Sommaire

Política de protección de datos personales

Versión 2.0 – Julio de 2026

1. Introducción

Contexto

Mimco Asset Management (en adelante, «Mimco AM») se compromete a realizar sus actividades de conformidad con todas las leyes y reglamentos aplicables en materia de protección de datos y respetando las normas éticas más estrictas.

El Reglamento General de Protección de Datos de la UE («RGPD») está diseñado para armonizar las leyes de protección de datos en Europa, con el fin de proteger y otorgar a todos los ciudadanos de la UE o a las personas que se encuentren en la Unión (independientemente de su nacionalidad) derechos sobre la confidencialidad de sus datos y remodelar la forma en que las organizaciones de la región abordan la privacidad de los datos.

Esta política establece los comportamientos esperados de los empleados de Mimco AM y de los terceros implicados en relación con los datos personales. Esta política abarca la recopilación, el uso, la conservación, la transferencia, la divulgación y la destrucción de cualquier dato personal perteneciente a individuos bajo el control de Mimco AM.

La dirección de la sociedad está plenamente comprometida a garantizar la implementación continua y eficaz de esta política y espera que todos los empleados de Mimco AM y sus terceros compartan este compromiso. Cualquier violación de esta política podrá dar lugar a medidas disciplinarias contra ellos.

Objetivo

El objetivo de esta política es establecer garantías para proteger los datos de carácter personal que posee, almacena o conserva la sociedad gestora, así como los datos de carácter personal que se recopilan de terceros o se transmiten a estos, independientemente del formato (físico o electrónico). La presente política está diseñada para:

Garantizar la seguridad y la confidencialidad de los datos de carácter personal;
Proteger contra cualquier amenaza o riesgo para la seguridad o la integridad de los datos de carácter personal;
Proteger contra la recopilación, el acceso o el uso no autorizados de datos de carácter personal

Definiciones

Responsable RGPD — Persona designada por Mimco AM para encargarse del cumplimiento de la normativa de protección de datos por parte de la sociedad gestora.

Responsable del tratamiento — La persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento de datos personales.

Encargado del tratamiento — Persona física o jurídica, autoridad pública, servicio u otro organismo que trata datos personales por cuenta del responsable del tratamiento (tal como se define en el artículo 4, punto 8, del RGPD).

Interesado — Toda persona física cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de su identidad.

Normativa de protección de datos — El RGPD, así como cualquier ley o normativa nacional aplicable en materia de protección de datos.

Datos de carácter personal — Toda información relativa a una persona física identificada o identificable («interesado»).

Actividad de tratamiento de datos de carácter personal — Cualquier operación o conjunto de operaciones realizadas sobre datos de carácter personal o conjuntos de datos de carácter personal, ya sea por procedimientos automatizados o no, tales como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.

Ámbito de aplicación

La presente política se aplica a todo tratamiento de datos de carácter personal, ya sea realizado en formato electrónico (incluidos correos electrónicos y documentos en formato digital) o en papel. Todo el personal está sujeto a los requisitos previstos en la presente política y debe certificar que ha leído y comprendido su contenido.

2. Sistema de protección de datos personales

Mimco AM aplica la filosofía «P-D-C-A» (Planificar-Hacer-Verificar-Actuar) (véase el anexo 1) para garantizar que el marco de protección de datos y el tratamiento de datos de carácter personal por parte de la firma sigan cumpliendo con los requisitos del RGPD.

2.1. Gobernanza

Para establecer una gobernanza adecuada, Mimco AM ha designado a un responsable del RGPD encargado de determinar las medidas técnicas y organizativas apropiadas y de implementarlas dentro de la organización.

2.1.1. Responsable del RGPD

El responsable del RGPD se encarga de la implementación del sistema de protección de datos personales y de su mejora continua.

