais são tratados.
4.6. Integridade e confidencialidade
Tendo em conta o estado da tecnologia e outras medidas de segurança disponíveis, o custo de implementação e a probabilidade e gravidade dos riscos para os dados pessoais, a Empresa deve aplicar medidas técnicas ou organizativas adequadas para tratar os dados pessoais, de forma a garantir uma segurança adequada dos mesmos, incluindo a proteção contra o tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental.
4.7. Responsabilidade proativa (Accountability)
Os responsáveis pelo tratamento são responsáveis pelo cumprimento dos princípios descritos anteriormente e devem ser capazes de o demonstrar.
5. Desenvolvimento da proteção de dados nas atividades empresariais
Para poder demonstrar o cumprimento dos princípios de proteção de dados, uma organização tem de integrar a proteção de dados nas suas atividades empresariais.
5.1. Aviso aos titulares dos dados
(Ver diretrizes de tratamento lícito.)
5.2. Escolha e consentimento do titular
(Ver diretrizes de tratamento lícito.)
5.3. Recolha
A empresa deve esforçar-se por recolher a menor quantidade possível de dados pessoais. Se os dados pessoais forem recolhidos de terceiros, o Responsável pela Segurança deve assegurar que os dados são recolhidos legalmente.
5.4. Uso, retenção e eliminação
A finalidade, os métodos, a limitação de armazenamento e o período de retenção de dados pessoais devem ser coerentes com as informações contidas no Aviso de Privacidade. A Empresa deve manter a precisão, integridade, confidencialidade e pertinência dos dados pessoais em função da finalidade do tratamento. Devem ser utilizados mecanismos de segurança adequados, concebidos para proteger os dados pessoais para evitar roubo, utilização indevida ou abuso e evitar violações de segurança. O Responsável pela Segurança é responsável pelo cumprimento dos requisitos enumerados nesta secção.
5.5. Comunicação a terceiros
Sempre que a Empresa utilize um fornecedor externo ou um parceiro comercial para tratar dados pessoais em seu nome, o Responsável pela Segurança deve assegurar que este subcontratante fornecerá medidas de segurança para salvaguardar os dados pessoais adequadas aos riscos associados. Para o efeito, deve ser utilizado o Questionário de conformidade com o RGPD do subcontratante.
A Empresa deve exigir contratualmente ao fornecedor ou parceiro comercial que forneça o mesmo nível de proteção de dados. O fornecedor ou parceiro deve apenas tratar os dados pessoais para cumprir as suas obrigações contratuais com a Empresa ou seguindo as instruções desta e não para outros fins. Quando a Empresa tratar dados pessoais em conjunto com um terceiro independente, deve especificar explicitamente as respetivas responsabilidades e as do terceiro no contrato pertinente ou em qualquer outro documento legal vinculativo, como o Acordo de Tratamento de Dados do fornecedor.
5.6. Transferência transfronteiriça de dados pessoais
Antes de transferir dados pessoais para fora do Espaço Económico Europeu (EEE), devem ser aplicadas garantias adequadas, incluindo a assinatura de um acordo de transferência de dados, conforme indicado pela União Europeia e, se necessário, deve ser obtida a autorização da autoridade de proteção de dados correspondente. A entidade que recebe os dados deve cumprir os princípios de tratamento de dados pessoais estabelecidos no Procedimento de Transferência de Dados Transfronteiriços.
5.7. Direitos de acesso dos titulares
Ao atuar como responsável pelos dados, o Responsável pela Segurança é responsável por fornecer aos titulares um mecanismo de acesso razoável que lhes permita aceder aos seus dados pessoais, bem como atualizar, retificar, apagar ou transmitir os seus dados, quando aplicável ou exigido por lei. O mecanismo de acesso será detalhado no procedimento de solicitação de acesso ao titular.
5.8. Portabilidade dos dados
Os titulares dos dados têm o direito de receber, mediante solicitação, uma cópia dos dados que nos forneceram num formato estruturado e de transmitir esses dados a outro responsável, gratuitamente. O Responsável pela Segurança é responsável por garantir que tais solicitações sejam processadas num mês, que não sejam excessivas e não afetem os direitos de dados pessoais de outras pessoas.
5.9. Direito ao esquecimento
Mediante solicitação, os titulares têm o direito de obter da empresa o apagamento dos seus dados pessoais. Quando a Empresa atua como responsável, o Responsável pela Segurança deve tomar as medidas necessárias (incluindo medidas técnicas) para informar terceiros que usam ou processam esses dados para cumprir a solicitação.
6. Diretrizes de tratamento lícito
Os dados pessoais devem ser tratados apenas quando expressamente autorizado pelo Responsável pela Segurança.
