POLÍTICA DE PRIVACIDADE DO PESSOAL 2018/7/1 1. INTRODUÇÃO 1 2. QUAIS DADOS PESSOAIS COLETAMOS E COMO OS USAMOS 1 3. COMO ARMAZENAMOS DADOS PESSOAIS E QUEM PODE ACESSÁ-LOS 3 4. REVELAÇÃO E TRANSFERÊNCIAS INTERNACIONAIS DE DADOS PESSOAIS 3 5. SEGURANÇA E ARMAZENAMENTO 4 6. DIREITOS DO PESSOAL 5 7. DÚVIDAS 5 8. ATUALIZAÇÕES DA POLÍTICA 6 ANEXO 1 DESCRIÇÃO DO PROCESSAMENTO DE DADOS PESSOAIS 7 ANEXO 2 POLÍTICA DE MONITORAMENTO 10 1. INTRODUÇÃO Em conexão com o relacionamento com você e com a implementação em todo o grupo de um sistema de gestão de recursos humanos (o sistema de RH ), principalmente o software Workday, o que ajudará os funcionários em toda a vida na Rakuten, incluindo integração, treinamento, avaliação e desenvolvimento e talentos e também permitir que o Rakuten Group melhore o programa de RH do grupo, a empresa do Rakuten Group que emprega os funcionários ou usa os serviços deles (a empresa ) preparou esta política de privacidade do pessoal, incluindo a política de monitoramento (a política ), para descrever suas práticas a respeito da coleta, uso, armazenamento, transferência e outros processamentos de dados pessoais do pessoal ( dados pessoais ). Para os fins desta política, pessoal significa o pessoal passado, presente e futuro da empresa (incluindo candidatos a quem foi oferecida contratação pela empresa, voluntários, subcontratados, representantes, estagiários, pessoal temporário, pessoal parceiro e trabalhadores casuais). O controlador de dados é a entidade com a responsabilidade principal do tratamento de dados pessoais. Para os fins desta política, os controladores de dados dos dados pessoais coletados em conexão com o sistema de RH são principalmente a empresa e, para alguns fins específicos, a Rakuten, Inc. ( nós, controladores de dados e variantes). 2. QUAIS DADOS PESSOAIS COLETAMOS E COMO OS USAMOS Podemos ser obrigados por lei a coletar certos dados pessoais sobre você, ou como uma consequência das relações contratuais que temos com você. Não fornecer estas informações podem impedir ou atrasar o cumprimento destas obrigações. Informaremos a você no momento em que as informações forem coletadas, quer certos dados sejam compulsórios e as consequências de não fornecer tais dados. 2.1 Quais dados pessoais coletamos A empresa coleta dados pessoais sobre o pessoal que seja diretamente relevante para a execução pelo pessoal das funções e responsabilidades durante o tempo do pessoal conosco, - 1 -
os negócios do Rakuten Group e o que é necessário para satisfazer as obrigações legais dos controladores de dados ou dados que de outra forma sejam permitidos coletar sob as leis locais. Em específico, a empresa coleta as categorias e os tipos de dados pessoais, como estabelecido no anexo 1. Além disso, para nossas atividades de monitoramento, consulte a política de monitoramento, como estabelecido no anexo 2. A empresa também coleta e processa dados pessoais gerados por nós, incluindo dados pessoais contidos nas avaliações, registros de treinamento, registros de seu histórico na empresa e informações sobre remuneração. 2.2 Como usamos dados pessoais Usamos os dados pessoais listados no anexo 1 e estabelecidos acima para os fins e com base os fundamentos legais estabelecidos no mesmo anexo. Sempre que processamos seus dados pessoais, respeitaremos a privacidade e especialmente quando processarmos dados pessoais para satisfazer nossos interesses legítimos, colocamos em vigor proteções robustas para assegurar que a sua privacidade seja protegida e para garantir que nossos interesses legítimos não sejam anulados pelos seus interesses ou pelos direitos e liberdades fundamentais. Não usamos dados pessoais de qualquer membro do pessoal (coletados dos membros do pessoal exercendo sua função) para fins de marketing, exceto quando obtivermos o consentimento expresso do pessoal para fazer isso e dermos ao pessoal o direito subsequente de retirar o consentimento a qualquer momento e sem custos para o uso de dados pessoais para fins de marketing. 