Política de Proteção de Dados Pessoais

Em primeiro lugar. Sim. socialjuice é compatível com GDPR. Nós da Waldo Studio BV estamos comprometidos em processar dados pessoais de forma segura e respeitar a privacidade dos indivíduos envolvidos. Esta política será revisada anualmente ou sempre que ocorrerem alterações em nosso processamento de dados.

Escopo e Definições

Escopo. Esta Política de Proteção de Dados Pessoais (a “Política”) descreve as regras internas da Waldo Studio BV para processamento e proteção de dados pessoais. A Política se aplica à Waldo Studio BV, incluindo funcionários e contratados da Waldo Studio BV (“nós”, “nos”, “nosso”, “Waldo Studio BV”). A gestão de cada entidade é a responsável final pela implementação desta política, bem como por garantir, ao nível da entidade, que existem procedimentos adequados e eficazes para a sua implementação e monitorização contínua da sua adesão. Para os fins desta Política, funcionários e contratados são conjuntamente denominados “funcionários”.
Gerenciador de privacidade. O Gerente de Privacidade é um funcionário da Waldo Studio BV responsável pela conformidade com a proteção de dados pessoais dentro da Waldo Studio BV (o “Gerente de Privacidade”). O Gerente de Privacidade é responsável por cumprir as obrigações impostas por esta Política e supervisionar os demais funcionários, sujeitos a esta Política, quanto à sua adesão a esta Política. O Gestor de Privacidade deve estar envolvido em todos os projetos numa fase inicial, a fim de ter em conta os aspetos de proteção de dados pessoais já na fase de planeamento.
O gerente de privacidade designado do Waldo Studio BV é Sander Belaen.
Definições.
Autoridade Supervisora Competente
significa uma autoridade pública responsável por regular e supervisionar a proteção de dados pessoais no que diz respeito às atividades da Waldo Studio BV.

Violação de dados
significa uma violação da segurança e/ou confidencialidade que leva à destruição, perda, alteração, divulgação não autorizada ou acesso acidental ou ilegal a Dados Pessoais transmitidos, armazenados ou processados de outra forma.

Isso inclui, entre outros, e-mails enviados para uma lista de destinatários incorreta ou divulgada, publicação ilegal de Dados Pessoais, perda ou roubo de registros físicos e acesso não autorizado a informações pessoais.

Controlador de Dados
significa a pessoa física ou jurídica, autoridade pública, agência ou outro órgão que, sozinho ou em conjunto com outros, determina (toma uma decisão) as finalidades e meios de processamento de Dados Pessoais.

Processador de Dados
significa uma pessoa física ou jurídica, autoridade pública, agência ou outro órgão que processa os Dados Pessoais em nome do controlador de dados.
Leis de Proteção de Dados
significa quaisquer leis e regras legais sobre uso e proteção de dados pessoais aplicáveis às atividades da Waldo Studio BV, incluindo, mas não se limitando ao Regulamento (UE) 2016/679 do Parlamento Europeu e do Conselho de 27 de abril de 2016 sobre a proteção de pessoas físicas no que diz respeito ao processamento de dados pessoais e à livre circulação desses dados, e que revoga a Diretiva 95/46/CE (Regulamento Geral de Proteção de Dados, GDPR).

Solicitação do Titular dos Dados (DSR)
significa qualquer solicitação do Titular dos Dados relativa aos seus dados pessoais e/ou direitos do titular dos dados.

Titular dos Dados
significa uma pessoa física, cujos Dados Pessoais processamos. Os titulares dos dados incluem, entre outros, usuários, visitantes do site, funcionários, contratados e parceiros da Waldo Studio BV.

Dados Pessoais
significa qualquer informação relativa a um Titular dos Dados identificado ou identificável; um Titular dos Dados pode ser identificado por referência a um identificador, como um nome, um número de identificação, dados de localização, um identificador online ou a um ou à combinação de fatores específicos da identidade física, fisiológica, genética, mental, econômica, cultural ou social desse Titular dos Dados.

Processamento
significa qualquer operação ou conjunto de operações executadas pela Waldo Studio BV em Dados Pessoais, como coleta, registro, organização, estruturação, armazenamento, adaptação ou alteração, recuperação, consulta, uso, divulgação por transmissão, disseminação ou disponibilização de outra forma, alinhamento ou combinação, restrição, apagamento ou destruição.

Cláusulas Contratuais Padrão
significa a Decisão da Comissão Europeia de 5 de fevereiro de 2010 sobre cláusulas contratuais padrão para a transferência de dados pessoais para processadores estabelecidos em países terceiros sob a Diretiva 95/46/CE do Parlamento Europeu e do Conselho (2010/87/UE).

Terceiros
significa uma pessoa física ou jurídica que acessa os Dados Pessoais para processamento posterior e não é funcionário, membro ou afiliada corporativa da Waldo Studio BV. Esta definição não se aplica a pessoas físicas que prestam serviços regulares à Waldo Studio BV como contratantes.

Usuário
significa um Titular dos Dados que utiliza nossos serviços fornecidos no site Waldo Studio BV.

Princípios de Processamento de Dados

As atividades de processamento da Waldo Studio BV devem estar de acordo com os princípios especificados nesta Seção. O Gestor de Privacidade deve certificar-se de que a documentação de conformidade da Waldo Studio BV, bem como as atividades de processamento de dados, estão em conformidade com os princípios de proteção de dados.

