Política de proteção de dados pessoais

1. Introdução

Contexto

A Mimco Asset Management (doravante designada por "Mimco AM") compromete-se a exercer as suas atividades em conformidade com todas as leis e regulamentos aplicáveis em matéria de proteção de dados e no respeito pelas normas éticas mais rigorosas.

O Regulamento Geral sobre a Proteção de Dados da UE ("RGPD") foi concebido para harmonizar as leis de proteção de dados na Europa, com o objetivo de proteger e conferir a todos os cidadãos da UE ou pessoas que se encontrem na União (independentemente da sua nacionalidade) direitos sobre a confidencialidade dos seus dados e de remodelar a forma como as organizações da região abordam a privacidade dos dados.

Esta política define os comportamentos esperados dos colaboradores da Mimco AM e dos terceiros envolvidos no que diz respeito aos dados pessoais. Esta política abrange a recolha, utilização, conservação, transferência, divulgação e destruição de todos os dados pessoais pertencentes a indivíduos sob o controlo da Mimco AM.

A direção da sociedade está plenamente empenhada em assegurar a implementação contínua e eficaz desta política e espera que todos os colaboradores da Mimco AM e os seus terceiros partilhem este compromisso. Qualquer violação desta política poderá resultar em medidas disciplinares contra os mesmos.

Objetivo

O objetivo desta política é estabelecer garantias para proteger os dados pessoais que são detidos, armazenados ou conservados pela sociedade gestora, bem como os dados pessoais que são recolhidos junto de terceiros ou transmitidos aos mesmos, independentemente do formato (físico ou eletrónico). A presente política foi concebida para:

• Assegurar a segurança e a confidencialidade dos dados pessoais;
• Proteger contra qualquer ameaça ou risco para a segurança ou integridade dos dados pessoais;
• Proteger contra a recolha, acesso ou utilização não autorizados de dados pessoais

Definições

Responsável pelo RGPD — Pessoa designada pela Mimco AM para assegurar a conformidade da sociedade gestora com a regulamentação relativa à proteção de dados.

Responsável pelo tratamento — Pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que, individualmente ou em conjunto com outras, determina as finalidades e os meios de tratamento de dados pessoais.

Subcontratante — Pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que trata os dados pessoais por conta do responsável pelo tratamento (conforme definido no artigo 4.º, ponto 8, do RGPD).

Titular dos dados — Pessoa singular que pode ser identificada, direta ou indiretamente, nomeadamente por referência a um identificador, como um nome, um número de identificação, dados de localização, identificadores por via eletrónica ou a um ou mais elementos específicos da identidade física, fisiológica, genética, mental, económica, cultural ou social dessa pessoa singular.

Regulamentação relativa à proteção de dados — O RGPD, bem como qualquer lei ou regulamento nacional aplicável em matéria de proteção de dados.

Dados pessoais — Informações relativas a uma pessoa singular identificada ou identificável («titular dos dados»).

Tratamento de dados pessoais — Operação ou conjunto de operações efetuadas sobre dados pessoais ou sobre conjuntos de dados pessoais, por meios automatizados ou não, tais como a recolha, o registo, a organização, a estruturação, a conservação, a adaptação ou alteração, a recuperação, a consulta, a utilização, a divulgação por transmissão, difusão ou qualquer outra forma de disponibilização, comparação ou interconexão, a limitação, o apagamento ou a destruição.

Âmbito de aplicação

A presente política aplica-se a todo o tratamento de dados pessoais, quer seja efetuado em formato eletrónico (incluindo correio eletrónico e documentos em formato digital) ou em papel. Todo o pessoal está sujeito aos requisitos previstos na presente política e deve atestar que leu e compreendeu o seu conteúdo.

2. Dispositivo de proteção de dados pessoais

A Mimco AM aplica a filosofia «P-D-C-A» (Plan-Do-Check-Act) (ver anexo 1) para garantir que o quadro de proteção de dados e o tratamento de dados pessoais pela empresa permanecem conformes aos requisitos do RGPD.

2.1. Governação

Para estabelecer uma governação adequada, a Mimco AM designou um responsável pelo RGPD encarregado de determinar as medidas técnicas e organizativas adequadas e de as implementar na organização.

2.1.1. Responsável pelo RGPD

O responsável pelo RGPD é encarregado da implementação do dispositivo de proteção de dados pessoais e da sua melhoria contínua.

