Política de protección de datos

Sección B: Principios de protección de datos

7. Tratamiento de datos lícito, justo y transparente

El Reglamento no pretende impedir el tratamiento de datos personales, sino garantizar que se hace de forma leal y sin menoscabo de los derechos del interesado. El tratamiento de datos personales es lícito si se cumple uno (o varios) de los siguientes requisitos:

• a) consentimiento el interesado ha dado su consentimiento al tratamiento de sus datos personales para uno o varios fines específicos;
• b) contrato el tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para tomar medidas a petición del interesado antes de celebrar un contrato;
• c) obligación legal el tratamiento es necesario para el cumplimiento de una obligación legal a la que está sujeto el responsable del tratamiento;
• d) protección el tratamiento es necesario para proteger los intereses vitales del interesado o de otra persona física;
• e) interés público el tratamiento es necesario para el cumplimiento de una misión de interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento;
• f) intereses legítimos el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento o por un tercero, salvo que prevalezcan sobre dichos intereses derechos y libertades fundamentales del interesado que requieran la protección de datos personales, en particular cuando el interesado sea un niño.

8. Tratados con fines específicos, explícitos y legítimos

• 8.1 La empresa recoge y trata los datos personales que figuran en el Anexo 1 de la presente Política. Esto puede incluir datos personales recibidos directamente de los interesados (por ejemplo, datos de contacto utilizados cuando un interesado se comunica con nosotros) y puede incluir datos recibidos de terceros.
• 8.2La Empresa sólo procesa datos personales para los fines específicos establecidos en el Anexo 1 de esta Política (o para otros fines expresamente permitidos por el Reglamento). Los fines para los que tratamos los datos personales se comunicarán a los interesados en el momento en que se recojan sus datos personales, cuando se recojan directamente de ellos, o lo antes posible (no más de un mes natural) después de su recogida cuando se obtengan de un tercero.

9. Tratamiento de datos adecuado, pertinente y limitado

La empresa sólo recopilará y tratará los datos personales en la medida en que sea necesario para la finalidad o finalidades específicas que se hayan comunicado a los interesados con arreglo al apartado 5 anterior.

10. Exactitud y actualización de los datos

La empresa se asegurará de que todos los datos personales recogidos y tratados sean exactos y estén actualizados. La exactitud de los datos se comprobará en el momento de su recogida y posteriormente a intervalos regulares. Cuando se detecten datos inexactos o no actualizados, se tomarán sin demora todas las medidas razonables para modificar o borrar dichos datos, según proceda.

11. Tramitación puntual

La empresa no conservará los datos personales durante más tiempo del necesario en función de los fines para los que se recogieron y trataron originalmente. Cuando los datos dejen de ser necesarios, se tomarán todas las medidas razonables para borrarlos sin demora.

12.Procesamiento seguro

La empresa se asegurará de que todos los datos personales recogidos y tratados se mantengan seguros y protegidos contra el tratamiento no autorizado o ilícito y la pérdida, destrucción o daño accidentales. En las partes 22 y 23 de la presente Política se ofrecen más detalles sobre las medidas organizativas y de protección de datos que deberán adoptarse.

• 12.1Una evaluación de los riesgos planteados a los interesados individuales; y
• 12.2Detalles de las medidas aplicadas para minimizar y gestionar los riesgos, incluidas las salvaguardias, la seguridad de los datos y otras medidas y mecanismos para garantizar la protección de los datos personales, suficientes para demostrar el cumplimiento del Reglamento.

Sección C: Derechos del interesado

13. Derechos de los interesados

El Reglamento establece los siguientes derechos aplicables a los interesados:

• a) Derecho a ser informado;
• b) Derecho de acceso;
• c) Derecho de rectificación;
• d) Derecho de supresión (también conocido como ‘derecho al olvido’);
• e) Derecho a restringir el tratamiento;
• f) Derecho a la portabilidad de los datos;
• g) Derecho de oposición;
• h) Derechos en relación con la toma de decisiones automatizada y la elaboración de perfiles.

