Registro de actividad de tratamiento

REGISTRO DE LAS ACTIVIDADES DE TRATAMIENTO DEL COLEGIO PROFESIONAL DE DIETISTAS Y NUTRICIONISTAS DE CASTILLA Y LEÓN

1. IDENTIFICACIÓN RESPONSABLE

COLEGIO PROFESIONAL DE DIETISTAS Y NUTRICIONISTAS DE CASTILLA Y LEÓN (en adelante CODINUCYL).

Dirección: Calle San Ignacio 11 Local 9, 47003 – Valladolid.

Teléfono: 633.711.768

CIF: G4733589.

Delegado de Protección de Datos: PRODA CYL SL.

Tlf: 983.36.38.93

Correo electrónico: protecciondatos@codinucyl.es

En cumplimiento del artículo 30 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en adelante, RGPD) el objeto del presente documento consiste en establecer los registros de las actividades del tratamiento titularidad de CODINUCYL, actuando en calidad de: [x] Responsable del tratamiento.

2. VERSIÓN Y TRAZABILIDAD DEL REGISTRO DE ACTIVIDADES

Código	N.º de Edición/Fecha	Edición vigente
RGPD-RAT-01	PRIMERA/MAYO 2018
RGPD-RAT-02	SEGUNDA
RGPD-RAT-03	TERCERA
RGPD-RAT-04	CUARTA	x

Clasificación	Tipo de documento	Estado
Público	Documento técnico x	Borrador
Interno x	Presentación	En revisión
Uso exclusivo	Propuesta/Informe	Atualizable x
Confidencial	Otros:	Informe final

Trazabilidad	Nombre / puesto	Firma / fecha
Realizado [responsable de actualización y mantenimiento del documento]	PRODAT CASTILLA Y LEÓN	junio de 2019
Revisado
Aprobado

3. INTRODUCCIÓN

El principio de responsabilidad proactiva o “accountability” (art. 24 RGPD) de las empresas es uno de los aspectos novedosos y esenciales del REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), en adelante RGPD y se basa en el reconocimiento de responsabilidad y la prevención de las organizaciones que tratan datos personales. En este sentido, el RGPD considera que actuar sólo cuando ya se ha producido una infracción es insuficiente como estrategia, debido a que dicha infracción puede causar daños de difícil compensación o reparación a los interesados.

Así, las organizaciones son responsables de implementar los medios que les permitan realizar un correcto tratamiento de datos personales de forma segura, y además deben ser capaces de demostrar que han actuado con la diligencia debida (art. 5.2 RGPD que implica la inversión de la carga de la prueba). Por tanto, el responsable del tratamiento deberá disponer de documentación que acredite la diligencia en el tratamiento de datos, y el cumplimiento de la normativa.

El RGPD dispone en su Considerando 82 que “para demostrar la conformidad y cumplimiento del mismo, tanto el responsable como el encargado de tratamiento deben mantener registros de las actividades de tratamiento bajo su responsabilidad”.

Tal y como establece el Considerando 89 del RGPD, se suprime la obligación formal del registro de ficheros de las empresas ante la autoridad de control (en nuestro caso la notificación de ficheros ante el RGPD de la Agencia Española de Protección de Datos (AEPD). Sin embargo, el régimen de inscripción se sustituye por una obligación mucho más amplia de documentación de todos los tratamientos de datos realizados (artículo 30 RGPD).

3.1 OBJETO DEL DOCUMENTO

El objeto del presente documento es establecer el registro de las actividades de tratamiento de CODINUCYL a efectos de cumplir con lo establecido en el art. 30 RGPD.

Esta obligación del art. 30 RGPD es aplicable empresas con una plantilla superior a 250 trabajadores (Art.30.5 RGPD), o teniendo menos de 250 trabajadores realicen tratamientos que puedan entrañar un riesgo para los derechos y libertades fundamentales de los interesados, no sea ocasional o incluya categorías especiales de datos (origen étnico o racial, opiniones políticas, las convicciones religiosas o filosóficas, afiliación sindical, datos genéticos, datos biométricos, datos de salud y vida sexual -artículo 9.1 del RGPD) o datos de infracciones o condenas penales recogidos en el artículo 10.

