Política de tratamiento y protección de datos personales

La presente Política es un acto normativo local de Platform Moleculs.ai (en adelante — el Operador), adoptado teniendo en cuenta los requisitos de la legislación aplicable en materia de protección de datos personales.

La Política establece:

• el propósito, el procedimiento y las condiciones para el tratamiento de datos personales;
• las categorías de sujetos cuyos datos personales son tratados, las categorías (listas) de datos personales tratados, los métodos, plazos de tratamiento y almacenamiento, así como el procedimiento de destrucción de dichos datos una vez alcanzados los fines del tratamiento o cuando concurran otras causas legales;
• las disposiciones relativas a la protección de datos personales, los procedimientos dirigidos a identificar y prevenir infracciones de la legislación en materia de datos personales y a remediar las consecuencias de dichas infracciones.

En la Política se utilizan los términos y definiciones conforme a sus significados establecidos en la legislación aplicable sobre datos personales.

La Política entra en vigor desde el momento de su aprobación por el Operador y permanece vigente hasta su derogación o la adopción de una nueva Política.

Las modificaciones de la Política se realizarán mediante decisión del Operador. Las modificaciones entran en vigor desde el momento de la firma del documento correspondiente.

2. Categorías de sujetos de datos personales

2.1. Son sujetos cuyos datos personales son tratados por el Operador conforme a la presente Política:

• candidatos a puestos de trabajo en el Operador;
• empleados del Operador;
• exempleados del Operador;
• familiares de los empleados del Operador — en los casos en que, conforme a la legislación, el empleado deba facilitar información sobre ellos;
• otras personas cuyos datos personales el Operador esté obligado a tratar conforme a la legislación laboral y demás normas de derecho laboral;
• clientes, contratistas y socios del Operador.

3. Fines del tratamiento de datos personales y categorías de datos tratados

3.1. Conforme a la presente Política, los datos personales se tratan con la finalidad de aplicar y cumplir la legislación laboral en el marco de las relaciones laborales y otras directamente vinculadas a ellas, así como en el marco de relaciones civiles, la interacción del Operador con potenciales socios, clientes y otras personas, con el fin de proteger los datos personales de las categorías de personas indicadas, incluyendo:

• la asistencia en el empleo;
• la gestión de recursos humanos y la contabilidad;
• la asistencia a los empleados en la obtención de formación y promoción profesional;
• la tramitación de reconocimientos y recompensas;
• la provisión por parte del Operador de las condiciones laborales, garantías y compensaciones establecidas por la legislación;
• la cumplimentación y presentación ante los organismos competentes de los formularios de informes requeridos;
• la garantía de la seguridad personal de los empleados y otras personas, así como la protección de bienes;
• el control de la cantidad y calidad del trabajo realizado;
• la garantía de la protección de los derechos y libertades de las personas en el tratamiento de sus datos personales, incluida la protección del derecho a la intimidad, al secreto personal y familiar;
• la promoción de los bienes, trabajos y servicios del Operador en el mercado mediante el contacto directo con el consumidor potencial a través de medios de comunicación;
• la interacción del Operador en cuestiones de cooperación mutuamente beneficiosa y la celebración de acuerdos con potenciales socios, clientes y otras personas.

3.2. De conformidad con los fines indicados en el apartado 3.1 de la presente Política, se tratan los siguientes datos personales:

• apellidos, nombre y patronímico (si procede), así como apellidos, nombre y patronímico anteriores (si procede), fecha y lugar de su cambio;
• sexo;
• fecha (día, mes, año) y lugar de nacimiento;
• imagen fotográfica;
• información sobre la ciudadanía;
• tipo, serie y número del documento de identidad, nombre del organismo emisor y fecha de expedición;
• número de seguro de cuenta personal individual (SNILS);
• número de identificación fiscal (NIF);
• dirección y fecha de registro en el lugar de residencia (o estancia), dirección de residencia efectiva;
• número de teléfono de contacto, dirección de correo electrónico y/o información sobre otros medios de comunicación;
• datos de los certificados de registro de actos del estado civil y la información contenida en ellos;
• información sobre el estado civil y la composición familiar (grado de parentesco, apellidos, nombres, patronímicos (si procede), fechas y lugares de nacimiento);
• información sobre formación académica y/o cualificaciones o conocimientos especiales;
• información sobre el dominio de idiomas extranjeros;
• información sobre las obligaciones militares y los documentos de registro militar;
• información sobre la actividad laboral, así como sobre empleos anteriores, períodos y experiencia laboral;
• información contenida en documentos que acrediten el derecho de residencia y trabajo en el territorio aplicable (para ciudadanos extranjeros);
• información sobre ingresos y obligaciones derivadas de documentos ejecutivos;
• números de cuenta bancaria y tarjeta bancaria;
• información sobre el estado de salud (para determinadas categorías de trabajadores);
• información sobre la existencia (o ausencia) de antecedentes penales y/o de enjuiciamiento penal, o sobre la extinción del mismo por causas rehabilitadoras (para determinadas categorías de trabajadores);
• otros datos personales contenidos en documentos cuya presentación esté prevista por la legislación, siempre que su tratamiento sea acorde con los fines indicados en el apartado 3.1 de la presente Política.