O responsável pelo RGPD na Mimco AM é Alexandra NADAL. As suas principais missões são as seguintes:

• Informar e aconselhar a Mimco AM, bem como os membros do seu pessoal que tratam dados, quanto às suas obrigações ao abrigo do RGPD e das outras disposições relativas à proteção de dados;
• Controlar o cumprimento do RGPD, das outras disposições relativas à proteção de dados, bem como da presente política e dos documentos associados no quadro global de proteção de dados;
• Atualizar o quadro de proteção de dados e os documentos associados em conformidade com a regulamentação aplicável em matéria de proteção de dados;
• Fornecer orientações sobre a realização de avaliações de impacto sobre a proteção de dados (EPIA / DPIA) e assegurar o seu acompanhamento;
• Atuar como ponto de contacto para as autoridades de controlo e para os titulares dos dados, e cooperar com as mesmas em questões relacionadas com o tratamento, incluindo no âmbito de consultas prévias, bem como, se for caso disso, consultá-las sobre qualquer outra questão conexa;
• Determinar a necessidade de efetuar notificações às autoridades de controlo competentes, realizá-las e mantê-las atualizadas, em ligação com as atividades atuais ou previstas de tratamento de dados pessoais;
• Implementar e operar um sistema que permita dar respostas rápidas, precisas e adequadas aos pedidos dos titulares dos dados;
• Informar os dirigentes sobre qualquer sanção potencial de natureza societária, civil ou penal que possa ser aplicada contra nós e/ou contra o nosso pessoal em caso de violação da regulamentação relativa à proteção de dados;
• Implementar procedimentos e cláusulas contratuais para assegurar o cumprimento da presente política por qualquer terceiro que:
  • Forneça dados pessoais à Mimco AM;
  • Receba dados pessoais da Mimco AM;
  • Tenha acesso a dados pessoais recolhidos ou tratados pela Mimco AM.

2.2. Proteção de dados «desde a conceção» e «por predefinição»

A Mimco AM assegura que todos os requisitos relativos à proteção de dados são tidos em conta e tratados durante a conceção de novos serviços, produtos ou processos, bem como durante a modificação ou atualização dos existentes.

O RGPD introduz estas duas obrigações:

• Por um lado, as medidas técnicas e organizativas devem ser implementadas tanto no momento da conceção do tratamento como no momento do próprio tratamento, ou seja, desde a conceção («privacy by design»);
• Por outro lado, estas medidas devem garantir que, por predefinição, apenas são tratados os dados pessoais necessários para cada finalidade específica do tratamento («privacy by default»). A Mimco AM deve assegurar que qualquer nova conceção de serviços, produtos ou processos, ou qualquer alteração ou extensão de produtos, serviços, sistemas ou processos existentes, inclua um processo de qualidade no qual o responsável pelo RGPD deve participar. Enquanto responsável pelo tratamento, a Mimco AM é obrigada, em certos casos, a realizar uma EPIA (avaliação de impacto sobre a proteção de dados) antes da implementação de um tratamento de dados pessoais.

2.3. Princípio da responsabilidade («accountability»)

O RGPD atribui um papel essencial ao princípio da responsabilidade da empresa responsável pelo tratamento. Cabe, portanto, à Mimco AM tomar as disposições adequadas para a implementação dos princípios gerais enunciados pela regulamentação aplicável e demonstrar que esses princípios foram efetivamente respeitados.

A Mimco AM manterá documentação apropriada e uma pista de auditoria para cada requisito do RGPD, a fim de demonstrar o cumprimento dos princípios de proteção de dados enunciados na secção 2.5. As responsabilidades relativas à conservação desta documentação estão repartidas pelos diferentes departamentos. O responsável pelo RGPD assegura a supervisão e fornece as orientações necessárias para cumprir este requisito.

2.4. Controlos de conformidade

Para assegurar que o nível de conformidade com o RGPD é adequado, são previstos e realizados controlos internos em conformidade com os planos de controlo permanentes e periódicos. Deve ser realizado, pelo menos, um controlo permanente por ano para verificar se os processos são respeitados e se os controlos operacionais são executados e formalizados. Os controlos periódicos serão realizados com base num plano de controlo plurianual.