No obstante, el enfoque basado en el riesgo es uno de los pilares del RGPD, apareciendo en reiteradas ocasiones a lo largo de su articulado: art 25 relativo a la privacidad por diseño y por defecto, art 32 relativo a seguridad, art 33 y 34 relativo a la notificación de brechas de seguridad, artículo 35 relativo a las evaluaciones de impacto en protección de datos, artículo 36 relativo a la consulta previa a la autoridad de control y articulo 37 relativo al delegado de protección de datos. Este enfoque basado en el riesgo requiere con carácter previo identificar los tratamientos y los activos implicados, por lo que partirá de la información reflejada en el presente registro de actividades de tratamiento.

Por otra parte, la necesidad de la llevanza del registro de las actividades del tratamiento afecta a CODINUCYL en su calidad de:

Responsable del tratamiento, respecto a los tratamientos propios (art. 30.1 RGPD).

Los registros de las actividades del tratamiento se mantendrán recogidos en el presente documento y deberán ser actualizados cuando se realicen cambios o se añadan tratamientos no registrados en CODINUCYL. Para ello se deberán establecer revisiones periódicas y el responsable interno del tratamiento deberá prestar atención a los cambios organizativos y técnicos que alteren el contenido de los registros reflejados en el presente documento, debiendo solicitar la modificación del presente documento tan pronto como detecte variaciones en los tratamientos inventariados, asimismo y con carácter extraordinario deberá actualizarse el documento cuando se pretendan iniciar nuevos tratamientos.

Este registro es de uso interno y estará a disposición de la Autoridad de Control (AEPD) cuando sea requerido, tal y como establece el art. 30.4 RGPD.

4. CONTENIDO

CODINUCYL como responsable del tratamiento llevará un registro de las actividades de tratamiento efectuadas bajo su responsabilidad que contendrá toda la información reflejada en el art. 30.1 RGPD, indicada a continuación:

a) El nombre y los datos de contacto del responsable y, en su caso, del corresponsable, del representante del responsable, y del Delegado de Protección de Datos (DPO).

b) Los fines del tratamiento.

c) Una descripción de las categorías de interesados y de las categorías de datos personales.

d) Las categorías de destinatarios a quienes se comunicaron o comunicarán los datos personales, incluidos los destinatarios en terceros países u organizaciones internacionales.

e) En su caso, las transferencias de datos personales a un tercer país o una organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49, apartado 1, párrafo segundo del Reglamento, la documentación de garantías adecuadas.

f) Cuando sea posible, los plazos previstos para la supresión de las diferentes categorías de datos.

g) Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad a que se refiere el artículo 32, apartado 1 RGPD.

Tras el análisis de los diferentes tratamientos realizados por CODINUCYL se han llegado a identificar los tratamientos que se indican continuación:

5. REGISTROS DE ACTIVIDADES DE TRATAMIENTOS REALIZADOS EN CALIDAD DE RESPONSABLE

5.1. ASISTENTES A CURSOS

ASISTENTES A CURSOS
Base jurídica del tratamiento	RGPD: 6.1.a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. RGPD: 6.1.b) Tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales.
Fines del tratamiento	Gestión de la participación del usuario en los cursos ofertados por CODINUCyL. Dar difusión a las actividades, cursos o talleres mediante la publicación en las páginas web y canales sociales de CODINUCYL, de las imágenes captadas durante la celebración de los mismos.
Colectivos	Usuarios asistentes a los cursos de CODINUCyL. Personas de contacto.
Categorías de datos	Nombre y apellidos, DNI/CIF/Documento identificativo, dirección, firma, teléfono e imagen y voz. Datos de contacto: dirección, email y teléfono.
Sistemas utilizados para el tratamiento	Sistemas automatizados Word Excel Google Drive Sistemas no automatizados Fichas de inscripción
Categorías de destinatarios	Los destinatarios de los datos serán las distintas áreas del Colegio, así como los terceros a los que cedamos sus datos, conforme a lo dispuesto en la normativa vigente en materia de protección de datos. En el supuesto de que el usuario haya otorgado su consentimiento para el tratamiento de su imagen captada durante la ponencia/conferencia, se divulgarán en las diferentes publicaciones y canales de comunicación de CODINUCYL y otras entidades (indicar en cada caso si fuese necesario).
Transferencia internacional de datos	Con carácter general, no están previstas transferencias internacionales de los datos. Los datos identificativos de los participantes en el curso de cineantropometría impartido por la ISAK, serán comunicados a la entidad situada en Nueva Zelanda, con la finalidad de proceder a la expedición del título correspondiente.
Plazos de supresión	Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. Las imágenes publicadas en las redes sociales y página web de CODINUCyL se conservarán salvo que el colaborador solicite la supresión de las mismas.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

