Introducción

La Política de Privacidad ha sido desarrollada para apoyar a Aires da Serra Hotel en la adaptación de su actividad al Reglamento General de Protección de Datos, aprobado por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 («GDPR»).

Esta política se complementa con otras políticas de seguridad que son relevantes para la actividad de la empresa y que, en conjunto, describen el enfoque del Hotel Aires da Serra en materia de seguridad y privacidad de la información.

Esta política se aplica a todos los profesionales y socios del Hotel Aires da Serra y, cuando se identifiquen, a terceros que accedan a los activos de la empresa.

Los términos «privacidad», «protección de datos» y «protección de datos» pueden utilizarse en el mismo sentido porque están asociados a un complejo conjunto de requisitos legales que se aplican a los datos personales y que van más allá de la seguridad y la confidencialidad de los datos. Por ejemplo, incluye requisitos sobre la transparencia del uso de los datos y su conservación.

El cumplimiento de esta política es obligatorio y, por lo tanto, todos los profesionales y socios tienen la responsabilidad individual de asegurarse de que la cumplen y, si es necesario, pedir aclaraciones a sus jefes de equipo.

Es responsabilidad del Hotel Aires da Serra definir los mecanismos adecuados para lograr el cumplimiento de esta política, siendo los equipos los responsables de la implementación operativa, con el apoyo del Responsable de Privacidad.

El cumplimiento de esta política puede controlarse mediante inspecciones, auditorías y/o solicitudes de confirmaciones escritas de cumplimiento, y todas las áreas son responsables de evaluar periódicamente su cumplimiento dentro de su ámbito de responsabilidad.

En consecuencia, todo empleado que haya infringido esta política está sujeto a medidas disciplinarias.

Esta política se basa en los principios establecidos en el GDPR. Sin embargo, existen diferencias nacionales en la aplicabilidad de la protección de datos y privacidad de Aires da Serra Hotel cuando se procesan datos personales fuera de la UE, cuando se reciben datos personales de fuera de la UE o cuando se procesan datos personales de ciudadanos de fuera de la UE.

Si tiene alguna pregunta, póngase en contacto con el Responsable de Protección de Datos.

Principios de protección de datos

Como parte de nuestro negocio, procesamos Datos Personales: ya sea que recibamos datos personales en el curso de nuestras oportunidades de negocio, nuestros compromisos con los clientes, actividades de marketing o una serie de otras actividades relacionadas y de apoyo. Los datos pueden recibirse directamente de un interesado (por ejemplo, en persona, por correo postal, correo electrónico, teléfono o de otras fuentes), es decir, de nuestros clientes, socios, subcontratistas, responsables conjuntos del tratamiento, proveedores de servicios de apoyo y agencias de referencia de crédito.

Todos los profesionales y socios sólo deben solicitar datos personales de un interesado que sean pertinentes y necesarios para cumplir un objetivo y una tarea empresarial concretos.

Aires da Serra Hotel se compromete a cumplir con los principios de protección de datos personales definidos por el GDPR:

• Legitimidad, imparcialidad y transparencia: esto significa que debemos tener un motivo legítimo para procesar los Datos Personales, por ejemplo, el consentimiento del Titular de los Datos, el cumplimiento de una obligación legal a la que estamos sujetos. También significa que debemos informar claramente al interesado sobre el tratamiento;
• Limitación de la finalidad: sólo debemos solicitar Datos Personales para fines específicos, explícitos y legítimos y no procesarlos más allá de la finalidad para la que se solicitaron;
• Minimización de datos: los Datos Personales tratados deben ser adecuados, pertinentes y limitados a lo necesario;
• Exactitud: tenemos la obligación de garantizar que los Datos Personales sean exactos y de actualizarlos siempre que sea necesario;
• Limitación de la conservación: no conservaremos los Datos Personales durante más tiempo del necesario para los fines para los que se tratan, aunque podremos conservar algunos con fines históricos y estadísticos;
• Integridad y confidencialidad: debemos disponer de controles de seguridad adecuados para proteger los datos contra el tratamiento no autorizado e ilícito, la pérdida, la destrucción o el daño, incluidas medidas técnicas y organizativas como procesos definidos, formación y concienciación;
• Transferencia lícita fuera del Espacio Económico Europeo: sólo transferimos Datos Personales fuera del EEE siempre que existan garantías adecuadas, como una base contractual;
  Derechos de los interesados: los interesados tienen varios derechos que debemos respetar (por ejemplo, el derecho a acceder a una copia de los datos que almacenamos y el derecho a retirar el consentimiento dado con fines de marketing directo).