2.3 Categorias especiais de dados pessoais Podemos coletar e processar certas categorias especiais de dados pessoais (também conhecidos como dados pessoais sensíveis ) sobre o pessoal onde for permitido pela lei local para cumprir as leis trabalhistas e/ou de previdência social ou onde for necessário para estabelecimento, prática ou defesa de ações judiciais. Em específico, a empresa pode processar informações a respeito da origem étnica, religião, saúde física e/ou mental. Alguns outros dados pessoais, como de cidadania, estado civil ou de responsabilidade pelo serviço militar também podem ser processados com o objetivo de beneficiar a administração e de lidar com problemas de saúde, segurança e acomodação no local de trabalho conforme exigido no âmbito das leis trabalhistas e de previdência social. 2.4 Informações de contato de emergência Como mostrado no anexo 1, o sistema de RH contém informações de contato de emergência (este tipo de dados pessoais inclui dados pessoais de parentes, responsáveis e associados do pessoal ( contatos de emergência )) apenas para fins de contato de emergência. 2.5 Comunicações internas Ocasionalmente, apresentamos nosso pessoal em nossos materiais internos para promover a comunicação interna do Rakuten Group, o que é necessário para nossos fins legítimos. Podemos usar sua imagem e/ou nome em alguma fotografia, imagem, vídeo, filme cinematográfico, gravação de desempenho ou som (coletivamente a imagem do pessoal) para divulgar ou anunciar os negócios do Rakuten Group ou para qualquer outro fim de comunicação interna. Podemos escolher editar, alterar, copiar, exibir, publicar ou transmitir sua imagem a qualquer momento e em qualquer opção de mídia (o produto final deve ser conhecido como mídia ), com - 2 -
a condição de que esta mídia só seja feita e usada para comunicação interna do Rakuten Group. A mídia pode ser exibida globalmente no Rakuten Group. Consulte a seção 4.1 abaixo sobre as medidas que tomamos para proteger as transferências de dados pessoais para entidades no exterior do Rakuten Group. 3. COMO ARMAZENAMOS DADOS PESSOAIS E QUEM PODE ACESSÁ-LOS Além do armazenamento de dados pessoais do pessoal no sistema de RH, mantemos uma cópia impressa individual sobre cada membro do pessoal. O departamento global de recursos humanos e o departamento de recursos humanos da empresa mantêm estes arquivos em um ambiente seguro. O acesso a dados pessoais é restrito a pessoas que precisam de tal acesso para os fins listados no anexo 1 ou onde for exigido pela lei, incluindo membros do departamento global de recursos humanos e do departamento de recursos humanos da empresa, os gerentes da área de negócios do pessoal e para representantes autorizados das áreas funcionais de controle interno dos controladores de dados, como os departamentos de conformidade e jurídico. O acesso também pode ser concedido com base em uma necessidade de saber rigorosa para outros gerentes dos controladores de dados quando for relevante se o pessoal estiver sendo considerado para uma oportunidade de trabalho alternativa ou se um novo gerente designado para a área de negócios precisar analisar arquivos. Todo o pessoal, incluindo gerentes, são obrigados a cumprir esta política. 4. REVELAÇÃO E TRANSFERÊNCIAS INTERNACIONAIS DE DADOS PESSOAIS Podemos revelar, de acordo com a lei aplicável, os dados pessoais relevantes para determinados terceiros para a manutenção e operação do sistema de RH e em conexão com o fornecimento dos seguintes serviços para nós: administração de benefícios (incluindo a administração de seguros e de planos de aposentadoria), administração de remuneração, administração e assistência de recursos humanos, serviços de folhas de pagamentos, administração de viagens a negócios e serviços associais, serviços de recrutamento e serviços de treinamento. Além disso, se necessário e de acordo com a lei aplicável, podemos revelar dados pessoais