CUMPLIMIENTO A LA LEY DE PROTECCIÓN DE DATOS PERSONALES EN POSESIÓN DE PARTICULARES

Transcripción

1 ANTECEDENTES Uno de los ejes principales de Grupo Bimbo es conducir su actividad con estricto apego a la legislación de los países en los que opera, por ello resulta imperativo establecer los mecanismos para la implementación institucional de Ley Federal de Protección de Datos Personales en Posesión de Particulares, publicada el 5 de julio del 2010 en el Diario Oficial de la Federación y los ordenamientos relacionados a ésta. OBJETIVO El objetivo de la presente política es regular legitimidad del tratamiento de los datos personales en Grupo Bimbo, a efecto de garantizar su privacidad y evitar el acceso no autorizado, así como determinar las bases a las que están sujetas las empresas de Grupo Bimbo como propietarias de los archivos y bases de datos de personas físicas. ALCANCE El alcance de aplicación de esta política se extiende a todas las Entidades y Organizaciones y Entidades de Grupo Bimbo en territorio de los Estados Unidos Mexicanos, con motivo del tratamiento que se efectúa de datos personales de colaboradores, proveedores y clientes. POLITICA 1. Principios para cumplir con la Ley. Todas las Organizaciones y Entidades de Grupo Bimbo cuyas funciones incluyan el tratamiento de bases de datos de personas físicas de clientes, proveedores y colaboradores, están obligadas a conocer y aplicar en sus procedimientos la Ley Federal de Protección de Datos Personales en Posesión de Particulares, y las disposiciones que de ella deriven. Cada Entidad y Organización de Grupo Bimbo deberá designar a un responsable para ser el vínculo con el Departamento de Datos de la Dirección Jurídica del Corporativo, a efecto dar cumplimiento a la Ley. Las Organizaciones y Entidades de Grupo Bimbo deberán observar los siguientes principios básicos de Protección de Datos Personales: 1.1. Licitud Los datos personales de clientes, proveedores y colaboradores, serán recabados y tratados por Grupo Bimbo de manera lícita conforme a Ley y demás disposiciones normativas aplicables En Grupo Bimbo está prohibida la obtención de los datos a través de medios engañosos o fraudulentos. FECHA: Sustituye: Página: 1 de 7

2 1.2. Consentimiento A toda la información personal que sea proporcionada a las Organizaciones y Entidades del Grupo Bimbo se le dará un buen uso conforme a lo acordado con el Titular y lo establecido en la Ley y demás dispositivos normativos aplicables Es obligatorio para las Organizaciones y Entidades de Grupo Bimbo difundir los avisos de privacidad dando a conocer a los clientes, proveedores y colaboradores, la información que se recaba de ellos y la finalidad con la que se recaba Dicho aviso de privacidad deberá de ponerse a disposición de los titulares a través de los formatos establecidos por el Departamento de Datos Proporcionalidad Las Organizaciones y Entidades de Grupo Bimbo únicamente recabarán la información de carácter personal que sea necesaria para las funciones que se realicen y su tratamiento deberá estar justificado Las Organizaciones y Entidades de Grupo Bimbo deberán de soportar en justificar la finalidad y el tratamiento de la información recabada en el Aviso de Privacidad, misma que deberá de ser necesaria y adecuada Las Organizaciones y Entidades de Grupo Bimbo deberán estipular en los contratos celebrados con los proveedores la cláusula de confidencialidad y cuidado de los datos personales aprobada por el Departamento de Datos Información Las Organizaciones y Entidades de Grupo Bimbo darán a conocer las características esenciales del tratamiento a que serán sometidos los datos personales que les proporcionen los Titulares a través del Aviso de Privacidad Las Organizaciones y Entidades de Grupo Bimbo junto con el Departamento de Datos, deberán establecer los procedimientos para informar a los titulares cuando sea vulnerada la seguridad de su información y ello pueda afectar de forma significativa sus derechos patrimoniales o morales, a fin de que estos últimos puedan tomar las medidas correspondientes Calidad Las Organizaciones y Entidades de Grupo Bimbo tienen la obligación de mantener actualizada y correcta la información personal de los clientes, proveedores y colaboradores del Grupo Cada Organización y Entidad de Grupo Bimbo deberá limitar el periodo de uso de la información al tiempo estrictamente necesario, trascurrido dicho plazo los datos deberán ser bloqueados con el único propósito de determinar posibles responsabilidades en relación con su tratamiento hasta el plazo de prescripción legal o contractual para proceder a su cancelación En caso de que los datos ya no se requieran para la finalidad por la que se recabaron, las Organizaciones y Entidades de Grupo Bimbo deberán eliminar la información de las bases de datos y sistemas del Grupo en un plazo razonable. FECHA: Sustituye: Página: 2 de 7

