POLÍTICA DE PRIVACIDAD SOBRE EL CANAL ÉTICO

EXLABESA EXTRUSION PADRON SL, WHEATLEY HILLS, SL y sus sociedades filiales (en adelante, “EXLABESA”), disponen de un canal ético (en adelante, el “Canal ético” o “Sistema Interno de Información”) que se rige por la directiva (UE) 2019/1937 del Parlamento Europeo y del Consejo de 23 de octubre de 2019, relativa a la protección de las personas que informen sobre infracciones del Derecho de la Unión, la Ley y demás legislación aplicable. El tratamiento de los datos personales del informante, de la persona investigada y del resto de personas afectadas, que se obtengan y/o generen en el marco de la gestión del Canal Ético, se ajustará a lo establecido en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (en adelante, “RGPD”), a la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción (en adelante “Ley 2/2003”) y demás legislación aplicable.

1. Responsable del tratamiento de datos personales.

Conforme al artículo 13 del RGPD, le informamos que la entidad de EXLABESA sobre la que versa la comunicación tiene la condición de Responsable del Tratamiento. Las entidades son las siguientes:

• Wheatley Hills, S.L., con domicilio en Lugar de Campaña s/n, 36645, Valga, y NIF, B83439000, inscrita en el Registro Mercantil de Pontevedra, Tomo 4360, Folio 137 y Hoja PO—68216.
• Exlabesa Building Systems, S.A.U., con domicilio en Lugar de Campaña s/n, 36645, Valga, NIF A15313752, inscrita en el Registro Mercantil de Pontevedra, tomo 3.096, folio 113, hoja SC-38.816.
• Exlabesa Extrusion Padron, S.L., con domicilio en Polígono F. Quintá s/n, A Picaraña, 15980, Padrón (A Coruña), NIF B70056957, inscrita en el Registro Mercantil de Santiago de Compostela, tomo 3.096, folio 113, hoja SC-38.816.

Asimismo, le informamos que la entidad Responsable de EXLABESA accederá y tratará sus datos para la gestión de las comunicaciones del Canal ético y de las revelaciones públicas. Usted puede contactar con el Responsable de Protección de Datos en el correo electrónico proteccion.datos@exlabesa.com

2. Garantía de Confidencialidad y uso responsable del Canal Ético

EXLABESA garantiza la confidencialidad tanto de la información proporcionada como de sus datos personales facilitados a través del Canal Ético mencionado. El hacer un uso responsable del Canal de Ético es su obligación, por lo que en ningún caso debe realizar comunicaciones infundadas o de mala fe, pudiendo derivarse en tal caso, las acciones legales y/o de carácter disciplinario que resultaran de aplicación. Además, la exposición que haga para informar de cualquier otra persona debe ser respetuosa y guardar el decoro y las buenas costumbres. EXLABESA no se hacen responsables de los comentarios despectivos que usted pueda verter contra cualquier tercero. Asimismo, usted debe garantizar que los datos personales proporcionados son verdaderos, exactos, completos y actualizados.

3. Finalidad del tratamiento y base de legitimación.

Gestión de las comunicaciones del Canal Ético.

• Descripción de la finalidad: recibir y gestionar las comunicaciones recibidas, investigar los hechos informados y resolver los casos en cuanto a presuntos ilícitos o acciones u omisiones contrarios al Código Ético de EXLABESA e infracciones normativas, de conformidad con lo previsto en la Ley 2/2023. Así como adoptar medidas disciplinarias oportunas y/o promover, en el marco legal vigente, los procedimientos judiciales que se puedan derivar de los hechos investigados. En el marco de esta finalidad podrán verse involucrados cualquiera categoría de interesados que guarde relación con la actividad y negocio de EXLABESA derivada de la comunicación dirigida al Canal ético (por ejemplo: empleados, personal externo, proveedores o clientes).
• Datos tratados con esta finalidad: datos identificativos y de contacto, así como aquellos datos que formen parte de la comunicación de los hechos informados (por ejemplo, datos de carácter profesional/laboral, económico-financieros). Eventualmente, en función de los hechos divulgados, se podría llegar a tratar categorías especiales de datos, siempre y cuando, existan razones de interés público esencial que lo habilite.
• Bases de legitimación: El tratamiento de sus datos personales tiene como base legitimadora el artículo 6.1.f) del RGPD, al tratarse de un tratamiento necesario para la satisfacción de intereses legítimos perseguidos por el responsable del tratamiento así como el artículo 6.1.c) del RGPD en virtud del cumplimiento de una obligación legal. El tratamiento de los datos personales se entenderá lícito de conformidad con el artículo 30 de la Ley 2/2023.

