Política de proteção de dados do canal de denúncias

1. Quem é o responsável pelo tratamento?

HABITUS GLOBAL RETAIL, S.L.U. (doravante, HABITUS ou a empresa) é o responsável pelo tratamento dos dados pessoais obtidos no âmbito do Canal de denúncias.
HABITUS respeita os direitos e as liberdades fundamentais das pessoas, entre os quais se encontra o direito fundamental à proteção dos dados pessoais. A privacidade dos titulares dos dados é um pilar fundamental para a HABITUS, que trata os seus dados pessoais em conformidade com a legislação em vigor em matéria de proteção de dados pessoais, privacidade e segurança da informação. Para esse efeito, foram adotadas as medidas técnicas e organizativas necessárias para evitar a perda, utilização indevida, alteração, acesso não autorizado e roubo dos dados pessoais fornecidos, tendo em conta o estado da tecnologia, a natureza dos dados e os riscos a que estão expostos.

2. Para que tratamos os seus dados pessoais?

Os dados pessoais serão tratados com a finalidade de gerir o sistema de informação do Canal de denúncias e, em concreto, de gerir, tramitar e investigar todos os atos ou omissões contrários à ética e à legalidade, zelar pelo seu cumprimento e adotar as medidas disciplinares ou legais aplicáveis e, se for caso disso, proceder à investigação de infrações penais e à execução de sanções penais relativas à denúncia recebida, bem como à respetiva tramitação e resolução.

3. Que dados pessoais trataremos?

Não serão recolhidos dados pessoais cuja pertinência não seja necessária para tratar uma informação específica ou, caso sejam recolhidos acidentalmente, proceder-se-á à sua eliminação imediata.

As denúncias apresentadas nos termos do presente procedimento poderão ser anónimas, não sendo necessário que o denunciante-informador se identifique. Sem prejuízo do acima exposto, os dados pessoais obtidos por ocasião da denúncia e da investigação interna serão tratados de forma confidencial e exclusivamente para a gestão e o controlo do presente procedimento, aplicando-se as devidas garantias e medidas de privacidade legalmente exigíveis.

Os dados pessoais obtidos por ocasião da denúncia e da investigação interna serão tratados de forma confidencial e exclusivamente para a gestão e o controlo do presente procedimento, aplicando-se as devidas garantias e medidas de privacidade legalmente exigíveis.

De seguida, identificam-se as categorias de dados tratados em função dos diferentes titulares:

Denunciante: serão tratados os dados pessoais fornecidos na denúncia.
Denunciado: serão tratados os dados identificativos, circunstâncias sociais, informações profissionais e, potencialmente, dados especialmente protegidos, bem como os dados fornecidos nas entrevistas ou declarações prestadas.
Testemunha: serão tratados dados identificativos, bem como os dados fornecidos nas entrevistas.

A empresa não solicita nem trata qualquer categoria especial de dados pessoais, como, por exemplo, informações de saúde, origem racial ou étnica, convicções religiosas ou ideológicas, filiação sindical ou orientação sexual. No entanto, devido à existência de campos de texto livre no formulário, poderá divulgar voluntariamente essas categorias especiais, bem como dados pessoais de terceiros mencionados nessa comunicação. Em qualquer caso, nos termos do art. 9.2 g) do RGPD, os dados de categorias especiais poderão ser tratados por razões de interesse público.

4. Qual é a legitimidade do tratamento dos seus dados pessoais?

A base jurídica para o tratamento dos dados pessoais é a seguinte:

Para a gestão de uma denúncia através de um canal interno:
- O cumprimento das obrigações legais aplicáveis ao responsável pelo tratamento (art. 6.1 c) do RGPD), no que respeita ao dever de dispor de um canal de denúncias, em conformidade com os arts. 24 e 8 da LO 3/2018, relativa à proteção de dados e à garantia dos direitos digitais, e com o art. 30.2 da Lei 2/2023.
- Na sua ausência, por ser necessário para o cumprimento de uma missão de interesse público (art. 6.1 e) do RGPD), relacionada com a investigação de infrações ou crimes que possam afetar a empresa.

Para verificar o funcionamento do sistema.
- Em cumprimento de uma obrigação legal aplicável ao responsável pelo tratamento (art. 6.1 c) do RGPD).

5. Quem terá acesso aos seus dados pessoais?

A identidade do denunciante só será comunicada, se necessário, à Autoridade Judicial, ao Ministério Público ou à autoridade administrativa competente no âmbito de uma investigação penal, disciplinar ou sancionatória. Nestes casos, o denunciante será informado antes da divulgação da sua identidade, salvo se essa informação puder comprometer a investigação ou o processo judicial. Quando a autoridade competente comunicar essa informação ao denunciante, enviar-lhe-á uma comunicação explicando os motivos da divulgação dos dados confidenciais em causa

Na medida permitida por lei, a pessoa afetada não receberá quaisquer dados relativos à identidade das pessoas denunciantes.