para nossos auditores e outros consultores profissionais externos e para outras partes que fornecem produtos ou serviços para nós, como prestadores de sistemas de TI e empresas de consultoria. Quando contratarmos um processador de dados terceirizado para processar dados pessoais em nosso nome, como os listados acima, delegaremos tal processamento através de contrato por escrito, escolheremos um processador de dados que forneça garantias suficientes com respeito a medidas de segurança técnicas e organizacionais que regulamentam o processamento relevante e asseguraremos que o processador atue em nosso nome e sob nossas instruções. Além disso, imporemos através de contrato por escrito os requisitos apropriados de proteção de dados e de segurança de informações a tais processadores de dados terceirizados. 4.1 Transferências internacionais de dados pessoais Devido à natureza global do Rakuten Group, transferiremos dados pessoais, incluindo dados pessoais sensíveis, para outras entidades do Rakuten Group com base em países que não o país em que as informações foram coletadas originalmente (um lista das entidades está disponível para consulta aquihttps://officerakuten.sharepoint.com/:b:/r/sites/organizations/ghr/hrall/group%20company%20list/group%20company%20list.pdf?csf=1&e=jnozhi). Tais dados pessoais serão transferidos para alguns dos fins estabelecidos no anexo 1. - 3 -
Temos o compromisso de proteger sua privacidade em todo o mundo e de garantir que os dados pessoais sejam protegidos de maneira apropriada, as empresas do Rakuten Group devem cumprir nossa norma de privacidade global. Em específico, o Rakuten Group implementou regras vinculativas corporativas, como apresentado na norma de proteção de dados da Europa, para assegurar o mesmo nível de proteção de dados em todo o mundo e para legitimar as transferências internacionais de dados. Nossas regras vinculativas corporativas (Binding Corporate Rules, BCRs ) proporcionam um nível apropriado de proteção para o processamento global de dados no Rakuten e foram aprovadas pelas autoridades relevantes da União Europeia. As regras vinculativas corporativas da Rakuten estão disponíveis aqui: https://corp.rakuten.co.jp/privacy/en/bcr.html. Quando transferimos dados pessoais para empresas do Rakuten Group que não estão vinculados pelas regras vinculativas corporativas da Rakuten, colocamos em vigor cláusulas contratuais apropriadas para estas empresas do Rakuten Group. Além das entidades no exterior do Rakuten Group, podemos revelar e transferir dados pessoais para processadores de dados localizados a jurisdições que podem não fornecer um nível equivalente de proteção em comparação a onde os dados foram coletados. Asseguraremos a conformidade deles com nosso padrão de privacidade global através de acordos contratuais apropriados incorporando, por exemplo, cláusulas contratuais apropriadas. De tempos em tempos, também podemos, onde for necessário cumprir nossas obrigações legais, revelar dados pessoais para outras partes, como para autoridades jurídicas e regulatórias localizadas no exterior. Como observado acima, as leis de proteção de dados nesses locais podem não proporcionar um nível equivalente de proteção em comparação a onde os dados foram coletados e, em tais casos, exigiremos que o destinatário forneça proteção apropriada para os dados pessoais revelados em conformidade com as leis de proteção de dados aplicáveis, como a celebração de um contrato com cláusulas apropriadas. Para obter informações adicionais sobre como protegeremos seus dados pessoais nestas circunstâncias, fale conosco usando os detalhes na seção 7 abaixo. 4.2 Revelações adicionais de dados pessoais Os dados pessoais também podem ser revelados, quando permitido pela lei aplicável, em conexão com uma reestruturação corporativa, venda ou atribuição de ativos, fusão, alienação ou outras alterações do status financeiro ou estrutural dos controladores de dados ou de qualquer uma das suas entidades afiliadas. Caso tal revelação ocorra, faremos esforços razoáveis para tentar assegurar que a entidade para a qual transferimos seus dados pessoais os utilize de uma maneira que seja consistente com esta política. 