4. Conservación de los datos personales

Los datos que sean objeto de tratamiento incluidos en la comunicación remitida al Canal ético podrán conservarse en el Sistema Interno de Información durante el tiempo imprescindible para decidir sobre la procedencia de iniciar una investigación sobre los hechos comunicados. En todo caso, transcurridos tres (3) meses desde la recepción de la comunicación sin que se hubiesen iniciado actuaciones de investigación, deberá procederse a su supresión, salvo que la finalidad de la conservación sea dejar evidencia del funcionamiento del sistema. Las comunicaciones a las que no se haya dado curso solamente podrán constar de forma anonimizada. Si se acreditara que la información facilitada o parte de ella no es veraz, se suprimirá desde el momento en que se tenga constancia de dicha circunstancia, salvo que dicha falta de veracidad pueda constituir un ilícito penal, en cuyo caso se guardará la información por el tiempo necesario durante el que se tramite el procedimiento judicial. La información recibida que contenga categorías especiales de datos conforme al artículo 9 del RGPD, serán suprimidos de forma inmediata sin que se proceda al tratamiento de estos, salvo que el tratamiento se realice por razones de interés público esencial, en virtud del artículo 9.2.g) del RGPD. En ningún caso serán objeto de tratamiento los datos personales que no sean necesarios para el conocimiento e investigación de las acciones u omisiones, procediéndose, en su caso, a su inmediata supresión. Iniciadas las actuaciones de investigación y/o de comunicación y colaboración con las autoridades competentes, los datos personales objeto de estas actuaciones se conservarán por el tiempo necesario para alcanzar la finalidad perseguida y, en su caso, por el plazo máximo establecido por la normativa aplicable. Una vez alcanzadas las finalidades indicadas, se procederá, cuando corresponda, al bloqueo de los datos por los plazos de prescripción de la responsabilidad que se pueda derivar en cada caso de la actividad desarrollada.

5. Destinatarios

No se cederán los datos personales contenidos en la comunicación o los relativos al informante, en el caso de ser conocidos, a terceros, salvo cuando ello sea necesario para tramitar procedimientos que involucren el asesoramiento de terceros o a administraciones y autoridades públicas con competencia en la materia. De conformidad con la normativa de protección de datos que resulta de aplicación, el acceso a los datos se limita exclusivamente al Responsable de Responsable Único del Sistema interno de información y quienes desarrollen las funciones de control interno y de cumplimiento. No obstante, será lícito su acceso por otras personas, o incluso su comunicación a terceros, cuando resulte necesario para la adopción de medidas disciplinarias o para la tramitación de los procedimientos judiciales que, en su caso, procedan:

• Los datos aportados serán comunicados a los Órganos judiciales, Juez, Fiscal, Fuerzas y Cuerpos de Seguridad del Estado o autoridad administrativa a quien en su caso se traslade el resultado de la investigación, cuando así sea requerido por éstas o cuando los hechos comunicados constituyan un ilícito penal.
• Los datos aportados serán tratados y, en caso indispensable, cedidos a terceras partes interesadas, como Entidades Colaboradoras, asesores expertos que participen en la investigación como, abogados, forenses, peritos, quienes estarán sometidos al mismo deber de confidencialidad.
• Solo cuando pudiera proceder la adopción de medidas disciplinarias contra un trabajador, dicho acceso se permitirá al personal con funciones de gestión y control de recursos humanos.
• Las sociedades que tienen la relación contractual o societaria con la(s) persona(s) comunicante(s) y las involucradas en la comunicación, si ello fuera necesario para poder llevar a cabo la investigación interna y adoptar las medidas disciplinarias u otras que procedieran, en función de la naturaleza de la relación que le una con la persona de que se trate.