5.2. GESTIÓN COLEGIAL

COLEGIADOS
Base jurídica del tratamiento	RGPD: 6.1.a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. RGPD: 6.1.b) Tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales. RGPD: 6.1.c) Tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. * Ley estatal 02/1974, de 13 de febrero, de colegios profesionales. * Reglamento de Normas Deontológicas de Actuación Profesional de dietistas y nutricionistas.
Fines del tratamiento	Gestionar la relación contractual y los compromisos derivados del contrato. Prospección comercial. Formación.
Colectivos	Colegiados
Categorías de datos	Nombre y apellidos; DNI/NIE; dirección (postal y electrónica); teléfono; imagen; voz; firma; firma electrónica. N.SS/Mutualidad. Tarjeta sanitaria. Datos económicos, financieros y de seguros, cuenta bancaria. Económicos de nómina, créditos, prestamos, avales, planes de pensiones, seguros, subsidios y beneficios, datos deducciones impositivas/impuestos, jubilación. Datos de transacciones de bienes y servicios. Compensaciones/Indemnizaciones.
Categorías de destinatarios	Las distintas áreas del Colegio. Entidades financieras. Agencia Estatal de Administración Tributaria. Entidades aseguradoras.
Transferencia internacional de datos	No están previstas transferencias internacionales de los datos.
Plazos de supresión	Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

5.3. CONCURSOS Y PREMIOS

CONCURSOS Y PREMIOS
Base jurídica del tratamiento	RGPD: 6.1 a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. RGPD: 6.1.f) Tratamiento necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento siempre que no prevalezcan el interés o los derechos y libertades fundamentales del interesado.
Fines del tratamiento	Organización y gestión de los premios y concursos organizados o en los que participa CODINUCyL.
Colectivos	Solicitantes y participantes.
Categorías de datos	Nombre y apellidos, DNI/NIF/Documento identificativo, dirección, teléfono de contacto, email.
Categorías de destinatarios	Los destinatarios de los datos serán las distintas áreas del Colegio, así como los terceros a los que cedamos sus datos, conforme a lo dispuesto en la normativa vigente en materia de protección de datos.
Transferencia internacional de datos	No están previstas transferencias internacionales de los datos.
Plazos de supresión	Los datos personales de los participantes en premios y concursos serán conservados durante la tramitación del procedimiento de concesión del premio.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

5.4. ENVÍOS INFORMATIVOS

ENVÍOS INFORMATIVOS
Base jurídica del tratamiento	RGPD: 6.1 a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos.
Fines del tratamiento	Envío de información y realización de acciones publicitarias (por cualquier medio, incluido los electrónicos) con el objeto de ofrecer a los colegiados, asistentes a cursos y otros interesados, relacionados con la actividad de CODINUCYL y que puedan ser del interés de los usuarios.
Colectivos	Colegiados. Asistentes a cursos. Interesados. Personas de contacto.
Categorías de datos	Nombre y apellidos. Datos de contacto: dirección, email y teléfono.
Categoría de destinatarios	Los destinatarios de los datos serán las distintas áreas del Colegio, así como los terceros a los que cedamos sus datos, conforme a lo dispuesto en la normativa vigente en materia de protección de datos.
Transferencia internacional de datos	No están previstas transferencias internacionales de los datos.
Plazos de supresión	Los datos utilizados para el envío de información y realización de acciones publicitarias se conservarán hasta que se revoque el consentimiento otorgado al efecto por el interesado.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