2.5. Princípios gerais relativos ao tratamento de dados pessoais

A política foi elaborada em conformidade com os princípios relativos ao tratamento de dados pessoais. A Mimco AM adere aos seguintes princípios ao tratar dados pessoais:

• Licitude, lealdade e transparência. Os dados pessoais devem ser tratados de forma lícita e leal em relação ao titular dos dados, bem como de forma transparente se o tratamento for abrangido pelo RGPD (licitude, lealdade, transparência). Comprometemo-nos a informar os titulares dos dados sobre o tratamento que será implementado (transparência), de forma exata (lealdade) e com base numa finalidade definida no RGPD (licitude);
• Finalidades dos tratamentos. Os dados pessoais devem ser recolhidos para finalidades determinadas, explícitas e legítimas, não podendo ser objeto de tratamento posterior incompatível com essas finalidades (limitação das finalidades). A Mimco AM compromete-se a informar as pessoas sobre a utilização dos seus dados pessoais e limitará o tratamento dos dados pessoais ao que é estritamente necessário para as finalidades do tratamento;
• Minimização dos dados pessoais. Os dados pessoais devem ser adequados, pertinentes e limitados ao que é necessário em relação às finalidades do tratamento (minimização dos dados). A Mimco AM compromete-se a não recolher nem conservar dados pessoais para além do que é estritamente necessário para as finalidades do tratamento;
• Exatidão. Devem ser exatos e estar atualizados. A Mimco AM implementa processos para identificar e tratar dados pessoais obsoletos, incorretos ou redundantes;
• Prazos de conservação. Devem ser conservados de forma a permitir a identificação dos titulares dos dados durante um período não superior ao necessário para as finalidades do tratamento. Quando a finalidade prosseguida pelo tratamento for atingida, a Mimco AM compromete-se a implementar medidas técnicas e organizativas

para que os dados sejam eliminados ou objeto de arquivo intermédio, sempre que a sua conservação seja indispensável para o cumprimento de obrigações legais ou para fins contenciosos ou pré-contenciosos.

• Integridade e segurança dos dados pessoais. Devem ser tratados de forma a garantir uma segurança adequada, assegurando nomeadamente a sua proteção contra tratamentos não autorizados ou ilícitos, bem como contra a perda, destruição ou danos acidentais, através de medidas técnicas e organizativas adequadas (integridade e confidencialidade). A Mimco AM deve implementar medidas técnicas e organizativas adequadas para manter a integridade e a confidencialidade dos dados pessoais. Estas medidas incluem, entre outras, a encriptação, a gestão dos direitos de acesso aos dados pessoais, instruções e formação adequadas, bem como qualquer medida de segurança (por exemplo, ao nível das instalações) para proteger os dados pessoais.

2.6. Recolha de dados pessoais

A recolha adequada de dados pessoais é um elemento-chave do nosso sistema. A Mimco AM estabeleceu as seguintes regras para a recolha de dados pessoais.

2.6.1. Fontes dos dados

Por princípio, os dados pessoais devem ser recolhidos apenas junto do titular dos dados, a menos que o objetivo comercial exija a recolha junto de outras pessoas ou entidades. Se os dados pessoais forem recolhidos junto de uma pessoa que não seja o titular dos dados, este último deve ser informado da recolha ou dar o seu consentimento prévio.

As únicas exceções a este princípio são as seguintes:

• O titular dos dados recebeu as informações necessárias por outros meios;
• A informação deve permanecer confidencial devido a uma obrigação de sigilo profissional;
• Uma lei nacional prevê expressamente a recolha, o tratamento ou a transferência de dados pessoais. A notificação ao titular dos dados deve ser enviada rapidamente e, o mais tardar:
• Um mês civil a contar da primeira recolha ou do primeiro registo de dados pessoais;
• No momento da primeira comunicação, caso os dados pessoais sejam utilizados para comunicar com o titular dos dados;
• No momento em que os dados pessoais são comunicados a outro destinatário.

2.6.2. Avis de informação

A Mimco AM deve fornecer às pessoas em causa um aviso de informação (ou equivalente) que apresente as menções obrigatórias relativas ao tratamento de dados pessoais. A informação às pessoas em causa é uma obrigação legal: qualquer pessoa cujos dados pessoais sejam tratados pela Mimco AM deve, nomeadamente, ser informada de forma clara sobre a forma como os seus dados são tratados e sobre as modalidades de exercício dos seus direitos.

O aviso de informação está acessível no website da Mimco AM.

2.6.3. Consentimento das pessoas em causa

A Mimco AM tem a obrigação de obter o consentimento das pessoas em causa, quando aplicável, antes da recolha, utilização ou qualquer outro tratamento de dados pessoais.

O responsável pela proteção de dados implementa um processo que permite obter e documentar o consentimento das pessoas em causa sempre que este seja necessário.

O processo relativo ao consentimento das pessoas em causa garante a rastreabilidade dos fluxos de informação, bem como a validade e o âmbito do consentimento obtido, e permite que as pessoas em causa retirem o seu consentimento facilmente a qualquer momento.