6. Derechos de los interesados

Tal y como prevé el RGPD, le informamos que:

• Tiene derecho a solicitar el acceso a sus datos personales, así como a solicitar la rectificación de los datos inexactos o, en su caso, solicitar su supresión cuando, entre otros motivos, los datos ya no sean necesarios para los fines que fueron recogidos.
• En determinadas circunstancias, usted podrá solicitar la limitación del tratamiento de sus datos, en cuyo caso únicamente los conservaremos para el ejercicio o la defensa de reclamaciones.
• En determinadas circunstancias y por motivos relacionados con su situación particular, usted podrá oponerse al tratamiento de sus datos. EXLABESA dejarán de tratar los datos, salvo por motivos legítimos imperiosos, o el ejercicio o la defensa de posibles reclamaciones. En caso de que la persona a la que se refiera los hechos informados en las comunicaciones o en las revelaciones públicas, ejerciese el derecho de oposición, se presumirá que existen motivos legítimos imperiosos que legitiman el tratamiento de sus datos personales y, por lo tanto, dicha oposición no será estimada.
• Tiene derecho a presentar una reclamación ante la Autoridad de control si considera que el tratamiento no se ajusta a la normativa de protección de datos que resulta de aplicación.
• Tiene Derecho a la portabilidad de sus datos personales.

Para el ejercicio de los derechos reconocidos, en la medida en que resulten de aplicación, deberá dirigir una comunicación por escrito a la siguiente dirección de correo electrónico proteccion.datos@exlabesa.com aportando copia de su DNI o documento equivalente, e identificándose como usuario del formulario de Canal Ético de EXLABESA. Usted podrá revocar los consentimientos otorgados, en su caso, contactando a través de la dirección o correo electrónico indicados anteriormente. Asimismo, le informamos que tiene derecho a presentar reclamación ante la Agencia de Protección de Datos competente, especialmente cuando no haya obtenido satisfacción en el ejercicio de sus derechos.

7. Transferencias internacionales de datos

Con carácter general, los datos facilitados a través del Canal Ético de EXLABESA no serán objeto de Transferencia Internacional de Datos. No obstante, sus datos podrán ser cedidos a empresas del Grupo en el Espacio Económico Europeo con la finalidad de poder gestionar su comunicación, en caso de que por razones administrativas y/o derivadas del procedimiento de investigación así lo requieran.

8. Seguridad.

Con el objetivo de salvaguardar la seguridad de sus datos personales, le informamos que hemos adoptado todas las medidas de índole técnica y organizativa necesarias para garantizar la seguridad de los datos personales suministrados de su alteración, pérdida, uso indebido, divulgación, y tratamientos o accesos no autorizados, tal como exige la normativa de protección de datos de carácter personal. En este sentido, EXLABESA garantiza la custodia de los datos objeto de tratamiento, para lo cual adoptará las medidas pertinentes con tales fines, siempre de conformidad con el estado de la tecnología en cada momento. Nuestras medidas de seguridad son permanentemente actualizadas de acuerdo con el desarrollo tecnológico y obligaciones de la normativa en protección de datos. Aunque en las transmisiones de datos a través de internet no es posible garantizar una protección absoluta contra intrusiones, tanto nosotros como nuestros subcontratistas y socios de negocio dedicamos los máximos esfuerzos para mantener las medidas de protección física, electrónica y procedimental con las cuales garantizar la protección de sus datos de acuerdo con las exigencias legales aplicables en esta materia. Entre las medidas que utilizamos se incluyen las siguientes:

• Limitar el acceso a únicamente al órgano de control con autorización en atención a las tareas de gestión que se deben realizar para dar cumplimiento a las finalidades descritas.
• Firewalls para impedir accesos no autorizados.
• Monitorizar habitualmente los accesos para detectar y detener cualquier intento de acceso no autorizado o indebido de los datos de carácter personal.

El número de seguimiento de caso o contraseña proporcionada (las credenciales) que deberá utilizar al iniciar cada sesión es personal e intransferible. Usted es responsable de preservar la seguridad y confidencialidad de las credenciales y evitar cualquier acceso a la información sobre los avances de la investigación por terceros distintos a usted.