Devemos processar os Dados Pessoais de acordo com os seguintes princípios: De forma lícita, justa e transparente (licitude, justiça e transparência). Teremos sempre um fundamento jurídico para o tratamento (descrito na Secção 3 desta Política), recolheremos a quantidade de dados adequada à finalidade e aos fundamentos legais, e garantiremos que os Titulares dos Dados têm conhecimento do tratamento; Recolhidos para finalidades específicas, explícitas e legítimas e não processados ​​de forma incompatível com essas finalidades (limitação de finalidade). Não devemos processar os Dados Pessoais para fins não especificados na nossa documentação de conformidade sem obter aprovação específica do Gestor de Privacidade; Adequados, relevantes e limitados ao necessário para as finalidades para as quais são tratados (minimização dos dados). Garantimos sempre que os dados que recolhemos não são excessivos e limitados pela estrita necessidade; Preciso e, quando necessário, mantido atualizado (precisão). Nós nos esforçamos para excluir dados imprecisos ou falsos sobre os Titulares dos Dados e garantimos a atualização dos dados. Os Titulares dos Dados podem solicitar-nos uma correção dos Dados Pessoais; Conservados de uma forma que permita a identificação dos Titulares dos Dados apenas durante o período necessário para as finalidades para as quais os Dados Pessoais são tratados (limitação do período de conservação). Os períodos de armazenamento devem ser limitados conforme prescrito pelas Leis de Proteção de Dados e por esta Política; e Processar de uma maneira que garanta a segurança adequada dos Dados Pessoais, incluindo proteção contra processamento não autorizado ou ilegal e perda, destruição ou dano acidental, usando medidas técnicas ou organizacionais apropriadas (confidencialidade, integridade e disponibilidade).

Responsabilidade. Seremos capazes de demonstrar a nossa conformidade com as Leis de Proteção de Dados (princípio de responsabilidade). Em particular, devemos garantir e documentar todos os procedimentos, esforços e consultas internas e externas relevantes sobre proteção de dados pessoais, incluindo: o facto de nomear uma pessoa responsável pela conformidade da proteção de dados da Waldo Studio BV; se necessário, um registo de uma avaliação de impacto do tratamento de dados; desenvolveu e implementou avisos, políticas e procedimentos, como Aviso de Privacidade, esta política ou procedimento de resposta a violação de dados; o facto de haver formação de pessoal sobre o cumprimento das leis de Protecção de Dados; e avaliação, implementação e teste de medidas organizacionais e técnicas de proteção de dados. O Gerente de Privacidade deve manter os Registros de atividades de processamento do Waldo Studio BV, que é um documento de responsabilidade que descreve as atividades de processamento de dados pessoais do Waldo Studio BV, preparado de acordo com o Art. 30 do GDPR (os “Registros das atividades de tratamento”). Os registos das atividades de tratamento devem manter, pelo menos, as seguintes informações sobre cada atividade de tratamento: dados de contacto do Waldo Studio BV, do Representante da UE e, quando aplicável, do Responsável pela Proteção de Dados; nome da atividade, seus objetivos e base jurídica, juntamente com, quando aplicável, os interesses legítimos da Waldo Studio BV; titulares dos dados e categorias de dados pessoais em causa; períodos de retenção de dados; descrição geral das medidas de segurança aplicáveis; destinatários, incluindo controladores conjuntos, processadores e contratantes envolvidos, bem como o fato da transferência internacional de dados com as salvaguardas aplicadas à transferência; se for caso disso, uma referência à avaliação de impacto do tratamento de dados; quando aplicável, uma referência ao registo da violação de dados ocorrida envolvendo os dados pessoais; se Waldo Studio BV atuar como processador de dados, as informações a serem fornecidas incluem os nomes e detalhes de contato dos controladores, nome e detalhes de contato do representante do controlador (se aplicável), categorias de processamento (atividades), nomes de países terceiros ou organizações internacionais para os quais os dados pessoais são transferidos (se aplicável), salvaguardas para transferências excepcionais de dados pessoais para países terceiros ou organizações internacionais (se aplicável) e descrição geral das medidas de segurança técnicas e organizacionais.

Acesso a Dados Pessoais. Fundamentos e Finalidades Legais

Fundamentos legais.
Cada atividade de processamento deve ter um dos fundamentos legais especificados nesta Seção para processar os Dados Pessoais. Se não tivermos nenhum dos itens descritos, não poderemos coletar ou processar posteriormente os Dados Pessoais. Se a Waldo Studio BV pretender utilizar dados pessoais para outros fins que não os especificados nos Registos de atividades de processamento, o Gestor de Privacidade deverá avaliar, determinar e, se necessário, recolher/registar a base jurídica apropriada para tal. Execução do contrato. Quando Waldo Studio BV tiver um contrato com o Titular dos Dados, por ex. dos Termos de Utilização do website ou do contrato de trabalho, e o contrato exigir o fornecimento de dados pessoais do Titular dos Dados, o fundamento jurídico aplicável será a execução do contrato. Consentimento. Para processar os dados pessoais com base no consentimento, devemos obter o consentimento antes do Tratamento e manter a prova do consentimento nos registos dos Dados Pessoais do Titular dos Dados. O Gerente de Privacidade deve certificar-se de que o consentimento coletado dos Titulares dos Dados atende aos requisitos das Leis de Proteção de Dados e desta Política. Em particular, o Gestor de Privacidade deve certificar-se de que: O Titular dos Dados deve ser livre para dar ou recusar dar consentimento.
o consentimento é na forma de indicação ativa do Titular dos Dados, ou seja, a caixa de consentimento não deve ser pré-marcada para o usuário. o pedido de consentimento articula claramente as finalidades do processamento, e outras informações especificadas na Subseção 6.2 estão disponíveis para o Titular dos Dados. o Titular dos Dados deve ser livre para dar o seu consentimento ou revogá-lo.
Interesses legítimos. Temos o direito de utilizar dados pessoais em nossos “interesses legítimos”. Os interesses podem incluir as finalidades justificadas pela natureza das nossas atividades comerciais, como a análise de marketing de dados pessoais. Para que a Waldo Studio BV utilize interesses legítimos como fundamento jurídico para o tratamento, o Gestor de Privacidade deve certificar-se de que: o interesse legítimo no tratamento está claramente definido e registado nos Registos das atividades de tratamento; quaisquer riscos previstos para os direitos e interesses do Titular dos Dados são identificados. Os exemplos dos riscos podem ser encontrados na Subseção 7.2.; os titulares dos dados têm expectativas razoáveis ​​sobre o processamento e são tomadas medidas de proteção adicionais para lidar com os riscos; sujeito às condições da Subseção 6.7 (Direito de oposição ao processamento), o Titular dos Dados tem a oportunidade de cancelar o processamento para os interesses legítimos descritos. Se pelo menos uma das condições acima não for cumprida pela Waldo Studio BV, o Gestor de Privacidade deverá escolher e propor um fundamento jurídico diferente para o processamento, como o consentimento. Conformidade Legal e Interesse Público. Além dos motivos especificados acima, as leis da União Europeia ou as leis do Estado-Membro da UE podem solicitar-nos que processemos Dados Pessoais dos nossos Utilizadores. Por exemplo, podemos ser obrigados a coletar, analisar e monitorar as informações dos Usuários para cumprir leis financeiras ou trabalhistas. Sempre que tivermos tal obrigação, devemos garantir que:
processamos dados pessoais estritamente de acordo com os requisitos legais relevantes;
não usamos ou armazenamos os Dados Pessoais coletados para outros fins que não o cumprimento legal; e os Titulares dos Dados são informados de forma adequada e atempada sobre as nossas obrigações, âmbito e condições de tratamento de dados pessoais. Importante: Quando a Waldo Studio BV tiver requisitos legais de outro país para processar dados pessoais, o Gestor de Privacidade deverá propor a utilização de outro fundamento jurídico para o processamento ao abrigo das Leis de Proteção de Dados, tais como interesses legítimos ou consentimento.

