Aviso de privacidad

1.1 Ámbito de aplicación

(1) La Política se aplica al tratamiento de datos personales de personas físicas, en particular a los datos de clientes, empleados, accionistas y socios comerciales. Su finalidad es establecer un nivel de protección adecuado para la transferencia de datos personales desde las empresas del Grupo DHL con sede en la Unión Europea (UE) o en el Espacio Económico Europeo (EEE) hacia empresas del Grupo DHL ubicadas en un tercer país que no garantice un nivel de protección adecuado. Las categorías de datos personales tratados y las finalidades del tratamiento dependen de la relación que los interesados mantengan con una o varias empresas del Grupo DHL. El tratamiento de datos regulado por esta Política se refiere principalmente a la gestión de las relaciones laborales, que abarca una amplia variedad de aspectos desde el inicio de la relación de empleo hasta posibles oportunidades de carrera y desarrollo, así como a la gestión de las relaciones con los clientes, la cual puede incluir diversos servicios de atención al cliente.

(2) La lista de finalidades incluidas en la Política se proporciona en el Apéndice 2, con detalles sobre las categorías pertinentes de interesados y los datos personales tratados para cada finalidad. El Apéndice 2 podrá actualizarse periódicamente de conformidad con lo establecido en la sección 5 de la Política.

(3) La Política no se aplica a las transferencias de datos sujetas a derogaciones legales.

(4) La Política tampoco se aplica a los datos personales recogidos y tratados fuera del EEE y fuera del ámbito de aplicación del Reglamento General de Protección de Datos 2016/679 (RGPD), salvo que los datos personales se recopilen y procesen como parte de una transferencia ulterior de datos personales según lo establecido en la sección 1.4.

(5) Además de salvaguardar las transferencias de datos a empresas del Grupo DHL en terceros países, la Política forma parte de un sistema integral de gestión de la protección de datos que define el enfoque general de responsabilidad del Grupo DHL respecto del tratamiento de datos personales. En este sentido, la Política no soloestablece los principios que deben seguir las empresas del Grupo DHL al tratar datos personales, sino que también se vincula con los procedimientos pertinentes diseñados para garantizar el cumplimiento del Grupo DHL con las leyes de protección de datos aplicables y, en particular, con el RGPD.

1.2 Efecto vinculante

(1) La Política se basa en la autorización del Consejo de Administración del Grupo DHL y entra en vigor con su publicación.

(2) La Política pasa a ser vinculante para cada empresa del Grupo DHL y para sus empleados tan pronto como la dirección de la respectiva empresa del Grupo DHL declare su adhesión a la Política y confirme su implementación dentro de dicha empresa del Grupo DHL. La lista de las empresas del Grupo DHL vinculadas por la Política figura en el Apéndice 3.

(3) Todos los empleados del Grupo DHL están obligados por la Política a través de sus contratos laborales y/o mediante la obligación de cumplir con las políticas del Grupo DHL, incluido el Código de Conducta del Grupo DHL que hace referencia a la Política. Las empresas del Grupo DHL deberán informar a sus empleados sobre la Política y sobre las obligaciones relacionadas mediante comunicaciones internas y formación obligatoria. La obligación de informar a los empleados de la Política, incluidas las obligaciones que esta establece, corresponde a la empresa del Grupo DHL que emplea a dichos empleados, y dicha empresa del Grupo DHL deberá garantizar la imposición de sanciones a los empleados que incumplan las obligaciones de la Política, de conformidad con las leyes y normativas locales.

(4) El efecto vinculante finalizará con la retirada de la Política o si la respectiva empresa del Grupo DHL deja de formar parte del Grupo DHL. Cualquier empresa del Grupo DHL que deje de estar vinculada por la Política deberá devolver o suprimir los datos personales recibidos en el marco de la Política en calidad de importador de datos de DHL. El importador de datos de DHL que cese en dicha condición solo podrá conservar datos personales si acepta quedar vinculado por otras garantías adecuadas (como, entre otras, las Cláusulas Contractuales Tipo). Lo mismo se aplicará a las transferencias ulteriores de datos realizadas por el importador de datos de DHL que cese en su condición.

1.3 Leyes locales aplicables y efectos en el cumplimiento de la política

(1) Los principios de la Política no sustituirán las leyes y normativas aplicables que rigen el tratamiento de datos personales. Cuando las leyes y normativas locales exijan un nivel de protección más elevado para los datos personales, dichas disposiciones prevalecerán sobre la Política. En cualquier caso, las empresas del Grupo DHL tratarán los datos personales de conformidad con las leyes y normativas aplicables.

(2) La licitud del tratamiento de datos en relación con las transferencias de datos a terceros países y las transferencias ulteriores se determinará conforme a las leyes y normativas del país del EEE en el que el exportador de datos de DHL tenga su domicilio social.

(3) Cada empresa del Grupo DHL será responsable de verificar la licitud de su tratamiento de datos, incluyendo cualquier requisito existente para notificar a las autoridades de control nacionales u otros organismos reguladores, de conformidad con las leyes y normativas locales aplicables. Si una empresa del Grupo DHL tuviera dudas sobre si las leyes o las normativas pueden impedirle cumplir con las obligaciones establecidas en la Política, deberá informar al Data Protection Official competente o al asesor jurídico de protección de datos, salvo que una autoridad de aplicación de la ley le prohíba hacerlo.

(4) Si una empresa del Grupo DHL estuviera sujeta a requisitos legales locales que comprometan las garantías previstas en la Política (incluidas las solicitudes vinculantes de divulgación de datos personales), hará todo lo posible por notificarlo a la delegada de proteción de datos del Grupo DHL, quien prestará apoyo en la comunicación a la autoridad de control competente, salvo que las leyes y normativas le prohíban hacerlo.

1.4 Transferencia ulterior de datos

(1) Si el importador de datos de DHL transfiere datos personales a otro importador de datos de DHL, dicho importador de datos de DHL deberá asegurar que la transferencia ulterior de datos cumpla con lo establecido en esta Política.

(2) En caso de transferencias ulteriores de datos a terceros, los importadores de datos de DHL deberán celebrar las Cláusulas Contractuales Tipo de la UE (CCT de la UE) o aplicar otras garantías adecuadas de conformidad con las leyes de protección de datos aplicables. A falta de dichas garantías, las transferencias ulteriores de datos podrán llevarse a cabo si se aplica una derogación en virtud del RGPD. Sin perjuicio de lo anterior, los datos personales solo podrán transferirse conforme a los requisitos de las leyes de protección de datos aplicables y de acuerdo con lo establecido en las disposiciones relativas a las evaluaciones de impacto en la transferencia contempladas en la sección 1.5.

(3) Las disposiciones anteriores no se aplicarán en la medida en que las leyes y normativas locales, en particular por razones de seguridad nacional, defensa, seguridad pública o para la prevención, detección y persecución de delitos , prevean expresamente la transferencia de datos personales para estos fines.

1.5 Evaluación de impacto de la transferencia

(1) Los exportadores de datos de DHL únicamente transferirán datos personales a importadores de datos de DHL establecidos en un tercer país sobre la base de la Política cuando se haya evaluado que las leyes y normativas de dicho país no impiden que el importador de datos DHL cumpla con sus obligaciones en virtud de la Política.

(2) Las empresas del Grupo DHL deberán basar su evaluación de las leyes y normativas del tercer país en el entendimiento de que dichas leyes y normativas respetan la esencia de los derechos y libertades fundamentales de las personas físicas y no exceden lo necesario y proporcionado en una sociedad democrática para salvaguardar uno de los objetivos de interés público.