La responsable del RGPD en Mimco AM es Alexandra NADAL. Sus principales funciones son las siguientes:

Informar y asesorar a Mimco AM, así como a los miembros de su personal que tratan datos, sobre sus obligaciones en virtud del RGPD y otras disposiciones relativas a la protección de datos;
Controlar el cumplimiento del RGPD, de otras disposiciones relativas a la protección de datos, así como de la presente política y de los documentos asociados en el marco global de protección de datos;
Actualizar el marco de protección de datos y los documentos asociados de conformidad con la normativa aplicable en materia de protección de datos;
Proporcionar orientaciones sobre la realización de las evaluaciones de impacto relativas a la protección de datos (EIPD / DPIA) y realizar su seguimiento;
Actuar como punto de contacto para las autoridades de control y los interesados, y cooperar con ellos en las cuestiones relativas al tratamiento, incluso en el marco de consultas previas, así como, cuando proceda, consultarles sobre cualquier otra cuestión conexa;
Determinar la necesidad de realizar notificaciones a las autoridades de control competentes, llevarlas a cabo y mantenerlas actualizadas, en relación con las actividades actuales o previstas de tratamiento de datos de carácter personal;
Establecer y hacer funcionar un sistema que permita ofrecer respuestas rápidas, precisas y adecuadas a las solicitudes de los interesados;
Informar a los directivos de cualquier posible sanción de naturaleza corporativa, civil o penal que pueda imponerse a nuestra empresa y/o a nuestro personal en caso de violación de la normativa relativa a la protección de datos;
Establecer procedimientos y cláusulas contractuales para garantizar el cumplimiento de la presente política por parte de cualquier tercero que:
- Proporcione datos de carácter personal a Mimco AM;
- Reciba datos de carácter personal de Mimco AM;
- Acceda a datos de carácter personal recopilados o tratados por Mimco AM.

2.2. Protección de datos «desde el diseño» y «por defecto»

Mimco AM vela por que todos los requisitos relativos a la protección de datos se tengan en cuenta y se traten durante el diseño de nuevos servicios, productos o procesos, así como durante la modificación o actualización de los existentes.

El RGPD introduce estas dos obligaciones:

Por un lado, las medidas técnicas y organizativas deben implementarse tanto en el momento de la concepción del tratamiento como en el momento del tratamiento en sí, es decir, desde el diseño («privacidad desde el diseño»);
Por otra parte, estas medidas deben garantizar que, por defecto, solo se traten los datos personales necesarios para cada finalidad específica del tratamiento («privacidad por defecto»). Mimco AM debe asegurarse de que todo nuevo diseño de servicios, productos o procesos, o cualquier cambio o extensión de productos, servicios, sistemas o procesos existentes, incluya un proceso de calidad en el que deba participar el responsable del RGPD. Como responsable del tratamiento, Mimco AM está obligada, en ciertos casos, a realizar una EIPD (evaluación de impacto relativa a la protección de datos) antes de la implementación de un tratamiento de datos personales.

2.3. Principio de responsabilidad («accountability»)

El RGPD otorga un lugar esencial al principio de responsabilidad de la empresa responsable del tratamiento. Por tanto, corresponde a Mimco AM tomar las disposiciones adecuadas para la implementación de los principios generales establecidos por la normativa aplicable y demostrar que dichos principios se han respetado efectivamente.

Mimco AM conservará la documentación adecuada y una pista de auditoría para cada requisito del RGPD con el fin de demostrar el respeto de los principios de protección de datos enunciados en la sección 2.5. Las responsabilidades relativas a la conservación de esta documentación están repartidas entre los diferentes departamentos. El responsable del RGPD supervisa esta labor y proporciona las orientaciones necesarias para satisfacer este requisito.

2.4. Controles de cumplimiento

Para garantizar que el nivel de cumplimiento del RGPD sea adecuado, se prevén y realizan controles internos de conformidad con los planes de control permanentes y periódicos. Se debe realizar al menos un control permanente al año para verificar que se respetan los procesos y que los controles operativos se llevan a cabo y se formalizan. Los controles periódicos se realizarán sobre la base de un plan de control plurianual.