5.5. GESTIÓN DE CONTACTOS PROFESIONALES

GESTIÓN DE CONTACTOS PERSONALES
Base jurídica del tratamiento	RGPD: 6.1.f) Tratamiento necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento siempre que no prevalezcan el interés o los derechos y libertades fundamentales del interesado.
Fines del tratamiento	Gestionar de la relación profesional existente entre las partes.
Colectivo	Personas de contacto profesionales.
Categoría de datos	Nombre y apellidos, DNI/CIF/Documento identificativo, dirección, teléfono. Datos de contacto: dirección, email y teléfono.
Categoría de destinatarios	Los destinatarios de los datos serán las distintas áreas del Colegio, así como los terceros a los que cedamos sus datos, conforme a lo dispuesto en la normativa vigente en materia de protección de datos.
Transferencias internacionales de datos	No están previstas transferencias internacionales de los datos.
Plazos de supresión	Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

GESTIÓN DE CONTACTOS A TRAVÉS DE RRSS
Base jurídica del tratamiento	RGPD: 6.1.b) Tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales; siempre en el entorno de las RRSS correspondientes y conforme a sus Políticas de Privacidad. RGPD: 6.1.f) Tratamiento necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento siempre que no prevalezcan el interés o los derechos y libertades fundamentales del interesado.
Fines del tratamiento	Contestar a consultas, solicitudes o peticiones. Gestionar el servicio solicitado, contestar a la solicitud, o tramitar una petición. Establecer una relación usuario-responsable, y crear una comunidad de seguidores.
Colectivos	Personas de contacto profesionales. Usuarios. Seguidores.
Categorías de datos	Datos identificativos: Nombre y apellidos, dirección, email, teléfono, imagen/voz.
Categorías de destinatarios	Los destinatarios de los datos serán las distintas áreas del Colegio, así como los terceros a los que cedamos sus datos, conforme a lo dispuesto en la normativa vigente en materia de protección de datos.
Transferencia internacional de datos	No están previstas transferencias internacionales de los datos. No obstante, recomendamos la revisión de la política de privacidad de las redes sociales principalmente utilizadas por CODINUCYL ya que las redes sociales, al ser norteamericanas, pueden transferir datos a Estados Unidos.
Plazos de supresión	Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

GESTIÓN DE CONTACTOS WEB
Base jurídica del tratamiento	RGPD: 6.1.a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos.
Fines del tratamiento	Gestión de las solicitudes de información realizadas a través de las distintas páginas web de CODINUCyL.
Colectivos	Usuarios. Solicitantes.
Categoría de datos	Datos identificativos: Nombre y apellidos, dirección, email y teléfono. Datos que voluntariamente faciliten en la solicitud.
Categorías de destinatarios	Los destinatarios de los datos serán las distintas áreas del Colegio, así como los terceros a los que cedamos sus datos, conforme a lo dispuesto en la normativa vigente en materia de protección de datos.
Transferencia internacional de datos	No están previstas transferencias internacionales de los datos.
Plazos de supresión	Se conservarán durante el tiempo necesario para atender a la solicitud planteada.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

5.6. GESTIÓN DE LOS ÓRGANOS COLEGIALES

MIEMBROS DE LA JUNTA DE GOBIERNO Y COMISIONES DE TRABAJO
Base jurídica del tratamiento	RGPD: 6.1.a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. RGPD: 6.1.c) Tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. * Ley 2/1974, de 13 de febrero, sobre Colegios Profesionales.
Fines del tratamiento	Gestionar de la condición de miembro de la Junta de Gobierno de CODINUCyL. Gestionar la pertenencia a la Comisión que corresponda.
Colectivos	Miembros de la Junta de Gobierno. Miembros de las Comisiones de Trabajo. Personas de contacto.
Categoría de datos	Nombre y apellidos, DNI/CIF/Documento identificativo, dirección, teléfono. Datos de contacto: dirección, email y teléfono.
Categorías de destinatarios	Los destinatarios de los datos serán las distintas áreas del Colegio, así como los terceros a los que cedamos sus datos, conforme a lo dispuesto en la normativa vigente en materia de protección de datos.
Transferencia internacional de datos	No están previstas transferencias internacionales de los datos.
Plazos de supresión	Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