Acesso a Dados Pessoais.
Os funcionários devem ter acesso aos dados pessoais com base na “necessidade de conhecimento”. Os dados só poderão ser acedidos se for estritamente necessário para a realização de uma das atividades especificadas nos Registos de atividades de tratamento. Os funcionários e contratados terão acesso aos Dados Pessoais somente se possuírem as credenciais necessárias para tal. Os chefes dos departamentos da Waldo Studio BV são responsáveis ​​pelo acesso e processamento de dados pessoais dos seus funcionários. Os responsáveis ​​devem manter a lista dos funcionários com direito de acesso e tratamento de dados pessoais. O Gerente de Privacidade terá o direito de revisar a lista e, quando necessário, solicitar as alterações para atender aos requisitos desta Política. Os chefes dos departamentos da Waldo Studio BV devem garantir que os funcionários sob sua supervisão estejam cientes das Leis de Proteção de Dados e cumpram as regras estabelecidas nesta Política. Para garantir que os nossos funcionários são capazes de cumprir os requisitos de proteção de dados, devemos fornecer-lhes formação adequada em proteção de dados. Todos os colaboradores que acedam a dados pessoais deverão manter estrita confidencialidade relativamente aos dados a que acedem. Os funcionários que acessam dados pessoais devem utilizar apenas os meios (software, instalações, etc.) para o processamento que foram prescritos pela Waldo Studio BV. Os dados não devem ser divulgados ou disponibilizados de outra forma fora das instruções de gestão. Os funcionários de sua competência deverão auxiliar os representantes da Waldo Studio BV, incluindo o Gerente de Privacidade, em quaisquer esforços relativos ao cumprimento das Leis de Proteção de Dados e/ou desta Política. Quando um funcionário detecta ou acredita que há atividade suspeita, violação de dados, não conformidade com as Leis de Proteção de Dados e/ou esta Política, ou um DSR não foi encaminhado ao departamento competente da Waldo Studio BV, o funcionário deve relatar tal atividade ao Gerente de Privacidade. Os funcionários que não tenham certeza se podem processar ou divulgar legitimamente Dados Pessoais devem procurar aconselhamento do Gerente de Privacidade antes de tomar qualquer ação. É proibido qualquer acesso ocasional a dados pessoais para atividades não especificadas nos Registros de atividades de tratamento. Se houver uma necessidade estrita de acesso imediato, o Gerente de Privacidade deverá primeiro aprovar o acesso.

Terceiros

Antes de compartilhar dados pessoais com qualquer pessoa fora da Waldo Studio BV, o Gerente de Privacidade deve garantir que esse Terceiro tenha um nível de proteção de dados adequado e forneça garantias de proteção de dados suficientes de acordo com as Leis de Proteção de Dados, incluindo, mas não se limitando aos requisitos de processamento (Art. 28 do GDPR) e conformidade de transferências internacionais (Seção 5 do GDPR). Sempre que necessário, o Gestor de Privacidade deve certificar-se de que Waldo Studio BV celebra o contrato de proteção de dados apropriado com o terceiro.

Um funcionário pode compartilhar dados pessoais com terceiros somente se e na medida que for diretamente prescrito pelo gestor e especificado nos Registros de atividades de processamento.

Se formos obrigados a excluir, alterar ou interromper o processamento dos Dados Pessoais, devemos garantir que os Terceiros, com quem compartilhamos os Dados Pessoais, cumprirão essas obrigações adequadamente.

Sempre que a Waldo Studio BV for contratada como processadora de dados em nome de outra entidade, o Gerente de Privacidade deverá garantir que a Waldo Studio BV cumpra a obrigação de processamento. Em particular, o acordo de processamento de dados apropriado, de acordo com as Leis de Proteção de Dados, deve estar em vigor. O Gerente de Privacidade deve supervisionar o cumprimento das instruções de processamento de dados do controlador, inclusive em relação ao escopo das atividades de processamento, envolvimento de subprocessadores, transferências internacionais, armazenamento e posterior descarte de dados pessoais processados. Os dados pessoais tratados no âmbito da função de processador não devem ser tratados para quaisquer outros fins que não os especificados nas instruções, acordos ou outros atos jurídicos relevantes que regulem as relações com o responsável pelo tratamento.

Transferências Internacionais

Se tivermos funcionários, contratados, afiliadas corporativas ou Processadores de Dados fora do EEE, e transferirmos Dados Pessoais para eles para processamento, o Gerente de Privacidade deverá garantir que a Waldo Studio BV tome todas as salvaguardas necessárias e apropriadas de acordo com as Leis de Proteção de Dados.

O Gerente de Privacidade deve avaliar as salvaguardas disponíveis e propor à administração do Waldo Studio BV a salvaguarda adequada para cada transferência internacional. Os seguintes regimes aplicam-se às transferências de Dados Pessoais para fora da UE: quando a Comissão Europeia decide que o país tem um nível adequado de proteção de dados pessoais, a transferência não exige a adoção de salvaguardas adicionais. A lista completa de jurisdições adequadas pode ser encontrada na página relevante do site da Comissão Europeia. para transferir Dados Pessoais para nossos contratantes ou parceiros (Processadores de Dados ou Controladores) em outros países terceiros, devemos celebrar Cláusulas Contratuais Padrão com essa parte. A versão preliminar, juntamente com as orientações, podem ser encontradas na página relevante do site da Comissão Europeia; se tivermos uma afiliada corporativa ou uma entidade em outros países, poderemos optar por adotar Regras Corporativas Vinculantes de acordo com o Artigo 47 do GDPR ou um código de conduta aprovado de acordo com o Artigo 40 do GDPR; também podemos transferir Dados Pessoais para entidades que possuam uma certificação aprovada de acordo com o Artigo 42 do GDPR, que certifica um nível adequado de proteção de dados da empresa.