Relativamente à identidade das pessoas afetadas, serão adotadas as medidas técnicas e organizativas adequadas para a preservar, garantindo a sua confidencialidade, bem como a de terceiros que possam ser mencionados na informação fornecida.

O acesso aos dados fica exclusivamente limitado às pessoas que, integradas ou não na empresa, desempenhem funções de controlo interno e de conformidade normativa, ou aos subcontratantes que eventualmente sejam designados para esse efeito, bem como ao Encarregado da Proteção de Dados ou ao responsável designado para esse efeito. No entanto, os dados pessoais poderão ser comunicados, quando indispensável, a terceiros interessados, como membros do órgão de Prevenção, trabalhadores da organização, consultores externos ou autoridades públicas, para fins de investigação e esclarecimento dos factos denunciados; aos responsáveis pelos serviços jurídicos, para a determinação de responsabilidades, implementação de ações corretivas e, se for caso disso, interposição das ações legais e disciplinares exigíveis perante os órgãos competentes em cada caso.

Sem prejuízo da comunicação à autoridade competente de factos constitutivos de ilícito penal ou administrativo, apenas quando possa ser necessária a adoção de medidas disciplinares contra os trabalhadores será permitido o acesso aos dados ao pessoal com funções de gestão e controlo de recursos humanos.

Com o prestador de serviços responsável por realizar, em nosso nome, a implementação técnica do canal de denúncias, que não terá acesso à informação comunicada e com o qual foi celebrado um contrato de subcontratação do tratamento.
Em nenhum caso a empresa realizará transferências automatizadas baseadas nos dados enviados.

Os seus dados pessoais não serão objeto de transferência internacional de dados.

6. Durante quanto tempo conservaremos os seus dados pessoais?

Os dados serão conservados durante o tempo indispensável para decidir sobre a pertinência de iniciar uma investigação relativa aos factos denunciados. Caso se comprove que a informação fornecida, ou parte dela, não é verdadeira, proceder-se-á à sua eliminação imediata a partir do momento em que se tenha conhecimento dessa circunstância, salvo se essa falta de veracidade puder constituir um ilícito penal, caso em que a informação será conservada durante o período necessário ao decurso do processo judicial.

Em qualquer caso, decorridos três (3) meses desde a receção da denúncia sem que tenham sido iniciadas diligências de investigação, proceder-se-á à sua eliminação, salvo quando seja necessário conservá-los para deixar evidência do funcionamento do sistema. Em nenhum caso as comunicações e investigações internas serão conservadas por um período superior a dez anos. Se for necessária a conservação dos dados para dar continuidade à investigação, estes serão comunicados ao órgão da empresa responsável pela investigação dos factos denunciados, que poderá continuar a tratá-los, não sendo conservada qualquer cópia dos dados no sistema de informação de denúncias internas. As denúncias às quais não tenha sido dado seguimento apenas poderão constar de forma anonimizada, não lhes sendo aplicável a obrigação de bloqueio prevista no art. 32 da LO 3/2018.

7. Quais são os seus direitos?

Os direitos de acesso, retificação, apagamento, limitação, portabilidade ou oposição poderão ser exercidos, nos termos especificados na legislação em vigor, mediante comunicação escrita dirigida à HABITUS GLOBAL RETAIL, S.L.U., para o seguinte endereço: Carrera de Sant Esteve 29, 08173, San Cugat del Vallés, Barcelona, Espanha, ou para o endereço de correio eletrónico contact@muymucho.com, indicando o direito específico que pretende exercer. Além disso, caso considere que a empresa não tratou os dados pessoais em conformidade com a legislação em vigor, poderá contactar o Encarregado da Proteção de Dados através do endereço acima indicado e/ou apresentar uma reclamação junto da Agência Espanhola de Proteção de Dados.

No entanto, o exercício desses direitos não será aplicável nos seguintes casos:

O exercício do direito de acesso pelo denunciado não inclui a divulgação dos dados identificativos do informador. O direito de acesso à informação constante do processo ficará limitado à informação relativa aos próprios dados pessoais objeto de tratamento, não se considerando incluídos no exercício desse direito os dados relativos ao informador.
Caso a pessoa investigada exerça o direito de oposição, será informada de que não o poderá exercer, uma vez que, nos termos do art. 21.1 do RGPD, existem motivos imperiosos que legitimam a continuação desse tratamento, em conformidade com o art. 31.4 da Lei 2/2023.
O direito de cancelamento não poderá ser exercido por nenhum dos participantes durante o decurso da investigação.