5.7. PONENTES

PONENTES
Base jurídica del tratamiento	RGPD: 6.1 a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. RGPD: 6.1.b) Tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales.
Fines del tratamiento	Gestión de la relación del ponente con CODINUCyL con motivo de la participación de éste en la ponencia. Gestión de las obligaciones derivadas de la participación del ponente en la ponencia. Dar difusión a las actividades, cursos o talleres mediante la publicación en las páginas web y canales sociales de CODINUCyL, de las imágenes captadas durante la celebración de los mismos
Colectivos	Ponentes. Personas de contacto.
Categorías de datos	Nombre y apellidos, DNI/CIF/Documento identificativo, dirección, firma, teléfono e imagen y voz. Datos de contacto: dirección, email y teléfono. Datos académicos y profesionales: Titulaciones, formación y experiencia profesional. Datos bancarios.
Categorías de destinatarios	Los destinatarios de los datos serán las distintas áreas del Colegio, así como los terceros a los que cedamos sus datos, conforme a lo dispuesto en la normativa vigente en materia de protección de datos. En el supuesto de que el ponente haya otorgado su consentimiento para el tratamiento de su imagen/ voz captada durante la ponencia/conferencia, se divulgarán en las diferentes publicaciones y canales de comunicación de CODINUCYL y otras entidades (indicar en cada caso si fuese necesario).
Transferencia internacional de datos	No están previstas transferencias internacionales de los datos.
Plazos de supresión	Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. Las imágenes publicadas en las redes sociales y página web de CODINUCYL se conservarán salvo que el colaborador solicite la supresión de las mismas.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

5.8. RECURSOS HUMANOS

GESTIÓN DE EMPLEADOS
Base jurídica del tratamiento	RGPD: 6.1 a) El interesado dio su consentimiento para el tratamiento de sus datos personales para uno o varios fines específicos. RGPD: 6.1.b) Tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales. RGPD: 6.1.c) Tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. * Real Decreto Legislativo 2/2015, de 23 de octubre, por el que se aprueba el texto refundido de la Ley del Estatuto de los Trabajadores. * Real Decreto Legislativo 5/2000, de 4 de agosto, por el que se aprueba el texto refundido de la Ley sobre Infracciones y Sanciones en el Orden Social. * Real Decreto Legislativo 8/2015, de 30 de octubre, por el que se aprueba el texto refundido de la Ley General de la Seguridad Social. * Ley 58/2003, de 17 de diciembre, General Tributaria.
Fines del tratamiento	Gestión de personal. Expediente personal. Formación. Emisión de la nómina, así como de todos los productos derivados de la misma. Gestión económica de la acción social.
Colectivos	Personal laboral. Personas de contacto.
Categorías de datos	Nombre y apellidos, DNI/CIF/Documento identificativo, número de registro de personal, número de Seguridad Social/Mutualidad, dirección, firma, teléfono, imagen y/o voz. Datos de características personales: Sexo, estado civil, nacionalidad, edad, fecha y lugar de nacimiento y datos familiares. Datos de circunstancias familiares. Datos académicos y profesionales: Titulaciones, formación y experiencia profesional. Datos económico-financieros: Datos económicos de nómina, créditos, préstamos, avales, deducciones impositivas baja de haberes correspondiente al puesto de trabajo anterior (en su caso), retenciones judiciales (en su caso), otras retenciones (en su caso). Datos bancarios.
Categorías de destinatarios	Las distintas áreas del Colegio. Entidades financieras. Agencia Estatal de Administración Tributaria. Entidades sanitarias. Entidades aseguradoras. Asesoría laboral. Registros públicos. Administración Pública con competencia en la materia. Tesorería General de la Seguridad Social. En el supuesto de que el empleado haya otorgado su consentimiento para el tratamiento de su nombre e imágenes y otras informaciones, relacionadas con la actividad de CODINUCYL, se divulgarán en las diferentes redes sociales y página web de CODINUCYL.
Transferencia internacional de datos	No están previstas transferencias internacionales de los datos.
Plazos de supresión	Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. Finalizada la relación con CODINUCyL, la entidad conservará bloqueados durante el plazo legal de 4 años la documentación necesaria para acreditar el cumplimiento de las obligaciones en materia de afiliación, altas, bajas, documentos de cotización y los recibos justificativos del pago de salarios y del pago delegado de prestaciones, de acuerdo con el Real Decreto Legislativo 5/2000, de 4 de agosto, por el que se aprueba el texto refundido de la Ley sobre Infracciones y Sanciones en el Orden Social. Toda aquella documentación fiscal obligatoria según la normativa tributaria que proceda, será conservada durante un plazo de 4 años, de conformidad con la Ley General Tributaria. Las imágenes del trabajador publicadas en las redes sociales y página web de CODINUCyL se conservarán salvo que solicite la supresión de las mismas.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