Trato legal y justo

Siempre que se recopilen Datos Personales, es necesario tener una base jurídica para el tratamiento. De acuerdo con el GDPR, debemos identificar al menos una de las siguientes razones para el tratamiento de Datos Personales:

• Consentimiento: El interesado ha dado su consentimiento para que los datos sean tratados con uno o varios fines específicos;
• Contractual: El tratamiento es necesario para la ejecución de un contrato en el que el interesado es parte o para trámites precontractuales;
• Legales: El tratamiento es necesario para cumplir una obligación legal a la que está sujeto el Responsable del tratamiento;
• Intereses vitales: El tratamiento es necesario para proteger los intereses vitales del interesado;
• Interés público: El tratamiento es necesario para el cumplimiento de una misión realizada en interés público;
• Intereses legítimos: El tratamiento es necesario para los intereses legítimos del Responsable del Tratamiento, salvo que prevalezcan los intereses o los derechos y libertades fundamentales del Interesado.

Cuando actuamos como Controladores de Datos, debemos asegurarnos de que tenemos una base legítima para recopilar y procesar Datos Personales.

En algunas situaciones, podemos actuar como Encargados del Tratamiento en nombre de nuestro cliente, en cuyo caso es su responsabilidad asegurarse de que tienen un motivo correcto para tratar los Datos Personales, que deben compartir con nosotros. No obstante, debemos tomar medidas para garantizar que nuestro contrato deja claras nuestras responsabilidades a este respecto y que, si recabamos Datos Personales directamente de los Interesados en nombre del cliente, tenemos motivos para hacerlo legítimamente.

Cuando se trata una categoría especial de datos, deben cumplirse una serie de condiciones adicionales. Para más información, póngase en contacto con el responsable de privacidad.

El GDPR nos obliga a proporcionar a los interesados información sobre el tratamiento para garantizar un tratamiento justo y transparente. Siempre que recojamos Datos Personales debemos asegurarnos de explicar adecuadamente por qué necesitamos la información y cómo la procesaremos. Cuando la información se recopila a través de nuestro sitio web, esta información se facilita mediante un «Aviso de privacidad».

Cualquier otra información que deba facilitarse al recabar datos personales también deberá facilitarse en internet. Para más información, consulte la «Política de privacidad» y la «Política de cookies» o póngase en contacto con el responsable de privacidad.

Tratamiento con fines específicos

Siempre que recojamos y tratemos Datos Personales, debemos asegurarnos de que sólo los utilizamos para los fines específicos que se han comunicado al interesado.

El Hotel Aires da Serra nunca debe procesar Datos Personales para fines adicionales que no hayan sido comunicados al Titular de los Datos. Sólo así tendremos clara la finalidad del tratamiento y comprenderemos los fines para los que nuestros clientes pueden haber recogido los Datos Personales.

Tratamiento adecuado, pertinente y limitado

Cuando recopilamos y procesamos Datos Personales debemos seguir el principio de minimización de datos. Esto significa que sólo debemos recoger el mínimo de Datos Personales necesarios para cumplir una tarea específica.

Además, debemos asegurarnos de que disponemos de una cantidad adecuada de datos personales para llevar a cabo correctamente una tarea específica. Por ejemplo, recopilando los datos necesarios únicamente para identificar a una persona.

Esto también se aplica a cualquier intercambio y otras actividades de procesamiento. Es importante reducir al mínimo los datos conservados y tratados; debemos asegurarnos de que si compartimos datos interna o externamente o los utilizamos para actividades como pruebas, sólo debemos utilizar/compartir la cantidad mínima en cada caso.

Exactitud de los datos personales

Tenemos la obligación de garantizar que los Datos Personales se mantienen exactos y actualizados. Debemos asegurarnos de que existen procesos adecuados para mantener datos precisos cuando sea necesario (por ejemplo, de profesionales o clientes actuales y potenciales en poder de las áreas pertinentes).

Cuando actuemos como Responsables del Tratamiento en relación con un cliente, no estaremos obligados a poner en marcha mecanismos para mantener actualizados estos datos; esto será responsabilidad del Responsable del Tratamiento, es decir, de nuestro cliente.

