En AGREMONT consideramos la protección de los datos personales una parte esencial de la gestión de nuestra tienda online y de las actividades relacionadas con los pedidos y los servicios ofrecidos.
Esta política describe el marco organizativo que seguimos para gestionar la protección de datos personales de acuerdo con los principios del Reglamento General de Protección de Datos (RGPD) y la normativa aplicable en España y la Unión Europea.
A diferencia de la Política de privacidad y la Política de cookies, este documento se centra en los procedimientos internos de cumplimiento, la asignación de responsabilidades, la prevención de riesgos y las medidas organizativas relacionadas con la protección de datos.
1. Responsabilidad en materia de protección de datos
La protección de los datos personales se tiene en cuenta en las actividades desarrolladas a través de nuestra tienda online.
La evaluación de los tratamientos de datos considera, entre otros aspectos:
-
La naturaleza de las actividades realizadas.
-
Las tecnologías utilizadas.
-
Los posibles riesgos para los derechos y libertades de las personas cuyos datos son tratados.
Cuando se producen cambios en las actividades, en las herramientas utilizadas o en otras circunstancias que puedan afectar a la seguridad y al cumplimiento normativo, se revisan los procedimientos de protección de datos que puedan verse afectados.
2. Protección de datos desde el diseño y por defecto
Cuando se incorporan nuevas funcionalidades, herramientas o procedimientos que implican el tratamiento de datos personales, los requisitos de protección de datos se tienen en cuenta desde la fase de diseño.
Cuando resulta adecuado, la configuración de los sistemas se orienta a aplicar los siguientes principios:
-
Limitar el acceso a los datos personales a lo estrictamente necesario.
-
Restringir el uso de la información a las actividades que requieren su tratamiento.
-
Evitar la recopilación y utilización innecesarias de datos personales.
También se revisan las configuraciones predeterminadas para reducir, en la medida de lo posible, los tratamientos que no sean necesarios para la finalidad correspondiente.
3. Evaluación y gestión de riesgos
Las actividades que implican el tratamiento de datos personales se evalúan teniendo en cuenta los posibles riesgos para los derechos y libertades de los interesados.
Esta evaluación puede considerar factores como:
-
La naturaleza del tratamiento.
-
La cantidad de datos personales implicados.
-
Las categorías de datos utilizadas.
-
Las tecnologías empleadas.
-
Las formas de acceso a la información.
-
Las posibles consecuencias de un uso no autorizado de los datos.
Cuando una actividad de tratamiento pueda entrañar un riesgo elevado, se analiza, conforme a los requisitos del RGPD, si es necesario realizar una Evaluación de Impacto relativa a la Protección de Datos (EIPD o DPIA).
4. Evaluación de Impacto relativa a la Protección de Datos
Cuando se cumplen las condiciones establecidas por el RGPD, puede ser necesario realizar una EIPD antes de iniciar determinadas actividades de tratamiento.
Esta evaluación tiene como objetivos principales:
-
Identificar los riesgos asociados al tratamiento.
-
Analizar la probabilidad y la gravedad de sus posibles consecuencias.
-
Determinar las medidas necesarias para reducir los riesgos.
-
Valorar si el tratamiento puede realizarse con garantías adecuadas de protección de datos.
Si la evaluación identifica riesgos que no pueden reducirse suficientemente mediante medidas apropiadas, se valorarán las actuaciones adicionales que correspondan conforme a la legislación aplicable.
5. Gestión de proveedores que tratan datos personales
Cuando se recurre a proveedores externos que tratan datos personales por cuenta de AGREMONT, se tienen en cuenta las garantías exigidas por la normativa de protección de datos.
Las actividades encargadas se delimitan según las necesidades operativas y las responsabilidades asignadas a cada parte.
Cuando lo exige el RGPD, la relación entre AGREMONT y los proveedores que actúan como encargados del tratamiento se regula mediante contratos u otros instrumentos jurídicos que cumplen los requisitos legales correspondientes.
Los proveedores autorizados deben:
-
Tratar los datos personales únicamente dentro del ámbito de las funciones que tienen asignadas.
-
Seguir las instrucciones aplicables al tratamiento de la información.
6. Control de permisos y acceso a los datos
El acceso a los datos personales se limita en función de las necesidades reales de cada actividad.
Los permisos se asignan teniendo en cuenta las responsabilidades correspondientes y pueden modificarse o revocarse cuando dejan de ser necesarios.