GESTIÓN DE SELECCIÓN DE PERSONAL
Base jurídica del tratamiento	RGPD: 6.1.b) Tratamiento necesario para la ejecución de un contrato en el que el interesado es parte o para la aplicación a petición de éste de medidas precontractuales.
Fines del tratamiento	Gestionar los procesos de selección de personal que realicemos en la entidad.
Colectivos	Personas de contacto. Solicitantes de empleo
Categorías de datos	Nombre y apellidos, DNI/CIF/Documento identificativo, número de registro de personal, número de Seguridad Social/Mutualidad, dirección, firma, teléfono e imagen. Datos de características personales: Sexo, estado civil, nacionalidad, edad, fecha y lugar de nacimiento y datos familiares. Datos de circunstancias familiares. Datos académicos y profesionales: Titulaciones, formación y experiencia profesional.
Categorías de destinatarios	Los destinatarios de los datos serán las distintas áreas del Colegio, así como los terceros a los que cedamos sus datos, conforme a lo dispuesto en la normativa vigente en materia de protección de datos.
Transferencia internacional de datos	No están previstas transferencias internacionales de los datos.
Plazos de supresión	Se conservarán durante el tiempo necesario para cumplir con la finalidad para la que se recabaron y para determinar las posibles responsabilidades que se pudieran derivar de dicha finalidad y del tratamiento de los datos. En virtud de la política de conservación de CODINUCYL, los datos de carácter personal serán conservados durante el plazo máximo de un año desde la recepción de los currículums vitae.
Medidas de seguridad	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

5.9. TESORERÍA

TESORERÍA
Base jurídica del tratamiento	RGPD: 6.1 c) Tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento. * Ley 58/2003, de 17 de diciembre, General Tributaria. RGPD: 6.1.f) Tratamiento necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento siempre que no prevalezcan el interés o los derechos y libertades fundamentales del interesado.
Fines del tratamiento	Gestión contable y financiera del Colegio.
Colectivos	Proveedores. Empleados. Colegiados ejercientes y no ejercientes.
Categorías de datos	Datos identficativos: nombre y apellidos; DNI/NIE; dirección (postal y electrónica); teléfono; imagen; voz; firma; firma electrónica. N.SS/Mutualidad. Tarjeta sanitaria. Datos de características personales: Estado civil, nº de hijos, familiares a su cargo, datos de familia, fecha de nacimiento, lugar de nacimiento, edad/sexo, nacionalidad, lengua materna. Datos económicos, financieros y de seguros, cuenta bancaria. Económicos de nómina. Datos académicos y profesionales: Formación, titulaciones, experiencia profesional, pertenencia a colegios o asociaciones profesionales. Datos de transacciones de bienes y servicios. Compensaciones/Indemnizaciones.
Categorías de destinatarios	Las distintas áreas del Colegio. Entidades financieras. Agencia Estatal de Administración Tributaria. Administración Pública con competencia en la materia.
Transferencia internacional de datos	No están previstas transferencias internacionaels de los datos.
Plazos de supresión	Los datos personales de los participantes en premios y concursos serán conservados durante la tramitacion del procedimiento de concesión del premio.
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no.