3 1.6. Responsabilidad La información relativa al incumplimiento de obligaciones contractuales deberá ser eliminada en el plazo de 72 meses desde que se dio el incumplimiento de todas las bases y sistemas del Grupo Es obligatorio para las Organizaciones y Entidades de Grupo Bimbo establecer las medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra robo, daño, pérdida, alteración, destrucción, uso, acceso y tratamiento no autorizado Las Organizaciones y Entidades de Grupo Bimbo deberán de determinar los procedimientos internos para atender junto con el Departamento de Datos, las solicitudes de los titulares de la información para acceder, rectificar, cancelar u oponerse al uso de datos personales, al tenor de los lineamientos que se estipulen para tales efectos Las Organizaciones y Entidades de Grupo Bimbo deberá tomar las medidas necesarias y suficientes para garantizar que el aviso de privacidad sea respetado en todo momento Las Organizaciones y Entidades de Grupo Bimbo velarán por la confidencialidad de los datos personales que les sean proporcionados por los Titulares o por terceros. 2. Pasos para cumplir con la Ley Actividades y procedimientos en los que se utilizan los datos de personas físicas Las Organizaciones y Entidades de Grupo Bimbo que manejen bases de datos de información, atendiendo a las tres fuentes de donde se obtienen datos: clientes, proveedores y colaboradores, deberán identificar cada una de las actividades y/o procedimientos en los que realiza el tratamiento de datos personales Las Organizaciones y Entidades de Grupo Bimbo deberán diferenciar claramente las bases que contengan información de carácter personal y de aquellas que además contengan datos sensibles Las Organizaciones y Entidades de Grupo Bimbo deberán contar con documento en el que sustente la identificación de cada una de las bases de datos que manejan y la descripción de los datos personales y/o sensibles que contienen Flujo de la información Una vez que se hayan identificado las actividades o procedimientos en donde se resguarden datos de personas físicas, las Organizaciones y Entidades de Grupo Bimbo deberán identificar y FECHA: Sustituye: Página: 3 de 7

4 contar con un documento que soporte el ciclo de vida de los datos en cada una de sus actividades, en donde se deberá de identificar claramente: 1. En que parte de la actividad se recaban los datos. 2. Cómo se obtienen (de manera personal o directa del titular, o de manera indirecta por fuentes de acceso público o transferencia) 3. Qué departamentos y personas dentro de cada Organización tratan los datos personales y para cuál de sus funciones. 4. En qué actividades y/o procedimientos internos se tratan los datos personales. 5. Si en estos procedimientos se requiere y efectúa la transferencia de los datos a terceros ajenos a Grupo Bimbo. 6. Cuánto tiempo se conservan los datos personales. 7. Cuáles son los mecanismos para su actualización y eliminación. 8. Qué medidas se utilizan para su resguardo y seguridad. 9. Qué tipos de datos se recaban y su finalidad Avisos de Privacidad Las Organizaciones y Entidades de Grupo Bimbo cuyas funciones incluyan el tratamiento de bases de datos de personas físicas están obligadas a dar a conocer el aviso de privacidad a los clientes, proveedores y colaboradores, a través de los medios que se determinen procedentes para tal fin y de conformidad con los formatos autorizados para tales efectos por el Departamento de Datos. El aviso de privacidad deberá de contener: 1. La finalidad de la información que se recabe. 2. Los datos de identificación de la empresa responsable de la información. 3. Las opciones para limitar el uso y divulgación de los datos. 4. La forma de hacer efectivos los derechos de acceso, rectificación, cancelación y oposición. 5. La autorización para transferir la información a terceros. 6. El procedimiento y medio por el cual el responsable comunica cambios al aviso de privacidad. 7. Señalar los medios para el consentimiento expreso cuando son datos sensibles. 8. En el caso del uso de cookies, web beacons o cualquier otra tecnología o aplicación para obtener o recabar información personal se informará al titular de tal práctica, y se habilitarán los mecanismos por los que el titular pueda oponerse libremente a que sus comportamientos sean monitoreados por los responsables Consentimiento Será obligatorio para las Organizaciones y Entidades de Grupo Bimbo obtener el consentimiento expreso de los Titulares de la Información para el tratamiento de: datos FECHA: Sustituye: Página: 4 de 7