14. Derechos de los interesados

• 14.1 La Empresa se asegurará de que se facilite la siguiente información a cada interesado cuando se recojan datos personales:
• a) Datos de la empresa, incluida, entre otros, la identidad de Jimit Bagadiya, su responsable de protección de datos;
• b) La finalidad o finalidades para las que se recogen y tratarán los datos personales (según se detalla en el Anexo 1 de esta Política) y la base jurídica que justifica dicha recogida y tratamiento;
• c) En su caso, los intereses legítimos en los que se basa la empresa para justificar la recogida y el tratamiento de los datos personales;
• d) Cuando los datos personales no se obtengan directamente del interesado, las categorías de datos personales recogidos y tratados;
• e) Cuando los datos personales vayan a transferirse a uno o varios terceros, los datos de dichos terceros;
• f) Cuando los datos personales vayan a transferirse a un tercero situado fuera del Espacio Económico Europeo (el “EEE”), los detalles de dicha transferencia, incluidas, entre otras cosas, las salvaguardias establecidas (véase la Parte 26 de la presente Política para más detalles sobre dichas transferencias de datos a terceros países);
• g) Detalles de la duración de la conservación de los datos personales por parte de la empresa (o, cuando no exista un periodo predeterminado, detalles de cómo se determinará dicha duración);
• h) Detalles de los derechos del interesado en virtud del Reglamento;
• i) Información detallada sobre el derecho del interesado a retirar en cualquier momento su consentimiento al tratamiento de sus datos personales por parte de la empresa;
• j) Información detallada sobre el derecho del interesado a presentar una reclamación ante la Oficina del Comisario de Información (la ‘autoridad de control’ con arreglo al Reglamento);
• k) Cuando proceda, detalles de cualquier requisito u obligación legal o contractual que requiera la recogida y el tratamiento de los datos personales y detalles de las consecuencias de no proporcionarlos;
• l) Detalles de cualquier toma de decisiones automatizada que vaya a tener lugar utilizando los datos personales (incluida, entre otras, la elaboración de perfiles), incluida información sobre cómo se tomarán las decisiones, la importancia de las mismas y sus posibles consecuencias.
• 14.2 Cuando los datos personales se obtengan directamente del interesado, en el momento de su recogida;
• 14.3 Cuando los datos personales no se obtengan directamente del interesado (es decir, de un tercero):
• a) Si los datos personales se utilizan para comunicarse con el interesado, en el momento de la primera comunicación; o bien
• b) si los datos personales se van a comunicar a un tercero, antes de que se comuniquen; o bien
• c) si los datos personales se van a comunicar a un tercero, antes de que se comuniquen; o bien

15. Acceso del interesado

• 15.1 Los interesados pueden presentar en cualquier momento una solicitud de acceso (“SAR”) para obtener más información sobre los datos personales que la empresa posee sobre ellos. Normalmente, la empresa está obligada a responder a las SAR en el plazo de un mes a partir de su recepción (este plazo puede ampliarse hasta dos meses en el caso de solicitudes complejas o numerosas, en cuyo caso se informará al interesado de la necesidad de la ampliación).
• 15.2 Todas las solicitudes de acceso recibidas deberán remitirse a Jimit Bagadiya, responsable de protección de datos de la empresa, a la dirección siguiente privacy@socialpilot.co. La empresa no cobra honorarios por la tramitación de SAR normales. La empresa se reserva el derecho a cobrar tasas razonables por copias adicionales de información que ya se haya facilitado a un interesado, y por solicitudes manifiestamente infundadas o excesivas, en particular cuando dichas solicitudes sean repetitivas.

16. Rectificación de datos personales

• 16.1 Si un interesado informa a la Empresa de que los datos personales que obran en su poder son inexactos o incompletos, solicitando su rectificación, los datos personales en cuestión se rectificarán, y se informará al interesado de dicha rectificación, en el plazo de un mes a partir de la recepción de la notificación del interesado (este plazo podrá prorrogarse hasta dos meses en el caso de solicitudes complejas, y en tales casos se informará al interesado de la necesidad de la prórroga).
• 16.2 En caso de que algún dato personal afectado haya sido comunicado a terceros, se informará a éstos de cualquier rectificación de dichos datos personales.

