Política de privacidad
1. Objeto y ámbito de aplicación
La presente Política de privacidad global explica cómo (GROUPE) ASTEK y el Grupo Astek tratan los datos personales en relación con el sitio web global astek.net y las actividades centralizadas del Grupo. Su alcance es deliberadamente amplio y puede abarcar a los visitantes del sitio web, las personas que se ponen en contacto con Astek, los candidatos, los trabajadores actuales y antiguos, los representantes de clientes/clientes potenciales, los proveedores, los subcontratistas, los socios y las personas que interactúan con las funciones de cumplimiento normativo o de ética del Grupo.
Un Anexo local específico de cada país forma parte integrante de la presente Política para la jurisdicción correspondiente. También pueden facilitarse avisos informativos específicos de primera capa en un formulario, un portal de contratación, un contrato, un proceso de RR. HH., una plataforma de denuncias o cualquier otro punto de recogida. Cuando una norma local imperativa exija información adicional o diferente, el Anexo local o el aviso específico complementará la presente Política en esa medida.
2. Responsable del tratamiento global y gobernanza
Para astek.net y las actividades de tratamiento centralizadas del Grupo cubiertas por la presente Política, el responsable del tratamiento global es (GROUPE) ASTEK, Tour CB21, 16 Place de l’Iris, 92400 COURBEVOIE – Francia, RCS Nanterre 489 800 805. (GROUPE) ASTEK es el punto de gobernanza, a nivel de Grupo, para la protección de datos personales, la función de DPO del Grupo, la gobernanza de las transferencias internacionales y el programa BCR del Grupo.
Las sociedades locales de Astek pueden recoger datos, utilizar los sistemas del Grupo, participar en tratamientos, actuar siguiendo instrucciones documentadas del Grupo o determinar ciertos elementos operativos locales limitados. Su función debe documentarse en la matriz de cumplimiento de Astek y en los acuerdos intragrupo aplicables. Nada de lo dispuesto en la presente Política recalifica la función jurídica de una entidad local cuando una ley local imperativa exija una calificación diferente para una operación de tratamiento concreta.
3. DPO del Grupo
Delegado de protección de datos (DPO) del Grupo: [email protected]. Dirección postal: DPO – (GROUPE) ASTEK, Tour CB21, 16 Place de l’Iris, 92400 COURBEVOIE – Francia.
4. Categorías de datos, finalidades y marco global de bases jurídicas
La tabla siguiente constituye la referencia de base a nivel mundial. La terminología jurídica varía de una jurisdicción a otra. Toda referencia al contrato, a la obligación legal, a los intereses legítimos, al consentimiento o a cualquier otra base jurídica solo se aplica cuando dicha base existe y está disponible en virtud de la ley que rige el tratamiento. El Anexo local identifica las diferencias significativas propias de cada país.
| Tratamiento | Finalidades | Principales datos | Marco global de bases jurídicas | Principio de conservación |
|---|---|---|---|---|
| Sitio web y solicitudes de contacto | Responder a las consultas; dirigir las solicitudes; administrar, proteger y mejorar el sitio web. | Datos de identidad/de contacto; información profesional; contenido de los mensajes; registros técnicos/de seguridad. | Contrato/medidas precontractuales, cuando proceda; intereses legítimos o fundamento lícito equivalente; obligaciones legales/de seguridad, cuando sean aplicables. | Durante el tiempo necesario para gestionar la solicitud y, posteriormente, solo en la medida necesaria para fines legales, de seguridad o probatorios. |
| Marketing, comunicaciones y eventos | Enviar noticias del Grupo, invitaciones, información sobre los servicios y comunicaciones profesionales adecuadas. | Datos de contacto profesionales, cargo, empresa, preferencias, historial de interacciones. | Consentimiento cuando sea necesario; en su defecto, intereses legítimos u otra base permitida localmente, con derecho de oposición (opt-out) cuando sea aplicable. | Conforme a la matriz de conservación aprobada y a la legislación local en materia de marketing/de privacidad. |
| Contratación y bolsas de talento | Gestionar las candidaturas, evaluar a los candidatos, organizar las entrevistas y, cuando esté permitido, conservar los perfiles para futuras oportunidades. | CV, datos de contacto, trayectoria profesional, titulaciones, competencias, información relativa a las entrevistas y datos de evaluación pertinentes. | Medidas precontractuales; intereses legítimos/base equivalente cuando esté permitido; consentimiento cuando sea necesario. | Durante el proceso de selección y, posteriormente, conforme a la norma de conservación del país y a la matriz de conservación aprobada para la contratación. |
| Trabajadores y antiguos trabajadores | Administración de RR. HH., empleo, nóminas, gestión de plantillas, formación, gestión del desempeño, acceso/seguridad, obligaciones legales y defensa de reclamaciones. | Datos de identidad, de contacto, de empleo, de nómina, de carrera profesional, de formación, de acceso/de seguridad y demás datos de RR. HH. necesarios. | Contrato/relación laboral; obligaciones legales; intereses legítimos/base equivalente; consentimiento únicamente cuando sea apropiado y válido. | Durante la relación y, posteriormente, conforme a las normas legales, de prescripción y de conservación de documentos propias de cada categoría. |