Como parte das obrigações de informação, Waldo Studio BV deve informar os Titulares dos Dados que os seus Dados Pessoais estão sendo transferidos para outros países, bem como fornecer-lhes informações sobre as salvaguardas utilizadas para a transferência. A obrigação de informação deve ser cumprida de acordo com a Subseção 6.2.

Nos casos excepcionais (a “Derrogação”), onde não podemos aplicar as salvaguardas mencionadas acima e precisamos transferir Dados Pessoais, devemos obter um consentimento explícito (declaração ativa) do Titular dos Dados ou deve ser estritamente necessário para a execução do contrato entre nós e o Titular dos Dados, ou outras condições de derrogação se aplicam de acordo com as Leis de Proteção de Dados. O Gerente de Privacidade deve pré-aprovar quaisquer transferências de Derrogações e documentar as Derrogações aprovadas, bem como a justificativa para elas.

Direitos dos Titulares dos Dados

Nossas responsabilidades.
O Privacy Manager é o responsável final por entregar todos os DSR recebidos pela Waldo Studio BV. No caso de receber qualquer DSR pendente ou incomum, o funcionário deverá procurar aconselhamento do Gerente de Privacidade antes de tomar qualquer ação. O suporte técnico da Waldo Studio BV é responsável por lidar diariamente com DSRs dos usuários da Waldo Studio BV. O departamento de Recursos Humanos é responsável pelo tratamento do DSR dos funcionários do Waldo Studio BV. Todos os DSRs dos Usuários devem ser endereçados e respondidos a partir do seguinte endereço de e-mail: info@socialjuice.io. O DSR dos funcionários pode ser endereçado diretamente ao gerente de RH ou em info@socialjuice.io. O funcionário responsável deverá responder ao DSR no prazo de 1 (um) mês a partir do recebimento da solicitação. Se o cumprimento do DSR demorar mais de um mês, o funcionário responsável deverá procurar aconselhamento do Gerente de Privacidade e, quando necessário, informar o Titular dos Dados sobre a prorrogação do prazo de resposta por até dois (2) meses adicionais. O colaborador responsável deverá analisar o DSR recebido quanto aos seguintes critérios:
Identificação do titular dos dados. Antes de considerar o conteúdo do DSR, o funcionário responsável deve certificar-se de que o Titular dos Dados é a mesma pessoa que afirma ser. Para o efeito, deverá ser estabelecida a ligação entre os registos de dados pessoais e o titular dos dados. Para isso devem ser utilizados os seguintes métodos: verificação do endereço de e-mail do Titular dos Dados – geralmente, o endereço de e-mail deve ser o mesmo que Waldo Studio BV possui sobre o usuário em questão; caso o endereço de email seja diferente do registado na base de dados, deverá ser consultado o Gestor de Privacidade, após aprovação do qual o colaborador responsável poderá solicitar dados adicionais da conta para a identificação, como a data de nascimento, a morada e o endereço de email. Se o Titular dos Dados não tiver sido submetido à verificação, o Gestor de Privacidade deverá recusar a execução do pedido e informar o Titular dos Dados sobre o facto sem demora injustificada, mas o mais tardar no prazo de um (1) mês a contar da receção do pedido. Dados pessoais. O funcionário responsável deverá verificar se Waldo Studio BV tem acesso aos dados pessoais solicitados. Caso a Waldo Studio BV não tenha os dados pessoais sob controle, o funcionário responsável deverá informar o Titular dos Dados, e, se possível, instruir sobre os próximos passos sobre como acessar os dados em questão; Conteúdo da solicitação. Dependendo do conteúdo do DSR, o colaborador responsável deverá definir o tipo de solicitação e verificar se atende às condições previstas nesta Política e nas Leis de Proteção de Dados. Os tipos de pedidos e as respetivas condições de cada um deles podem ser consultados nas Subsecções 6.3-6.9. Caso o pedido não cumpra os critérios descritos, o colaborador responsável deverá recusar o cumprimento do DSR e informar o Titular dos Dados sobre os motivos da recusa; Gratuito. Geralmente, todas as solicitações dos Titulares dos Dados e o exercício dos seus direitos são gratuitos. Se o funcionário responsável descobrir que o Titular dos Dados exerce os direitos de forma excessiva ou infundada (por exemplo, com a intenção de prejudicar ou interromper as atividades comerciais da Waldo Studio BV), o funcionário deverá procurar aconselhamento do Gestor de Privacidade e, ao receber este último, poderá cobrar do Titular dos Dados uma taxa razoável ou recusar-se a cumprir o pedido; Documentando. Sempre que a Waldo Studio BV receber o DSR, o Gestor de Privacidade deverá certificar-se de que os dados e a hora, o Titular dos Dados, o tipo de pedido e a decisão tomada a seu respeito estão bem documentados. No caso de recusa de atendimento do pedido, também deverão ser documentados os motivos da recusa; Destinatários. Ao abordar o DSR, o Gerente de Privacidade deve certificar-se de que todos os destinatários envolvidos foram informados de que as ações necessárias foram tomadas. O direito de ser informado.
Waldo Studio BV deve notificar cada Titular dos Dados sobre a coleta e processamento posterior dos Dados Pessoais.
As informações a serem fornecidas incluem: o nome e dados de contato do Waldo Studio BV; finalidades genéricas e a base legal para a coleta de dados e processamento posterior; categorias de Dados Pessoais coletados; destinatários/categorias de destinatários; períodos de retenção; informações sobre os direitos do titular dos dados, incluindo o direito de reclamar junto da Autoridade de Controlo competente; as consequências dos casos em que os dados são necessários para a execução do contrato e o Titular dos Dados não fornece os dados requeridos; detalhes das salvaguardas quando os dados pessoais são transferidos para fora do EEE; e qualquer fonte de dados pessoais de terceiros, sem especificação para o caso particular (exceto se recebermos a solicitação direta do Titular dos Dados). Os Usuários deverão ser informados pela Política de Privacidade acessível no site da Waldo Studio BV e fornecida durante o cadastro do usuário. Os funcionários e contratados devem ser informados por uma declaração de privacidade de funcionários independente, que explica os detalhes descritos na pág. 6.2.2 de forma casuística, descrevendo as finalidades e atividades específicas. Waldo Studio BV deve informar os Titulares dos Dados sobre o processamento de dados, incluindo qualquer nova atividade de processamento introduzida na Waldo Studio BV dentro do seguinte prazo: se os dados pessoais forem coletados diretamente do titular dos dados, o titular dos dados deve ser informado no momento em que coletamos Dados Pessoais dos Titulares dos Dados, mostrando ao Titular dos Dados nossa declaração de privacidade; se os dados pessoais forem recolhidos de outras fontes: (a) no prazo de um mês após a recolha; (b) se os dados pessoais se destinarem a ser utilizados para comunicação com o titular dos dados, o mais tardar no momento da primeira comunicação a esse titular dos dados; ou (c) se estiver prevista uma divulgação a outro destinatário, o mais tardar quando os dados pessoais forem divulgados pela primeira vez. mediante solicitação do Titular dos Dados; e dentro de um (1) mês após qualquer alteração em nossas práticas de dados pessoais, mudança do controlador de Dados Pessoais ou após alterações significativas em nossas declarações de privacidade. O direito de acesso à informação.
O Titular dos Dados deve receber apenas os registros de dados pessoais especificados na solicitação. Se o Titular dos Dados solicitar acesso a todos os dados pessoais que lhe digam respeito, o funcionário deverá primeiro consultar o Gerente de Privacidade, para garantir que todos os dados pessoais do Titular dos Dados sejam mapeados e fornecidos. O titular dos dados tem o direito de:
saber se processamos os Dados Pessoais do Titular dos Dados;
obter divulgação sobre aspectos do processamento, incluindo informações detalhadas e específicas do caso sobre finalidades, categorias de Dados Pessoais, destinatários/categorias de destinatários, períodos de retenção, informações sobre os direitos de alguém, detalhes das salvaguardas relevantes quando os dados pessoais são transferidos para fora do EEE e qualquer fonte de dados pessoais de terceiros; e obter uma cópia dos Dados Pessoais em processamento mediante solicitação.


