NUESTROS OBJETIVOS DE PRIVACIDAD Y POLÍTICA DE PRIVACIDAD GLOBAL

INTRODUCCIÓN

El propósito de la privacidad y protección de datos es salvaguardar y proteger, en el contexto del tratamiento de datos personales, las libertades públicas y los derechos fundamentales de las personas físicas, especialmente su reputación y privacidad personal. Su objetivo es regular el tratamiento de datos personales, independientemente del formato en que se procesen los datos, los derechos de los interesados y las obligaciones de los responsables y encargados del tratamiento de datos.

1

FINALIDAD Y ALCANCE

1.1 Esta política define los requisitos de control de privacidad de Colt que permitirán a sus empleados y a quienes tratan datos personales de Colt proteger eficazmente los datos personales y gestionar los riesgos de privacidad para los servicios empresariales, funciones, sistemas de información, activos y personas de Colt.

1.2 Es responsabilidad de cada empleado de Colt comprender estos principios al cumplir sus actividades diarias.

1.3 Los requisitos definidos en este documento son obligatorios y se aplican a todos los empleados de Colt.

2

DEFINICIONES

2.1 Datos personales: significa cualquier información relativa a una persona física identificada o identificable ('interesado'); una persona física identificable es aquella que puede identificarse, directa o indirectamente, en particular mediante la referencia a un identificador como un nombre, un número de identificación, datos de localización, un identificador en línea o a uno o varios factores propios de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona física; además, existen tipos de "datos sensibles", que se refieren no solo a la salud sino a la ideología, religión, origen étnico, vida sexual e historial de condenas o infracciones penales o administrativas. Debido a las restricciones y especificidades en el uso de datos sensibles, Colt ha implementado una política de privacidad separada para regular el tratamiento de datos sensibles, la Política de Información Sensible de Colt.

2.2 Empleados: significa los empleados de Colt, contratistas autorizados de Colt, subcontratistas de proveedores, socios, trabajadores temporales y cualquier persona empleada directamente por un proveedor o a quien el proveedor haya asignado e involucrado en la prestación de servicios a Colt.

2.3 Proveedor: significa una organización o individuo que celebra un acuerdo con Colt para el suministro de un producto o servicio. Esto incluye a todos los proveedores en la cadena de suministro.

2.4 Datos Personales de Colt: significa los datos personales relativos a empleados, clientes y proveedores.

2.5 "Legislación de Protección de Datos" significa el Reglamento (UE) 2016/679 ("RGPD"), y todas las leyes y normativas de protección de datos aplicables, según sean modificadas, revisadas o sustituidas de vez en cuando.

3

CUMPLIMIENTO

3.1 El cumplimiento de esta política es obligatorio para todos los empleados de Colt involucrados en el tratamiento de datos personales de Colt.

3.2 El Delegado de Protección de Datos supervisará e informará sobre el nivel de cumplimiento que los empleados de Colt alcancen respecto a esta política y a los requisitos establecidos en este documento.

3.3 El incumplimiento de esta política requerirá la autorización explícita del Oficial de Privacidad de Datos de Colt.

3.4 Se deberá obtener la aprobación previa del Oficial de Privacidad de Datos antes de que este documento sea proporcionado a terceras partes.

4

ROLES Y RESPONSABILIDADES

4.1 El Delegado de Protección de Datos es responsable de mantener este documento y asegurarse de que siga siendo eficaz para reducir el nivel de riesgo de privacidad para Colt.

4.2 Los empleados de Colt son responsables de la aplicación diaria de la política y de los controles contenidos en este documento. El Oficial de Privacidad de Datos puede exigir a los empleados de Colt que aporten pruebas sobre cómo se han aplicado los requisitos de este documento.

5

FORMACIÓN Y CONCIENCIACIÓN

5.1 Todos los empleados de Colt deben completar la formación obligatoria general sobre privacidad y seguridad de la información, así como módulos de formación específicos adaptados a su función, en sus primeros 30 días de empleo y anualmente durante su relación laboral. Los empleados que manejen datos personales deben recibir formación antes de obtener acceso a los sistemas de Colt que contienen datos personales. Se anima a los supervisores a solicitar formación en privacidad para ellos mismos o para los empleados que les reportan si lo consideran apropiado.

5.2 Además, el equipo de Protección de Datos proporciona orientación continua y materiales de sensibilización, incluidos boletines, documentos de orientación, seminarios web y materiales dirigidos a clientes, según proceda.

5.3 El equipo de Protección de Datos trabaja con los departamentos de Recursos Humanos y Marketing para asegurar que los materiales de formación y concienciación estén actualizados, sean relevantes y se asignen o distribuyan adecuadamente. El incumplimiento en la finalización satisfactoria de la formación obligatoria en privacidad puede resultar en medidas disciplinarias o pérdida de acceso a la infraestructura informática de Colt.

