1. Ámbito de aplicación

La presente Política de Protección de Datos Personales es de aplicación a COX ABG GROUP, S.A., como sociedad dominante, y establece el marco general de principios que rigen el tratamiento de los datos personales en el desarrollo de sus actividades. Asimismo, esta Política resulta de aplicación al conjunto de sociedades que integran el Grupo Cox, con independencia del país en el que desarrollen su actividad, así como a todos sus centros, unidades organizativas y líneas de negocio, en la medida en que traten datos personales en el ejercicio de sus funciones.

Los principios recogidos en esta Política deberán informar la actuación de todas las personas que presten servicios para el Grupo, incluyendo empleados, directivos y miembros de los órganos de administración, así como de aquellos terceros que actúen por cuenta o en nombre de Cox, cuando, en el marco de una relación contractual o de colaboración, tengan acceso a datos personales cuya responsabilidad corresponda a la organización.

Sin perjuicio de lo anterior, las sociedades del Grupo podrán adaptar sus procedimientos internos en materia de protección de datos personales para dar cumplimiento a la normativa local que resulte de aplicación en cada jurisdicción, haciendo compatibles dichas adaptaciones con los principios y directrices establecidos en esta Política y que se realicen bajo la coordinación de la función corporativa de Protección de Datos. Esta política y la normativa interna en materia de Protección de Datos a nivel corporativo, resulta a priori más restrictiva que normativas locales individualmente consideradas

Cox promoverá, asimismo, el alineamiento con los principios básicos de esta Política en aquellas entidades en las que participe y que no formen parte del Grupo, así como en las joint ventures, uniones temporales de empresas y otras fórmulas de colaboración empresarial en las que asuma la gestión o tenga capacidad de influencia relevante, en la medida en que resulte jurídicamente posible.

Quedan excluidos del ámbito de aplicación de esta Política los tratamientos de datos personales realizados por personas físicas en el ejercicio de actividades exclusivamente personales o domésticas, así como aquellos tratamientos que, de conformidad con la normativa aplicable, se encuentren fuera del ámbito de aplicación del Derecho de la Unión Europea o de la legislación nacional aplicable en materia de protección de datos.

2. Finalidad

La presente Política de Protección de Datos Personales tiene como finalidad establecer los principios generales de actuación que deben regir en COX ABG GROUP, S.A. y en el conjunto de las sociedades que integran el Grupo en materia de protección de datos personales, garantizando en todo momento el cumplimiento de la normativa aplicable.

A través de esta Política, Cox reafirma su compromiso con la protección de los datos personales de todas las personas físicas con las que se relaciona en el desarrollo de su actividad, incluyendo, entre otros, empleados, directivos, candidatos, clientes, proveedores, colaboradores y cualesquiera otros interesados, asegurando un tratamiento de los datos respetuoso con los derechos fundamentales, en particular con el derecho a la intimidad y a la protección de los datos personales.

Esta Política tiene asimismo por objeto integrar la protección de datos personales en el modelo de gobierno corporativo y de cumplimiento normativo del Grupo, promoviendo una actuación responsable, transparente y alineada con los principios de ética empresarial y buen gobierno que inspiran la actividad de la organización.

En este sentido, la Política constituye el marco de referencia común para el diseño, desarrollo y aplicación de la normativa interna, los procedimientos y las medidas técnicas y organizativas que resulten necesarias para garantizar un tratamiento adecuado de los datos personales, fomentando una cultura corporativa de privacidad y una gestión diligente de los riesgos asociados al tratamiento de datos.

3. Principios básicos de actuación en materia de protección de datos personales

Cox asume y promueve los siguientes principios básicos de actuación, que deben informar todas las actividades que impliquen el tratamiento de datos personales en el seno de la organización y en las sociedades que integran el Grupo.

El tratamiento de datos personales se llevará a cabo de forma lícita, leal y transparente, de conformidad con la normativa aplicable en cada momento. Los datos personales serán tratados únicamente cuando exista una base jurídica válida que legitime el tratamiento y siempre con pleno respeto a los derechos de las personas interesadas. Cuando la normativa lo exija, Cox obtendrá el consentimiento de los interesados con carácter previo al tratamiento de sus datos, garantizando que dicho consentimiento sea libre, informado, específico e inequívoco.