2.5. Principios generales relativos al tratamiento de datos personales

La política se ha elaborado respetando los principios relativos al tratamiento de datos personales. Mimco AM se adhiere a los siguientes principios al tratar datos personales:

Licitud, lealtad y transparencia. Los datos personales deben tratarse de manera lícita y leal con respecto al interesado, así como de manera transparente si el tratamiento está sujeto al RGPD (licitud, lealtad, transparencia). Nos comprometemos a informar a los interesados sobre el tratamiento que se llevará a cabo (transparencia), de manera exacta (lealtad) y fundamentada en una finalidad definida en el RGPD (licitud);
Finalidades del tratamiento. Los datos personales deben recogerse con fines determinados, explícitos y legítimos, sin que puedan ser tratados posteriormente de manera incompatible con dichos fines (limitación de la finalidad). Mimco AM se compromete a informar a las personas sobre el uso de sus datos personales y limitará el tratamiento de los mismos a lo estrictamente necesario para los fines del tratamiento;
Minimización de datos personales. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que son tratados (minimización de datos). Mimco AM se compromete a no recoger ni conservar datos personales más allá de lo estrictamente necesario para los fines del tratamiento;
Exactitud. Deben ser exactos y estar actualizados. Mimco AM implementa procesos para identificar y tratar los datos personales obsoletos, incorrectos o redundantes;
Plazos de conservación. Deben conservarse de forma que permitan la identificación de los interesados durante un periodo no superior al necesario para los fines del tratamiento. Cuando se haya alcanzado la finalidad perseguida por el tratamiento, Mimco AM se compromete a implementar medidas técnicas y organizativas

para que los datos sean eliminados o sean objeto de un archivo intermedio siempre que su conservación sea indispensable para el cumplimiento de obligaciones legales o para fines contenciosos o precontenciosos.

Integridad y seguridad de los datos personales. Deben tratarse de forma que se garantice una seguridad adecuada, asegurando en particular su protección contra el tratamiento no autorizado o ilícito, así como contra la pérdida, destrucción o daños accidentales, mediante medidas técnicas y organizativas apropiadas (integridad y confidencialidad). Mimco AM debe implementar medidas técnicas y organizativas adecuadas para mantener la integridad y la confidencialidad de los datos personales. Estas medidas incluyen, entre otras, el cifrado, la gestión de los derechos de acceso a los datos personales, las instrucciones y la formación adecuadas, así como cualquier medida de seguridad (por ejemplo, a nivel de las instalaciones) para proteger los datos personales.

2.6. Recogida de datos personales

La recogida adecuada de datos personales es un elemento clave de nuestro sistema. Mimco AM ha establecido las siguientes normas para la recogida de datos personales.

2.6.1. Fuentes de los datos

Por principio, los datos personales solo deben recogerse directamente del interesado, a menos que el objetivo comercial requiera la recogida a través de otras personas u organismos. Si se recogen datos personales de una persona distinta del interesado, este último debe ser informado de la recogida o dar su consentimiento previo.

Las únicas excepciones a este principio son las siguientes:

El interesado ha recibido la información requerida por otros medios;
La información debe permanecer confidencial debido a una obligación de secreto profesional;
Una ley nacional prevé expresamente la recogida, el tratamiento o la transferencia de datos de carácter personal. La notificación al interesado debe enviarse con prontitud y, a más tardar:
Un mes natural a partir de la primera recogida o del primer registro de datos personales;
En el momento de la primera comunicación si los datos personales se utilizan para comunicarse con el interesado;
En el momento en que los datos personales se comuniquen a otro destinatario.

2.6.2. Avisos informativos

Mimco AM debe proporcionar a los interesados un aviso de información (o equivalente) que presente las menciones obligatorias relativas al tratamiento de datos personales. Informar a los interesados es una obligación legal: toda persona cuyos datos personales sean tratados por Mimco AM debe ser informada, en particular, de manera clara sobre cómo se tratan sus datos y sobre las modalidades para ejercer sus derechos.

El aviso de información está disponible en el sitio web de Mimco AM.

2.6.3. Consentimiento de los interesados

Mimco AM tiene la obligación de obtener el consentimiento de los interesados, cuando sea aplicable, antes de la recopilación, uso o cualquier otro tratamiento de datos personales.

El responsable de protección de datos establece un proceso para obtener y documentar el consentimiento de los interesados cuando este sea necesario.

El proceso relativo al consentimiento de los interesados garantiza la trazabilidad de los flujos de información, así como la validez y el alcance del consentimiento obtenido, y permite a los interesados retirar su consentimiento fácilmente en cualquier momento.

2.7. Uso de datos personales

2.7.1. Tratamiento de datos personales

Mimco AM respeta los intereses y necesidades de los interesados en el tratamiento de sus datos personales y evita cualquier comportamiento que sea contrario a sus intereses.