(3) Al realizar una evaluación de impacto de la transferencia (TIA) como parte del Privacy Impact Assessment (PIA), las empresas del Grupo DHL deberán considerar lo siguiente:

a) Las circunstancias específicas de la(s) transferencia(s) de datos o conjunto de transferencias de datos y de cualquier transferencia ulterior de datos prevista dentro del mismo tercer país o hacia otro tercer país , incluyendo:

• los fines para los cuales se transfieren y tratan los datos (por ejemplo, recursos humanos, soporte informático, etc.);
• los tipos de entidades implicadas en el tratamiento de datos;
• el sector económico en el que tiene lugar la transferencia de datos o conjunto de transferencias de datos;
• las categorías y el formato de los datos personales transferidos;
• la ubicación del tratamiento de datos, incluyendo almacenamiento; y
• los canales de transmisión utilizados.

b) Las leyes y normativas del tercer país de destino que sean relevantes para las circunstancias de la transferencia de datos, incluyendo aquellas que exijan la divulgación de datos personaleso permitan el acceso por parte de las autoridades públicas, así como aquellas que permitan el acceso a dichos datos personales durante la transferencia, y las restricciones y salvaguardas aplicables.

c) Cualquier salvaguardia contractual, técnica u organizativa relevante establecida para complementar las salvaguardas de la Política, incluyendo las medidas aplicadas durante la transmisión y el tratamiento de datos personales en el tercer país de destino. Si la TIA concluye que deben implementarse medidas suplementarias además de las previstas en la Política, se deberá notificar al importador de datos de DHL y al Data Protection Official responsable, quienes deberán participar en la implementación de dichas garantías. La documentación de la TIA deberá ponerse a disposición de la autoridad de control competente cuando esta lo solicite.

(4) Los importadores de datos de DHL deberán monitorizar continuamente las leyes y normativasde sus respectivos países cuando utilicen la Política como herramienta para llevar a cabo transferencias de datos con el fin de identificar cualquier cambio que requiera la actualización de las TIA y la implementación de medidas suplementarias. Cuando un importador de datos de DHL tenga motivos para considerar que ha pasado a estar sujeto a leyes y normativas que le impiden cumplir con sus obligaciones en virtud de la Política, deberá notificarlo al Data Protection Official correspondiente, al la delegada de protección de datos del Grupo DHL y a la empresa del Grupo DHL afectada, a fin de garantizar que cada transferencia de datos personales al tercer país en cuestión esté sujeta a las medidas sumplementarias adecuadas. Lo mismo aplicará cuando un exportador de datos de DHL tengamotivos para creer que el importador de datos de DHL ya no puede cumplir con sus obligaciones en virtud de la Política. El Data Protection Official correspondiente asesorará a las empresas del Grupo DHL que actúen como exportador e importador de datos para identificar e implementar las medidas suplementarias adecuadas. Además, el Data Protection Official deberá informar al la delegada de protección de datos del Grupo DHL.

(5) Si una empresa del Grupo DHL concluye que ya no es posible cumplir con la Política—incluso cuando se hayan implementado medidas suplementarias— respecto de una transferencia de datos concreta o un conjunto de transferencias de datos, o si así lo instruye la autoridad de control competene, deberá suspender dicha transferencia de datos o dicho conjunto de transferencias de datos hasta que se asegure el cumplimiento o la transferencia de datos se dé por terminada. Además, deberá informarse al Data Protection Official competente, así como a la delegada de protección de datos del Grupo DHL.

(6) Si el cumplimiento de la Política no se restablece en el plazo de un mes desde la suspensión, la transferencia de datos o el conjunto de transferencias de datos deberá dares por terminada. El exportador de datos de DHL podrá decidir si los datos personales transferidos antes de la suspension, así como sus copias, deberán ser devueltos o destruidos.

(7) En la práctica, las evaluaciones de las leyes y normativas de terceros países, así como las TIAs específicas realizadas para una transferencia de datos o un conjunto de transferencias de datos y las medidas suplementarias identificadas e implementadas, así como toda la documentación pertinente, deberán ponerse a disposición de todas las empresas del Grupo DHL y de los Data Protection Officials a fin de garantizar el cumplimiento de la Política y la coherencia de su implementación en todo el Grupo DHL. Esto incluye también la información relativa a que, cuando no sea posible establecer medidas suplementarias eficaces, las transferencias de datos en cuestión deberán suspenderse o finalizarse. A solicitud de la autoridad de control competente, la documentación de las evaluaciones, así como las medidas suplementarias seleccionadas e implantadas, deberá ponerse a su disposición.

1.6 Solicitudes de acceso emitidas por autoridades públicas de terceros países

(1) De conformidad con las leyes y normativas, el importador de datos de DHL notificará sin demora al exportador de datos de DHL (y a su Data Protection Official) y, cuando sea posible, al interesado, si:

a) recibe una solicitud jurídicamente vinculante de una autoridad pública para la divulgación de datos personales transferidos en virtud de la Política.

b) llega a tener conocimiento de cualquier acceso directo por parte de autoridades públicas a los datos personales transferidos en virtud de la Política.

(2) La notificación deberá incluir toda la información de la que disponga el importador de datos de DHL, incluida, en particular, la relativa a los datos personales solicitados, la autoridad pública requirente, la base jurídica de la solicitud y la respuesta proporcionada.

(3) El importador de datos de DHL deberá hacer todo lo posible para obtener una dispensa cuando tenga prohibido notificar al exportador de datos de DHL y/o al interesado, con el fin de proporcionar la máxima información posible, y deberá documentar los esfuerzos realizados a fin de poder demostrarlos a solicitud del exportador de datos de DHL.

(4) El importador de datos de DHL proporcionará periódicamente al exportador de datos de DHL, así como al la delegada de protección de datos del Grupo DHL, la información relevante sobre las solicitudes recibidas (en particular, el número de solicitudes, el tipo de datos solicitados, la autoridad pública requirente, si las solicitudes han sido impugnadas y el resultado de dichas impugnaciones, etc.) o informará al exportador de datos de DHL sin demora indebida si tiene prohibido facilitar dicha información.

(5) El importador de datos de DHL conservará la información mencionada mientras los datos personales estén sujetos a las garantías de la Política y la pondrá a disposición de cualquier autoridad pública competente que la solicite.

(6) El importador de datos de DHL revisará la licitud de una solicitud de acceso o divulgación de datos personales, la impugnará si se considera ilícita y agotará las vías de recurso disponibles. Al impugnar una solicitud, el importador de datos solicitará medidas provisionales con el fin de suspender los efectos de la solicitud mientras se dicta una resolución sobre el fondo por parte de una autoridad judicial competente. No divulgará los datos personales solicitados hasta que esté obligado a hacerlo conforme a las normas procesales aplicables.

(7) Cuando el importador de datos de DHL esté obligado a responder a una solicitud, deberá proporcionar la cantidad mínima de información permitida. Además, cualquier transferencia de datos realizada por una empresa del Grupo DHL para atender una solicitud de una autoridad pública no deberá ser masiva, desproporcionada ni indiscriminada de manera que excede lo necesario en una sociedad democrática.

2.1 Transparencia del tratamiento de datos

(1) El responsable del tratamiento de DHL informará a los interesados sobre cómo se tratan sus datos personales. Esto incluye también la publicación de la Política.

