Política y Procedimiento de Solicitud de Acceso de Sujetos de Datos - ComponentSource Group

1. Introducción

Esta Política establece las obligaciones de ComponentSource Limited, una empresa registrada en Inglaterra bajo el número 2890788, cuya oficina registrada está en The White Building, 33 Kings Road, Reading, Berkshire RG1 3AR (“la Compañía”), en relación con las solicitudes de acceso de los interesados conforme a la Legislación de Protección de Datos (definida más adelante).

Esta Política también proporciona orientación sobre el manejo de las solicitudes de acceso de los interesados. Los procedimientos y principios establecidos en esta Política deben ser seguidos en todo momento por la Compañía, sus empleados, agentes, contratistas u otras partes que trabajen en nombre de la Compañía.

2. Definiciones

“responsable del tratamiento” significa la persona u organización que, individualmente o conjuntamente con otros, determina los fines y medios del tratamiento de datos personales. A efectos de esta Política, la Compañía es el responsable del tratamiento de todos los datos personales utilizados en nuestro negocio;

“encargado del tratamiento” significa una persona u organización que procesa datos personales por cuenta del responsable del tratamiento;

“Legislación de Protección de Datos” significa todas las leyes de protección de datos y privacidad aplicables, incluyendo, pero no limitado a, el UK GDPR, la Ley de Protección de Datos de 2018, y cualquier otra ley nacional aplicable, reglamentos y legislación secundaria en Inglaterra y Gales relacionados con el tratamiento de datos personales o la privacidad de las comunicaciones electrónicas, según se modifiquen, reemplacen o actualicen de vez en cuando;

“interesado” significa una persona viva, identificada o identificable sobre la cual la Compañía posee datos personales;

“ICO” significa la Oficina del Comisionado de Información (Information Commissioner’s Office), una parte del Gobierno del Reino Unido con sitio web en ico.org.uk;

“datos personales” significa cualquier información relacionada con un interesado que pueda ser identificado, directa o indirectamente, en particular mediante referencia a un identificador como un nombre, número de identificación, datos de localización, un identificador en línea, o a uno o más factores específicos a la identidad física, fisiológica, genética, mental, económica, cultural o social de ese interesado;

“tratamiento” significa cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por medios automatizados o no, como la recogida, registro, organización, estructuración, almacenamiento, adaptación o modificación, recuperación, consulta, utilización, divulgación por transmisión, difusión o puesta a disposición de otro modo, alineación o combinación, restricción, supresión o destrucción; y

“datos personales de categoría especial” significa datos personales que revelan origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, salud, vida sexual, orientación sexual, datos biométricos o genéticos.

3. Responsable de Protección de Datos y Alcance de la Política

1. El Responsable de Protección de Datos de la Compañía es responsable de administrar esta Política; desarrollar e implementar políticas relacionadas aplicables (incluidas las mencionadas en esta Política), procedimientos y/o directrices; asegurar que todas las solicitudes de acceso de los interesados sean gestionadas conforme a la Legislación de Protección de Datos; y asegurar que todos los empleados, agentes, contratistas u otras partes que trabajen en nombre de la Compañía comprendan la Legislación de Protección de Datos y sus obligaciones bajo la misma según corresponda a su rol laboral.
2. La Compañía recoge, posee y procesa datos personales de empleados, clientes, editores, proveedores y contactos comerciales, etc.
3. Los interesados tienen derechos respecto a sus datos personales conforme a la Legislación de Protección de Datos. Esta Política trata específicamente el derecho de acceso (Artículo 15 del UK GDPR). Los interesados tienen derecho a saber si la Compañía recoge, posee o procesa datos personales sobre ellos, derecho a obtener una copia de dichos datos y cierta otra información complementaria. El derecho de acceso está diseñado para ayudar a los interesados a entender cómo y por qué usamos sus datos y para verificar que lo hacemos de manera lícita.
4. Esta Política es una política interna de la empresa diseñada para proporcionar orientación sobre el manejo de solicitudes de acceso de los interesados. No es una política de protección de datos, política de privacidad, aviso de privacidad ni similar. Esta Política debe, cuando proceda, leerse junto con la Política de Protección de Datos de la Compañía.
5. Cualquier pregunta relacionada con esta Política, la recogida, procesamiento o tenencia de datos personales por la Compañía, o con la Legislación de Protección de Datos, debe dirigirse al Responsable de Protección de Datos.
6. Las cláusulas 1 a 4 y 14 a 16 de esta Política aplican a todo el personal, y las cláusulas 5 a 13 aplican a empleados autorizados para manejar Solicitudes de Acceso de los Interesados (“SARs”).