Conservación de datos personales

Los Datos Personales no deben conservarse más tiempo del necesario. Esto significa que debemos definir y aplicar periodos de conservación máximos para los Datos Personales que tratamos e implementar procesos para borrarlos cuando caduquen. Por lo tanto, pueden aplicarse los siguientes periodos de conservación: (i) durante el tiempo que sea necesario para la actividad o los servicios pertinentes; (ii) cualquier periodo de conservación exigido por ley; (iii) el final del periodo en el que puedan surgir disputas o investigaciones en relación con los servicios; o (iv) durante el periodo mínimo previsto en el contrato.

Derechos del interesado

El GDPR nos obliga a informar a las personas sobre los Datos Personales que recopilamos y los fines y medios por los que se procesan. Esta información se facilita en forma de «Aviso de privacidad».

a) Derecho de acceso

• El interesado tiene derecho a solicitar ver los datos personales que tenemos sobre él, la finalidad del tratamiento y las categorías de datos afectadas.
• Debemos notificar al interesado los destinatarios con los que vamos a compartir sus datos, especialmente si el destinatario se encuentra en otro país o pertenece a una organización internacional.
• Siempre que sea posible, definiremos el periodo de conservación de los datos para cumplir los fines comerciales.
• Debemos informar al interesado de la existencia de su derecho a oponerse al tratamiento y de su derecho de rectificación y supresión.
• Debemos informar al interesado de la existencia de su derecho a presentar una reclamación ante una autoridad de control.
• Cuando los datos se recogen de una persona distinta del interesado, debemos informarle de la fuente de los datos.
• Debemos asegurarnos de que disponemos de procesos para identificar y responder a las consultas de acceso de los interesados sin demoras indebidas y en el plazo máximo de un mes.

b) Derecho de rectificación

• Los interesados ​​tienen derecho a rectificar los datos inexactos y Aires da Serra Hotel hará todo lo posible para hacerlo de forma inmediata.

c) Derecho de supresión

• El interesado tiene derecho a obtener del responsable del tratamiento la supresión de sus datos (‘derecho al olvido’). Es responsabilidad de Aires da Serra Hotel hacer todo lo posible para eliminar inmediatamente los datos conservados, salvo cuando exista una exigencia legal para su conservación. Si recibe una solicitud de un Titular de Datos, comuníquese primero con el Responsable de Privacidad antes de borrar cualquier dato..

d) Derechos de los niños

• Todas las personas, incluidos los niños, están protegidas por el RGPD. Para los niños menores de 13 años, no debemos procesar sus Datos Personales con base en su consentimiento, a menos que lo autoricen los respectivos titulares de las responsabilidades parentales.

e) Marketing

• En ocasiones podemos enviar a nuestros clientes y socios material de marketing para informarles sobre servicios, próximos eventos u otras actividades de su interés, en cuyo caso debemos indicar el derecho a retirar el consentimiento en cualquier momento si no desean ser contactados nuevamente en estos términos.
• También debemos asegurarnos de tener procesos establecidos para garantizar que todas las preferencias de participación se registren y respeten.

Para cualquier pregunta relacionada con los derechos del titular de los datos, comuníquese con el Responsable de Privacidad.

Seguridad de los datos retenidos

Aires da Serra Hotel mantendrá la seguridad de los datos protegiendo la Confidencialidad, Integridad y Disponibilidad de los Datos Personales, de la siguiente manera:

• La confidencialidad significa que sólo las personas autorizadas pueden acceder a los datos;
• Integridad significa que los Datos Personales deben ser precisos y adecuados para los fines inherentes al procesamiento;
• Disponibilidad significa que los usuarios autorizados deben poder acceder a los datos si los necesitan para los fines autorizados.

Para obtener información más completa sobre nuestras políticas de seguridad, comuníquese con el Responsable de Privacidad.

Divulgación de datos

Todos los profesionales y socios deben evitar cualquier divulgación inapropiada de Datos Personales y cumplir con nuestros deberes generales en materia de Confidencialidad.

Se permite:

a) Divulgar Datos Personales a terceros solo por instrucción nuestra o cuando tengamos una base legítima para hacerlo y no existan restricciones establecidas.

b) Divulgar Datos Personales a terceros en el caso de que vendamos o compremos cualquier negocio o activo, o cuando seamos un Controlador conjunto como parte de una empresa conjunta.

c) Compartir datos personales con un tercero que procese datos en nuestro nombre, lo que puede incluir la transferencia de datos a un tercer país.