(2) El responsable del tratamiento de DHL proporcionará a los interesados la siguiente información:

a) la identidad y los datos de contacto del responsable del tratamiento de DHL;

b) los datos de contacto del delegado de protección de datos, en su caso;

c) los fines del tratamiento a que se destinan los datos personales y el alcance del tratamiento;

d) la base jurídica del tratamiento;

e) cuando el tratamiento de datos se base en intereses legítimos, los intereses legítimos del responsable del tratamiento de DHL o de un tercero;

f) los destinatarios o las categorías de destinatarios de los datos personales;

g) en su caso, , la intención del responsable del tratamiento de DHL de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión Europea la referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al hecho de que se hayan prestado;

h) el plazo durante el cual se conservarán los datos personales, o, cuando no sea posible, los criterios utilizados para determinar este plazo;

i) la existencia del derecho a solicitar al responsable del tratamiento de DHL el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos;

j) cuando el tratamiento de datos esté basado en el consentimiento, la existencia del derecho a retirar el consentimiento en cualquier momento, sin que ello afecte a la licitud del tratamiento de datos basado en el consentimiento previo a su retirada;

k) el derecho a presentar una reclamación ante una autoridad de control;

l) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de que no facilitar tales datos;

m) la existencia de decisiones automatizadas, incluida la elaboración de perfiles incluyendo el perfilado y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado;

n) cuando los datos personales no se hayan obtenido del interesado, las categorías de datos personales de que se trate y la fuente de la que proceden los datos personales y, en su caso, si proceden de fuentes de acceso público;

o) cuando el responsable del tratamiento proyecte el tratamiento ulterior de los datos personales para un fin que no sea aquel para el que se obtuvieron, proporcionará al interesado, antes de dicho tratamiento ulterior, información sobre ese otro fin.

(3) La información podrá omitirse si el interesado ya dispone de ella.

Cuando los datos personales no se hayan obtenidos del interesado, la información podrá omitirse adicionalmente, si

a) la comunicación de dicha información resulte imposible, o suponga un esfuerzo desproporcionado,

b) la obtención o comunicación esté expresamente establecida por las leyes y normativas locales que se apliquen al responsabel del tratamiento y que establezcan medidas apropiadas para proteger los intereses legítimos del interesado, o

c) los datos personales deban seguir teneindo carácter confidencial sobre la base de una obligación de secreto profesional regulada por las leyes y normativas locales, incluida una obligación de secreto de naturaleza estatutaria.

(4) El responsable del tratamiento de DHL facilitará la información al interesado en el momento en que se obtengan los datos personales. Cuando los datos personales no se hayan obtenido del interesado, la información se facilitará, como muy tarde, en el plazo de un mes desde la obtención de los datos personales, teniendo en cuenta las circunstancias específicas en las que se traten dichos datos. Si los datos personales han de utilizarse para comunicación con el interesado, el responsable del tratamiento de DHL facilitará la información, como muy tarde, en el momento de la primera comunicación con dicho interesado. Si está prevista una divulgación a otro destinatario, el responsable del tratamiento de DHL facilitará la información, como muy tarde, en el momento en que los datos personales se divulguen por primera vez.

2.2 Licitud y lealtad del tratamiento

(1) Las empresas del Grupo DHL tratarán los datos personales de manera lícita, leal y transparente en relación con el interesado, requiriendo que se cumplan una o más de las siguientes condiciones:

a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos;

b) El tratamiento de datos personales es necesario para la ejecución de un contrato en el que el interesado es parte, incluida la información contractual y/o las obligaciones accesorias, o para la aplicación de medidas precontractuales y/o postcontractuales que se lleven a cabo a solicitud del interesado para la iniciación o ejecución de la relación contractual.

c) El tratamiento de datos personales es necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento de DHL.

d) El tratamiento de datos personales es necesario para proteger intereses vitales del interesado o de otra persona física.

e) El tratamiento de datos personales es necesario para el cumplimiento de una misión realizada en interés público o en el ejercicio de poderes públicos conferidos al responsable del tratamiento de DHL o al tercero al que se comuniquen los datos personales.

f) El tratamiento es necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento de DHL o por un tercero, siempre que sobre dichos intereses no prevalezcan los intereses del interesado que requieran la protección.

(2) El tratamiento de los datos personales recogidos en el EEE relativos a condenas e infracciones penales, o a medidas de seguridad relacionadas, basado en la sección 2.2.1 de esta Política, solo podrá llevarse a cabo bajo la supervisión de una autoridad pública del EEE o cuando lo autorice el Derecho de la UE o de los Estados miembros de la UE que establezca garantías adecuadas para los derechos y libertades de los interesados afectados.

2.3 Requisitos generales de admisibilidad para el tratamiento de datos personales

Las empresas del Grupo DHL deberán cumplir con los principios de protección de datos establecidos a continuación.

2.3.1 Minimización de datos

Las empresas del Grupo DHL tendrán en cuenta la finalidad prevista del tratamiento de datos personales y tratarán los datos personales únicamente si son adecuados y pertinentes, y no exceden lo necesario en relación con el tratamiento. Los principios del tratamiento de datos, incluido el principio de minimización de datos, también se aplicarán a los datos personales archivados.

2.3.2 Anonimización y seudonimización

Siempre que sea posible y económicamente razonable, las empresas del Grupo DHL utilizarán procedimientos para eliminar los elementos identificativos que permitan identificara los interesados (anonimización) o para sustituir dichos elementos identificativos por identificadores (seudonimización). 

2.3.3 Limitación de la finalidad

Las empresas del Grupo DHL solo recopilarán y tratarán datos personales para fines determinados, explícitos y legítimos. Los datos personales solo podrán utilizarse para la finalidad para la que fueron recogidos originalmente. Los cambios de finalidad solo son admisibles con el consentimiento del interesado, si lo permiten las leyes y normativas locales, o cuando el tratamiento de datos para otra finalidad sea compatible con la finalidad para la que los datos personales fueron incialmente recopilados.

2.3.4 Consentimiento

(1) Las empresas del Grupo DHL obtendrán el consentimiento del interesado a más tardar en la fecha en que comience el tratamiento de los datos personales.

(2) El consentimiento debe ser dado libre, específico, inequívoco y proporcionado de forma informada, indicando claramente al interesado el alcance del tratamiento de datos cubierto por el consentimiento y las posibles consecuencias de no dar el consentimiento. El lenguaje del consentimiento debe ser suficientemente claro e informar al interesado de su derecho a retirar su consentimiento en cualquier momento.

(3) El consentimiento se obtendrá en una forma adecuada a las circunstancias (por escrito o por medios electrónicos). Excepcionalmente, también podrá prestarse verbalmente si se documenta que el interesado ha prestado su consentimiento y las circunstancias específicas que requieren que el consentimiento se obtenga mediante una declaración oral. Si el consentimiento se otorga junto con otras declaraciones, deberá destacarse claramente.

2.3.5 Limitación del plazo de conservación

Las empresas del Grupo DHL conservarán los datos personales en un formato que permita la identificación de los interesados únicamente durante el tiempo necesario para los fines del tratamiento.