6

ROLES Y RESPONSABILIDADES EN MATERIA DE PRIVACIDAD DE DATOS

6.1 Colt debe definir, documentar y asignar roles de gobernanza y gestión de riesgos de privacidad.

6.2 Colt debe educar y formar a los empleados de Colt y a quienes realizan actividades específicas de gestión de riesgos de privacidad, para que puedan desempeñar sus funciones de manera eficaz.

6.3 Colt ha designado un único DPO global, contratado internamente y ubicado dentro de la Unión Europea. Además, Colt cuenta con Delegados de Protección de Datos locales según lo exija la normativa nacional de privacidad y representantes locales en cada país que informarán directamente al DPO global. El equipo del DPO puede contactarse por correo electrónico en [email protected] o [email protected].

Los detalles del Delegado de Protección de Datos del Grupo son los siguientes:

Alessandro Galtieri

Delegado de Protección de Datos del Grupo

Colt Technology Services Group Limited

Colt House | 20 Great Eastern Street | London | EC2A 3EH | Reino Unido

6.4 Además, los DPO locales son los siguientes:

• 6.4.1 DPO Italia: Alessandro Galtieri

• 6.4.2 DPO Alemania: Sebastian Kraska

• 6.4.3 DPO Países Bajos: Ellen Koopman

• 6.4.4 DPO España: Cristina Sirera

• 6.4.5 Responsable de Quejas India: Alessandro Galtieri

PRINCIPIOS FUNDAMENTALES

Colt debe salvaguardar la seguridad e integridad de los datos personales de los que sea responsable. Esto incluye los datos personales que procesa directamente (Colt como responsable del tratamiento), mediante la prestación de servicios por terceros (como encargados del tratamiento para Colt) o como proveedor de servicios (Colt como encargado del tratamiento) a un tercero.

En todos los casos, ya actúe Colt como responsable o encargado del tratamiento, los datos personales deben procesarse cumpliendo las obligaciones y garantías legales y contractuales exigidas.

La normativa aplicable de protección de datos afecta directamente a las operaciones de Colt, ya que los datos personales se procesan en su actividad diaria. Al tratar estos datos, se deben cumplir ciertos principios y medidas. Estos principios son los siguientes:

LICITUD, EQUIDAD Y TRANSPARENCIA

Colt debe procesar datos personales de conformidad con lo siguiente:

(a) Licitud: el tratamiento de datos personales debe justificarse en una base lícita

(b) Equidad: los datos personales deben tratarse de forma equitativa de maneras que sean razonablemente esperables.

(c) Transparencia: se debe proporcionar información sobre el tratamiento de manera clara, precisa y no ambigua.

LIMITACIÓN DE LA FINALIDAD

Colt debe garantizar que los datos personales se traten únicamente para los fines específicos, explícitos y legítimos para los que se recopilaron y que no se sometan a un tratamiento ulterior incompatible con el propósito de la recopilación.

MINIMIZACIÓN DE DATOS

Los datos personales recopilados deben ser adecuados, pertinentes y estar limitados a los fines para los que se procesan.

LIMITACIÓN DEL ALMACENAMIENTO

Colt debe conservar los datos personales que permitan la identificación del individuo durante no más tiempo del necesario de acuerdo con la finalidad de su recopilación y tratamiento.

Colt almacena los datos personales de acuerdo con la Política de Retención y Destrucción de Colt, que puede encontrarse en la intranet.

EXACTITUD

Colt debe tomar medidas razonables para garantizar que los datos personales sean precisos, completos y, cuando sea necesario, se mantengan actualizados.

Cuando Colt descubra que los datos personales son inexactos o están desactualizados, se tomarán todas las medidas razonables para corregir o borrar dichos datos lo antes posible.

SEGURIDAD

Colt debe garantizar que los datos personales recopilados y procesados estén protegidos mediante la implementación de medidas técnicas y organizativas apropiadas para prevenir el tratamiento no autorizado o ilícito de datos, la pérdida accidental, la destrucción o el daño.

En particular, Colt debe asegurarse de que sus empleados que, en el desempeño de sus funciones, tengan acceso a datos personales, se comprometan a tratar dichos datos como confidenciales y se abstengan de divulgarlos a otras partes, salvo que sea legal hacerlo.

Cuando exista una sospecha (o confirmación) de una brecha de seguridad que implique acceso accidental, no autorizado o ilícito a, o divulgación, alteración, pérdida o eliminación de cualquier dato personal por parte de cualquier empleado de Colt o de terceros, póngase en contacto con CSIRT de acuerdo con el Proceso de Respuesta a Incidentes de Datos Personales.

PROTECCIÓN DE DATOS DESDE EL DISEÑO Y POR DEFECTO

Colt debe aplicar medidas para salvaguardar y demostrar el cumplimiento de los requisitos legales de protección de datos mediante el diseño e implementación de la protección de datos desde el diseño y por defecto:

(a) Privacidad desde el diseño: al diseñar un producto o servicio, desde el principio Colt debe tener en cuenta cuestiones como los requisitos de información u obtener el consentimiento apropiado para procesar los datos personales de los clientes.