Utilizamos los datos personales para las siguientes finalidades:

Garantizar el buen funcionamiento de Mimco AM (incluida la gestión de los contratos de trabajo);
Prestar productos y servicios a los clientes;
Gestionar el seguimiento de la relación con clientes y otras contrapartes (gestión de contratos, reclamaciones, etc.); antes de cualquier nuevo tratamiento, o de cualquier modificación en los tratamientos de datos personales ya existentes, Mimco AM debe verificar si es necesario obtener el consentimiento de los interesados o si se les debe facilitar información. El responsable de RGPD debe validar el proceso de tratamiento previamente. Cuando se determine que el tratamiento es incompatible con el consentimiento obtenido anteriormente, el tratamiento solo podrá llevarse a cabo si se puede obtener un nuevo consentimiento, específico para las finalidades definidas, por parte del interesado, en coordinación con el responsable de RGPD.

2.7.2. Tratamiento de categorías especiales de datos personales

Existe una categoría especial de datos personales, denominados «datos sensibles», que nos obligan a adoptar medidas de protección adicionales. Se trata de información que revela el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como el tratamiento de datos genéticos, datos biométricos destinados a identificar de manera unívoca a una persona física, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual de una persona física.

Está prohibido recopilar o utilizar estos datos, salvo:

Si el interesado ha dado su consentimiento expreso (procedimiento activo, explícito y preferiblemente por escrito, que debe ser libre, específico e informado);
Si la información ha sido manifiestamente hecha pública por el interesado;
Si son necesarias para salvaguardar la vida humana;
Si su uso está justificado por el interés público y autorizado por la CNIL;
Si se refieren a los miembros o afiliados de una asociación u organización política, religiosa, filosófica, política o sindical. Antes de recoger o tratar dichos datos personales, los empleados deben ponerse en contacto con el responsable de RGPD para establecer una base legal para el tratamiento y aplicar medidas técnicas y organizativas específicas. Los resultados de este análisis deben registrarse y conservarse como prueba de la aplicación de las medidas de protección adecuadas.

2.7.3. Calidad de los datos personales

Unos datos personales de buena calidad son esenciales para respetar el principio de exactitud impuesto por el RGPD. Mimco AM ha adoptado medidas específicas para garantizar que los datos personales sean completos y exactos en el momento de su recogida y que permanezcan actualizados durante todo su ciclo de vida.

Para alcanzar un alto nivel de calidad de los datos, los empleados deben ser conscientes de los siguientes requisitos:

Corrección (incluida la eliminación y sustitución) de los datos de carácter personal que se sepa que son incorrectos, inexactos, engañosos o están obsoletos, incluso si la persona afectada no ha solicitado la modificación de sus datos personales.
Plazo de conservación de los datos personales, a determinar en función del objetivo que motivó su recogida o de conformidad con los plazos de conservación legales vigentes;
Supresión de cualquier dato personal si el tratamiento infringe uno de los principios de protección o si los datos personales ya no son necesarios.
Eliminación de datos de carácter personal. Cuando la eliminación esté prohibida por ley o perjudique los intereses de la persona afectada, los datos serán restringidos. Mimco AM espera que sus colaboradores contribuyan a la implementación de estas medidas e informen al responsable de RGPD si tienen conocimiento de eventos que requieran la adopción de medidas correctoras.

2.8. Conservación de datos

Para todo dato personal, debe definirse un plazo de conservación. Este debe ser coherente y estar justificado en relación con el objetivo del tratamiento. Por principio, los datos personales deben borrarse una vez finalizado su uso habitual, es decir, el tiempo necesario para el objetivo del tratamiento. Los plazos de conservación aplicables a las distintas categorías de datos, así como las modalidades adecuadas para su eliminación, se detallan en la política de seguridad de la información. Al finalizar el periodo de conservación, y una vez establecido que los datos ya no deben conservarse, los datos de carácter personal deben ser eliminados, anonimizados de forma irreversible (en caso de formato electrónico) o destruidos (en caso de soporte papel).

2.9. Protección de datos

Mimco AM garantiza la integridad y confidencialidad de los datos personales mediante la implementación de medidas de seguridad adecuadas, velando especialmente por la aplicación de medidas de protección

contra tratamientos no autorizados o ilícitos, contra la pérdida, destrucción, alteración y cualquier riesgo al que los datos personales puedan estar expuestos debido a errores humanos o eventos (catástrofes naturales, problemas electrónicos, etc.).