17. Supresión de datos personales

• 17.1 Los interesados podrán solicitar a la Empresa que borre los datos personales que posea sobre ellos en las siguientes circunstancias:
• a) Ya no es necesario que la Empresa conserve esos datos personales con respecto a la finalidad para la que fueron recogidos o tratados originalmente;
• b) El interesado desea revocar su consentimiento para que la Empresa conserve y trate sus datos personales;
• c) El interesado se opone a que la empresa conserve y trate sus datos personales (y no existe un interés legítimo superior que permita a la empresa seguir haciéndolo) (véase la parte 20 de esta política para obtener más información sobre el derecho de oposición de los interesados);
• d) Los datos personales han sido tratados ilegalmente;
• e) Los datos personales deben eliminarse para que la empresa pueda cumplir una obligación legal concreta;
• 17.2 A menos que la Empresa tenga motivos razonables para negarse a borrar los datos personales, se atenderán todas las solicitudes de supresión y se informará al interesado de la supresión en el plazo de un mes a partir de la recepción de la solicitud del interesado (este plazo puede ampliarse hasta dos meses en el caso de solicitudes complejas y, en tales casos, se informará al interesado de la necesidad de la ampliación).
• 17.3 En caso de que los datos personales que deban suprimirse en respuesta a la solicitud de un interesado hayan sido comunicados a terceros, éstos serán informados de la supresión (a menos que sea imposible o exija un esfuerzo desproporcionado hacerlo).

18. Restricción del tratamiento de datos personales

• 18.1 Los interesados podrán solicitar a la empresa que deje de tratar los datos personales que posea sobre ellos. Si un interesado realiza dicha solicitud, la Empresa conservará únicamente la cantidad de datos personales relativos a dicho interesado que sea necesaria para garantizar que no se lleve a cabo ningún otro tratamiento de sus datos personales.
• 18.2 En caso de que se haya comunicado a terceros algún dato personal afectado, se informará a dichos terceros de las restricciones aplicables a su tratamiento (a menos que sea imposible o exija un esfuerzo desproporcionado hacerlo).

19. Portabilidad de datos

• 19.1 Cuando los interesados hayan dado su consentimiento a la Empresa para tratar sus datos personales de esa manera o el tratamiento sea necesario para la ejecución de un contrato entre la Empresa y el interesado, los interesados tienen el derecho legal, en virtud del Reglamento, a recibir una copia de sus datos personales y a utilizarlos para otros fines (concretamente, transmitirlos a otros responsables del tratamiento de datos, por ejemplo, otras organizaciones).
• 19.2 Para facilitar el derecho a la portabilidad de los datos, la Empresa pondrá a disposición de los interesados todos los datos personales aplicables en formato CSV.
• 19.3 Cuando sea técnicamente posible, si así lo solicita el interesado, los datos personales se enviarán directamente a otro responsable del tratamiento.
• 19.4 Todas las solicitudes de copias de datos personales se atenderán en el plazo de un mes a partir de la solicitud del interesado (este plazo podrá prorrogarse hasta dos meses en caso de solicitudes complejas o numerosas, en cuyo caso se informará al interesado de la necesidad de la prórroga).

20. Objeciones al tratamiento de datos personales

• 20.1 Los interesados tienen derecho a oponerse a que la Empresa procese sus datos personales basándose en intereses legítimos (incluida la elaboración de perfiles), marketing directo (incluida la elaboración de perfiles) y procesamiento con fines de investigación científica y/o histórica y estadística.
• 20.2 Cuando un interesado se oponga a que la Empresa procese sus datos personales basándose en sus intereses legítimos, la Empresa dejará de hacerlo inmediatamente, a menos que pueda demostrarse que los motivos legítimos de la Empresa para dicho procesamiento prevalecen sobre los intereses, derechos y libertades del interesado; o que el procesamiento es necesario para la tramitación de reclamaciones legales.
• 20.3 Si un interesado se opone a que la empresa trate sus datos personales con fines de venta directa, la empresa dejará de hacerlo inmediatamente.
• 20.4 Cuando un interesado se oponga a que la Empresa trate sus datos personales con fines de investigación científica y/o histórica y estadística, el interesado deberá, con arreglo al Reglamento, ‘demostrar motivos relacionados con su situación particular’. La empresa no está obligada a cumplir esta obligación si la investigación es necesaria para el desempeño de una tarea realizada por razones de interés público.

21. Toma de decisiones automatizada

• 21.1 En caso de que la Empresa utilice datos personales para la toma de decisiones automatizadas y dichas decisiones tengan un efecto jurídico (o de importancia similar) sobre los interesados, éstos tienen derecho a impugnar dichas decisiones con arreglo al Reglamento, solicitando la intervención humana, expresando su propio punto de vista y obteniendo una explicación de la decisión por parte de la Empresa.
• 21.2El derecho descrito en el apartado 21.1 no se aplica en las siguientes circunstancias:
• a) La decisión es necesaria para la celebración o ejecución de un contrato entre la empresa y el interesado;
• b) La decisión está autorizada por la ley; o
• c) El interesado ha dado su consentimiento explícito.

