Política de protección de datos del canal de denuncias

1. ¿Quién es el responsable del tratamiento? 

HABITUS GLOBAL RETAIL, S.L.U, (en adelante HABITUS o la empresa.) es el responsable del tratamiento de los datos personales obtenidos en el marco del Canal de denuncias.  
HABITUS respeta los derechos y libertades fundamentales de las personas, entre los que se encuentra, el derecho fundamental a la protección de datos de carácter personal. La privacidad de los interesados es un pilar básico para HABITUS, tratando sus datos personales conforme a la legislación vigente en materia de protección de datos personales, privacidad y seguridad de dicha información, para ello, se han adoptado las medidas técnicas y organizativas necesarias para evitar la pérdida, mal uso, alteración, acceso no autorizado y robo de los datos personales facilitados, habida cuenta del estado de la tecnología, la naturaleza de los datos y los riesgos a los que están expuestos.

2. ¿Para qué tratamos sus datos personales?

Los datos personales se tratarán con la finalidad de gestionar el sistema de información del Canal de Denuncias y en concreto para gestionar, tramitar e investigar todos los actos u omisiones contrarios a la ética, la legalidad velar por su cumplimiento y adoptar las medidas disciplinarias o legales que correspondan y; en su caso, el enjuiciamiento de infracciones penales y de ejecución de sanciones penales de la Denuncia recibida y la tramitación y resolución. 

3. ¿Qué datos personales trataremos? 

No se recopilarán datos personales cuya pertinencia no resulte necesaria para tratar una información específica o si, se recopilan por accidente se procederá a su eliminación de forma inmediata.

Las Denuncias presentadas conforme al presente Procedimiento podrán ser anónimas, no siendo necesario que el denunciante-informante se identifique. Sin perjuicio de lo anterior, los datos personales obtenidos con ocasión de la Denuncia y de la investigación interna serán tratados de manera confidencial y únicamente para la gestión y control del presente Procedimiento, aplicando las debidas garantías y medidas de privacidad legalmente exigibles.

Los datos personales obtenidos con ocasión de la Denuncia y de la investigación interna serán tratados de manera confidencial y únicamente para la gestión y control del presente Procedimiento, aplicando las debidas garantías y medidas de privacidad legalmente exigibles.

A continuación, se identifican las categorías de datos tratados en función de los diferentes interesados:

• Denunciante: se tratarán los datos personales facilitados en la denuncia.
• Denunciado: se tratarán los datos identificativos, circunstancias sociales, detalles de empleo y, potencialmente, datos especialmente protegidos, más los facilitados en la entrevistas o declaraciones que manifieste.
• Testigo: se tratarán datos identificativos, más los facilitados en las entrevistas.

La empresa no solicita ni procesa ninguna categoría especial de datos personales como, por ejemplo, información de salud, sobre el origen racial o étnico, convicciones religiosas o ideológicas, afiliación sindical u orientación sexual. No obstante, debido a que hay campos de texto libres en el formulario, Usted podría divulgar voluntariamente esas categorías especiales, así como datos personales de terceros a los que haga referencia en dicha comunicación. En cualquier, caso conforme el art. 9.2 g) RGPD podrá tratarse los datos de categorías especiales por razones de interés público.

4. ¿Cuál es la legitimación del tratamiento de sus datos personales?

La base jurídica para el tratamiento de los datos personales es la siguiente: 

• Para la gestión de una denuncia a través de un canal interno:
  • El cumplimiento de las obligaciones legales aplicables al responsable del tratamiento (art. 6.1c) RGPD), en cuanto al deber de tener un canal de denuncias y de conformidad con el art. 24 y 8 de la LO 3/2018 de Protección de datos y garantía de los derechos digitales y art. 30.2 de la Ley 2/2023.
  • En su defecto por ser necesario para el cumplimiento de un interés público, (art. 6.1 e) RGPD) en relación con la persecución de infracciones o delitos que pudieran afectar a la empresa. 

• Para verificar del funcionamiento del sistema.
  • En cumplimiento de una obligación legal aplicable al responsable del tratamiento (art. 6.1 c) RGPD). 

5. ¿Quién dispondrá de sus datos personales? 

La identidad del denunciante solo se comunicará de ser necesario a la Autoridad judicial, al Ministerio Fiscal o a la autoridad administrativa competente en el marco de una investigación penal, disciplinaria o sancionadora. En estos casos se trasladará al denunciante antes de revelar su identidad, salvo que dicha información pudiera comprometer la investigación o el procedimiento judicial. Cuando la autoridad competente lo comunique al denunciante, le remitirá un escrito explicando los motivos de la revelación de los datos confidenciales en cuestión

En la medida que lo permita la ley, la persona afectada no recibirá ningún dato relativo a la identidad de las personas denunciantes.