Las medidas de seguridad de los datos personales se detallan en la política de seguridad de la información. Los empleados deben conocer sus derechos y obligaciones en materia de seguridad de datos y se comprometen, en particular, a:

Asegurar la transmisión electrónica de datos personales previniendo los riesgos de consulta, lectura, copia, modificación o eliminación de datos personales sin la autorización adecuada, y/o de destrucción o pérdida accidental. La seguridad de los datos personales también implica la implementación de registros para realizar un seguimiento de las eliminaciones, modificaciones y cualquier otro comportamiento que pueda constituir un riesgo para la integridad y confidencialidad de los datos personales;
No acceder a los sistemas en los que se almacenan o tratan datos personales sin autorización o habilitación;
Impedir que cualquier persona no autorizada acceda a los sistemas o locales que contengan datos personales y, en su caso, informar inmediatamente al RCCI o al responsable de RGPD de cualquier (posible) intrusión;
Recurrir al departamento jurídico antes de cualquier contratación o negociación contractual. De hecho, deben incluirse disposiciones contractuales relativas a los datos personales;
Cuando el tratamiento sea realizado por un tercero, deberá llevarse a cabo de conformidad con las instrucciones proporcionadas por Mimco AM.

3. Evaluación de impacto relativa a la protección de datos (EIPD)

Antes del lanzamiento de cualquier nuevo servicio o producto que implique el tratamiento de datos de carácter personal, el equipo de Cumplimiento debe realizar primero un análisis de impacto relativo a la protección de datos (EIPD) preliminar. Esta evaluación inicial permite determinar si es necesaria una EIPD completa.

La CNIL publica una lista de tratamientos exentos de la obligación de realizar una EIPD. Para estos tratamientos, Mimco AM se basa en dicha exención y no realiza una EIPD. Por el contrario, la autoridad de control también identifica determinados tratamientos para los cuales una EIPD es obligatoria. En estos casos, Mimco AM procede directamente a la realización de una EIPD completa.

Para todos los demás tratamientos no enumerados explícitamente, Mimco AM realiza un análisis preliminar para evaluar la necesidad de llevar a cabo una EIPD completa.

4. Ejercicio de los derechos de las personas interesadas

En virtud del RGPD, toda persona interesada puede ejercer sus derechos sobre sus datos personales tratados por Mimco AM, es decir:

Su derecho a la información;
Su derecho de acceso a los datos personales;
Su derecho de rectificación de los datos personales;
Su derecho a la supresión de los datos personales;
Su derecho a la supresión de un enlace;
Su derecho a la limitación del tratamiento de los datos personales;
Su derecho a la portabilidad de los datos personales;
Su derecho de oposición al tratamiento de los datos personales;
Su derecho a decidir el destino de sus datos personales tras su fallecimiento. Los derechos de las personas interesadas se detallan en el anexo. Las personas interesadas pueden solicitar el ejercicio de sus derechos por cualquier medio. Las solicitudes de las personas interesadas deben conservarse en formato electrónico. Cuando una persona interesada realice una solicitud por teléfono, en persona, por escrito o por otros medios, esta deberá transmitirse al responsable del RGPD, quien se pondrá en contacto con la persona interesada para documentar la solicitud. La dirección de correo electrónico del responsable del RGPD debe estar accesible para cualquier persona que desee obtener información sobre el tratamiento de sus datos personales o ejercer sus derechos. En función de las solicitudes, la persona interesada deberá facilitar información complementaria. Por tanto, cualquier colaborador que reciba una solicitud relativa al ejercicio de los derechos sobre los datos personales debe transferirla inmediatamente al responsable del RGPD. El responsable del RGPD debe:
Enviar un acuse de recibo en las 48 horas siguientes a la recepción de la solicitud;
Registrar cada solicitud desde su recepción y solicitar una prueba de identidad de la persona que realiza la solicitud. Esta debe ser, efectivamente, la persona interesada o alguien que disponga de una autorización legítima sobre la persona interesada.
Tramitar la solicitud con diligencia, en el plazo de 30 días tras la recepción de la solicitud por parte de la persona.
Proporcionar una respuesta en un plazo de 30 días tras la recepción de la solicitud de la persona interesada, salvo excepción; la sociedad gestora se compromete a que no se repercuta ningún gasto administrativo a la persona interesada ni al solicitante autorizado por las solicitudes razonables, de conformidad con los principios del RGPD. El proceso relativo al tratamiento de las solicitudes RGPD se detalla en el procedimiento de tratamiento de solicitudes RGPD.