22. Perfil

• 22.1 Cuando la Empresa utilice datos personales con fines de elaboración de perfiles, se aplicará lo siguiente:
• a) Se proporcionará información clara que explique la elaboración de perfiles, incluido su significado y las consecuencias probables;
• b) Se utilizarán procedimientos matemáticos o estadísticos adecuados;
• c) Se aplicarán las medidas técnicas y organizativas necesarias para minimizar el riesgo de errores y permitir que éstos se corrijan fácilmente.
• d) Todos los datos personales tratados con fines de elaboración de perfiles se protegerán para evitar los efectos discriminatorios derivados de la elaboración de perfiles (véanse las partes 22 y 23 de esta Política para más detalles sobre la seguridad de los datos).

Sección D: Otras obligaciones

23. Rendición de cuentas

• 23.1 El responsable de la protección de datos de la Empresa es Jimit Bagadiya, privacy@socialpilot.co. La Empresa mantendrá registros internos por escrito de toda la recogida, conservación y tratamiento de datos personales, que incorporarán la siguiente información
• a) El nombre y los datos de la empresa, de su responsable de protección de datos y, en su caso, de terceros responsables del tratamiento de datos;
• b) Los fines para los que la empresa trata los datos personales;
• c) Detalles de las categorías de datos personales recopilados, conservados y tratados por la empresa; y las categorías de interesados a los que se refieren dichos datos personales;
• d) Detalles (y categorías) de cualquier tercero que vaya a recibir datos personales de la Empresa;
• e) Detalles de cualquier transferencia de datos personales a países no pertenecientes al EEE, incluidos todos los mecanismos y garantías de seguridad;
• f) Detalles sobre el tiempo que la empresa conservará los datos personales; y
• g) Descripciones detalladas de todas las medidas técnicas y organizativas adoptadas por la empresa para garantizar la seguridad de los datos personales.

24. Evaluaciones de impacto sobre la privacidad

La Empresa llevará a cabo Evaluaciones del Impacto sobre la Privacidad cuando y como lo exija el Reglamento. Las evaluaciones de impacto sobre la privacidad serán supervisadas por el responsable de protección de datos de la empresa y abordarán los siguientes ámbitos de importancia:

• 24.1 La finalidad o finalidades del tratamiento de los datos personales y las operaciones de tratamiento que se llevarán a cabo con dichos datos;
• 24.2 Detalles de los intereses legítimos perseguidos por la empresa;
• 24.3 Una evaluación de la necesidad y proporcionalidad del tratamiento de datos con respecto a los fines para los que se tratan;

25. Medidas organizativas

La Empresa garantizará que se tomen las siguientes medidas con respecto a la recogida, conservación y tratamiento de datos personales:

• a) Todos los empleados, agentes, contratistas u otras partes que trabajen en nombre de la empresa deberán ser plenamente conscientes tanto de sus responsabilidades individuales como de las responsabilidades de la empresa en virtud del Reglamento y de la presente Política, y deberán recibir una copia de la misma;
• b) Sólo tendrán acceso a los datos personales que obren en poder de la Empresa los empleados, agentes, subcontratistas u otras partes que trabajen en nombre de la Empresa y que necesiten acceder a los datos personales y utilizarlos para llevar a cabo correctamente las tareas que les hayan sido asignadas;
• c) Todos los empleados, agentes, contratistas u otras partes que trabajen en nombre de la empresa y traten datos personales recibirán la formación adecuada para hacerlo;
• d) Se supervisará adecuadamente a todos los empleados, agentes, contratistas u otras partes que trabajen en nombre de la empresa y traten datos personales;
• e) Los métodos de recogida, conservación y tratamiento de datos personales se evaluarán y revisarán periódicamente;
• f) Se evaluará y revisará periódicamente la actuación de los empleados, agentes, contratistas u otras partes que trabajen en nombre de la empresa y traten datos personales;
• g) Todos los empleados, agentes, contratistas u otras partes que trabajen en nombre de la Empresa que traten datos personales estarán obligados a hacerlo de conformidad con los principios del Reglamento y de la presente Política mediante contrato;
• h) Todos los agentes, contratistas u otras partes que trabajen en nombre de la Empresa que traten datos personales deben garantizar que todos y cada uno de sus empleados que participen en el tratamiento de datos personales estén sujetos a las mismas condiciones que los empleados pertinentes de la Empresa derivadas de esta Política y del Reglamento;
• i) En caso de que un agente, contratista u otra parte que trabaje en nombre de la empresa y maneje datos personales incumpla sus obligaciones en virtud de la presente política, dicha parte indemnizará a la empresa y la mantendrá indemne frente a cualquier coste, responsabilidad, daño, pérdida, reclamación o procedimiento que pueda derivarse de dicho incumplimiento.