5. SEGURANÇA E ARMAZENAMENTO Manteremos medidas técnicas e organizacionais apropriadas para proteger contra o processamento não autorizado ou ilegal de dados pessoais e/ou contra a perda acidental, alteração, revelação ou acesso ou destruição acidental ou ilegal ou dano dos dados pessoais. Manteremos seus dados pessoais pelo tempo que tivermos um relacionamento contratual com você. Assim que nosso relacionamento com você chegar a um fim, manteremos seus dados pessoais por um período de tempo que nos permita: Manter registros de negócios para fins de análise e/ou auditoria; Cumprir as exigências de retenção de registros no âmbito da lei; - 4 -
Defender ou executar ações judiciais existentes ou potenciais; e Lidar com reclamações. Excluiremos seus dados pessoais quando não forem mais necessários para esses fins. Se houver informações que não pudermos, por motivos técnicos, excluir inteiramente de nossos sistemas, colocaremos em vigor medidas apropriadas para impedir o processamento ou uso adicional dos dados. 6. DIREITOS DO PESSOAL Você tem certos direitos a respeito de seus dados pessoais, sujeito às leis locais. Isso inclui os seguintes direitos: acessar seus dados pessoais; retificar as informações que mantemos sobre você; apagar seus dados pessoais; restringir nosso uso de seus dados pessoais; contestar nosso uso de dados pessoais; receber seus dados pessoais em um formato eletrônico utilizável e transmiti-las a um terceiro (direito à portabilidade dos dados); e apresentar uma queixa em sua autoridade de proteção de dados local. Se você quiser discutir ou exercer tais direitos, fale conosco pelo hr-repoc@mail.rakuten.com. Entretanto, observe que a lei aplicável pode restringir seu direito de exercer alguns dos direitos mencionados acima. Incentivamos que você fale conosco para atualizar ou corrigir suas informações se elas mudarem ou se os dados pessoais que mantemos sobre você forem imprecisos. Entraremos em contato com você se precisarmos de informações adicionais suas para respeitar seus pedidos. 7. DÚVIDAS Em caso de dúvidas a respeito desta política, o pessoal deve entrar em contato com o departamento de recursos humanos global (hr-repoc@mail.rakuten.com) e nós, com nosso diretor de proteção de dados, responderemos sem atraso injustificado. Além disso, o pessoal pode apresentar uma queixa ao gerente de privacidade global da Rakuten ou a uma autoridade de proteção de dados de acordo com as regras vinculativas corporativas da Rakuten (https://corp.rakuten.co.jp/privacy/en/bcr.html). - 5 -
8. ATUALIZAÇÕES DA POLÍTICA No caso de alterações importantes na maneira que usamos os dados pessoais ou em qualquer outro aspecto desta política, notificaremos o pessoal assim que possível através da reemissão de uma política revisada. - 6 -
ANEXO 1 DESCRIÇÃO DO PROCESSAMENTO DE DADOS PESSOAIS Categoria de dados pessoais Informações de gestão do contrato de emprego Informações de gestão de talentos Nome Sexo Tipo de dados pessoais Data de nascimento Foto Nacionalidade Departamento a que pertence Cargo Categoria do cargo Demissão Licença Local do escritório Endereço de e-mail da empresa Número de telefone comercial Número do funcionário Status de contratação Grau Salário Endereço pessoal Permissão de trabalho/informações de visto Avaliação Habilidade linguística Disposição para mobilidade Histórico de treinamento Histórico principal/adicional Experiência profissional Finalidade de uso e motivo do processamento (base legal) Para você e a empresa trabalharem. Isso é necessário para nos permitir cumprir nossas obrigações contratuais com você em conexão com seu contrato de emprego, como a criação de contas de usuário para os produtos de TI e fins de gestão de RH e para gerenciar e Para fins de avaliação, transferência de pessoal, gestão de talentos, gestão de desempenho e gestão de RH. É nosso interesse legítimo usar estes dados pessoais para fins de RH para permitir que os controladores de dados gerenciem seus recursos. Para fins de avaliação, transferência de pessoal, gestão de talentos, gestão de desempenho e gestão de RH. É nosso interesse legítimo usar estes dados pessoais para fins de RH para permitir que os controladores de dados gerenciem seus recursos. - 7 -