3.3. El Operador no trata categorías especiales de datos personales relativas al origen racial o étnico, opiniones políticas, convicciones religiosas o filosóficas, vida íntima, salvo en los casos previstos por la legislación aplicable.

4. Procedimiento y condiciones del tratamiento de datos personales

4.1. Antes de iniciar el tratamiento de datos personales, el Operador deberá notificar a la autoridad competente de protección de datos su intención de llevar a cabo dicho tratamiento.

4.2. La base jurídica para el tratamiento de datos personales es la legislación laboral aplicable, otras normas que contengan disposiciones de derecho laboral, la legislación sobre datos personales, la legislación sobre contabilidad y otras normas aplicables.

4.3. El tratamiento de datos personales se lleva a cabo por el Operador con observancia de los principios y condiciones previstos en la legislación sobre datos personales y en la presente Política.

4.4. El tratamiento de datos personales por el Operador se realiza de las siguientes formas:

• tratamiento no automatizado de datos personales;
• tratamiento automatizado de datos personales con o sin transmisión de la información obtenida a través de redes de información y telecomunicaciones;
• tratamiento mixto de datos personales.

4.5. El tratamiento de datos personales por el Operador se realiza con el consentimiento del sujeto de los datos personales, salvo que la legislación aplicable disponga otra cosa.

4.5.1. El tratamiento de datos personales que el sujeto haya autorizado para su difusión se lleva a cabo con observancia de las prohibiciones y condiciones previstas en la legislación aplicable sobre datos personales.

4.5.2. El tratamiento de datos personales biométricos solo se permite con el consentimiento escrito del sujeto de los datos personales, con las excepciones previstas en la legislación aplicable.

4.6. El Operador no realiza transferencias transfronterizas de datos personales.

4.7. El tratamiento de datos personales se lleva a cabo mediante la recogida, registro, sistematización, acumulación, almacenamiento, actualización (actualización, modificación), extracción, uso, anonimización, bloqueo, supresión y destrucción de datos personales, también con la ayuda de medios informáticos.

4.7.1. La recogida, registro, sistematización, acumulación y actualización de datos personales por el Operador se realizan mediante:

• la obtención de documentos originales o copias de los mismos;
• la copia de documentos originales;
• la introducción de datos en formularios de registro en soporte papel y electrónico;
• la creación de documentos que contengan datos personales en soporte papel y electrónico;
• la introducción de datos personales en los sistemas de información de datos personales.

4.7.2. El Operador utiliza los siguientes sistemas de información:

• correo electrónico corporativo;
• sistema de gestión documental electrónica;
• sistema de soporte al puesto de trabajo del usuario;
• sistema de información normativa y de referencia;
• sistema de gestión de recursos humanos;
• sistema de control de acceso remoto;
• portal de información.

4.8. La transmisión (difusión, facilitación, acceso) de datos personales de los sujetos se realiza en los casos y en la forma previstos por la legislación sobre datos personales y la presente Política.

5. Plazos de tratamiento y almacenamiento de datos personales

5.1. El tratamiento de datos personales por el Operador cesará en los siguientes casos:

• cuando se detecte un tratamiento ilícito de datos personales (plazo de cese del tratamiento: en un plazo de tres días hábiles desde la fecha de detección de dicho hecho);
• cuando se alcancen los fines de su tratamiento (con algunas excepciones);
• cuando expire el plazo de vigencia o cuando el sujeto revoque su consentimiento al tratamiento de sus datos personales (con algunas excepciones);
• cuando el sujeto de los datos personales solicite al Operador el cese del tratamiento de sus datos personales (plazo de cese del tratamiento: no más de 10 días hábiles desde la fecha de recepción de la solicitud).

5.2. Los datos personales se conservarán en una forma que permita identificar al sujeto de los datos personales durante no más tiempo del necesario para los fines de su tratamiento, salvo en los casos en que el plazo de conservación esté establecido por ley, contrato u otro acuerdo del que el sujeto sea parte.

5.3. Los datos personales en soporte papel se conservarán por el Operador durante los plazos de conservación de documentos previstos por la legislación sobre archivos aplicable.

5.4. El plazo de conservación de los datos personales tratados en los sistemas de información de datos personales coincidirá con el plazo de conservación de los datos personales en soporte papel.

6. Procedimiento de bloqueo y destrucción de datos personales

6.1. El Operador bloqueará los datos personales en la forma y en las condiciones previstas por la legislación sobre datos personales.

6.2. Una vez alcanzados los fines del tratamiento de los datos personales o cuando ya no sea necesario alcanzar dichos fines, los datos personales serán destruidos o anonimizados.

6.3. Los datos personales obtenidos ilícitamente o que no sean necesarios para el fin del tratamiento serán destruidos en un plazo de siete días hábiles desde la fecha en que el sujeto de los datos personales facilite la información confirmativa.

6.4. Los datos personales cuyo tratamiento haya cesado por ser ilícito y cuya licitud no pueda garantizarse serán destruidos en un plazo de 10 días hábiles desde la fecha de detección del tratamiento ilícito.