Generalmente, los Datos Personales podrán ser divulgados:

a) A los Profesionales o agentes para que puedan desempeñar sus funciones como tales.

b) En los casos en que la no divulgación pueda perjudicar la prevención o detección de delitos, la formulación de cargos contra los infractores o la determinación o recaudación de cualquier impuesto o derecho. Aires da Serra Hotel debe tener motivos adecuados para revelar datos bajo esta categoría a fin de evitar un procesamiento penal. Toda divulgación deberá estar justificada y documentada.

Para efectos legales los datos podrán ser divulgados si:

a) Requerido por ley, estatuto u orden judicial.

b) Para efectos de obtener asesoramiento jurídico;

c) En el ámbito o para los efectos de un proceso judicial o cuando sea necesario para la defensa de un derecho legal.

d) Salvaguardar la seguridad nacional.

Transferencia internacional de datos personales

Aires da Serra Hotel podrá transferir cualquier Dato Personal a un tercer país u organización internacional. Los datos personales que conservamos también podrán ser procesados ​​por personal que opera en un tercer país o para uno de nuestros proveedores.

Debemos asegurarnos de que se cumpla al menos una de las siguientes condiciones:

a) El país al que se transfieren los Datos Personales garantiza un nivel adecuado de protección de los derechos y libertades de los Titulares de Datos, por decisión de la Comisión Europea.

b) Se proporcionan garantías adecuadas (por ejemplo, cláusulas tipo de protección de datos).

c) El Titular de los Datos ha dado su consentimiento explícito a la cesión tras haber sido informado de los posibles riesgos.

d) La transferencia es necesaria para alguno de los motivos establecidos en el RGPD, incluida la ejecución de un contrato entre Aires da Serra Hotel y el Titular de los Datos, o la protección de los intereses vitales del Titular de los Datos.

e) La transferencia sea legalmente exigida por razones importantes de interés público o para el ejercicio o la defensa de acciones judiciales.

Información de registro, cookies y balizas web

El sitio web de Aires da Serra Hotel utiliza cookies para distinguir a sus usuarios. Aires da Serra Hotel recopila información estándar de registro de Internet, incluida su dirección IP, tipo de navegador e idioma, tiempos de acceso y direcciones de sitios web de referencia.

Para garantizar que nuestro sitio web esté bien administrado y facilitar la navegación, Aires da Serra Hotel o sus proveedores de servicios también pueden utilizar cookies (pequeños archivos de texto almacenados en el navegador del usuario) o web beacons (imágenes electrónicas que permiten a nuestro sitio web contar los visitantes que acceden a un sitio web y ciertas cookies) para recopilar datos agregados.

Información profesional

Recolección y conservación

• Aires da Serra Hotel, como empleador, recopila, procesa y mantiene datos personales de trabajadores, contratistas, consultores y candidatos. El Departamento de Recursos Humanos y demás departamentos que traten Datos Personales de profesionales deberán verificar y documentar la base legal inherente al tratamiento que realizan. Los Datos Personales de los profesionales sólo deberán ser tratados cuando exista una finalidad válida y legítima para hacerlo.v
• La recolección de datos personales relacionados con nuestros empleados se realiza a través de diversos canales y formatos, tales como: formularios de registro; formularios electrónicos web (por ejemplo, durante el proceso de contratación); registros de datos; Imágenes de CCTV; Fotografías del personal, incluidas tarjetas de identificación; datos de otras fuentes (por ejemplo, empleadores anteriores); controles de crédito y controles de seguridad; etc.
• La creación y almacenamiento de datos personales relativos a nuestros profesionales se produce a través de diversos canales y formatos, tales como: recibos de pago; registros de evaluación; Contratos de trabajo; correos electrónicos; registros de enfermedades; etc.

Formación y Concientización

• Nos comprometemos a proporcionar formación adecuada en materia de protección de datos personales a todos los profesionales. Si es necesario, brindaremos capacitación y concientización personalizada a las personas teniendo en cuenta sus roles.

Diseño y cambio de procesos

• Para todos los nuevos sistemas y procedimientos comerciales propuestos que involucren Datos Personales, se debe considerar si es necesaria una evaluación del impacto en la privacidad y seguridad de la información para identificar riesgos y controles.

A tal efecto, todos los profesionales y socios deberán contactar con el Responsable de Privacidad antes de adoptar nuevos procedimientos.