Experiência de trabalho no exterior Emprego anterior Educação Prêmio Disciplina Histórico do programa de experiência global Qualificações Salário Bonificação Incentivo Informações operação remuneração folha pagamentos da de e de Número de ações Horas de trabalho registradas Informações familiares Para fins de gestão de informações de remuneração e operação de folha de pagamentos para cumprir obrigações contratuais para você em conexão com seu contrato com a empresa. Endereço pessoal Conta de valores Código fiscal Nome Foto Departamento a que pertence Gestão de RH e informações de colaboração Cargo Categoria do cargo Demissão Licença Local do escritório Endereço de e-mail da empresa Número de telefone comercial Número do funcionário Para fins de gestão de RH e para gerenciar, a pesquisa e o uso do sistema de RH. É nosso interesse legítimo usar estes dados para estes fins para permitir que a empresa realize suas atividades de negócios e gerencie seus recursos. Status de contratação Informações emergência de Nome Informações de contato de emergência Por motivos de contato de emergência. Isso é necessário para cumprir nossas obrigações legais com você em relação à sua saúde ou segurança ou em algumas circunstâncias necessárias para proteger seus interesses essenciais ou os de outra pessoa. - 8 -
*Aqui neste anexo 1, listamos os dados pessoais que podemos coletar, mas só coletaremos dados pessoais necessários relativos ao pessoal. Portanto, não coletaremos e usaremos dados pessoais, como informações de gestão de talentos e informações de operação de remuneração e folha de pagamentos de pessoal temporário, pessoal parceiro e subcontratados, a menos que tais dados pessoais de pessoal sejam necessários para os fins listados acima. Do mesmo modo, não coletaremos e usaremos intencionalmente informações de gestão do contrato de emprego que não forem necessárias no âmbito do relacionamento com cada membro do pessoal (por ex., licença, data de nascimento e grau de pessoal temporário, pessoal parceiro e subcontratados). - 9 -
ANEXO 2 POLÍTICA DE MONITORAMENTO Definições Sistemas de TI da Rakuten refere-se aos sistemas gerenciados pelo Rakuten Group e fornecidos para o pessoal para fins de negócios. Isso inclui sistemas fornecidos por fornecedores externos, como Microsoft e Box. Instalações refere-se a escritórios ou unidades gerenciados e controlados pelo Rakuten Group. Por que monitoramos? 1. Em última instância, somos responsáveis pela segurança de todas as comunicações de negócios. E, tanto quanto possível e apropriado, respeitaremos a privacidade dos membros do pessoal quando usarem os sistemas de TI da Rakuten e quando estiverem nas instalações. Entretanto, podemos monitorar, sem aviso, as comunicações e arquivos do pessoal por motivos que incluem: (a) (b) (c) (d) (e) (f) (g) Proteger informações confidenciais e prevenir a revelação não autorizada; Fazer cumprir e garantir a conformidade com políticas da Rakuten; Cumprir obrigações legais ou regulatórias; Prevenir, investigar ou detectar o uso não autorizado de sistemas de TI da Rakuten, como estabelecido nas políticas da Rakuten; Prevenir, investigar ou detectar crime e transgressão; Para fins de litígio ou investigações regulatórias; e Assegurar a operação e manutenção da rede (por exemplo, varredura em busca de vírus). 