2.7. Utilização de dados pessoais

2.7.1. Tratamento de dados pessoais

A Mimco AM respeita os interesses e as necessidades das pessoas em causa no tratamento dos seus dados pessoais e evita qualquer comportamento que seja contrário aos seus interesses.

Utilizamos os dados pessoais para as seguintes finalidades:

• Garantir o bom funcionamento da Mimco AM (incluindo a gestão de contratos de trabalho);
• Fornecer produtos e serviços aos clientes;
• Gerir o acompanhamento da relação com clientes e outras contrapartes (gestão de contratos, reclamações, etc.); Antes de qualquer novo tratamento, ou de qualquer alteração nos tratamentos de dados pessoais já existentes, a Mimco AM deve verificar se é necessário obter o consentimento das pessoas em causa ou se lhes devem ser fornecidas informações. O responsável pelo RGPD deve validar previamente o processo de tratamento. Quando se estabelece que o tratamento é incompatível com o consentimento obtido anteriormente, o tratamento só pode ocorrer se for possível obter um novo consentimento, específico para as finalidades definidas, por parte da pessoa em causa, em coordenação com o responsável pelo RGPD.

2.7.2. Tratamento de categorias especiais de dados pessoais

Existe uma categoria específica de dados pessoais, designados por «dados sensíveis», que nos obriga a adotar medidas de proteção adicionais. Trata-se de informações que revelam a pretensa origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas ou a filiação sindical, bem como o tratamento de dados genéticos, dados biométricos para identificar uma pessoa singular de forma única, dados relativos à saúde ou dados relativos à vida sexual ou orientação sexual de uma pessoa singular.

É proibido recolher ou utilizar estes dados, exceto:

• Se a pessoa em causa tiver dado o seu consentimento expresso (procedimento ativo, explícito e, de preferência, escrito, que deve ser livre, específico e informado);
• Se as informações tiverem sido manifestamente tornadas públicas pela pessoa em causa;
• Se forem necessárias para a salvaguarda da vida humana;
• Se a sua utilização for justificada pelo interesse público e autorizada pela CNIL;
• Se disserem respeito a membros ou associados de uma organização política, religiosa, filosófica, política ou sindical. Antes de recolher ou tratar tais dados pessoais, os colaboradores devem contactar o responsável pelo RGPD a fim de estabelecer uma base legal para o tratamento e implementar medidas técnicas e organizacionais específicas. Os resultados desta análise devem ser registados e conservados como prova da aplicação de medidas de proteção adequadas.

2.7.3. Qualidade dos dados pessoais

Dados pessoais de boa qualidade são essenciais para respeitar o princípio da exatidão imposto pelo RGPD. A Mimco AM adotou medidas específicas para garantir que os dados pessoais estão completos e exatos no momento da sua recolha e que permanecem atualizados durante todo o seu ciclo de vida.

Para atingir um elevado nível de qualidade dos dados, os colaboradores devem estar cientes dos seguintes requisitos:

• Correção (incluindo a eliminação e substituição) de dados pessoais que se saiba estarem incorretos, inexatos, enganosos ou desatualizados, mesmo que a pessoa em causa não tenha solicitado a alteração dos seus dados pessoais.
• Período de conservação dos dados pessoais, a determinar em função do objetivo que levou à sua recolha ou em conformidade com os períodos de conservação legais em vigor;
• Eliminação de quaisquer dados pessoais se o tratamento violar um dos princípios de proteção ou se os dados pessoais já não forem necessários.
• Eliminação de dados pessoais. Quando a eliminação for proibida por lei ou prejudicar os interesses da pessoa em causa, os dados serão restringidos. A Mimco AM espera que os seus colaboradores contribuam para a implementação destas medidas e que informem o responsável pelo RGPD caso tenham conhecimento de eventos que exijam a implementação de medidas corretivas.

2.8. Conservação de dados

Para cada dado pessoal, deve ser definido um período de conservação. Este deve ser coerente e justificado em relação ao objetivo do tratamento. Por princípio, os dados pessoais devem ser eliminados após a sua utilização corrente, i.e., o período necessário para o objetivo do tratamento. Os períodos de conservação aplicáveis às diferentes categorias de dados, bem como as modalidades adequadas para a sua eliminação, estão detalhados na política de segurança da informação. Após o período de conservação, e uma vez estabelecido que os dados já não devem ser conservados, os dados pessoais devem ser eliminados, anonimizados de forma irreversível (em caso de formato eletrónico) ou destruídos (em caso de suporte em papel).