2.3.6 Encargado

(1) Si una empresa del Grupo DHL o un proveedor de servicios externo trata datos personales por cuenta de una empresa del Grupo DHL, las obligaciones de ambas partes contractuales se regirán por un contrato que cumpla los requisitos de las leyes de protección de datos aplicables (contrato de encargo de tratamiento). El contrato de encargo de tratamiento se celebrará además de un contrato de servicio que pueda celebrarse por escrito o en otra forma equivalente.  Dicho contrato estipulará, en particular, que el encargado :

a) tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable, incluidas las relativas a las transferencias de datos personales a un tercer país, salvo que esté obligado a ello por las leyes y normativas aplicables a los que esté sujeto; en tal caso, el encargado informará al responsable de ese requisito legal antes del tratamiento, salvo que dichas leyes y normativas aplicables prohíban facilitar tal información por razones importantes de interés público;

b) garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada;

c) tomará todas las medidas técnicas y organizativas exigidas por las leyes y normativasaplicables;

d) respetará las condiciones para recurrir a otro encargado del tratamiento;

e) teniendo en cuenta la naturaleza del tratamiento, asistirá al responsable mediante medidas técnicas y organizativasapropiadas, en la medida de lo posible, para el cumplimiento de la obligación del responsable de responder a las solicitudes de ejercicio de los derechos de los interesados establecidos en la sección 2.6.;

f) ayudará al responsabel a garantizar el cumplimiento de las obligaciones establecidas en las leyes y normativas aplicables, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone el encargado;

g) a elección del responsable, suprimirá o devuelverá todos los datos personales al responsable tras finalizar la prestación de servicios de tratamiento, y suprimirá las copias existentes salvo que las leyes y normativas aplicables exijan la conservación de los datos personales;

h) pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en esta sección y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por parte del responsable o de otro auditor autorizado por dicho responsable.

(2) Sin la autorización previa del responsable del tratamiento de DHL, el encargado no podrá tratar los datos personales que se le hayan comunicado para fines propios ni para fines de un tercero. Las obligaciones establecidas para el encargado en el contrato de encargo de tratamiento deberán imponerse a cualquier subencargado contratado por el encargado. El encargado y cualquier subencargado deberán ser seleccionados en función de su capacidad para cumplir con las obligaciones establecidas en el contrato de encargo de tratamiento.

(3) Si las empresas del grupo DHL celebran contratos con encargados y/o subencargados externos en terceros países, deberán implementarse las garantías adecuadas previstas en el RGPD y en las leyes de protección de datos aplicables, a fin de proteger los derechos y las libertades de los interesados y garantizar el ejercicio de sus derechos.

2.3.7 Responsabilidad proactiva

(1) Cada empresa del Grupo DHL deberá garantizar y poder demostrar el cumplimiento de los requisitos aplicables establecidos en la Política.

(2) Todas las empresas del Grupo DHL deberán mantener un registro de todas las categorías de actividades de tratamiento de datos (Data Protection Record - DPR) realizadas en el marco de la Política. El DPR incluirá, como mínimo:

a) el nombre y datos de contacto del responsable del tratamiento / encargado de tratamiento de DHL (cuando corresponda, del coresponsable del tratamiento, del representante del responsable del tratamiento de DHL y del delegado de protección de datos);

b) los fines del tratamiento de datos;

c) una descripción de las categorías de interesados y de las categorías de datos personales;

d) las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales;

e) en su caso, las transferencias de datos personales a un tercer país o a una organización internacional;

f) cuando sea posible, los plazos previstos para la supresiónde las diferentes categorías de datos personales;

g) cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.

Las empresas del Grupo DHL deberán garantizar que todos los DPR se mantengan por escrito, incluso en formato electrónico. Para este fin, las empresas del Grupo DHL disponen de una herramienta y plataforma centralizada de documentación denominada DHL Group Privacy Portal (el portal de privacidad del Grupo DHL). Los DPR deberán ponerse a disposición de la autoridad de control competente cuando ésta lo solicite.

(3) Para poder demostrar el cumplimiento, las empresas del Grupo DHL deberán garantizar que se realicen PIAs para todas las actividades de tratamiento de datos que impliquen datos personales transferidos en el marco de la Política. En particular, deberá llevarse a cabo un PIA para las actividades de tratamiento que probablemente entrañen un alto riesgo para los derechos y las libertades de las personas físicas. Para este fin, el DHL Group Privacy Portal ayudará a las empresas del Grupo DHL a cumplir sus obligaciones de documentación y responsabilidad proactiva, y facilitará la realización de los PIAs.

(4) La empresa del Grupo DHL deberá consultar a la autoridad de control antes de llevar a cabo el tratamiento de datos si un PIA indica que dicho tratamiento implicaría un alto riesgo en ausencia de medidas adoptadas por la empresa del Grupo DHL para mitigarlo.

(5) Las empresas del Grupo DHL adoptarán e implementarán las medidas técnicas y organizativas apropiadas, diseñadas para incorporar los principios de protección de datos y respaldar el cumplimiento de los requisitos establecidos en la Política. Estas medidas deberán aplicarse en la práctica para garantizar la privacidad desde el diseño y por defecto.

2.4 Casos especiales de tratamiento de datos

2.4.1 Categorías especiales de datos personales

Las empresas del Grupo DHL solo podrán tratar categorías especiales de datos personales cuando dicho tratamiento sea estrictamente necesario y esté legalmente exigido, o cuando el interesado haya dado su consentimiento explícito. Las empresas del Grupo DHL deberán implementar medidas técnicas y organizativas para garantizar la seguridad del tratamiento de los datos personales.

2.4.2 Decisiones automatizadas en casos individuales

(1) Los interesados tienen derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado de datos, incluida la elaboración de perfiles, que produzca efectos jurídicos sobre ellos o les afecte significativamente de modo similar. Este derecho no se aplica si la decisión es:

a) necesaria para la celebración o la ejecución de un contrato entre el interesado y un responsable del tratamiento de DHL,

b) autorizada por las leyes y normativas locales a las que esté sujeto el responsable del tratamiento de DHL y que también establezcan medidas adecuadas para salvaguardar los derechos, las libertades y los intereses legítimos del interesado, o

c) basada en el consentimiento explícito del interesado.

(2) La empresa del Grupo DHL informará al interesado sobre la existencia de decisiones automatizadas, incluida la elaboración de perfiles, sobre la lógica aplicada, así como sobre la importancia y las consecuencias previstas de dicho tratamiento de datos para el interesado.

(3) En los casos a los que se refieren los apartados (1)(a) y (1)(c) anteriores, el responsable del tratamiento de DHL implementará medidas adecuadas para salvaguardar los derechos, las libertades y los intereses legítimos del interesado, al menos el derecho a obtener la intervención humana por parte del responsable del tratamiento de DHL, a expresar su punto de vista y a impugnar la decisión.

(4) En el caso de decisiones automatizadas basadas en categorías especiales de datos personales, estas solo son admisibles si se basan en el consentimiento del interesado o si son necesarias por razones de un interés público esencial, conforme a las leyes de protección de datos aplicables.

2.5 Calidad de los datos / Seguridad del tratamiento de datos

2.5.1 Calidad de los datos

Las empresas del Grupo DHL deben cumplir con los principios de calidad de los datos, como exactitud, la integridad y la pertinencia. Los datos personales deben ser adecuados, pertinentes y limitados a lo necesarioen relación con los fines para los que se tratan. Las empresas del Grupo DHL deberán adoptar medidas razonables para garantizar que los datos personales inexactos o incompletos se supriman, rectifiquen, completen o actualicen sin dilación, teniendo en cuenta la finalidad del tratamiento y los intereses del interesado.