O direito de verificar as informações do Titular dos Dados e buscar sua retificação. As informações que recolhemos podem ser imprecisas ou desatualizadas (por exemplo, erros de nacionalidade, data de nascimento, informações sobre dívidas, atividades económicas). Se revelarmos que os Dados Pessoais são imprecisos ou se o Titular dos Dados nos solicitar que o façamos, devemos garantir que corrigimos todos os erros e atualizamos as informações relevantes.

O direito de restringir o processamento. A restrição do processamento permite que os Titulares dos Dados interrompam temporariamente o uso de suas informações para evitar possíveis danos causados ​​por tal uso. Este direito aplica-se quando o Titular dos Dados: contesta a exatidão dos Dados Pessoais; acredita que processamos os Dados Pessoais ilegalmente; e se opõe ao processamento e deseja que não processemos Dados Pessoais enquanto estivermos considerando a solicitação. No caso de recebermos o pedido de restrição, não devemos processar os Dados Pessoais em questão para qualquer outra finalidade que não seja o seu armazenamento ou para efeitos de conformidade legal até que as circunstâncias de restrição deixem de existir.

O direito de retirar o consentimento. Para as atividades que requerem consentimento, o Titular dos Dados pode revogar o seu consentimento a qualquer momento. Se o Titular dos Dados revogar o consentimento, devemos registar as alterações e não devemos processar os Dados Pessoais para fins baseados no consentimento. A retirada do consentimento não afeta a licitude do tratamento realizado antes da retirada.

O direito de oposição ao processamento. Se processarmos as informações no nosso interesse legítimo, por exemplo, para e-mails de marketing direto ou para fins de pesquisa de marketing, o Titular dos Dados poderá opor-se ao processamento. No caso de recebermos o pedido de oposição, devemos considerar o pedido do Titular dos Dados e, quando não tivermos interesses imperiosos, interromper o tratamento para os fins especificados. Se os dados pessoais ainda forem tratados para outros fins, o Gestor de Privacidade deve certificar-se de que a base de dados tem um registo de que os dados não podem ser tratados posteriormente para as atividades contestadas. O pedido de oposição só pode ser recusado se os dados pessoais em questão forem utilizados para investigação científica/histórica ou para fins estatísticos e tiverem sido devidamente protegidos, ou seja, através de técnicas de anonimização ou pseudonimização.

Direito de apagar/ser esquecido. Os Titulares dos Dados têm o direito de nos solicitar o apagamento dos seus Dados Pessoais se se verificar uma das seguintes condições: Os Dados Pessoais já não são necessários para efeitos de recolha. Por exemplo, um utilizador forneceu dados pessoais para uma atividade única, como validação de dados ou participação num concurso, e a finalidade já foi cumprida; o Titular dos Dados revogar o consentimento ou opor-se ao tratamento (quando aplicável) e não existir outro fundamento jurídico para o tratamento; ou processamos os Dados Pessoais de forma ilegal ou o seu apagamento é exigido pela legislação aplicável da União Europeia ou de um dos países membros da União Europeia. Condições sob as quais temos o direito de recusar o apagamento: Os Dados Pessoais são tratados para investigação científica/histórica ou para fins estatísticos e são devidamente protegidos, ou seja, pseudonimizados ou anonimizados; Os Dados Pessoais ainda são necessários para conformidade legal (por exemplo, conformidade com leis financeiras ou trabalhistas). Somente devem ser excluídos os registros de dados pessoais especificados na solicitação. Caso o Titular dos Dados solicite a exclusão de todos os dados pessoais que lhe digam respeito, o funcionário deverá primeiro consultar o Gerente de Privacidade, para garantir que todos os dados sobre o Titular dos Dados estejam mapeados e possam ser excluídos. Caso o Usuário ainda possua uma conta conosco e solicite o apagamento das informações necessárias à manutenção da conta, devemos informar ao Usuário que o apagamento afetará a experiência do usuário ou poderá levar ao encerramento da conta.