A Empresa deve decidir se realiza a avaliação de impacto de proteção de dados para cada atividade de tratamento de acordo com as Diretrizes de avaliação de impacto de proteção de dados.
6.1. Aviso aos titulares dos dados
No momento da recolha ou antes de recolher dados pessoais para qualquer tipo de atividades de tratamento, incluindo, entre outras, a venda de produtos, serviços ou atividades comerciais, o Responsável pela Segurança é responsável por informar adequadamente os titulares sobre: os tipos de dados recolhidos, as finalidades, os métodos, os direitos dos titulares, o período de retenção, possíveis transferências internacionais, se os dados serão partilhados com terceiros e as medidas de segurança da Empresa. Esta informação é fornecida através de um aviso de privacidade.
Se a sua empresa tiver múltiplas atividades de tratamento de dados, precisará desenvolver avisos diferentes dependendo da atividade e das categorias de dados recolhidos; por exemplo, um aviso pode ser escrito para envio por e-mail e outro para correio postal.
Quando os dados são partilhados com terceiros, o Responsável pela Segurança deve assegurar que os titulares foram notificados através de um aviso de privacidade.
Quando os dados são transferidos para um país terceiro de acordo com a política de transferência transfronteiriça, o aviso de privacidade deve refletir isso e indicar claramente para onde e para que entidade os dados são transferidos.
Quando são recolhidos dados sensíveis, o encarregado de proteção de dados deve assegurar que o Aviso de Privacidade indique explicitamente o propósito dessa recolha.
6.2. Obtenção do consentimento
Sempre que o tratamento se baseie no consentimento do titular ou outros motivos legais, o Responsável pela Segurança é responsável por manter um registo desse consentimento. O Responsável pela Segurança é responsável por facultar as opções para fornecer o consentimento e deve informar e garantir que este possa ser retirado a qualquer momento.
Quando a recolha se refere a uma criança com menos de 16 anos, o Responsável pela Segurança deve assegurar que o consentimento parental é entregue antes da recolha (o artigo 8.º do RGPD estabelece que “o responsável pelo tratamento envidará todos os esforços razoáveis para verificar que o consentimento foi dado ou autorizado pelo titular das responsabilidades parentais, tendo em conta a tecnologia disponível”.)
O consentimento para a comunicação de dados a terceiros será nulo quando a informação facultada não permita ao titular conhecer a finalidade ou o tipo de atividade de quem os pretende receber.
O tratamento de dados por conta de terceiros deve ser regulado por um contrato escrito, estabelecendo que o subcontratante apenas tratará os dados conforme as instruções do responsável e implementará as medidas de segurança estipuladas.
O consentimento deve ser: Livre, Específico, Informado e Inequívoco.
7. Organização e responsabilidades
As áreas-chave de responsabilidade recaem sobre:
A Direção: toma decisões e aprova estratégias gerais.
O Encarregado de Proteção de Dados (EPD/DPO) ou Responsável pela Segurança: gere o programa de proteção de dados.
Departamento Jurídico: supervisiona alterações nas leis e ajuda os departamentos a cumprir requisitos.
Responsável de Manutenção: assegura que sistemas e equipamentos cumprem padrões de segurança.
Responsável de Recursos Humanos: organiza formação e assegura a proteção de dados dos funcionários.
8. Diretrizes para estabelecer a autoridade de controlo principal
O tratamento transfronteiriço ocorre se for realizado por filiais em outros Estados-Membros ou se afetar titulares em mais de um Estado-Membro.
9. Resposta a violações de segurança de dados
A Empresa deve notificar as autoridades competentes sem demora injustificada e, se possível, num prazo de 72 horas, quando houver risco para os direitos e liberdades dos titulares.
10. Auditoria e responsabilidade proativa
O Responsável pela Segurança deve auditar a implementação desta política. Violações sujeitam o funcionário a medidas disciplinares e responsabilidades civis ou penais.
11. Conflitos de legislação
Em caso de conflito entre esta política e as leis aplicáveis, prevalecerão estas últimas.
12. Gestão de registos
| Nome do registo | Localização | Responsável | Controlos | Tempo de retenção |
| Solicitação de consentimento | Pasta RGPD | EPD ou Responsável pela Segurança | Apenas pessoal autorizado | 10 anos |
| Acordos com fornecedores | Pasta RGPD | EPD ou Responsável pela Segurança | Apenas pessoal autorizado | 5 anos após expiração |
13. Validade e gestão
Este documento é válido a partir de 17/09/24.
Proprietário: Responsável pela Segurança.
JOAQUÍN ANTONIO CARRILHO REYES