5 sensibles, datos financieros y patrimoniales, cuando haya cambio en la finalidad en el uso de la información, y cuando la información vaya a ser transferida a terceros ajenos al Grupo En el consentimiento expreso se deberá recabar del Titular su firma autógrafa, firma electrónica, o cualquier mecanismo de autenticación, por medio de los formatos establecidos por el Departamento de Datos Las Organizaciones y Entidades de GB deberán conservar en medios físicos o electrónicos, la evidencia de que el titular de la información dio su consentimiento expreso para el uso correspondiente. El plazo para la conservación será variable para cada tipo de datos, de acuerdo a lo que se establece en esta política Lineamientos Internos Será responsabilidad de cada Organización de Grupo Bimbo determinar los procedimientos internos para difundir y cumplir con la Ley de acuerdo a las actividades y ciclos de vida de las bases de datos de personas físicas que traten, al tenor de lo estipulado en la presente política, la Ley y las demás disposiciones normativas que resulten aplicables, así como velar por su observación y cumplimiento Para las Direcciones Corporativas de Grupo Bimbo deberán revisar sus políticas y procedimientos internos, en donde se deberá incluir lo respectivo al tratamiento de la información personal desde su obtención, uso, divulgación, almacenamiento, transmisión, y cancelación Asimismo, se deberán de contemplar las medidas de seguridad administrativas, técnicas y físicas que permitan proteger los datos personales contra daño, pérdida, alteración, destrucción, uso, acceso y tratamiento no autorizado Departamento de Datos Personales (Dirección Jurídica) Las Organizaciones y Entidades de Grupo Bimbo se apoyarán en el Departamento de Datos Personales que sea designado por el Grupo para atender las solicitudes de los titulares de la información para ejercer los derechos ARCO, que se definen al final de esta política El Departamento de Datos establecerá los procedimientos para la recepción, tramitación, seguimiento y atención oportuna de las solicitudes formuladas por los titulares de la información en el ejercicio de sus derechos El Departamento de Datos también tendrá a su cargo el monitorear los avances o cambios legislativos en materia de privacidad y protección de datos personales que pudieran impactar en los ejes rectores y acciones desarrolladas en el tema; alinear los procedimientos internos de cada Organización de Grupo Bimbo a esta política y a la normatividad vigente; y asegurar que la presente política se cumpla por las Organizaciones y Entidades de Grupo Bimbo difundiendo una cultura de protección de los datos al interior de las Organizaciones y Entidades de Grupo Bimbo. Definiciones y generalidades FECHA: Sustituye: Página: 5 de 7

6 Aviso de Privacidad: Documento físico, electrónico o en cualquier otro formato generado por el responsable que es puesto a disposición del titular, previo al tratamiento de sus datos personales. Bases de datos: El conjunto ordenado de datos personales referentes a una persona identificada o identificable. Bloqueo: La identificación y conservación de datos personales una vez cumplida la finalidad para la cual fueron recabados, con el único propósito de determinar posibles responsabilidades en relación con su tratamiento, hasta el plazo de prescripción legal o contractual de éstas. Durante dicho periodo, los datos personales no podrán ser objeto de tratamiento y transcurrido éste, se procederá a su cancelación en la base de datos que corresponde. Consentimiento: Manifestación de la voluntad del titular de los datos mediante la cual se efectúa el tratamiento de los mismos. Datos personales: Cualquier información concerniente a una persona física identificada o identificable. Datos personales sensibles: Aquellos datos personales que afecten a la esfera más íntima de su titular, o cuya utilización indebida pueda dar origen a discriminación o conlleve un riesgo grave para éste. En particular, se consideran sensibles aquellos que puedan revelar aspectos como origen racial o étnico, estado de salud presente y futuro, información genética, creencias religiosas, filosóficas y morales, afiliación sindical, opiniones políticas, preferencia sexual. Derechos ARCO: Acceso- Los titulares tienen derecho a acceder a sus datos personales que obren en poder del responsable, así como conocer el Aviso de Privacidad al que está sujeto el tratamiento. Rectificación- Los titulares tienen derecho a rectificarlos cuando sean inexactos o incompletos. Cancelación- El titular tendrá en todo momento el derecho a cancelar sus datos personales. Oposición- Tiene derecho a oponerse al tratamiento de sus datos. De resultar procedente, el responsable no podrá tratar los datos relativos al titular Ley: Ley Federal de Protección de Datos Personales en Posesión de los Particulares. Titular: La persona física a quien corresponden los datos personales. Tratamiento: La obtención, uso, divulgación o almacenamiento de datos personales, por cualquier medio. El uso abarca cualquier acción de acceso, manejo, aprovechamiento, transferencia o disposición de datos personales. FECHA: Sustituye: Página: 6 de 7

7 Transferencia: Toda comunicación de datos realizada a persona distinta del responsable o encargado del tratamiento. REFERENCIAS NORMATIVAS v Normas o procesos relacionados Política de Privacidad. Política de Internet. Este documento entra en vigor a partir de la publicación en el sistema FECHA: Sustituye: Página: 7 de 7