2.9. Proteção de dados

A Mimco AM garante a integridade e a confidencialidade dos dados pessoais através da implementação de medidas de segurança adequadas, assegurando, nomeadamente, a aplicação de medidas de proteção

contra tratamentos não autorizados ou ilícitos, contra a perda, destruição, alteração e qualquer risco a que os dados pessoais possam estar expostos devido a erros humanos ou eventos (catástrofes naturais, problemas eletrónicos, etc.).

As medidas de segurança dos dados pessoais estão detalhadas na política de segurança da informação. Os colaboradores devem conhecer os seus direitos e obrigações em matéria de segurança de dados e comprometem-se, nomeadamente, a:

• Proteger a transmissão eletrónica de dados pessoais, prevenindo os riscos de consulta, leitura, cópia, modificação ou eliminação de dados pessoais sem a devida autorização, e/ou de destruição ou perda acidental. A segurança dos dados pessoais passa também pela implementação de registos, a fim de assegurar o acompanhamento de eliminações, modificações e qualquer outro comportamento que possa constituir um risco para a integridade e confidencialidade dos dados pessoais;
• Não aceder aos sistemas onde os dados pessoais são armazenados ou tratados, sem autorização ou habilitação;
• Impedir que qualquer pessoa não autorizada aceda aos sistemas ou instalações que contenham dados pessoais e, se for caso disso, informar imediatamente o RCCI ou o responsável pelo RGPD de uma (eventual) intrusão;
• Recorrer ao departamento jurídico antes de qualquer contratualização ou negociação contratual. Devem ser incluídas disposições contratuais relativas aos dados pessoais;
• Quando o tratamento é realizado por um terceiro, este deve ser efetuado em conformidade com as instruções fornecidas pela Mimco AM.

3. Avaliação de impacto sobre a proteção de dados (AIPD)

Antes do lançamento de qualquer novo serviço ou produto que envolva o tratamento de dados pessoais, a equipa de Conformidade deve realizar primeiro uma avaliação de impacto sobre a proteção de dados (EPIA) preliminar. Esta avaliação inicial permite determinar se é necessária uma EPIA completa.

A CNIL publica uma lista de tratamentos isentos da obrigação de EPIA. Para estes tratamentos, a Mimco AM baseia-se nesta isenção e não realiza uma EPIA. Pelo contrário, a autoridade de controlo identifica também determinados tratamentos para os quais uma EPIA é obrigatória. Nestes casos, a Mimco AM procede diretamente à realização de uma EPIA completa.

Para todos os outros tratamentos não listados explicitamente, a Mimco AM realiza uma análise preliminar para avaliar a necessidade de realizar uma EPIA completa.

4. Exercício dos direitos das pessoas em causa

Ao abrigo do RGPD, qualquer pessoa em causa pode exercer direitos sobre os seus dados pessoais tratados pela Mimco AM, nomeadamente:

• O seu direito à informação;
• O seu direito de acesso aos dados pessoais;
• O seu direito de retificação dos dados pessoais;
• O seu direito ao apagamento dos dados pessoais;
• O seu direito ao desindexação de uma ligação;
• O seu direito à limitação do tratamento de dados pessoais;
• O seu direito à portabilidade dos dados pessoais;
• O seu direito de oposição ao tratamento de dados pessoais;
• O seu direito de decidir o destino dos seus dados pessoais após a sua morte. Os direitos das pessoas em causa estão detalhados em anexo. As pessoas em causa podem solicitar o exercício dos seus direitos por qualquer meio. Os pedidos das pessoas em causa devem ser conservados em formato eletrónico. Quando uma pessoa em causa efetua um pedido por telefone, pessoalmente, por escrito ou por outros meios, este deve ser transmitido ao responsável pelo RGPD, que entrará em contacto com a pessoa em causa para documentar o pedido. O endereço de e-mail do responsável pelo RGPD deve estar acessível a qualquer pessoa que pretenda obter informações sobre o tratamento de dados pessoais ou exercer os seus direitos. Dependendo dos pedidos, a pessoa em causa poderá ter de fornecer informações complementares. Assim, qualquer colaborador que receba um pedido relativo ao exercício de direitos sobre dados pessoais deve transferi-lo imediatamente para o responsável pelo RGPD. O responsável pelo RGPD deve:
• Enviar um aviso de receção nas 48 horas seguintes à receção do pedido;
• Registar cada pedido assim que for recebido e solicitar prova da identidade da pessoa que efetuou o pedido. Esta deve ser, efetivamente, a pessoa em causa ou alguém com autorização legítima sobre a pessoa em causa.
• Tratar o pedido com diligência, no prazo de 30 dias após a receção do pedido pela pessoa.
• Responder no prazo de 30 dias após a receção do pedido da pessoa em causa, salvo exceção; A sociedade gestora compromete-se a não cobrar qualquer taxa administrativa à pessoa em causa nem ao requerente autorizado por pedidos razoáveis, em conformidade com os princípios do RGPD. O processo relativo ao tratamento de pedidos RGPD está detalhado no procedimento de tratamento de pedidos RGPD.