Los datos personales serán recogidos con fines determinados, explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos fines. Cox velará por que las finalidades del tratamiento sean claras y conocidas por los interesados desde el momento de la recogida de los datos, evitando tratamientos excesivos o no justificados.

En aplicación del principio de minimización, se limitará el tratamiento de datos personales a aquellos que resulten adecuados, pertinentes y estrictamente necesarios para la finalidad perseguida en cada caso. Asimismo, adoptará las medidas necesarias para garantizar que los datos personales tratados sean exactos y estén actualizados, procediendo a su rectificación o supresión cuando resulten inexactos o desactualizados.

Los datos personales no se conservarán durante más tiempo del necesario para cumplir con la finalidad para la que fueron recabados o tratados, sin perjuicio de los plazos de conservación que resulten exigibles en virtud de obligaciones legales o para la formulación, el ejercicio o la defensa de reclamaciones. Se establecerá criterios y plazos de conservación coherentes con este principio.

Cox garantizará la integridad y confidencialidad de los datos personales mediante la adopción de las medidas técnicas y organizativas apropiadas para protegerlos frente a tratamientos no autorizados o ilícitos, así como frente a su pérdida, destrucción o daño accidental. Los datos personales serán tratados con la máxima diligencia y no podrán ser utilizados para fines distintos de aquellos que justificaron su recogida, ni comunicados a terceros fuera de los supuestos permitidos por la normativa aplicable.

De conformidad con el principio de protección de datos desde el diseño y por defecto, Cox integrará las garantías de privacidad en los procesos, sistemas, productos y servicios desde su fase inicial de concepción, asegurando que, por defecto, solo se traten los datos personales necesarios para cada finalidad específica.

Cox asume el principio de responsabilidad proactiva, siendo responsable del cumplimiento de los principios recogidos en esta Política y en la normativa de protección de datos, y comprometiéndose a poder demostrar dicho cumplimiento cuando resulte exigible. A tal efecto, evaluará los riesgos asociados a los tratamientos de datos personales que lleve a cabo y adoptará las medidas necesarias para prevenir, mitigar o eliminar dichos riesgos.

La obtención de datos personales a partir de fuentes ilegítimas o de fuentes que no garanticen adecuadamente su licitud queda expresamente prohibida. Cox velará por que los datos personales sean obtenidos de manera lícita y conforme a la normativa aplicable.

Con carácter previo a la contratación de terceros que accedan a datos personales cuya responsabilidad corresponda a Cox, la organización adoptará las medidas necesarias para garantizar que dichos terceros ofrecen garantías suficientes en materia de protección de datos y actúan conforme a las instrucciones y a la normativa aplicable durante toda la vigencia de la relación contractual.

Cualquier tratamiento de datos personales que implique una transferencia internacional de datos se llevará a cabo con estricto cumplimiento de los requisitos legales aplicables, asegurando un nivel de protección adecuado de los datos personales.

Finalmente, se garantizará que las personas interesadas puedan ejercer de manera efectiva sus derechos en materia de protección de datos, estableciendo los mecanismos necesarios para atender sus solicitudes de forma diligente, transparente y dentro de los plazos legalmente establecidos.

3.1 Tratamiento de datos en herramientas y sistemas corporativos

Para garantizar el correcto funcionamiento, la seguridad y la operatividad de los sistemas informáticos y servicios digitales corporativos, determinados datos personales básicos de los empleados pueden ser tratados a través de herramientas, plataformas y sistemas tecnológicos utilizados en el entorno de trabajo.

Dichas herramientas pueden implicar el acceso o tratamiento de datos personales por parte de proveedores tecnológicos internos o externos al Grupo, que actúan, con carácter general, como encargados del tratamiento por cuenta de las sociedades del Grupo y conforme a sus instrucciones, bajo contratos y garantías adecuadas de confidencialidad y seguridad.