(b) Privacidad por defecto: por defecto, solo deben procesarse los datos personales necesarios para alcanzar el objetivo legal perseguido, garantizando la confidencialidad de los datos personales.

7.8.2 La Evaluación de Impacto sobre la Privacidad (PIA) es una herramienta útil para garantizar que la privacidad esté integrada en todas las nuevas actividades de tratamiento, por lo que Colt ha desarrollado directrices y plantillas para:

(a) Cuándo realizar una PIA (ver Justificación de la PIA para más detalles);

(b) Cómo completar una PIA (ver Guía de Cumplimentación de la PIA y Preguntas Frecuentes); y

(c) Un documento modelo de PIA.

7.8.3 Colt ha establecido que debe llevarse a cabo una PIA en las siguientes circunstancias:

(a) Evaluación sistemática y exhaustiva de aspectos personales relativos a individuos, basada en el tratamiento automatizado de datos, incluida la elaboración de perfiles, y sobre la que se basan decisiones acerca de esas personas físicas.

(b) Tratamiento a gran escala de datos sensibles o datos relacionados con condenas e infracciones penales. En Colt, el tratamiento a gran escala se define como 100 o más interesados.

(c) Supervisión sistemática de un área accesible al público.

(d) Tratamiento de datos personales sensibles.

(e) Datos personales transferidos, externamente a Colt, fuera del EEE (es decir, la UE, Islandia, Noruega y Liechtenstein) o a un país con nivel de protección adecuado.

(f) El impacto en la privacidad de una persona es significativo o máximo. Consulte el documento de orientación de la PIA para más ejemplos de impacto.

7.8.4 Debe seguirse la metodología de PIA de Colt para evaluar y determinar los controles de privacidad requeridos para cualquier actividad empresarial que implique un riesgo de privacidad, p. ej., proyectos, adquisición de bienes y servicios.

7.8.5 Los empleados deben consultar la documentación anterior al realizar una PIA o al evaluar si se necesita una y deben ponerse en contacto con el equipo de Protección de Datos de Colt si es necesario (en [email protected]).

RESPONSABILIDAD

Colt, como responsable del tratamiento, es responsable de cómo procesa los datos personales y de cumplir con esta política.

Se requiere que todos los empleados actúen de acuerdo con esta política y, cuando proceda, se aseguren de que se haga cumplir.

El equipo de Protección de Datos es responsable de esta política y de impartir formación sobre la misma; sin embargo, muchos empleados deberán cumplir partes de esta política, especialmente el principio de Derechos Individuales. Cuando este sea el caso, los empleados deben seguir los procedimientos establecidos en el principio y en la Política de Derechos Individuales.

Colt debe mantener registros de las actividades de tratamiento que realiza; la información contenida en este registro variará en función de si Colt está tratando los datos personales como responsable o como encargado del tratamiento.

DERECHOS INDIVIDUALES

Colt informará a todas las personas sobre cómo ejercer sus derechos y asegurará que las personas puedan ejercer sus derechos libremente. Colt responderá según proceda a las solicitudes para ejercer cualquiera de los siguientes derechos individuales:

(a) Derecho de acceso: Las personas tienen el derecho a acceder a una copia de los datos personales que se han recopilado sobre ellas (ya sea en poder de Colt o de sus proveedores) y a recibir información sobre el tratamiento.

(b) Derecho de rectificación: Las personas tienen el derecho a rectificar cualquier dato personal inexacto o incompleto que les concierna (ya sea en poder de Colt o de sus proveedores), con el fin de garantizar su exactitud y el tratamiento apropiado de los mismos.

(c) Derecho de supresión (derecho al olvido): Las personas tienen derecho a la eliminación de los datos personales que les conciernan.

(d) Derecho a oponerse: Las personas tienen derecho a oponerse al tratamiento de datos personales en cualquier momento.

(e) Derecho de limitación: Las personas tienen derecho a limitar el tratamiento de los datos personales que les conciernan. Esto significa que el tratamiento se "pausará" y los datos personales solo se almacenarán.

(f) Derecho a la portabilidad de los datos: Las personas tienen derecho a recibir los datos personales que les conciernan y a que esos datos sean transmitidos a otro responsable en un formato estructurado, de uso común y legible por máquina.

(g) Derecho a no ser sometido a decisiones basadas únicamente en el tratamiento automatizado de datos: Las personas tienen derecho a no ser objeto de una decisión que les afecte cuando dicha decisión se base en el tratamiento automatizado de datos de información, incluidas las elaboraciones de perfiles. Esto incluye los casos en los que Colt utiliza cookies como herramienta técnica para evaluar a los clientes y predecir su comportamiento, rendimiento o preferencias, comparando su perfil con el de otros usuarios o clientes similares.

7.10.2 Colt responde a estas solicitudes de conformidad con el procedimiento establecido en la Política de Derechos Individuales.