2.5.2 Confidencialidad

Solo podrán tratar datos personales aquellos empleados que estén autorizados y que se hayan comprometido a cumplir los principios de protección de datos y de confidencialidad. Queda estrictamente prohibido cualquier tratamiento de datos personales para beneficio personal, así como su divulgación no autorizada o cualquier forma de acceso que no sea conforme con las leyes y normativas aplicables. Esto incluye la transferencia de datos personales a terceros no autorizados o ponerlos a su disposición por cualquier otro medio. En este contexto, “no autorizados” pueden ser también empleados de la misma empresa del Grupo DHL o de otra empresa del Grupo DHL cuando los datos no sean necesarios o pertinentes para su ámbito de trabajo o sus funciones especializadas, o cuando el tratamiento no esté legitimado por las leyes y normativas aplicables.

2.5.3 Medidas técnicas y organizativas

Al tratar datos personales, las empresas del Grupo DHL deberán aplicar las medidas técnicas y organizativas apropiadas para garantizar la seguridad de los datos personales y para proteger los datos personales frente al acceso ilícito, la pérdida, la destrucción o la alteración. A tal fin, y de conformidad con los estándares internos correspondientes, las empresas del Grupo DHL deberán aplicar todas las medidas necesarias.

Estas medidas incluyen:

• Impedir el acceso de personas no autorizadas a las instalaciones de tratamiento donde se procesan o utilizan datos personales (control de acceso físico).
• Impedir que personas no autorizadas utilicen los sistemas de tratamiento de datos (control de uso).
• Garantizar que los usuarios autorizados de un sistema de tratamiento de datos solo puedan acceder a los datos personales dentro del ámbito de sus derechos de acceso, y que los datos personales almacenados en el sistema de tratamiento de datos no puedan ser leídos, copiados, modificados ni eliminados sin autorización, ya sea durante el tratamiento o el uso o cuando se encuentren almacenados (control de acceso).
• Garantizar que los datos personales no puedan ser leídos, copiados, modificados ni eliminados sin autorización durante la transferencia electrónica de datos o en el proceso de transmisión o almacenamiento en soportes de datos, y que sea posible verificar y determinar a través de qué medios o sistemas de transmisión de datos se realiza la transferencia de los datos personales (control de la transmisión).
• Garantizar que pueda revisarse y establecerse a posteriori si, y por quién, los datos personales han sido introducidos, modificados o eliminados en los sistemas de tratamiento de datos (control de la entrada).
• Garantizar que los datos personales tratados por cuenta del responsable del tratamiento de DHL solo puedan ser tratados conforme a las instrucciones del propio responsable del tratamiento de DHL (control del tratamiento).
• Garantizar que los datos personales estén protegidos frente a su destrucción o pérdida accidental (control de disponibilidad).
• Garantizar que los datos recopilados para distintas finalidades se traten por separado (requisito de separación).
• Proporciona la posibilidad de seudonimizar y cifrar los datos personales.
• Proporcionar la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento, incluida la capacidad de restaurar la disponibilidad y el acceso a los datos personales.
• Proporcionar un proceso para probar, evaluar y valorar regularmente la eficacia de las medidas técnicas y organizativas que garantizen la seguridad del tratamiento de datos.

2.5.4 Violación de la seguridad de datos personales

Tal como se ha indicado anteriormente, la confidencialidad y la seguridad de los datos son aspectos clave del sistema de gestión de la protección de datos del Grupo DHL. No obstante, en caso de una violación de la seguridad de los datos personales, la respectiva empresa del Grupo DHL deberá documentarla en un registro específico y notificarla a la dirección competente y al Data Protection Official, de conformidad con el proceso del Grupo DHL para las violaciones de seguridad de los datos personales. Cuando la violación de la seguridad de los datos personales sea probable que dé lugar a un riesgo para los derechos y libertades de las personas físicas, la respectiva empresa del Grupo DHL deberá notificarla a la autoridad de control competente (para el EEE, dentro de las 72 horas siguientes a haber tenido conocimiento; este plazo puede variar en otras jurisdicciones). Cuando la violación de la seguridad de los datos personales sea probable que dé lugar a un alto riesgo para los derechos y libertades de las personas físicas, la respectiva empresa del Grupo DHL deberá, además, notificarla al interesado, de conformidad con las leyes de protección de datos aplicables. En caso de que la respectiva empresa del Grupo DHL actúe como encargado del tratamiento, deberá notificar la violación de la seguridad de los datos personales a la empresa del Grupo DHL que actúe como responsable del tratamiento en cuanto tenga conocimiento de ella.

2.6 Derechos del interesado

2.6.1 Obligaciones generales

(1) El responsable del tratamiento de DHL deberá adoptar las medidas adecuadas para proporcionar a los interesados información y comunicaciones relacionadas con el tratamiento de datos de forma concisa, transparente, inteligible y de fácil acceso. La información deberá facilitarse por escrito o por otros medios, según corresponda.

(2) El responsable del tratamiento de DHL deberá facilitar la información o adoptar las medidas solicitadas conforme a las secciones 2.6.2 a 2.6.4 sin dilación indebida y, en cualquier caso, dentro del plazo de un mes a partir de la recepción de la solicitud. Cuando sea necesario, teniendo en cuenta la complejidad y el número de solicitudes, dicho plazo podrá ampliarse por dos meses adicionales. El interesado deberá ser informado de cualquier ampliación dentro del plazo de un mes desde la recepción de la solicitud, junto con los motivos del retraso.

2.6.2 Derecho de acceso

(1) Cada interesado tendrá derecho a obtener del responsable del tratamiento de DHL confirmación de si sus datos personales están siendo tratados y, en caso afirmativo, a acceder a sus datos personales y a recibir información adicional, incluida su procedencia, la finalidad del tratamiento, los destinatarios a los que se hayan comunicado y, cuando sea posible, el plazo previsto de conservación de los datos o los criterios utilizados para determinar dicho plazo. Además, el interesado tendrá derecho a acceder a información sobre si se llevan a cabo decisiones automatizadas, incluida la elaboración de perfiles. Cuando así sea, deberá recibir información adicional sobre la lógica aplicada, así como sobre la importancia y las consecuencias previstas de dicho tratamiento de datos. El interesado también deberá ser informado sobre las garantías adecuadas relativas a la transferencia de datos personales a un tercer país, cuando proceda.

(2) A solicitud del interesado, el responsable del tratamiento de DHL deberá facilitar una copia de los datos personales objeto de tratamiento. En el caso de que el interesado solicite copias adicionales, el responsable del tratamiento podrá imponer una tarifa razonable basada en los costes administrativos por emitir dicha información.

2.6.3 Derecho de rectificación, limitación, supresión (derecho al olvido) y portabilidad de datos

(1) El interesado tiene derecho a exigir la rectificación cuando los datos almacenados sobre él sean incompletos o inexactos.

(2) El interesado tendrá derecho a solicitar al responsable del tratamiento de DHL la limitación del tratamiento cuando:

a) la exactitud de los datos personales es impugnada,

b) los datos personales ya no son necesarios para el responsable del tratamiento de DHL,

c) el tratamiento es ilícito, o

d) el interesado se ha opuesto al tratamiento conforme a la sección 2.6.4.

(3) Además, el interesado tendrá derecho a solicitar la supresión de sus datos personales cuando el tratamiento sea inadmisible o cuando ya no sean necesarios para dicho tratamiento, o cuando concurra cualquier otro motivo previsto en las leyes y normativas aplicables.