Este sistema de control tiene como finalidad reducir el riesgo de que personas no autorizadas puedan consultar, utilizar o modificar información personal.
7. Gestión de incidentes y violaciones de seguridad
Los incidentes que puedan comprometer la seguridad de los datos personales se evalúan teniendo en cuenta:
-
La naturaleza del incidente.
-
El alcance de la información afectada.
-
Las posibles consecuencias para las personas interesadas.
Cuando se detecta una violación de la seguridad de los datos personales, se adoptan las medidas necesarias para contener el incidente y reducir, en la medida de lo posible, sus efectos.
Cuando la legislación aplicable exige notificar una violación de seguridad a la autoridad de control o comunicarla a las personas afectadas, se cumplen las obligaciones correspondientes en las condiciones y plazos establecidos por el RGPD.
8. Registro de actividades y documentación
En función de la naturaleza y el alcance de las actividades realizadas, la gestión del cumplimiento puede incluir la conservación de los documentos y registros necesarios para acreditar la aplicación de las medidas exigidas por el RGPD.
Cuando corresponda, esta documentación puede incluir información relativa a:
-
Las actividades de tratamiento de datos personales.
-
Las medidas técnicas y organizativas adoptadas.
-
Las evaluaciones de riesgos.
-
Las autorizaciones de acceso a la información.
-
Las actuaciones relacionadas con la protección de datos personales.
La documentación se mantiene de acuerdo con las obligaciones legales aplicables.
9. Concienciación y formación
Las personas autorizadas para acceder a datos personales deben conocer las responsabilidades relacionadas con su utilización y protección.
Según las funciones desempeñadas, las actividades de concienciación y formación pueden abordar aspectos como:
-
Las obligaciones de confidencialidad.
-
Los procedimientos adecuados de acceso a la información.
-
La gestión de solicitudes relacionadas con los derechos de los interesados.
-
Las actuaciones que deben seguirse ante incidentes de seguridad reales o sospechados.
La autorización para acceder a datos personales no permite utilizarlos para finalidades distintas de aquellas comprendidas en las funciones asignadas.
10. Delegado de Protección de Datos (DPO)
Cuando se cumplen los requisitos legales establecidos por el RGPD, se designará un Delegado de Protección de Datos (DPD o DPO).
La necesidad de realizar este nombramiento se evalúa teniendo en cuenta las características de las actividades de tratamiento, especialmente:
-
Su naturaleza.
-
Su alcance.
-
Sus finalidades.
-
Su escala.
La inclusión de esta sección en la presente política no constituye una declaración de que AGREMONT haya designado actualmente un Delegado de Protección de Datos.
11. Cooperación con las autoridades de control
Cuando resulte exigible conforme a la legislación aplicable, AGREMONT colaborará con las autoridades competentes en materia de protección de datos personales.
En relación con las actividades sujetas a la normativa española de protección de datos, la autoridad nacional de control es la Agencia Española de Protección de Datos (AEPD).
La cooperación puede incluir:
-
Atender las solicitudes formuladas por las autoridades competentes.
-
Colaborar en inspecciones y actuaciones de supervisión.
-
Gestionar las comunicaciones y demás actuaciones previstas por la legislación aplicable.
12. Revisión de las medidas de cumplimiento
Los procedimientos relacionados con la protección de datos se revisan cuando se producen cambios significativos en las actividades, los sistemas utilizados, los riesgos identificados o la legislación aplicable.
Estas revisiones pueden abarcar:
-
La eficacia de las medidas de protección adoptadas.
-
Los permisos y controles de acceso.
-
Los procedimientos organizativos.
-
Los riesgos existentes y los que puedan surgir.
Cuando se considera necesario, se realizan los ajustes correspondientes para mantener un nivel de protección adecuado a las actividades que se llevan a cabo.
13. Actualizaciones de esta política
Esta Política de cumplimiento del RGPD puede actualizarse como consecuencia de cambios en:
-
La legislación y las disposiciones aplicables.
-
Las tecnologías utilizadas.
-
Los procedimientos organizativos.
-
La gestión de las actividades de tratamiento de datos personales.
Las modificaciones se evaluarán e incorporarán cuando resulte necesario para mantener la coherencia y adecuación del marco organizativo de protección de datos.
14. Consultas sobre protección de datos
Si tienes preguntas sobre esta política o necesitas información relacionada con los procedimientos de cumplimiento y protección de datos personales, puedes ponerte en contacto con AGREMONT a través de la página Contacto.