| Clientes, clientes potenciales y proyectos | Desarrollo de negocio, contratación, ejecución de proyectos, facturación, cumplimiento normativo, seguridad y gestión de litigios. | Datos de contacto profesionales, comunicaciones, datos relativos a contratos/proyectos, facturación, seguridad y cumplimiento normativo. | Contrato/medidas precontractuales; obligaciones legales; intereses legítimos/base equivalente. | Durante la relación y, posteriormente, durante los plazos legales y de prescripción aplicables. |
| Proveedores, subcontratistas y socios | Selección, incorporación (onboarding), contratos, pedidos, facturación, cumplimiento normativo, seguridad y seguimiento de terceros. | Datos de contacto profesionales, datos contractuales, de facturación, de diligencia debida (due diligence) y de cumplimiento normativo. | Contrato/medidas precontractuales; obligaciones legales; intereses legítimos/base equivalente. | Durante la relación y, posteriormente, durante los plazos legales y de prescripción aplicables. |
| Seguridad informática y gestión de accesos | Autenticar a los usuarios, proteger los sistemas, detectar incidentes/fraudes, garantizar la continuidad y la trazabilidad. | Identificadores, derechos de acceso, registros, datos relativos a direcciones IP/dispositivos y a eventos de seguridad. | Obligaciones legales/de seguridad, cuando sean aplicables; intereses legítimos/base equivalente para proteger los sistemas, los activos y los datos. | En función del riesgo de seguridad, de la finalidad del sistema y de la matriz de conservación aprobada. |
| Canal de denuncias y ética | Recibir, evaluar, investigar y hacer el seguimiento de las denuncias; proteger a las personas; cumplir las obligaciones legales/de cumplimiento normativo. | Datos del denunciante cuando se faciliten, personas mencionadas, hechos/pruebas, datos relativos a la investigación y a su resultado. | Obligación legal, cuando sea aplicable; intereses legítimos/base equivalente para los canales éticos permitidos; categorías especiales de datos únicamente cuando la ley lo permita. | Conforme a la ley que rige el canal de denuncia y al circuito propio de cada país dentro de la plataforma dedicada. |
5. Fuentes de los datos personales
Recogemos los datos personales principalmente de usted. Según el contexto, los datos también pueden proceder de fuentes profesionales de acceso público, de plataformas y agencias de contratación, de referencias profesionales, de clientes, de proveedores, de socios, de autoridades públicas cuando sea lícito o de otra sociedad del Grupo Astek. Cuando la ley local exija información específica en caso de recogida indirecta, el Anexo local o el aviso de primera capa la facilitará.
6. Información obligatoria y opcional
Los campos identificados como obligatorios son necesarios para gestionar la solicitud, la candidatura, el contrato, el proceso laboral, la obligación legal o el proceso de seguridad correspondiente. Si no se facilita la información requerida, es posible que Astek no pueda llevar a cabo la acción correspondiente. El resto de la información es opcional, salvo que la ley local o el contexto de la recogida indiquen lo contrario.
7. Destinatarios
- los equipos autorizados de (GROUPE) ASTEK y de las sociedades correspondientes del Grupo Astek, según el principio de necesidad de conocer;
- las entidades del Grupo que participan en los procesos centralizados de RR. HH., contratación, finanzas, asesoría jurídica, cumplimiento normativo, DPO, informática, seguridad, ventas o proyectos;
- los proveedores de servicios y encargados del tratamiento que prestan servicios de alojamiento, informática, contratación/RR. HH., comunicación, apoyo profesional, seguridad u otros servicios;
- los asesores profesionales, auditores, aseguradoras y entidades financieras, cuando sea necesario;
- los clientes, socios o partes interesadas de los proyectos, cuando se requiera una comunicación lícita y necesaria para un proyecto o un encargo;
- las autoridades administrativas, judiciales, reguladoras o policiales, cuando la ley aplicable lo exija o lo permita.
8. Transferencias internacionales y marco del Grupo
Astek opera a nivel internacional. Por ello, los datos personales pueden ser consultados desde países distintos de aquel en el que se recogieron, o transferidos a dichos países. Cada transferencia debe cumplir las normas imperativas en materia de transferencias de las jurisdicciones de origen y de destino.
Astek dispone de un acuerdo intragrupo de protección de datos que incorpora los principios sustantivos de gobernanza que se están elaborando para el programa de normas corporativas vinculantes (BCR) del Grupo. El Grupo está tramitando la aprobación tanto de BCR para responsables del tratamiento (BCR-C) como de BCR para encargados del tratamiento (BCR-P). Hasta que se obtenga la aprobación formal, el programa BCR debe presentarse como pendiente de aprobación y no debe invocarse públicamente como un mecanismo de transferencia aprobado.