Cuando el responsable del tratamiento de DHL haya hecho públicos los datos personales, deberá —teniendo en cuenta la tecnología disponible y los costes de su aplicación— adoptar las medidas razonables para informar a otros responsables que estén tratando esos datos personales de que el interesado ha solicitado la supresión de cualquier enlace a dichos datos personales, así como de cualquier copia o reproducción de los mismos (derecho al olvido). Las obligaciones anteriores no se aplicarán cuando el tratamiento sea necesario para el cumplimiento de obligaciones legales previstas en las leyes y normativas aplicables que requieran dicho tratamiento.

(4) El interesado tendrá derecho a recibir los datos personales que haya facilitado al responsable del tratamiento de DHL, en las condiciones previstas en las leyes y normativas aplicables, en un formato estructurado, de uso común y lectura mecánica (portabilidad de los datos).

2.6.4 Derecho de oposición

(1) El interesado tendrá derecho a oponerse en cualquier momento al tratamiento de sus datos personales cuando dicho tratamiento se base en el interés público o en el ejercicio de poderes públicos conferidos a un responsable del tratamiento de DHL o cuando se base en intereses legítimos perseguidos por el responsable del tratamiento de DHL o por un tercero. Salvo que el responsable del tratamiento de DHL demuestre motivos legítimos imperiosos para el tratamiento que prevalezcan sobre los intereses del interesado, o demuestre la necesidad del tratamiento para la formulación, el ejercicio o la defensa de reclamaciones, el responsable del tratamiento de DHL dejará de tratar los datos personales.

(2) Cuando las empresas del Grupo DHL traten datos personales con fines de mercadotecnia directa, el interesado tendrá derecho a oponerse en cualquier momento a dicho tratamiento, lo que incluye la elaboración de perfiles en la medida en que esté relacionada con esa mercadotecnia directa. En caso de que el interesado formule su oposición, las empresas del Grupo DHL dejarán de tratar los datos personales con fines de mercadotecnia directa.

2.6.5 Prohibición de discriminación

Las empresas del Grupo DHL deberán tratar a los interesados de manera justa e igualitaria cuando estos ejerzan sus derechos.

2.6.6 Planteamiento de solicitudes y reclamaciones

(1) El interesado podrá ponerse en contacto en cualquier momento con el Data Protection Official del correspondiente responsable del tratamiento de DHL (a través del formulario de solicitud disponible en el aviso de privacidad de dhl.com) en relación con el tratamiento de sus datos personales o para plantear consultas sobre la presente Política, incluida la posibilidad de presentar una reclamación relativa al tratamiento.

(2) Para consultas y reclamaciones por correo, los interesados podrán utilizar la siguiente dirección de contacto:

Deutsche Post AG
Global Data Protection
53250 Bonn

Las consultas y reclamaciones serán remitidas a la correspondiente empresa del Grupo DHL.

(3) Los interesados podrán presentar sus consultas y reclamaciones directamente contra el responsable del tratamiento de DHL. En estos casos, el responsable del tratamiento de DHL se compromete a gestionar dichas consultas y reclamaciones sin dilación indebida y dentro del plazo de un mes a partir de la recepción de la solicitud. Teniendo en cuenta la complejidad y el número de solicitudes, las empresas del Grupo DHL podrán prorrogar el plazo de un mes, como máximo, por dos meses adicionales, en cuyo caso el interesado será informado en consecuencia dentro del plazo de un mes desde la recepción de la solicitud, junto con los motivos del retraso.

(4) Los interesados están debidamente informados sobre el procedimiento de gestión de reclamaciones y sobre cómo presentar una reclamación a través de la Política y de los avisos de privacidad publicados por las empresas del Grupo DHL en los respectivos sitios web.

(5) Sin perjuicio de lo anterior, el interesado también tiene derecho a presentar una reclamación ante la autoridad de control competente y/o a emprender acciones legales.

3.1 Delegada de protección de datos del Grupo DHL

(1) La delegada de protección des datos del Grupo DHL coordina la cooperación y el acuerdo en todas las cuestiones relacionadas con la Política. En particular, la delegada de protección de datos del Grupo DHL actúa como representante frente a terceros externos y ante las autoridades de control nacionales e internacionales en todas las cuestiones relacionadas con la Política. Sin perjuicio de lo anterior, los Data Protection Officials designados conforme a las leyes y normativas mantendrán su independencia y su ausencia de instrucciones.

(2) La delegada de protección de datos del Grupo DHL supervisa la implementación de la Política sobre la base de auditorías conforme a la sección 3.5 más abajo, así como mediante otros instrumentos adecuados, y reporta al Consejo de Administración del Grupo DHL. Las empresas del Grupo DHL deberán apoyar a la delegada de protección de datos del Grupo DHL en el desempeño de estas tareas.

(3) Las empresas del Grupo DHL deberán informar a la delegada de protección de datos del Grupo DHL cuando se adhieran a la Política o cuando se desvinculen de ella. Anualmente, y previa solicitud, la delegada de protección de datos del Grupo DHL proporcionará a la autoridad de control la lista de las empresas del Grupo DHL adheridas.

(4) La delegada de protección de datos del Grupo DHL también es responsable de actualizar la Política según lo establecido en el capítulo 5 más abajo, así como de proporcionar las formaciones obligatorias relacionadas con ella.

3.2 Comité de dirección de protección de datos

Con el fin de implementar la Política y lograr la integración continua de los requisitos de protección de datos en los procesos empresariales, se ha establecido un comité de dirección de protección de datos compuesto por representantes divisionales. En particular, el comité de dirección de protección de datos apoyará y colaborará con la delegada de protección de datos del Grupo DHL para establecer y mantener el sistema de gestión de protección de datos del Grupo DHL.

3.3 Data protection officials y asesores jurídicos de protección de datos

(1) Cada empresa del Grupo DHL deberá designar a Data Protection Official independiente. El Data Protection Official es responsable de la implementación de los estándares y las normativas y deberá tener la posibilidad de informar al director general de la correspondiente empresa del Grupo DHL.

(2) Con el fin de garantizar el cumplimiento de la Política, las empresas del Grupo DHL deberán involucrar a los Data Protection Officials en una fase temprana del desarrollo y diseño de procesos operativos nuevos o modificados, así como de productos, servicios y medidas de mercadotecnia. Para garantizar el desempeño de estas tareas, las empresas del Grupo DHL deberán informar al Data Protection Official correspondiente sobre cualquier desarrollo relevante.

(3) Las empresas del Grupo DHL deberán informar sin dilación indebida al Data Protection Official de la empresa del Grupo DHL en cuestión sobre las infracciones (sospechadas) de las disposiciones de protección de datos y de la Política.

(4) Con respecto a los incidentes que vulneren la Política y que sean relevantes para más de una empresa del Grupo DHL, el Data Protection Official deberá informar también a la delegada de protección de datos del Grupo DHL y al asesor jurídico competente en materia de protección de datos. En particular, los Data Protection Officials deberán informar a la delegada de protección de datos del Grupo DHL si las leyes aplicables a una empresa del Grupo DHL cambian sustancialmente de manera desfavorable y cuando ello tenga efectos sobre la protección de datos o sobre la adhesión a la Política.

(5) Los Data Protection Officials se apoyarán mutuamente en la implementación y la gestión del sistema de gestión de protección de datos del Grupo DHL. Junto con los asesores jurídicos, forman parte de la red de privacidad de datos del Grupo DHL.

(6) Los asesores jurídicos de protección de datos, aportando experiencia jurídica, deberán apoyar a los Data Protection Officials en el cumplimiento de sus tareas. En particular, en lo que respecta a cuestiones regulatorias, los Data Protection Officials deberán solicitar el asesoramiento de los asesores jurídicos de protección de datos.