5. Pedidos e comunicações às autoridades

Em determinadas circunstâncias, a Mimco AM poderá ter de partilhar dados pessoais com as autoridades, sem o conhecimento ou consentimento da pessoa em causa, nos seguintes casos:

• Prevenir ou detetar um delito ou crime;
• A detenção ou o procedimento criminal contra infratores;
• A avaliação ou cobrança de um imposto ou taxa;
• Por ordem de um tribunal ou ao abrigo de qualquer norma jurídica. Se a Mimco AM receber um pedido de um tribunal ou de uma autoridade relativo a uma pessoa em causa, para efeitos de acesso aos seus dados pessoais, o responsável pelo RGPD deve ser imediatamente informado para que possa tratar o pedido.

6. Transferências de dados pessoais fora da UE

A Mimco AM só pode transferir dados pessoais objeto de tratamento, ou destinados a ser objeto de tratamento, para um país que não pertença à União Europeia se forem implementadas medidas adequadas:

• Verificar as decisões de adequação ou a implementação de cláusulas contratuais-tipo com o destinatário.
• Transferir para o destinatário apenas os dados pessoais estritamente necessários para a finalidade específica da transferência
• Aplicar medidas de segurança adequadas durante a transferência, se necessário

O pessoal só deve transferir dados pessoais a terceiros, ou permitir-lhes o acesso, quando tal tiver sido previamente aprovado pelo Responsável pela Proteção de Dados, a fim de garantir que as informações serão tratadas licitamente e protegidas de forma adequada pelo destinatário. Assim, o responsável pelo RGPD deve ser consultado sobre qualquer proposta de transferência de dados pessoais quando a pessoa em causa ainda não tiver consentido expressamente na transferência.

Os colaboradores devem também estar cientes de que os subcontratantes, na aceção do RGPD, têm a obrigação de nos comunicar qualquer violação ou incidente relacionado com os dados pessoais transmitidos pela Mimco AM. Para qualquer externalização de serviços a terceiros (incluindo prestadores de serviços na nuvem), o responsável pelo RGPD deverá determinar se o tratamento implicará transferências de dados pessoais para países terceiros e incluir as disposições adequadas no acordo de externalização, se necessário. O responsável pelo RGPD procederá a auditorias regulares ao tratamento de dados pessoais efetuado por terceiros, incluindo as medidas técnicas e organizativas implementadas. Qualquer anomalia grave identificada deverá ser comunicada à direção e deverão ser tomadas medidas de remediação.

7. Notificação de uma violação de dados pessoais

Qualquer colaborador que suspeite de uma violação de dados pessoais deve notificar imediatamente o responsável pelo RGPD através do endereço: dpo@makers-fund.com.

O responsável pelo RGPD deve conduzir uma investigação para avaliar o nível de risco de violação dos dados pessoais. Se o incidente constituir um risco para a vida privada das pessoas em causa, deverá notificar

Em caso de risco comprovado, é obrigatório notificar a CNIL no prazo de 72 horas a contar da notificação; em caso de risco elevado, é obrigatório notificar a CNIL e as pessoas em causa no prazo de 72 horas a contar da notificação.

O processo está detalhado no procedimento de gestão de incidentes. Qualquer violação de dados pessoais é objeto de registo no registo de incidentes.

8. Formações

Deve ser elaborado um plano de formação anual pelo responsável pelo RGPD, de modo a propor sessões de sensibilização ou ações de formação, em função da exposição aos riscos dos colaboradores. Todos os colaboradores devem ter frequentado pelo menos uma sessão de sensibilização/formação no mês seguinte à sua tomada de funções (formação inicial) e, posteriormente, uma vez por ano (formação contínua). Deve ser mantido um registo de formações atualizado e as folhas de presenças devem ser conservadas.

O responsável pelo RGPD deve comunicar regularmente as regras e processos em vigor.

9. Consequências do incumprimento da política

O incumprimento da presente política poderá ter graves repercussões na reputação da Mimco AM. Caso se verifique que a empresa infringiu as leis e regulamentos em vigor, a Mimco AM pode ser condenada ao pagamento de uma coima que pode ir até 4% do volume de negócios anual a nível mundial ou 20 milhões de euros (o montante mais elevado será o aplicado).