26. Transferencia de datos personales a un país no perteneciente al EEE

• 26.1 La Empresa puede transferir ocasionalmente (‘transferir’ incluye poner a disposición a distancia) datos personales a países fuera del EEE.
• 26.2 La transferencia de datos personales a un país no perteneciente al EEE sólo tendrá lugar si se da una o varias de las circunstancias siguientes:
• a) La transferencia se realiza a un país, territorio, o uno o más sectores específicos de ese país (o una organización internacional), que la Comisión Europea ha determinado que garantiza un nivel adecuado de protección de los datos personales;
• b) La transferencia se realiza a un país (u organización internacional) que ofrece garantías adecuadas en forma de acuerdo jurídicamente vinculante entre autoridades u organismos públicos; normas corporativas vinculantes; cláusulas tipo de protección de datos adoptadas por la Comisión Europea; cumplimiento de un código de conducta aprobado por una autoridad de control (por ejemplo, la Oficina del Comisario de Información); certificación en virtud de un mecanismo de certificación aprobado (según lo dispuesto en el Reglamento); cláusulas contractuales acordadas y autorizadas por la autoridad de control competente; o disposiciones insertadas en acuerdos administrativos entre autoridades u organismos públicos autorizados por la autoridad de control competente;
• c) La transferencia se realiza con el consentimiento informado del interesado o interesados;
• d) La transferencia es necesaria para la ejecución de un contrato entre el interesado y la empresa (o para medidas precontractuales adoptadas a petición del interesado);
• e) La transferencia es necesaria por razones importantes de interés público;
• f) La transferencia es necesaria para el ejercicio de acciones legales;
• g) la transferencia es necesaria para proteger los intereses vitales del interesado o de otras personas, cuando el interesado está física o jurídicamente incapacitado para dar su consentimiento; o
• h) información al público y que esté abierta al acceso del público en general o, en su defecto, a quienes puedan demostrar un interés legítimo en acceder al registro.

27. Notificación de violación de datos

• 27.1 Todas las violaciones de datos personales deben comunicarse inmediatamente al responsable de protección de datos de la empresa.
• 27.2 Si se produce una violación de los datos personales y es probable que dicha violación suponga un riesgo para los derechos y libertades de los interesados (por ejemplo, pérdidas financieras, violación de la confidencialidad, discriminación, daño a la reputación u otros daños sociales o económicos significativos), el responsable de la protección de datos debe garantizar que se informa de la violación a la Oficina del Comisario de Información sin demora y, en cualquier caso, en un plazo de 72 horas desde que se tuvo conocimiento de ella.
• 27.3 En caso de que sea probable que una violación de datos personales suponga un alto riesgo (es decir, un riesgo superior al descrito en la parte 27.2) para los derechos y libertades de los interesados, el responsable de la protección de datos deberá garantizar que todos los interesados afectados sean informados de la violación directamente y sin demora indebida.
• 27.4 Las notificaciones de violación de datos incluirán la siguiente información:
• a) Las categorías y el número aproximado de interesados afectados;
• b) Las categorías y el número aproximado de registros de datos personales afectados;
• c) El nombre y los datos de contacto del responsable de protección de datos de la empresa (u otro punto de contacto donde pueda obtenerse más información);
• d) Las consecuencias probables del incumplimiento;
• e) Detalles de las medidas adoptadas o propuestas por la empresa para hacer frente al incumplimiento, incluidas, en su caso, medidas para mitigar sus posibles efectos adversos.

28. Aplicación de la política

La presente Política se considerará efectiva a partir del 25-5-2018. Ninguna parte de esta Política tendrá efecto retroactivo y, por tanto, se aplicará únicamente a los asuntos que se produzcan a partir de esta fecha.