Portabilidade de dados. Os Titulares dos Dados podem solicitar-nos a transferência de todos os Dados Pessoais e/ou parte deles em formato legível por máquina para terceiros. Este direito aplica-se em dois casos: os dados pessoais foram recolhidos para efeitos de prestação dos nossos serviços (execução do contrato); ou coletados com base no consentimento. Para determinar se uma das condições da p.6.9.1 é cumprida, o colaborador deve procurar aconselhamento do Gestor de Privacidade e verificar a base legal aplicável nos Registos das atividades de tratamento. Se a resposta for negativa, o pedido pode ser recusado pela Waldo Studio BV, cabendo ao Gestor de Privacidade decidir se cumpre o pedido de forma voluntária. Para atender à solicitação, o funcionário responsável deverá consolidar os Dados Pessoais solicitados e enviar os dados no formato com o qual normalmente trabalhamos para a organização solicitada. O titular dos dados deve fornecer os dados de contato necessários da organização.

Novas atividades de processamento de dados

Notificação ao Gerenciador de Privacidade
Antes de introduzir qualquer nova atividade que implique o tratamento de dados pessoais, o colaborador responsável pela sua implementação deverá informar o Gestor de Privacidade. Ao receber informações sobre uma nova atividade, o Gestor de Privacidade deve: determinar se a avaliação de impacto do processamento de dados (DPIA) e/ou a consulta à Autoridade Supervisora ​​é necessária. Se a resposta for positiva, o Gestor de Privacidade deve garantir que a DPIA seja realizada e/ou que a Autoridade Supervisora ​​seja consultada de acordo com os requisitos desta Seção e das Leis de Proteção de Dados; determinar a base jurídica para o tratamento e, se necessário, tomar medidas adicionais para a sua fixação; certificar-se de que a atividade de processamento seja realizada de acordo com esta Política, outras políticas da Waldo Studio BV, bem como as Leis de Proteção de Dados; adicionar a atividade de processamento aos Registros de atividades de processamento;
alterar as declarações de informações de privacidade e, quando necessário, informar o Titular dos Dados em questão em conformidade.

Avaliação de impacto do processamento de dados
Para garantir que nossas atividades de processamento atuais ou futuras não violam/não violarão os direitos dos Titulares dos Dados, a Waldo Studio BV deve, quando exigido pelas Leis de Proteção de Dados, realizar a Avaliação de Impacto do Processamento de Dados (DPIA), uma avaliação baseada no risco do processamento e procurar medidas para mitigar os riscos. O Gerente de Privacidade deve garantir que a DPIA seja conduzida de acordo com esta Seção. O Gestor de Privacidade, sempre que necessário, envolvendo os colaboradores competentes e/ou consultores externos, deve realizar uma DPIA se pelo menos uma das seguintes condições for satisfeita: o tratamento envolve a utilização de novas tecnologias, como a Inteligência Artificial, utilização de dispositivos conectados e autónomos, etc., que criem determinados efeitos jurídicos, económicos ou semelhantes para o Titular dos Dados; avaliamos e avaliamos sistematicamente aspectos pessoais dos Titulares dos Dados com base em perfis automatizados, atribuindo a pontuação/taxa pessoal e criando efeitos legais ou semelhantes para o Titular dos Dados por meio desta atividade; processamos em grande escala dados sensíveis, que incluem Dados Pessoais relativos a condenações criminais e infrações, os dados sobre titulares de dados vulneráveis, os dados pessoais que revelam origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas, ou filiação sindical, e o tratamento de dados genéticos, dados biométricos para efeitos de identificação única de uma pessoa singular, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa singular; coletamos ou processamos Dados Pessoais de uma área acessível publicamente ou de fontes públicas em grande escala, ou combinamos ou combinamos dois conjuntos de dados diferentes; e a Autoridade Supervisora, em sua lista pública, exige a realização de uma DPIA para um determinado tipo de atividade em que estamos envolvidos. A lista de atividades de processamento que exigem a realização de DPIA pode ser encontrada no site de cada Autoridade Supervisora. A avaliação deve conter pelo menos os seguintes detalhes:
uma descrição sistemática das operações de tratamento e das finalidades do tratamento, incluindo, quando aplicável, o interesse legítimo por nós prosseguido. A descrição deve incluir as categorias de dados previstas e os titulares dos dados em causa, a escala das atividades de tratamento, tais como a sua frequência, volume, número previsto de registos, etc.; destinatários dos dados, prazos de conservação e, quando aplicável, transferências internacionais; uma avaliação da necessidade e da proporcionalidade das operações de tratamento em relação às finalidades. A AIPD deve explicar se a actividade é necessária para o objectivo e se o objectivo pode ser alcançado através de métodos menos intrusivos; uma avaliação dos riscos para os direitos e liberdades dos titulares dos dados, incluindo os direitos dos titulares dos dados relativamente aos seus dados pessoais. São exemplos de riscos o tratamento que possa originar danos físicos, materiais ou imateriais, nomeadamente: quando o tratamento possa dar origem a discriminação, roubo de identidade ou fraude, perdas financeiras, danos à reputação, perda de confidencialidade de dados pessoais protegidos pelo sigilo profissional, reversão não autorizada da pseudonimização, ou qualquer outra desvantagem económica ou social significativa; sempre que os titulares dos dados possam ser privados dos seus direitos e liberdades ou impedidos de exercer controlo sobre os seus dados pessoais; sempre que sejam tratados dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, a filiação sindical, e o tratamento de dados genéticos, dados relativos à saúde ou dados relativos à vida sexual ou condenações penais e infrações ou medidas de segurança conexas; onde são avaliados aspectos pessoais, nomeadamente analisando ou prevendo aspectos relativos ao desempenho no trabalho, situação económica, saúde, preferências ou interesses pessoais, fiabilidade ou comportamento, localização ou movimentos, a fim de criar ou utilizar perfis pessoais; onde são tratados dados pessoais de pessoas singulares vulneráveis, em especial de crianças; ou quando o tratamento envolver uma grande quantidade de dados pessoais e afetar um grande número de titulares de dados; e as medidas para fazer face aos riscos, incluindo salvaguardas, medidas de segurança e mecanismos para garantir a proteção dos dados pessoais e demonstrar a conformidade com o presente regulamento. Caso a DPIA não forneça como abordar eficazmente os riscos, o Gestor de Privacidade deve iniciar a consulta com a Autoridade Supervisora ​​competente para receber ajuda na procura da solução. Neste caso, a Waldo Studio BV não deve realizar a atividade antes que a Autoridade Supervisora ​​aprove a atividade de processamento em questão.