Em caso de violação desta política por um colaborador, este poderá ser sancionado (sanções disciplinares que podem ir até ao despedimento, condenações penais e civis).

10. Anexos

Anexo 1: DATA PROTECTION FRAMEWORK – PLAN-DO-CHECK-ACT (PDCA)

Anexo 2: menções informativas

O aviso de informação a comunicar ao titular dos dados deve incluir os seguintes elementos:

• Identidade e contactos do responsável pelo tratamento dos dados pessoais;
• O encarregado da proteção de dados (se aplicável) e os seus contactos;
• A finalidade ou finalidades das atividades de tratamento, bem como o fundamento jurídico do tratamento;
• O destinatário ou as categorias de destinatários dos dados pessoais (se aplicável);
• O facto de o responsável pelo tratamento pretender transferir dados pessoais para um país terceiro ou uma organização internacional e a existência ou inexistência de uma decisão de adequação da Comissão ou uma referência às garantias adequadas ou apropriadas;
• Os prazos de conservação dos dados pessoais e os critérios utilizados para determinar esse prazo;
• Quando o tratamento se baseia no consentimento, a existência do direito de o titular dos dados retirar o seu consentimento a qualquer momento, sem comprometer a licitude do tratamento efetuado com base no consentimento previamente dado;
• A existência de determinados direitos para os titulares dos dados: direito de acesso, retificação, apagamento, limitação do tratamento, oposição ao tratamento e portabilidade dos dados;
• O direito de apresentar uma reclamação junto de uma autoridade de controlo competente;
• A existência de uma obrigação legal ou contratual de fornecer dados pessoais, ou de uma obrigação necessária para a celebração de um contrato, bem como a obrigação de o titular dos dados fornecer os dados pessoais e as eventuais consequências da não disponibilização desses dados;
• A existência de decisões automatizadas (se aplicável), incluindo a definição de perfis, bem como a importância e as consequências previstas de tal tratamento para o titular dos dados; e
• Se os dados pessoais forem recolhidos junto de outras pessoas que não o titular dos dados, indicar a origem dos dados e, se aplicável, se provêm de fontes acessíveis ao público.

Anexo 3: fundamentos jurídicos do tratamento

Para poder ser implementado, qualquer tratamento de dados pessoais deve basear-se num fundamento jurídico previsto pelo RGPD, ou seja, o que confere ao responsável pelo tratamento o direito de tratar dados pessoais.

Existem 6 bases legais (art. 6.º do RGPD):

• O consentimento. A pessoa em causa deve consentir no tratamento dos seus dados pessoais.
• O contrato. O tratamento de dados pessoais é necessário para a execução ou para a preparação de um contrato com a pessoa em causa.
• O interesse legítimo. O tratamento é necessário para a prossecução de interesses legítimos (ex.: comerciais, de segurança, de bens, etc.) do responsável pelo tratamento ou de um terceiro, no respeito pelos direitos e interesses das pessoas em causa. O responsável pelo tratamento deve, portanto, proceder a uma ponderação entre o seu interesse e os interesses da pessoa (incluindo as expectativas razoáveis da pessoa). Esta ponderação deve ser realizada para cada tratamento que se baseie nesta base legal.
• A obrigação legal. O tratamento é imposto por textos legais.
• A missão de interesse público. O tratamento é necessário para a execução de uma missão de interesse público.
• A salvaguarda de interesses vitais. O tratamento é necessário para a salvaguarda dos interesses vitais da pessoa ou de um terceiro.

Anexo 4: o consentimento

A lei de 6 de janeiro de 1978 (lei francesa relativa à informática e às liberdades) subordina a licitude de um tratamento de dados pessoais a uma das seis condições que enumera (art. 5.º da lei). A principal destas condições diz respeito ao consentimento da pessoa a quem os dados dizem respeito. As condições de licitude dos tratamentos são formuladas em termos análogos aos utilizados pelo regulamento europeu (RGPD, art. 6.º, n.º 1).