Anexo 1: Nuestro uso de los datos personales y nuestra finalidad

La empresa puede recopilar, conservar y tratar los siguientes datos personales:

• a) Nombre
• b) nombre de la empresa
• c) Información de contacto, como direcciones de correo electrónico
• d) Información demográfica, como el código postal,
• e) Información financiera, como números de tarjetas de crédito o débito
• f) Dirección IP (recogida automáticamente)
• g) Tipo y versión del navegador web (recogidos automáticamente),
• h) Sistema operativo (recopilado automáticamente)
• i) Una lista de URL que comienzan con un sitio de referencia, su actividad en Nuestro Sitio y el sitio al que sale (recopilada automáticamente)
• j) Dirección de facturación
• k) Número de IVA.
• l) URL de perfiles sociales’

Anexo 2: Nuestras medidas específicas de protección de datos

Estas son las medidas que tomamos cuando trabajamos con datos personales:

• m) Todos los correos electrónicos que contengan datos personales deben estar encriptados;
• n) Cuando los datos personales deban borrarse o eliminarse por cualquier motivo (incluso si se han hecho copias y ya no son necesarias), deberán borrarse y eliminarse de forma segura. Las copias impresas deben triturarse y las copias electrónicas deben eliminarse de forma segura;
• o) Los datos personales sólo pueden transmitirse a través de redes seguras; la transmisión a través de redes no seguras no está permitida en ningún caso;
• p) Los datos personales no podrán transmitirse a través de una red inalámbrica si existe una alternativa por cable que sea razonablemente viable;
• q) Los datos personales contenidos en el cuerpo de un correo electrónico, ya sea enviado o recibido, deben copiarse del cuerpo de dicho correo y guardarse de forma segura. El propio correo electrónico debe borrarse. También deberán borrarse todos los archivos temporales asociados al mismo;
• r) Cuando los datos personales deban enviarse por fax, el destinatario deberá ser informado con antelación de la transmisión y deberá estar a la espera de la máquina de fax para recibir los datos;
• s) Ningún dato personal podrá compartirse de manera informal y si un empleado, agente, subcontratista u otra parte que trabaje en nombre de la Empresa requiere acceso a cualquier dato personal al que no tenga ya acceso, dicho acceso deberá solicitarse formalmente a Jimit Bagadiya a través de privacy@socialpilot.co;
• t) Todas las copias impresas de datos personales, junto con cualquier copia electrónica almacenada en soportes físicos extraíbles, deben guardarse de forma segura en una caja, cajón, armario o similar cerrado con llave;
• u) No se transferirán datos personales a empleados, agentes, contratistas u otras partes, trabajen o no en nombre de la empresa, sin la autorización de Jimit Bagadiya, privacy@socialpilot.co;
• v) Los datos personales deben tratarse con cuidado en todo momento y no deben dejarse desatendidos ni a la vista de empleados, agentes, subcontratistas u otras partes no autorizadas en ningún momento;
• w) Si se están visualizando datos personales en la pantalla de un ordenador y el ordenador en cuestión se va a dejar desatendido durante cualquier periodo de tiempo, el usuario deberá bloquear el ordenador y la pantalla antes de abandonarlo;
• x) No deben almacenarse datos personales en ningún dispositivo móvil (incluidos, entre otros, ordenadores portátiles, tabletas y teléfonos inteligentes), tanto si dicho dispositivo pertenece a la Empresa como si no, sin la aprobación formal por escrito de Jimit Bagadiya, privacy@socialpilot.co y, en caso de aprobación, estrictamente de acuerdo con todas las instrucciones y limitaciones descritas en el momento de la aprobación, y por no más tiempo del absolutamente necesario;
• y) No deben transferirse datos personales a ningún dispositivo que pertenezca personalmente a un empleado y los datos personales sólo pueden transferirse a dispositivos que pertenezcan a agentes, contratistas u otras partes que trabajen en nombre de la Empresa cuando la parte en cuestión haya aceptado cumplir plenamente la letra y el espíritu de esta Política y del Reglamento (lo que puede incluir demostrar a la Empresa que se han tomado todas las medidas técnicas y organizativas adecuadas);
• z) Todos los datos personales almacenados electrónicamente deben ser respaldados todos los días con copias de seguridad almacenadas en la nube de AWS. Todas las copias de seguridad deben estar cifradas;
• Todas las copias electrónicas de datos personales deben almacenarse de forma segura mediante contraseñas y cifrado de datos;
• Todas las contraseñas utilizadas para proteger datos personales deben cambiarse con regularidad y no deben utilizar palabras o frases que puedan adivinarse fácilmente o ponerse en peligro de otro modo;
• Las contraseñas no deben anotarse ni compartirse bajo ninguna circunstancia entre empleados, agentes, contratistas u otras partes que trabajen en nombre de la empresa, independientemente de su antigüedad o departamento. Si se olvida una contraseña, debe restablecerse utilizando el método aplicable. El personal informático no tiene acceso a las contraseñas.