4. Cómo Reconocer una Solicitud de Acceso del Interesado

1. La Legislación de Protección de Datos no establece un formato particular que deba seguir una SAR. Una SAR puede hacerse oralmente o por escrito, a cualquier parte de la Compañía y mediante cualquier medio de comunicación. No es necesario que una SAR use las palabras 'solicitud de acceso del interesado', 'protección de datos', 'datos personales' o términos similares, ni que se refiera al Artículo 15 del UK GDPR. Esto significa que cualquier persona en la Compañía podría recibir una SAR y no siempre será obvio inmediatamente que se ha recibido una.
2. La Compañía ofrece un Formulario de Solicitud de Acceso del Interesado, incluido en el Manual del Empleado, para facilitar que los interesados hagan una SAR y facilitar el reconocimiento de la solicitud por parte de la Compañía; sin embargo, los interesados no están obligados a usar este formulario y se debe prestar atención constante para identificar SARs hechas por otros medios.
3. Las SARs pueden usar terminología más general, como 'información' en lugar de 'datos personales'. Por ejemplo, un mensaje enviado a la Compañía a través de redes sociales como 'por favor proporcionen detalles de toda la información que tienen sobre mí' será una SAR válida y debe tratarse igual que una comunicación formal que se refiera específicamente a una 'solicitud de acceso del interesado' y a los derechos de los interesados bajo el UK GDPR.
4. Las personas pueden hacer SARs por sí mismas. También es posible hacer una SAR a través de un tercero:
   1. Esto puede ser un abogado que realiza la solicitud en nombre de un cliente, o un particular que realiza la solicitud en nombre de otro. Esto es permitido, pero debe asegurarse que la persona que hace la solicitud tiene autoridad para actuar en nombre del interesado correspondiente.
   2. En ciertos casos limitados, una persona puede no tener capacidad mental para gestionar sus propios asuntos. En estos casos, la Mental Capacity Act 2005 permite a un tercero hacer una SAR en nombre de esa persona.
5. Cuando se identifique una SAR o si se recibe una comunicación o solicitud y existe duda sobre si es o no una SAR, debe remitirse inmediatamente al Responsable de Protección de Datos de la Compañía.

5. Qué Hacer al Recibir una Solicitud de Acceso del Interesado

1. La Compañía tiene un plazo limitado para responder a una SAR, por lo que es importante actuar con rapidez.
2. A menos que esté autorizado para gestionar una SAR, debe remitirse al Responsable de Protección de Datos. No debe tomar ninguna acción adicional respecto a ninguna SAR a menos que esté autorizado para ello.
3. Las SARs pueden llegar en cualquier forma. Esto determinará cómo reenviar la SAR al Responsable de Protección de Datos:
   1. Para SARs recibidas por correo electrónico, el mensaje debe reenviarse de inmediato al Responsable de Protección de Datos de la Compañía.
   2. Para SARs recibidas por correo postal o en cualquier otro formato en papel, la SAR debe escanearse primero y enviarse de inmediato por correo electrónico al Responsable de Protección de Datos de la Compañía, y el original debe enviarse a él mediante el medio más directo y seguro posible.
   3. Para SARs hechas verbalmente, primero se deben registrar el nombre y los datos de contacto del interesado antes de informar al interesado que el Responsable de Protección de Datos de la Compañía le contactará para obtener detalles completos de su solicitud. Los datos del interesado y cualquier otra información proporcionada deben enviarse por correo electrónico inmediatamente al Responsable de Protección de Datos, incluyendo detalles de fecha y hora en que se hizo la SAR.
4. El Responsable de Protección de Datos de la Compañía debe responder confirmando la recepción de la SAR dentro de los 2 días hábiles siguientes al envío. Si no recibe respuesta en este período, debe contactar nuevamente para confirmar la recepción.