Assim, o consentimento é a condição principal de licitude de um tratamento de dados pessoais. Eis as suas características principais:

• O consentimento deve ser uma manifestação de vontade livre, específica, esclarecida e inequívoca: a pessoa em causa deve aceitar o tratamento através de uma declaração ou de um ato positivo claro.
• O consentimento deve ser dado para uma ou várias finalidades claramente definidas.
• O consentimento só pode ser considerado «livre» se a pessoa em causa estiver em condições de recusar ou retirar o seu consentimento sem sofrer pressão nem prejuízo;
• O consentimento só é «específico» se responder a um pedido suficientemente detalhado que permita à pessoa em causa dar um consentimento distinto para cada uma das finalidades do tratamento;
• O consentimento só é «esclarecido» se a pessoa em causa receber determinadas informações essenciais: por exemplo, identidade do responsável pelo tratamento, finalidade de cada uma das operações de tratamento, dados recolhidos e utilizados;
• O consentimento só é «inequívoco» se resultar de uma declaração ou de um «ato positivo» da pessoa em causa. Enquanto responsável pelo tratamento, a Mimco AM deverá demonstrar que o consentimento foi efetivamente dado, de forma clara e simples. A pessoa em causa deve ter a possibilidade de retirar o seu consentimento a qualquer momento.

Anexo 5: cookies e outros rastreadores

Os cookies são pequenos ficheiros armazenados por um servidor no terminal (computador, telemóvel, etc.) de um utilizador e associados a um website. Os cookies e outros rastreadores têm diferentes utilizações (gestão de um website, análises estatísticas ou publicitárias, etc.).

Qualquer pessoa que visite o website da Mimco AM deve poder gerir os cookies e outros rastreadores a qualquer momento. Devem ser incluídas informações obrigatórias no website, de forma clara e facilmente acessível. Em princípio, todos os tipos de cookies e rastreadores, com exceção dos cookies estritamente necessários (necessários para o funcionamento do site/portal), requerem o consentimento prévio e esclarecido da pessoa em causa.

Anexo 6: direitos dos titulares dos dados

Os titulares dos dados podem exercer direitos sobre os seus dados pessoais e podem solicitar, dependendo da base legal e das circunstâncias do tratamento, um dos seguintes elementos:

• Um direito de acesso: permite saber se os seus dados pessoais estão a ser tratados e obter a sua comunicação num formato compreensível. Permite também controlar a exatidão dos dados e, se necessário, solicitar a sua retificação ou apagamento.
• Um direito de retificação: para solicitar a retificação, completação, atualização, bloqueio ou apagamento de informações que lhe digam respeito quando forem detetados erros, inexatidões ou a presença de dados cuja recolha, utilização, comunicação ou conservação seja proibida
• Um direito ao apagamento, também designado por direito ao esquecimento, para obter o apagamento dos dados pessoais que lhe digam respeito com a maior brevidade possível;
• Um direito à limitação do tratamento: para obter a limitação do tratamento de modo a que, com exceção do armazenamento, os dados só possam ser tratados pela Mimco AM com o consentimento do titular dos dados ou para efeitos de declaração, exercício ou defesa de um direito num processo judicial;
• Um direito à portabilidade dos dados (receber os dados pessoais que lhe digam respeito num formato estruturado, de uso corrente e de leitura automática, e ter o direito de transmitir esses dados a outro responsável pelo tratamento);
• Um direito de oposição (opor-se ao tratamento dos dados pessoais que lhe digam respeito, sob determinadas condições); e
• Um direito de oposição à tomada de decisão automatizada e à definição de perfis (trata-se do direito do titular dos dados de não ser sujeito a uma decisão baseada exclusivamente no tratamento automatizado, incluindo a definição de perfis, que produza efeitos na sua esfera jurídica ou que o afete significativamente de forma similar). Os titulares dos dados têm o direito de obter, mediante pedido por escrito e após verificação da sua identidade pelo responsável pelo RGPD, as seguintes informações relativas aos seus próprios dados pessoais (salvo exceções):
• As finalidades da recolha, tratamento, utilização e armazenamento dos seus dados pessoais;
• A fonte ou fontes dos dados pessoais, caso não tenham sido obtidos junto do titular dos dados;
• As categorias de dados pessoais armazenados relativos ao titular dos dados;
• Os destinatários ou categorias de destinatários a quem os dados pessoais foram ou podem ser transmitidos, bem como o local onde esses destinatários se encontram;
• O período de conservação previsto para os dados pessoais ou a razão pela qual o período de conservação foi determinado;
• Recorrer a qualquer tomada de decisão automatizada, incluindo a definição de perfis; e
• O direito do titular dos dados de:
  • Opor-se ao tratamento dos seus dados pessoais
  • Apresentar uma reclamação junto da autoridade de controlo responsável pela proteção de dados.
  • Solicitar a retificação ou o apagamento dos seus dados pessoais
  • Solicitar a limitação do tratamento dos seus dados pessoais.

‍