Retenção de dados

Regra Geral.
O Gerente de Privacidade deve certificar-se de que Waldo Studio BV definiu claramente os períodos de armazenamento de dados e/ou critérios para determinar os períodos de armazenamento para cada atividade de processamento que possui. Os períodos de cada atividade de processamento devem ser especificados nos Registros de atividades de processamento. Cada departamento da Waldo Studio BV deve cumprir os períodos de armazenamento de dados de acordo com o cronograma de retenção fornecido em Registros de atividades de processamento. O Gerente de Privacidade deve supervisionar cada departamento e garantir que cumpram este requisito. Findo o período de conservação, os dados pessoais deverão ser retirados da disposição do departamento responsável pelo tratamento ou, nos casos em que os dados não sejam necessários para quaisquer outros fins, destruídos integralmente, incluindo cópias de segurança e outros suportes. Sempre que o período de conservação de uma atividade de tratamento tenha terminado, mas os dados pessoais tratados sejam necessários para outras finalidades de tratamento, o responsável do departamento deve certificar-se de que os dados pessoais não são utilizados para a atividade de tratamento cessada e que os colaboradores responsáveis ​​não têm acesso aos mesmos, a menos que seja necessário para qualquer outra atividade.

Isenções. As regras especificadas na Subseção 8.1 têm as seguintes exceções:
Necessidades de negócios. Os períodos de retenção de dados podem ser prolongados, mas não superiores a 60 dias, caso a exclusão dos dados interrompa ou prejudique nossos negócios em andamento. O Gerente de Privacidade deve aprovar qualquer prorrogação imprevista; Impossibilidade técnica. Algumas informações são tecnicamente impossíveis ou desproporcionalmente difíceis de eliminar. Por exemplo, a eliminação das informações pode levar à violação da integridade do sistema ou é impossível eliminar as informações das cópias de segurança. Nesse caso, a informação poderá ser posteriormente armazenada, sujeita à aprovação do Gestor de Privacidade e às respetivas alterações nos Registos das atividades de tratamento; e Anonimização. Os Dados Pessoais podem ser processados ​​posteriormente para quaisquer fins (por exemplo, marketing) se anonimizarmos totalmente esses dados após o período de retenção expirar. Isto significa que todos os identificadores pessoais e conexões com eles serão excluídos dos dados. Para considerar os Dados Pessoais anônimos, deve ser impossível reidentificar o Titular dos Dados no conjunto de dados.

Segurança

Cada departamento da Waldo Studio BV tomará todas as medidas técnicas e organizacionais apropriadas para proteger contra acesso não autorizado, ilegal e/ou acidental, destruição, modificação, bloqueio, cópia, distribuição, bem como de outras ações ilegais de pessoas não autorizadas em relação aos dados pessoais sob sua responsabilidade.

O funcionário responsável pela supervisão após a segurança dos dados pessoais dentro do Waldo Studio BV será um especialista em TI. Esta pessoa implementa as diretrizes e outras especificações sobre proteção de dados e segurança da informação na sua área de responsabilidade. Ele/ela aconselha a gestão do Waldo Studio BV no planeamento e implementação da segurança da informação no Waldo Studio BV e deve estar envolvido em todos os projetos numa fase inicial, a fim de ter em conta os aspectos relacionados com a segurança já na fase de planeamento.

Procedimento de resposta a violação de dados

Equipe de resposta.
Em caso de revelação da violação de dados, o CEO da Waldo Studio BV formará urgentemente a Equipe de Resposta à Violação de Dados (a “Equipe de Resposta”), que tratará da Violação de Dados, notificará as pessoas apropriadas e mitigará seus riscos. A Equipe de Resposta deve ser um grupo multidisciplinar liderado pelo CEO da Waldo Studio BV e composto pelo Gerente de Privacidade, especialista em leis de privacidade (interno ou externo) e especialistas em segurança da informação experientes e qualificados dentro da Waldo Studio BV ou profissionais terceirizados, se necessário. A equipe deve garantir que todos os funcionários e contratados/processadores contratados cumpram esta Política e forneçam uma resposta imediata, eficaz e hábil a qualquer violação de dados suspeita/suposta ou real que afete a Waldo Studio BV. Os potenciais membros da Equipe de Resposta devem estar preparados para responder a uma Violação de Dados. A Equipe de Resposta desempenhará todas as responsabilidades do Waldo Studio BV mencionadas nesta Política. As funções da Equipa de Resposta são: comunicar a Violação de Dados à(s) Autoridade(s) de Supervisão competente(s);
em caso de alto risco aos direitos e liberdades dos Titulares dos Dados, comunicar a Violação de Dados ao Titular dos Dados; se a Waldo Studio BV obtiver dados de terceiros como processador, e uma violação de dados envolver dados obtidos, informar os terceiros sobre a violação de dados; comunicar os contratados da Waldo Studio BV ou quaisquer outros terceiros que processem os Dados Pessoais envolvidos na Violação de Dados; e tomar todas as medidas técnicas e organizacionais apropriadas para cessar a violação de dados e mitigar as suas consequências;
registrar o fato da Violação de Dados nos Registros das atividades de processamento e arquivar um relatório interno de violação de dados que descreva o evento. A Equipe de Resposta cumprirá suas funções até que todas as medidas necessárias exigidas por esta Política sejam tomadas.