2. Tal monitoramento só é realizado até o limite permitido. Devemos ter um motivo para o processamento, que é a base legal, para processar dados pessoais do pessoal para fins de monitoramento, o qual deve ser um dos seguintes: (a) (b) Para satisfazer os interesses legítimos da empresa, por exemplo, para manter a operação das redes e sistemas de TI, fazer cumprir e assegurar a conformidade com as políticas da Rakuten, para prevenir, investigar e detectar crime e transgressão e para fins de litígio e investigações regulatórias; ou Para cumprir as obrigações legais da empresa ou para exercer seus direitos no âmbito das leis trabalhistas e de previdência social, por exemplo, para assegurar a confidencialidade das informações mantidas pela empresa. O que monitoramos? 1. O pessoal deve estar ciente que o monitoramento pode revelar dados pessoais sobre eles, de acordo com a lei de proteção de dados da Europa e as leis e regulamentações nacionais locais aplicáveis. Os dados coletados no decorrer do monitoramento podem ser armazenados e processados apenas para os fins mencionados em 1 acima. Para os mesmos fins, a empresa, como o controlador de dados e membro das empresas do Rakuten - 10 -
Group, precisará transferir, compartilhar ou divulgar os dados pessoais para outras empresas do Rakuten Group e para fornecedores, como fornecedores de segurança localizados em países terceiros (por ex., Japão, Estados Unidos). Alguns desses países podem não proporcionar um nível de proteção equivalente de dados pessoais em comparação a onde os dados foram coletados. Para assegurar que os dados pessoais coletados são protegidos, as empresas do Rakuten Group cumprem a norma de privacidade global da Rakuten, ou seja, as regras vinculativas corporativas da Rakuten, como mencionado na seção 4 da política de privacidade do pessoal. 2. Em específico, podemos monitorar os dados seguintes para os fins estabelecidos em 1. Acima (Por que monitoramos?): (a) Todas as comunicações usando os sistemas de TI da Rakuten, incluindo, entre outros: i. Telefone: pessoa que liga/atende, número chamado, duração das ligações ii. E-mail: remetente/destinatário, assunto, conteúdo, anexos iii. Mensagens instantâneas: remetente/destinatário, conteúdo, anexos iv. Uso da internet: sites e páginas visitadas, o horário do dia em que os sites foram visitados, a duração da permanência nos sites e o conteúdo de uploads e downloads (b) Informações como o registro de acesso quando dispositivos pessoais são usados para se conectar e acessar os sistemas de TI da Rakuten. Consulte especificamente as condições estabelecidas para cada aplicação. (c) Arquivos, como arquivos Excel e Word (não agendas ou caixas de correio com e- mails) armazenados em computadores ou notebooks corporativos. Especificamente, implantamos uma ferramenta de auditoria que examina os arquivos mencionados acima armazenados nos computadores ou notebooks em busca de números de cartão de crédito, números de previdência social e linhas de Kanji e Katakana ( itens pesquisáveis ). Se a ferramenta de auditoria detectar qualquer item pesquisável nos computadores e notebooks corporativos, ela os sinaliza para o departamento de auditoria interna para análise. Se a análise revelar que o item pesquisável sinalizado pela ferramenta de auditoria é uma informação superconfidencial, como classificada na Classificação e processamentos de ativos de informação das políticas de segurança da informação do Rakuten Group, o departamento de auditoria interna e a equipe relevante entrarão em contato com o membro do pessoal que usa o computador ou notebook corporativo com a informação superconfidencial para confirmar o conteúdo do item pesquisável. (d) Onde for exigido pela lei, o uso de sistemas de monitoramento de circuito fechado de televisão nas instalações será indicado claramente usando sinalizações apropriadas. 3. As seções 5 (Segurança e armazenamento) e 6 (Direitos do pessoal), e outras provisões relevantes da política de privacidade do pessoal, se aplicarão igualmente aos dados pessoais processados para fins de monitoramento no âmbito desta política de monitoramento. - 11 -