5. Solicitudes y comunicaciones a las autoridades

En determinadas circunstancias, Mimco AM puede verse obligada a compartir datos personales con las autoridades, sin conocimiento de la persona afectada o sin su consentimiento, en los siguientes casos:

Prevenir o detectar un delito o crimen;
La detención o persecución de delincuentes;
La evaluación o recaudación de un impuesto o tasa;
Por orden judicial o en virtud de cualquier norma legal. Si Mimco AM recibe una solicitud de un tribunal o de una autoridad relativa a una persona afectada con el fin de acceder a sus datos personales, se debe informar inmediatamente al responsable de RGPD para que gestione la solicitud.

6. Transferencias de datos personales fuera de la UE

Mimco AM no puede transferir a un país no perteneciente a la Unión Europea datos personales que sean objeto de tratamiento, o que estén destinados a serlo, a menos que se hayan implementado las medidas adecuadas:

Verificar las decisiones de adecuación o la implementación de cláusulas contractuales tipo con el destinatario.
Transferir al destinatario únicamente los datos de carácter personal estrictamente necesarios para la finalidad específica de la transferencia
Aplicar medidas de seguridad adecuadas durante la transferencia, si fuera necesario

El personal solo debe transferir datos de carácter personal a terceros, o permitirles el acceso a los mismos, cuando haya sido aprobado previamente por el Delegado de Protección de Datos, con el fin de garantizar que la información sea tratada de forma lícita y protegida adecuadamente por el destinatario. Por tanto, se debe consultar al responsable de RGPD sobre cualquier propuesta de transferencia de datos personales cuando la persona afectada aún no haya dado su consentimiento expreso para dicha transferencia.

Los colaboradores también deben saber que los encargados del tratamiento, según el RGPD, tienen la obligación de notificarnos cualquier violación o incidente relacionado con los datos personales transmitidos por Mimco AM. Para cualquier externalización de servicios a terceros (incluidos los proveedores de servicios en la nube), el responsable de RGPD deberá determinar si el tratamiento conllevará transferencias de datos personales a terceros países e incluir las disposiciones adecuadas en el acuerdo de externalización si fuera necesario. El responsable de RGPD realizará controles periódicos del tratamiento de datos personales efectuado por terceros, incluidas las medidas técnicas y organizativas implementadas. Cualquier anomalía importante identificada deberá comunicarse a la dirección y deberán tomarse medidas correctivas.

7. Notificación de una violación de datos personales

Todo empleado que sospeche de una violación de datos personales debe notificarlo inmediatamente al responsable de RGPD a través de la dirección: dpo@makers-fund.com.

El responsable de RGPD debe llevar a cabo una investigación para evaluar el nivel de riesgo de violación de los datos personales. Si el incidente supone un riesgo para la privacidad de las personas afectadas, deberá notificarlo

En caso de riesgo constatado, es obligatorio notificar a la CNIL en un plazo de 72 horas a partir de la notificación; en caso de riesgo elevado, es obligatorio notificar a la CNIL y a las personas afectadas en un plazo de 72 horas a partir de la notificación.

El proceso se detalla en el procedimiento de gestión de incidentes. Toda violación de datos de carácter personal debe registrarse en el registro de incidentes.

8. Formaciones

El responsable de RGPD debe elaborar un plan de formación anual para proponer sesiones de sensibilización o formación, en función de la exposición a los riesgos de los colaboradores. Todo empleado debe haber realizado al menos una sesión de sensibilización/formación en el mes siguiente a su incorporación (formación inicial) y, posteriormente, una vez al año (formación continua). Se debe mantener actualizado un registro de las formaciones y conservar las hojas de firmas.

El responsable de RGPD debe comunicar periódicamente las normas y procesos vigentes.