Estos tratamientos se realizan exclusivamente para fines operativos, técnicos y de gestión de los servicios corporativos (por ejemplo, administración de correo electrónico, herramientas colaborativas, plataformas de reporte, formación y soporte IT), y se rigen por los principios y garantías recogidos en la presente Política y en la normativa aplicable en materia de protección de datos.

El listado actualizado de las herramientas y plataformas corporativas en las que pueden tratarse datos personales de empleados, así como sus finalidades principales, se encuentra disponible en Connecta y será mantenido al día por las áreas competentes en materia de sistemas de información y protección de datos.

4. Coordinación y gobierno en el ámbito del Grupo

La protección de datos personales forma parte integrante del sistema de gobierno corporativo y de cumplimiento normativo del Grupo Cox. A tal efecto, se establecerá un modelo de coordinación y gobierno que permita asegurar una aplicación homogénea y coherente de los principios recogidos en esta Política en todas las sociedades del Grupo, sin perjuicio de las adaptaciones necesarias para el cumplimiento de la normativa local aplicable en cada jurisdicción.

El órgano de administración, en el ejercicio de sus funciones de supervisión y control, es responsable de aprobar esta Política y de velar por que exista un marco adecuado para garantizar el cumplimiento de la normativa de protección de datos personales en el conjunto de la organización.

La función de Cumplimiento Normativo, en coordinación con el Delegado de Protección de Datos (DPD) y con las áreas corporativas y operativas implicadas, será responsable de impulsar, coordinar y supervisar la correcta aplicación de esta Política, así como de promover una cultura de protección de datos en el seno del Grupo.

El Delegado de Protección de Datos desempeñará sus funciones con la independencia y los medios necesarios, actuando como garante del cumplimiento de la normativa de protección de datos personales, asesorando a la organización en esta materia y cooperando, cuando resulte necesario, con las autoridades de control competentes.

Las sociedades que integran el Grupo deberán colaborar activamente en la implementación de esta Política, designando los interlocutores internos que resulten necesarios y facilitando la coordinación con las funciones corporativas responsables, con el fin de asegurar una gestión adecuada y coherente de los tratamientos de datos personales.

Las distintas áreas, departamentos y unidades organizativas del Grupo deberán integrar la protección de datos personales en sus procesos y actividades, actuando de forma coordinada y bajo la supervisión de las funciones competentes, y comunicando oportunamente cualquier circunstancia relevante que pueda afectar al cumplimiento de la normativa o a los principios establecidos en esta Política.

5. Implementación, seguimiento y revisión de la Política

Para la correcta implementación y aplicación de lo dispuesto en la presente Política, Cox contará con las funciones corporativas competentes en materia de cumplimiento normativo, protección de datos y seguridad de la información, que desarrollarán y mantendrán actualizada la normativa interna, los procedimientos y las medidas necesarias para garantizar su efectividad.

La presente Política será de obligado cumplimiento para todas las personas y entidades comprendidas en su ámbito de aplicación, y se integrará en los procesos, sistemas y actividades del Grupo de forma coherente con su modelo de gobierno corporativo y de gestión de riesgos.

Se realizará un seguimiento periódico del grado de cumplimiento y de la eficacia de esta Política, con el fin de verificar su adecuada aplicación y detectar posibles áreas de mejora. Dicho seguimiento podrá incluir, entre otras actuaciones, revisiones internas, evaluaciones específicas y auditorías, sin perjuicio de las competencias que correspondan a las autoridades de control.

La Política será revisada y, en su caso, actualizada cuando se produzcan cambios relevantes en la normativa aplicable, en la estructura o actividades del Grupo, o cuando así lo aconsejen las conclusiones derivadas de los procesos de supervisión y control. En todo caso, la Política será objeto de revisión periódica para asegurar su permanente adecuación y vigencia.

Las modificaciones de la presente Política serán aprobadas por el órgano de administración de Cox y comunicadas de manera adecuada a las personas y entidades a las que resulte de aplicación.