Respecto de la identidad de las personas afectadas se tomarán las medidas técnicas y organizativas adecuadas para preservarla, garantizando su confidencialidad, así como la de terceros que se pudieran mencionar en la información suministrada.

El acceso a los datos queda limitado exclusivamente a quienes, incardinados o no en el seno de la empresa, desarrollen las funciones de control interno y de cumplimiento normativo o a los encargados del tratamiento que eventualmente se designen a tal efecto, así como al Delegado de Protección de Datos o responsable designado al efecto. No obstante, los datos personales podrán ser comunicados, en caso indispensable, a terceras partes interesadas como, miembros del órgano de Prevención, Empleados de la organización, asesores externos o autoridades públicas con fines de investigación y esclarecimiento de los hechos denunciados, responsables de los servicios jurídicos para la determinación de responsabilidades, implantación de acciones correctivas y, en su caso, interposición de las acciones legales y disciplinarias exigibles ante los órganos competentes en cada caso.

Sin perjuicio de la notificación a la autoridad competente de hechos constitutivos de ilícito penal o administrativo, sólo cuando pudiera proceder la adopción de medidas disciplinarias contra los Empleados, se permitirá el acceso a los datos al personal con funciones de gestión y control de recursos humanos.

Con el proveedor encargado de llevar a cabo en nuestro nombre la implementación técnica del canal de denuncia no teniendo acceso a la información comunicada y con la que se ha suscrito un contrato de encargado del tratamiento. 
En ningún caso, la empresa llevará a cabo cesiones automatizadas basadas en los datos remitidos.

Sus datos personales no serán objeto de transferencia internacional de datos.

6. ¿ Cuánto tiempo conservaremos sus datos personales?

Los datos se conservarán el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos denunciados. Si se acreditara que la información facilitada o parte de ella no es veraz, se procederá a su inmediata supresión desde el momento en que se tenga constancia de dicha circunstancia, salvo que dicha falta de veracidad pueda constituir un ilícito penal, en cuyo caso se guardará la información por el tiempo necesario durante el que se tramite el procedimiento judicial.

En todo caso, transcurridos tres (3) meses desde la recepción de la denuncia sin que se hubiera iniciado actuaciones de investigación, se procederá a la supresión, salvo cuando sea necesario conservarlos para dejar evidencia del funcionamiento del sistema. En ningún caso la conservación de las comunicaciones e investigaciones internas se conservarán por un tiempo superior a diez años. Si fuese necesaria la conservación de los datos para continuar la investigación, se comunicarán al órgano de la empresa, al que corresponda la investigación de los hechos denunciados, quién podrá seguir tratándolos, no conservándose copia de los datos en el sistema de información de denuncias internas. Las Denuncias a las que no se haya dado curso solamente podrán constar de forma anonimizada sin que les sea de aplicación la obligación del bloqueo prevista en el art. 32 de la LO 3/2018.

7. ¿Cuáles son sus derechos?

Los derechos de acceso, rectificación, supresión, limitación, portabilidad u oposición podrán ejercerse, en los términos especificados en la normativa vigente, mediante escrito a HABITUS GLOBAL RETAIL, S.L.U, a la siguiente dirección Calle Ferrocarril nº 7, 08755, Castellbisbal, Barcelona., o a la dirección de correo electrónico contact@muymucho.es, indicando el derecho concreto que se desea ejercitar. Asimismo, en el caso de considerar que la empresa no ha tratado los datos personales de acuerdo con la normativa vigente, es posible contactar con el Delegado de Protección de Datos en la dirección anterior y/o presentar una reclamación ante la Agencia Española de Protección de Datos.

Sin embargo, no procederá el ejercicio de tales derechos en los siguientes supuestos:

• El ejercicio del derecho de acceso por parte del denunciado no incluye la revelación de los datos identificativos del informante. El derecho de acceso a la información que obre en el expediente estará limitado a aquella información relativa a los propios datos de carácter personal objeto de tratamiento, sin que se pueda entender incluido dentro el ejercicio de ese derecho los datos relativos al informante.
• En el caso de que la persona investigada ejercite el derecho de oposición, se informará que no podrá ejercitarlo porque conforme el art. 21.1 RGPD existen motivos imperiosos que legitiman continuar con dicho tratamiento, y conforme el art. 31.4 de la Ley 2/2023.
• El derecho de cancelación no podrá ser ejercido por ninguno de los participantes durante el transcurso de la investigación.