9. Consecuencias del incumplimiento de la política

El incumplimiento de la presente política podría tener graves repercusiones para la reputación de Mimco AM. Si se demuestra que la empresa ha infringido las leyes y reglamentos vigentes, Mimco AM puede ser condenada a una multa de hasta el 4 % de su volumen de negocios anual global o 20 millones de euros (la cantidad que sea mayor).

En caso de incumplimiento de esta política por parte de un colaborador, este podría ser sancionado (sanciones disciplinarias que pueden llegar hasta el despido, condenas penales y civiles).

10. Anexos

Anexo 1: MARCO DE PROTECCIÓN DE DATOS – PLAN-DO-CHECK-ACT (PDCA)

Anexo 2: menciones informativas

El aviso informativo que debe comunicarse al interesado debe incluir los siguientes elementos:

Identidad y datos de contacto del responsable del tratamiento de los datos personales;
El delegado de protección de datos (si procede) y sus datos de contacto;
Los fines de las actividades de tratamiento, así como la base jurídica del tratamiento;
El destinatario o las categorías de destinatarios de los datos personales (si procede);
El hecho de que el responsable del tratamiento tenga la intención de transferir datos personales a un tercer país o a una organización internacional, y la existencia o ausencia de una decisión de adecuación de la Comisión o una referencia a las garantías adecuadas o apropiadas;
Los plazos de conservación de los datos personales y los criterios utilizados para determinar dicho plazo;
Cuando el tratamiento se base en el consentimiento, el derecho del interesado a retirar su consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada;
La existencia de determinados derechos para los interesados: derecho de acceso, rectificación, supresión, limitación del tratamiento, oposición al tratamiento y portabilidad de los datos;
El derecho a presentar una reclamación ante una autoridad competente;
La existencia de una obligación legal o contractual de facilitar datos personales, o de un requisito necesario para la celebración de un contrato, así como la obligación del interesado de facilitar los datos personales y las posibles consecuencias de no hacerlo;
La existencia de decisiones automatizadas (si procede), incluida la elaboración de perfiles, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado; y
Si los datos personales se obtienen de personas distintas del interesado, se deberá indicar el origen de los datos y, en su caso, si proceden de fuentes de acceso público.

Anexo 3: bases legales del tratamiento

Para poder llevarse a cabo, todo tratamiento de datos personales debe basarse en una base legal prevista por el RGPD, es decir, lo que otorga al responsable del tratamiento el derecho a tratar los datos personales.

Existen 6 bases legales (art. 6 del RGPD):

El consentimiento. La persona interesada debe consentir el tratamiento de sus datos personales.
El contrato. El tratamiento de datos personales es necesario para la ejecución o la preparación de un contrato con la persona interesada.
El interés legítimo. El tratamiento es necesario para la satisfacción de intereses legítimos (ej. comerciales, de seguridad, de bienes, etc.) del responsable del tratamiento o de un tercero, respetando los derechos e intereses de las personas interesadas. Por tanto, el responsable del tratamiento debe realizar una ponderación entre su interés y los intereses de la persona (incluidas las expectativas razonables de la persona). Esta ponderación debe realizarse para cada tratamiento que se base en esta base legal.
La obligación legal. El tratamiento es impuesto por textos legales.
La misión de interés público. El tratamiento es necesario para el cumplimiento de una misión de interés público.
La protección de intereses vitales. El tratamiento es necesario para proteger los intereses vitales de la persona o de un tercero.

Anexo 4: el consentimiento

La ley del 6 de enero de 1978 (ley de informática y libertades) supedita la licitud de un tratamiento de datos personales a una de las seis condiciones que enumera (art. 5 de la ley). La principal de estas condiciones se refiere al consentimiento de la persona interesada por los datos. Las condiciones de licitud de los tratamientos están formuladas en términos análogos a los que utiliza el reglamento europeo (RGPD art. 6, 1).