Notificação à Autoridade Supervisora.
Waldo Studio BV informará a Autoridade Supervisora ​​Competente sobre a Violação de Dados sem demora injustificada e, sempre que possível, o mais tardar 72 horas após ter tomado conhecimento da Violação de Dados. A Autoridade Supervisora ​​Competente será determinada pela residência dos Titulares dos Dados, cujas informações estiveram envolvidas na Violação de Dados. Se a violação de dados disser respeito a dados pessoais de titulares de dados de mais de um país, a Waldo Studio BV informará todas as autoridades de supervisão competentes. Para endereçar a notificação à autoridade, a Equipa de Resposta deverá utilizar o Anexo 1 desta Política. O anexo 1 contém todas as informações de contacto necessárias das autoridades de supervisão da UE. Se a violação de dados envolver titulares de dados de outros países que não os países da UE, a equipa de resposta solicitará aconselhamento a um especialista em privacidade competente. A notificação à Autoridade de Supervisão Competente deverá conter, pelo menos, as seguintes informações: a natureza da Violação de Dados, incluindo, sempre que possível, as categorias e um número aproximado de Titulares de Dados e registos de Dados Pessoais em causa; o nome e dados de contato da Equipe de Resposta, do Gerente de Privacidade ou, se não for o caso, do CEO; as prováveis ​​consequências da violação de dados. Explique o ponto de vista do Waldo Studio BV sobre os propósitos e possíveis riscos adicionais da violação de dados. Por exemplo, os Dados Pessoais podem ser roubados para posterior venda, atividades fraudulentas ou chantagem aos Titulares dos Dados em questão; e as medidas tomadas ou propostas a serem tomadas pela Waldo Studio BV para lidar com a violação de dados, incluindo, quando apropriado, medidas para mitigar seus possíveis efeitos adversos. Para registrar uma notificação, a Equipe de Resposta deve usar o Formulário de Notificação de Violação de Dados do Waldo Studio BV para a Autoridade Supervisora.

Notificações aos Titulares dos Dados.
Quando a Violação de Dados puder resultar em um alto risco para os direitos e liberdades dos Titulares dos Dados (por exemplo, roubo de fundos, ativos, informações proprietárias), devemos também comunicar a Violação de Dados aos Titulares dos Dados em questão sem demora injustificada. O Gerente de Privacidade deve determinar se existe um risco alto com base nos fatores de risco especificados na Subseção 7.2.3 desta Política. A notificação deverá conter as seguintes informações:
descrição da violação de dados – o que aconteceu e o que levou à violação de dados, como violação de segurança, negligência do funcionário, erro no funcionamento do sistema. Se a Equipe de Resposta decidir não divulgar as causas da Violação de Dados, esta cláusula não deverá ser mencionada; as medidas tomadas pela Waldo Studio BV em relação à violação de dados, incluindo medidas de segurança, investigações internas e notificação da autoridade supervisora; recomendações para os Titulares dos Dados em questão sobre como mitigar riscos e possíveis consequências, tais como orientações sobre como restaurar o acesso a uma conta, medidas de prevenção (mudança de senha); e as informações de contato da Equipe de Resposta ou de um de seus membros.
A notificação aos Titulares dos Dados deverá ser efetuada através de carta eletrónica ou, na impossibilidade de utilização do correio eletrónico, por outro meio de comunicação disponível. Isenções. Não precisamos enviar a notificação aos Titulares dos Dados se alguma das seguintes condições for atendida: Waldo Studio BV implementou medidas de proteção técnicas e organizacionais adequadas, e essas medidas foram aplicadas aos Dados Pessoais afetados pela Violação de Dados, em particular, aqueles que deixam os Dados Pessoais inacessíveis a qualquer pessoa que não esteja autorizada a acessá-los, como a criptografia; Waldo Studio BV tomou medidas subsequentes que garantem que o alto risco para os direitos e liberdades dos Titulares dos Dados mencionados nesta seção não seja mais provável de se materializar; ou envolveria um esforço desproporcional de comunicação com todos os titulares de dados envolvidos. Nesse caso, haverá, em vez disso, uma comunicação pública ou medida semelhante através da qual os titulares dos dados sejam informados de forma igualmente eficaz. Caso apliquemos uma das isenções, devemos documentar as circunstâncias, o motivo da não informação e as ações tomadas para cumprir uma das isenções.

Comunicação com Terceiros.
Caso uma Violação de Dados diga respeito aos Dados Pessoais compartilhados conosco ou processados ​​por nós em nome de um Terceiro, também devemos notificar o Terceiro sobre isso dentro de 24 horas. Se processarmos os Dados Pessoais como Processador de Dados, a notificação do Terceiro não nos isenta do dever de mitigar as consequências da Violação de Dados, mas não devemos informar a Autoridade de Supervisão Competente e os Titulares dos Dados. No caso de receber a notificação sobre a Violação de Dados do Processador de Dados ou de outros Terceiros que tenham acesso aos Dados Pessoais, o CEO da Waldo Studio BV deverá, de acordo com esta Seção: formar a Equipe de Resposta; solicitar ao Terceiro o envio das informações mencionadas nas Subseções 10.2-3 desta Política; quando necessário, informar a(s) Autoridade(s) de Supervisão Competente e os Titulares dos Dados; e executar outras etapas do procedimento de resposta à violação de dados.

ANEXO 1 À POLÍTICA DE PROTEÇÃO DE DADOS PESSOAIS

Autoridades Nacionais Europeias de Proteção de Dados

Áustria
Österreichische Datenschutzbehörde
Hohenstaufengasse 3
1010 Viena
Tel. +43 1 531 15 202525
Fax +43 1 531 15 202690
e-mail: dsb@dsb.gv.at
Site: http://www.dsb.gv.at/

Membro do WP Art 29: Dra. Andrea JELINEK, Diretora, Österreichische Datenschutzbehörde

Bélgica
Comissão de proteção da vida privada
Comissão para verificação de pessoal levenssfeer
Rue de la Presse 35 / Drukpersstraat 35 1000 Bruxelas / 1000 Bruxelas
Tel. +32 2 274 48 00
Fax +32 2 274 48 35
e-mail: comissão@privacycommission.be
Site: http://www.privacycommission.be/

Art 29 WP Vice-Presidente: Willem DEBEUCKELAERE, Presidente da Comissão Belga de Privacidade