3.4 Formaciones

(1) La delegada de protección de datos del Grupo DHL proporcionará formaciones obligatorias, adecuadas y actualizadas en materia de protección de datos, así como formaciones adicionales y medidas de concienciación. El ciclo de formación para las formaciones obligatorias es de dos años para empleados en situación laboral activa.

(2) Los Data Protection Officials deberán, de manera regular y conforme al concepto de formación correspondiente, formar adecuadamente a los empleados de las empresas del Grupo DHL que tengan acceso permanente o regular a datos personales, o que participen en la recopilación de datos personales o en el desarrollo de herramientas utilizadas para tratar datos personales, en la aplicación de la Política. La implementación de las formaciones deberá ser documentada por el Data Protection Official correspondiente y comunicada al menos una vez al año a la delegada de protección de datos del Grupo DHL.

(3) Las formaciones incluirán, entre otras, formaciones sobre la gestión de solicitudes de acceso por parte de autoridades públicas, así como sobre la gestión de accesos a datos personales.

3.5 Auditorías

(1) Las empresas del Grupo DHL deberán auditar la implementación de la Política y todos los componentes del sistema de gestión de protección de datos del Grupo DHL de manera regular y de acuerdo con el programa de auditoría de protección de datos. Este consiste en el concepto de auditoría de protección de datos, elaborado por la delegada de protección de datos del Grupo DHL, y en los planes de auditoría anuales, preparados por la delegada de protección de datos del Grupo DHL y por las divisiones del Grupo DHL, en los que se especifican las actividades de auditoría regulares, los auditores y su frecuencia.

(2) El informe de auditoría, incluidas las acciones correctivas propuestas para abordar y mitigar los riesgos, deberá ser comunicado —dependiendo del tipo y alcance de la auditoría— al Data Protection Official correspondiente y al director general de la empresa del Grupo DHL en cuestión y, cuando proceda, al Consejo de Administración del Grupo DHL. Asimismo, deberá ponerse a disposición de la autoridad de control competente previa solicitud.

(3) Las auditorías deberán ser realizadas por auditores cualificados, ya sean internos o externos, sin ningún conflicto de intereses. Además, la delegada de protección de datos del Grupo DHL y los Data Protection Officials deberán respaldar y apoyar las auditorías generales de cumplimiento, en particular las auditorías realizadas por el departamento de Auditoría Interna o las auditorías efectuadas por auditores externos. En caso de que una auditoría identifique algún incumplimiento significativo de los principios establecidos en la Política, la empresa del Grupo DHL afectada que resulte no conforme deberá implementar de manera inmediata las acciones correctivas necesarias para lograr el cumplimiento.

(4) Además de las auditorías establecidas en esta sección, la delegada de protección de datos del Grupo DHL podrá iniciar ocasionalmente auditorías ad hoc.

(5) Previa solicitud, la delegada de protección de datos del Grupo DHL proporcionará a la autoridad de control el informe de auditoría correspondiente. Una autoridad de control competente podrá solicitar a la delegada de protección de datos del Grupo DHL que lleve a cabo o haga llevar a cabo —de conformidad con las leyes y normativas— una auditoría en una empresa del Grupo DHL para verificar el cumplimiento de la Política. La empresa del Grupo DHL correspondiente deberá aceptar dicha auditoría y realizar los ajustes necesarios para abordar cualquier sugerencia de mejora identificada en el curso de la auditoría.

3.6 Cumplimiento normativo

Las empresas del Grupo DHL deberán comprometerse a las siguientes obligaciones:

(1) No se realizará ninguna transferencia de datos en virtud de la Política a un importador de datos de DHL a menos que esté efectivamente vinculado por la Política y pueda garantizar el cumplimiento.

(2) El exportador de datos de DHL deberá ser informado sin demora por el importador de datos de DHL si este no puede cumplir con la Política. Cuando el importador de datos de DHL incumpla la Política o no pueda cumplirla, el exportador de datos de DHL deberá suspender la transferencia de datos.

(3) El exportador de datos de DHL también deberá suspender la transferencia de datos al importador de datos de DHL cuando el importador de datos de DHL incumpla de manera sustancial o reiterada la Política, o cuando el importador de datos de DHL no cumpla una decisión vinculante de un tribunal competente o de una autoridad de control competente.

(4) Cuando el exportador de datos de DHL haya suspendido la transferencia de datos personales y no se restaure el cumplimiento dentro del plazo de un mes desde la suspensión, el importador de datos de DHL deberá, a discreción del exportador de datos de DHL, devolver o eliminar de inmediato todos los datos personales que hayan sido transferidos en virtud de la Política. El importador de datos de DHL deberá aplicar los mismos compromisos a cualquier copia de los datos, certificar la eliminación de los datos ante el exportador de datos de DHL y garantizar el cumplimiento de la Política hasta que los datos personales hayan sido eliminados o devueltos.

(5) Si las leyes locales prohíben al importador de datos de DHL devolver o eliminar los datos personales transferidos, el importador de datos de DHL deberá garantizar el cumplimiento continuado de la Política y tratar los datos personales únicamente durante el tiempo y en la medida en que lo exija la ley local.

3.7 Cooperación con las autoridades de control competentes

(1) Las empresas del Grupo DHL se comprometen a cooperar de buena fe y en la medida en que sea admisible conforme a las leyes y normativas con la autoridad de control competente.

(2) Las empresas del Grupo DHL aceptan ser auditadas e inspeccionadas, incluso, cuando sea necesario y conforme a las leyes y normativas, mediante inspecciones in situ, por las autoridades de control competentes. Tendrán en cuenta sus recomendaciones y, cuando sea necesario y de conformidad con las leyes y normativas, cumplirán las decisiones de estas autoridades de control en cualquier asunto relacionado con la Política. Previa solicitud, las empresas del Grupo DHL proporcionarán a las autoridades de control competentes cualquier información sobre las operaciones de tratamiento cubiertas por la Política.

(3) En caso de un cambio en las leyes y normativas aplicables a una empresa del Grupo DHL que pueda tener un efecto adverso significativo sobre las garantías previstas en la Política, la empresa del Grupo DHL deberá informar a la delegada de protección de datos del Grupo DHL, quien se pondrá en contacto con la autoridad de control competente de la UE.

(4) Todos los litigios relacionados con la supervisión del cumplimiento de la Política por parte de las autoridades de control competentes serán resueltos por los tribunales del Estado miembro de la Unión Europea de la autoridad de control, de conformidad con el derecho procesal de dicho Estado miembro. Las empresas del Grupo DHL aceptan someterse a la autoridad de dichos tribunales.

(5) El Data Protection Official responsable y, en la medida en que sea necesario, el asesor jurídico de protección de datos deberán participar en todas las cuestiones relacionadas con la gestión de las actividades de las autoridades de control.

4.1 Responsabilidad de las empresas del Grupo DHL

(1) Cada exportador de datos de DHL será responsable, frente a los interesados, de cualquier incumplimiento de la Política y/o de los daños materiales o inmateriales que resulten de dicho incumplimiento, con independencia de quién lo haya causado.

(2) Cada empresa del Grupo DHL estará obligada a demostrar que no ha infringido la Política. En el caso de que la reclamación del interesado se relacione con un acto u omisión de un importador de datos de DHL, el exportador de datos de DHL solo quedará exento de responsabilidad frente al interesado (total o parcialmente) si puede demostrar que el importador de datos de DHL no ha incumplido la Política. 