Por tanto, el consentimiento es la condición principal de licitud de un tratamiento de datos personales. Estas son sus características principales:

El consentimiento debe ser una manifestación de voluntad libre, específica, informada e inequívoca: la persona interesada debe aceptar el tratamiento mediante una declaración o un acto positivo claro.
El consentimiento debe otorgarse para una o varias finalidades claramente definidas.
El consentimiento solo puede considerarse «libre» si la persona interesada está en condiciones de rechazar o retirar su consentimiento sin sufrir presión ni perjuicio;
El consentimiento solo es «específico» si responde a una solicitud suficientemente detallada que permita a la persona interesada dar un consentimiento distinto para cada una de las finalidades del tratamiento;
El consentimiento solo es «informado» si la persona interesada recibe cierta información esencial: por ejemplo, identidad del responsable del tratamiento, finalidad de cada una de las operaciones de tratamiento, datos recopilados y utilizados;
El consentimiento solo es «inequívoco» si resulta de una declaración o de un «gesto positivo» de la persona interesada. Como responsable del tratamiento, Mimco AM deberá demostrar que el consentimiento se ha otorgado efectivamente, de manera clara y sencilla. La persona interesada debe tener la posibilidad de retirar su consentimiento en cualquier momento.

Anexo 5: cookies y otros rastreadores

Las cookies son pequeños archivos almacenados por un servidor en el terminal (ordenador, teléfono, etc.) de un usuario y asociados a un sitio web. Las cookies y otros rastreadores tienen diferentes usos (gestión de un sitio web, análisis estadísticos o publicitarios, etc.).

Cualquier persona que visite el sitio web de Mimco AM debe poder gestionar las cookies y otros rastreadores en cualquier momento. Deben incluirse menciones obligatorias en el sitio web, de forma clara y fácilmente accesible. En principio, todos los tipos de cookies y rastreadores, a excepción de las cookies estrictamente necesarias (necesarias para el funcionamiento del sitio/portal), requieren el consentimiento previo e informado de la persona interesada.

Anexo 6: derechos de los interesados

Los interesados pueden ejercer sus derechos sobre sus datos personales y pueden solicitar, en función de la base legal y las circunstancias del tratamiento, uno de los siguientes elementos:

Derecho de acceso: permite saber si sus datos personales están siendo tratados y obtener una copia de los mismos en un formato comprensible. También permite controlar la exactitud de los datos y, si es necesario, hacer que se rectifiquen o supriman.
Derecho de rectificación: para hacer rectificar, completar, actualizar, bloquear o suprimir información que le concierna cuando se hayan detectado errores, inexactitudes o la presencia de datos cuya recogida, uso, comunicación o conservación esté prohibida
Derecho de supresión, también conocido como derecho al olvido, para obtener la supresión de los datos personales que le conciernan a la mayor brevedad posible;
Derecho a la limitación del tratamiento: para obtener la limitación del tratamiento de modo que, a excepción de su almacenamiento, los datos solo puedan ser tratados por Mimco AM con el consentimiento del interesado o para la formulación, el ejercicio o la defensa de reclamaciones;
Derecho a la portabilidad de los datos (recibir los datos de carácter personal que le conciernan en un formato estructurado, de uso común y lectura mecánica, y tener derecho a transmitir dichos datos a otro responsable del tratamiento);
Derecho de oposición (oponerse al tratamiento de los datos de carácter personal que le conciernan, bajo determinadas condiciones); y
Derecho de oposición a la toma de decisiones automatizada y a la elaboración de perfiles (es el derecho del interesado a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte de modo similar). Los interesados tienen derecho a obtener, previa solicitud por escrito y tras la verificación de su identidad por parte del responsable del RGPD, la siguiente información relativa a sus propios datos de carácter personal (salvo excepciones):
Los fines de la recogida, el tratamiento, el uso y el almacenamiento de sus datos de carácter personal;
La fuente o fuentes de los datos de carácter personal, si no se han obtenido directamente del interesado;
Las categorías de datos de carácter personal almacenados para el interesado;
Los destinatarios o categorías de destinatarios a los que se han transmitido o pueden transmitirse los datos de carácter personal, así como el lugar donde se encuentran dichos destinatarios;
El plazo de conservación previsto para los datos de carácter personal o el motivo por el cual se ha determinado dicho plazo;
Recurrir a cualquier toma de decisiones automatizada, incluida la elaboración de perfiles; y
El derecho del interesado a:
- Oponerse al tratamiento de sus datos de carácter personal
- Presentar una reclamación ante la autoridad encargada de la protección de datos.
- Solicitar la rectificación o supresión de sus datos de carácter personal
- Solicitar la limitación del tratamiento de sus datos de carácter personal.

‍