6.5. Los datos personales serán destruidos en un plazo de 30 días desde la fecha en que se alcance el fin del tratamiento, salvo que el contrato del que el sujeto sea parte, u otro acuerdo entre el sujeto y el Operador, disponga otra cosa, o salvo que el Operador no tenga derecho a tratar los datos personales sin el consentimiento del sujeto conforme a las bases previstas en la legislación aplicable.

6.6. Los datos personales serán destruidos (si su conservación no es necesaria para los fines del tratamiento) en un plazo de 30 días desde la fecha en que el sujeto revoque su consentimiento al tratamiento.

6.7. La selección de los soportes materiales (documentos, discos duros, memorias USB, etc.) y/o de la información en los sistemas de información que contengan datos personales sujetos a destrucción será realizada por la persona responsable del Operador encargada del tratamiento de datos personales.

6.7.2. Los datos personales en soporte papel serán destruidos mediante destructora de documentos. Los datos personales en soporte electrónico serán destruidos mediante la inutilización física del soporte, de forma que no sea posible leer ni recuperar los datos personales, así como mediante la eliminación de los datos de los soportes electrónicos por métodos y medios de eliminación garantizada de información residual.

6.7.3. La persona responsable confirmará la destrucción de los datos personales conforme a los requisitos aplicables en materia de confirmación de destrucción de datos personales.

7. Protección de datos personales

7.1. Sin el consentimiento escrito del sujeto de los datos personales, el Operador no revelará ni difundirá datos personales a terceros, salvo que la legislación aplicable disponga otra cosa.

7.2. Con el fin de proteger los datos personales, el Operador designará (aprobará):

• el empleado responsable de organizar el tratamiento de datos personales;
• la lista de puestos que conllevan el tratamiento de datos personales;
• la lista de datos personales a los que tienen acceso los empleados que ocupan puestos que implican el tratamiento de datos personales;
• el procedimiento de acceso a los locales en los que se lleva a cabo el tratamiento de datos personales;
• el procedimiento de transmisión de datos personales por parte del Operador;
• el formulario de consentimiento al tratamiento de datos personales;
• el procedimiento de protección de datos personales durante su tratamiento en los sistemas de información de datos personales;
• el procedimiento para la realización de investigaciones y auditorías internas;
• otros actos normativos locales adoptados conforme a los requisitos de la legislación sobre datos personales.

7.3. Los empleados que ocupen puestos que impliquen el tratamiento de datos personales podrán acceder a los mismos una vez firmado el compromiso de confidencialidad.

7.4. Los soportes materiales de datos personales se conservarán en armarios con llave (cuando sea aplicable).

7.5. El acceso a la información personal contenida en los sistemas de información del Operador se realizará mediante contraseñas individuales.

7.6. El Operador utilizará software antivirus certificado con bases de datos actualizadas periódicamente.

7.7. Los empleados del Operador que traten datos personales recibirán formación periódica sobre los requisitos de la legislación en materia de datos personales.

7.9. El Operador llevará a cabo investigaciones internas en las siguientes situaciones:

• cuando se produzca una transmisión (facilitación, difusión, acceso) ilícita o accidental de datos personales que haya vulnerado los derechos de los sujetos de los datos personales;
• en otros casos previstos por la legislación sobre datos personales.

7.10. El empleado responsable de organizar el tratamiento de datos personales ejercerá el control interno del cumplimiento de los requisitos de la legislación sobre datos personales. El control interno se llevará a cabo mediante auditorías internas.

7.11. Se iniciará una investigación interna cuando se detecte una transmisión ilícita o accidental de datos personales que haya vulnerado los derechos de los sujetos de los datos personales (en adelante, incidente).

7.11.1. En caso de incidente, el Operador notificará a la autoridad competente de protección de datos en un plazo de 24 horas: sobre el incidente, sus causas presumibles y el perjuicio causado a los derechos del sujeto de los datos personales, y las medidas adoptadas para remediar las consecuencias del incidente.

7.11.2. En un plazo de 72 horas, el Operador deberá notificar a la autoridad competente los resultados de la investigación interna y facilitar información sobre las personas cuyas acciones causaron el incidente (si procede).

7.12. Si se proporciona información confirmada de que los datos personales son incompletos, inexactos o desactualizados, se realizarán las modificaciones necesarias en un plazo de siete días hábiles.

8. Responsabilidad por infracción de las normas que regulan el tratamiento de datos personales

8.1. Las personas culpables de infringir las disposiciones de la legislación aplicable en materia de datos personales durante el tratamiento de los mismos serán objeto de responsabilidad disciplinaria, patrimonial, administrativa, civil o penal conforme a la legislación aplicable.

8.2. El daño moral causado al sujeto de los datos personales como consecuencia de la vulneración de sus derechos, del incumplimiento de las normas de tratamiento de datos personales o del incumplimiento de los requisitos de protección de los mismos deberá ser indemnizado conforme a la legislación aplicable. La indemnización por daño moral se realizará con independencia de la indemnización por daño patrimonial y las pérdidas sufridas por el sujeto de los datos personales.