(3) Si un interesado, sobre la base de un incumplimiento por parte del importador de datos de DHL o de su subencargado, no pudiera presentar una reclamación para obtener reparación e indemnización, cuando proceda, contra el exportador de datos de DHL porque el exportador de datos de DHL ha desaparecido de hecho, ha dejado de existir jurídicamente o ha entrado en situación de insolvencia, el importador de datos de DHL otorgará al interesado el derecho a emprender acciones legales contra el propio importador de datos de DHL. Si otra entidad ha asumido las responsabilidades legales del exportador de datos de DHL por contrato o por ley, el interesado podrá ejercer sus derechos contra dicha entidad sucesora.

(4) El importador de datos de DHL no podrá ampararse en un incumplimiento por parte de un subencargado de sus obligaciones para evitar su propia responsabilidad. La responsabilidad del subencargado se limitará a sus propias operaciones de tratamiento de datos en virtud de la Política.

(5) El pago de daños punitivos, en virtud de los cuales una empresa del Grupo DHL estaría obligada a realizar pagos a un interesado que excedan el daño real sufrido, queda expresamente excluido.

(6) El interesado tendrá derecho a autorizar a un organismo, organización o asociación sin ánimo de lucro, debidamente constituido de conformidad con las leyes y normativas, cuyos objetivos estatutarios sean de interés público y que actúe en el ámbito de la protección de los derechos y libertades de los interesados, para que haga valer sus derechos. Esto podrá incluir la presentación de reclamaciones, el ejercicio de los derechos del interesado y la interposición, cuando proceda, de acciones de reparación e indemnización en su nombre, cuando así lo prevean las leyes y normativas.

4.2 Carga de la prueba

En cualquier caso, y cuando un interesado haya demostrado que ha sufrido un daño que probablemente haya sido causado por un incumplimiento de la Política, la carga de la prueba del tratamiento de los datos personales del interesado conforme a la Política recaerá en el exportador de datos de DHL correspondiente.

4.3 Derechos de terceros

(1) Si el interesado no tuviera derechos directos, estará facultado para hacer valer, como tercero beneficiario, los derechos que le correspondan en virtud de la Política frente a la empresa del Grupo DHL que haya incumplido sus obligaciones contractuales hacia el interesado.

(2) Los interesados pueden hacer valer las disposiciones de la Política, como beneficiarios terceros, según se detalla a continuación:

a) los principios de protección de datos detallados en la sección 2;

b) el hecho de que Grupo DHL concede fácil acceso a la Política, como se detalla en la sección 1.6;

c) los derechos de acceso, rectificación, supresión, limitación, oposición al tratamiento y el derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado reconocidos a los interesados, según se detalla en la sección 2.6;

d) la obligación, para cada empresa del Grupo DHL, de notificar a la autoridad de control competente en caso de conflicto entre la legislación local y la Política, según se detalla en la sección 1.3;

e) el derecho de los interesados a presentar una reclamación a través del proceso interno de reclamaciones del Grupo DHL, según se detalla en la sección 2.6.6;2.6.6

f) el deber de las empresas del Grupo DHL de cooperar con las autoridades de control, según se detalla en la sección 3.7;

g) la obligación de cada empresa del Grupo DHL del EEE que transfiera datos personales a una empresa del Grupo DHL fuera del EEE sobre la base de la Política de aceptar la responsabilidad por cualquier incumplimiento de la Política por parte de la empresa del Grupo DHL fuera del EEE que haya recibido los datos personales, según se detalla en la sección 4;

h) la obligación de informar a los interesados sobre cualquier actualización de la Política y de sus miembros, según se detalla en la sección 5;

i) el derecho a recursos judiciales, reparación y compensación, según se detalla en la sección 4.1.

j) la obligación, para cualquier transferencia ulterior de datos personales realizada por una empresa del Grupo DHL fuera del EEE a un tercero, de garantizar que dicho tercero esté obligado a proporcionar el mismo nivel de protección de datos establecido en la Política.

4.4 Lugar de jurisdicción

A discreción del interesado, este tiene derecho a presentar una reclamación:

• ante una autoridad de control, en particular en el Estado miembro de la UE en el que el interesado tenga su residencia habitual, su lugar de trabajo o el lugar donde se haya producido la presunta infracción, o ante la autoridad de control competente de los Estados miembros de la UE en los que el exportador de datos del Grupo DHL o el importador de datos del Grupo DHL tenga un establecimiento, y
• ante el tribunal competente de los Estados miembros de la UE en los que el exportador de datos del Grupo DHL o el importador de datos del Grupo DHL tenga un establecimiento, o en los que el interesado tenga su residencia habitual.

4.5 Resolución alternativa de disputas

(1) Los interesados que consideren que su derecho a la protección de su vida privada ha sido vulnerado por un tratamiento real o presunto de sus datos personales pueden presentar una reclamación ante el Data Protection Official competente de la respectiva empresa del Grupo DHL. El Data Protection Official examinará la legitimidad de la reclamación y asesorará al interesado respecto de sus derechos. En este contexto, el Data Protection Official mantendrá la confidencialidad de los demás datos personales de los que haya tenido conocimiento por parte del reclamante, salvo que este le libere de dicha obligación. A solicitud del interesado, la empresa del Grupo DHL podrá intentar alcanzar un acuerdo sobre la reclamación con el interesado, con la participación del Data Protection Official.

(2) El derecho del interesado a presentar una reclamación ante la autoridad de control competente y/o a emprender acciones legales no se verá afectado por esta disposición.

(1) La Política podrá modificarse ocasionalmente, cuando y en la medida en que sea necesario, en particular para cumplir con las leyes de protección de datos aplicables o para incorporar cambios dentro del Grupo DHL.

(2) En caso de actualizaciones necesarias, la delegada de protección de datos del Grupo DHL informará al comité de dirección de protección de datos y presentará las propuestas pertinentes. La delegada de protección de datos del Grupo DHL también iniciará, según sea necesario, la correspondiente alineación con la dirección, en función del contenido de los cambios necesarios.

(3) Cualquier cambio significativo de la Política deberá ser comunicado previamente a la autoridad de control, acompañado de una breve explicación de los motivos. Cualquier otro cambio de esta Política (si procede), como aquellos destinados a alinearla con las recomendaciones actualizadas del CEPD en materia de normas corporativas vinculantes, deberá comunicarse a la autoridad de control una vez al año, con una breve explicación de los motivos. Esto podrá aplicarse cuando los cambios pertinentes puedan afectar al cumplimiento por parte de la empresa del Grupo DHL de la leyes de protección de datos aplicables o cuando los cambios puedan resultar perjudiciales para los derechos de los interesados.

(4) Se pondrá a disposición de todas las empresas del Grupo DHL y sus empleados información clara y fácilmente accesible sobre cualquier cambio significativo.

(5) La versión vigente de la Política y la lista de las entidades adheridas a la Política se publicarán en los sitios web del Grupo DHL.

(1) La Política se regirá por el derecho procesal de la República Federal de Alemania en caso de cualquier disputa.

(2) Si las disposiciones individuales de la Política son o se vuelven nulas, se considerarán sustituidas por las disposiciones que más se aproximen a las intenciones originales de la Política y a las disposiciones nulas. En caso de duda, se aplicarán en estos casos o en ausencia de disposiciones pertinentes las leyes de protección de datos aplicables de la Unión Europea.