5.10. SISTEMA INTERNO DE INFORMACIÓN

GESTIÓN DEL SISTEMA INTERNO DE INFORMACIÓN
Otras áreas/departamentos implicados	Presidencia Dirección Órgano de administración u gobierno Órgano de cumplimiento normativo/responsable cumplimiento normativo
Base jurídica del tratamiento	RGPD: 6.1.c) Tratamiento necesario para el cumplimiento de una obligación legal aplicable al responsable del tratamiento: Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. RGPD: artículo 9.2 g). Para el tratamiento de categorías especiales de datos personales por razón de un interés público esencial.
Fines del tratamiento	Gestionar y tramitar las correspondientes denuncias de incumplimientos o comisión de irregularidades o actos contrarios a la ética, la legalidad o las normas corporativas/procedimientos y políticas de CODINUCyL. Realizar las actuaciones necesarias para la investigación de los hechos denunciados. Proporcionar información sobre el resultado de la investigación, incluidas, en su caso, la adopción de las medidas disciplinarias o legales que correspondan. Los datos personales no serán utilizados para finalidades ulteriores incompatibles con la inicial de las indicadas. Llevar un registro de informaciones (libro-registro), recibidas como las investigaciones internas a que hayan dado lugar las denuncias.
Colectivos	Empleados Solicitantes de empleo y/o participantes en procesos de selección Personal en prácticas Voluntarios Colegiados Proveedores Cualquier persona que trabaje para o bajo la supervisión y la dirección de contratistas, subcontratistas y proveedores. Accionistas, partícipes y personas pertenecientes al órgano de dirección Socios de negocio con quien CODINUCyL tiene o prevé establecer algún tipo de relación de negocios Otros posibles interesados afectados
Categorías de datos	Nombre y apellidos, DNI/CIF/Documento identificativo, número de registro de personal, número de Seguridad Social/Mutualidad, dirección, firma, teléfono, imagen y voz. Datos de características personales: Sexo, estado civil, nacionalidad, edad, fecha y lugar de nacimiento y datos familiares. Datos de circunstancias familiares. Datos académicos y profesionales: Titulaciones, formación y experiencia profesional. Categorías especiales de datos, exclusivamente, en caso de que sean proporcionados por el informante para cumplir con la finalidad inicial. Datos económicos y bancarios, en su caso. Si fuese imprescindible en determinados supuestos se tratarán categorías especiales de datos personales, limitados a los estrictamente necesario.
Categorías de destinatarios	Los destinatarios de sus datos serán la dirección/órgano de administración u gobierno, el órgano de cumplimiento normativo de la entidad y el Delegado de Protección de Datos Responsable del sistema y quien lo gestione directamente Agencia Española de la Protección de Datos Fuerzas y Cuerpos de Seguridad del Estado Proveedor legal externo/servicios jurídicos de la entidad Juzgados y tribunales en el ejercicio de su función judicial, en los casos en que corresponda. Autoridad independiente de protección del informante Ministerio fiscal Terceros necesarios para la adopción de medidas correctoras o tramitación de procedimientos sancionadores o penales que en su caso procedan.
Transferencia internacional de datos	No está previsto realizar transferencias internacionales de datos. En caso de ser necesarias solo se realizarán a entidades bajo la habilitación del acuerdo MARCO DE PRIVACIDAD DE DATOS UE – EEUU (más información: www.dataprivacyframework.gov) a entidades que hayan demostrado que cumplen con un nivel de protección y garantías de acuerdo con los parámetros y exigencias previstas en la normativa vigente en materia de protección de datos, como el Reglamento General Europeo de Protección de Datos, o cuando exista una habilitación legal para realizar la transferencia internacional como el consentimiento del interesado. En todo caso, se proporcionará la correspondiente información al interesado
Plazos de supresión	Se conservarán durante el tiempo necesario para cumplir con la finalidad de gestionar y realizar los trámites necesarios para dar curso a la denuncia. El plazo de conservación no excederá, en ningún caso, de diez años desde la recepción de la comunicación. Por su parte, transcurridos tres meses desde la recepción de la comunicación sin que se hubieran iniciado actuaciones de investigación, se procederá a la supresión de tales datos, salvo que la finalidad de su conservación fuera dejar evidencia del funcionamiento del sistema, en cuyo caso el contenido de las comunicaciones constará de manera anonimizada. El cómputo del plazo de tres meses al que se refiere el apartado anterior se inicia desde la recepción de la comunicación en el sistema o, si no se remite un acuse de recibo al informante, desde el vencimiento del plazo de siete días después de haberse recibido la comunicación. Para el tratamiento de categorías especiales de datos personales, se procederá a su supresión inmediata en cuanto no sean necesarios. Ver procedimiento de gestión del canal de denuncias (CAN-DEN-01).
Medidas de seguridad aplicables	CODINUCyL ha establecido las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas. En todo caso, estas medidas han sido adoptadas previa valoración por CODINUCyL respecto a la posibilidad de asumir su coste o no. A este tratamiento le serán de aplicación las medidas de seguridad de nivel reforzado recogidas en el procedimiento de medidas de seguridad (ver MED-TYO-01).