El marco intragrupo actual abarca las entidades del Grupo situadas en la Unión Europea, Canadá, Marruecos, Mauricio, Madagascar, los Emiratos Árabes Unidos y Arabia Saudí. Favorece una gobernanza, una responsabilidad proactiva (accountability) y una protección contractual comunes. Cuando la ley aplicable exija un mecanismo específico de transferencia internacional, Astek utiliza o debe utilizar el mecanismo legalmente disponible para dicha transferencia, como una decisión de adecuación, cláusulas contractuales tipo, un acuerdo local de transferencia aprobado, una certificación, BCR aprobadas una vez disponibles u otra garantía lícita. El acuerdo intragrupo no sustituye a un mecanismo de transferencia imperativo previsto por la ley.
9. Astek como encargado del tratamiento
En determinados servicios prestados a clientes, una sociedad del Grupo Astek puede tratar datos personales siguiendo instrucciones documentadas del cliente. En ese caso, el cliente determina por lo general los fines del tratamiento correspondiente y la sociedad de Astek actúa como encargado del tratamiento/proveedor de servicios, en la medida definida por la ley aplicable y el contrato. Puede ser necesario remitir al cliente correspondiente las solicitudes relativas a tratamientos de los que el cliente es responsable.
10. Decisiones automatizadas y tratamientos asistidos por IA
Cuando Astek utilice herramientas automatizadas o asistidas por IA en la contratación, los RR. HH., la seguridad, la ejecución de proyectos u otras actividades, el equipo responsable deberá evaluar, antes de su implantación, los requisitos locales aplicables en materia de transparencia, revisión humana, evaluación de impacto, consentimiento/oposición y decisiones automatizadas. Ninguna disposición de la presente Política debe interpretarse en el sentido de que Astek adopta decisiones basadas únicamente en un tratamiento automatizado que produzcan efectos jurídicos o efectos significativos similares, salvo que un aviso específico lo indique expresamente.
11. Seguridad
Astek aplica medidas técnicas y organizativas proporcionadas al riesgo, en particular la gestión de accesos, el registro de actividad, la seguridad de las infraestructuras, las copias de seguridad, la gestión de incidentes, controles de confidencialidad, la gestión de proveedores y medidas de concienciación. Los controles de seguridad del Grupo se complementan con los requisitos legales locales, cuando proceda.
12. Sus derechos
Astek aplica un proceso global de gestión de las solicitudes de ejercicio de derechos. Según la ley aplicable, usted puede tener derecho a: obtener información sobre el tratamiento; acceder a sus datos personales; rectificar los datos inexactos; solicitar su supresión; obtener la limitación del tratamiento u oponerse a él; retirar su consentimiento; obtener o transmitir sus datos en un formato portable; impugnar determinadas decisiones automatizadas; presentar una reclamación ante una autoridad reguladora; o ejercer otros derechos previstos a nivel local. El alcance exacto, las condiciones, las excepciones y los plazos de respuesta los fija la ley identificada en el Anexo local correspondiente.
Para ejercer un derecho en materia de protección de datos o plantear una pregunta relativa a la protección de datos, póngase en contacto con el DPO del Grupo en la dirección [email protected]. Astek solo puede solicitar la información razonablemente necesaria para verificar su identidad y su capacidad para actuar.
13. Reclamaciones y autoridades de control locales
Puede comunicar cualquier inquietud al DPO del Grupo. También puede presentar una reclamación ante la autoridad de control o reguladora identificada en el Anexo local aplicable a su jurisdicción. Para los tratamientos transfronterizos en la UE, se aplican los mecanismos de cooperación y de ventanilla única del RGPD cuando se cumplan sus condiciones legales; ello no priva a ninguna persona de su derecho a dirigirse a la autoridad de control competente en virtud del RGPD.
14. Marco de referencia
La presente Política de privacidad global y la gobernanza de astek.net se organizan desde Francia, bajo la gobernanza francesa del Grupo. Cuando leyes imperativas del país en el que se encuentra la persona, o en el que se tratan los datos personales, impongan requisitos adicionales o contrarios, dichas disposiciones imperativas se aplicarán en la medida necesaria. El Anexo local recoge el principal nivel de requisitos propio de cada país; los equipos encargados de los tratamientos deben respetar además la matriz de cumplimiento de Astek aprobada y cualquier aviso específico de primera capa.
15. Actualizaciones
La presente Política puede actualizarse para reflejar la evolución de los tratamientos, de la organización del Grupo, de la ley o de las directrices de las autoridades reguladoras. Conviene aplicar las modificaciones significativas propias de un país actualizando el Anexo local correspondiente, sin reescribir la Base global, salvo que cambie el propio modelo de gobernanza global.
Anexo local – Francia
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | RGPD de la UE; Ley francesa de Informática, Ficheros y Libertades (Ley n.º 78-17, de 6 de enero de 1978, en su versión modificada). |
| Autoridad local | Commission nationale de l’informatique et des libertés (CNIL). |
| Disposiciones locales prevalentes | Se aplican los derechos derivados del RGPD y las normas complementarias francesas. Francia es la jurisdicción de origen del responsable del tratamiento global y del DPO del Grupo. Las reclamaciones pueden presentarse ante la CNIL. |
| Transferencias internacionales / localización | Las transferencias desde el EEE se rigen por el capítulo V del RGPD. El acuerdo intragrupo de protección de datos del Grupo constituye un marco de gobernanza interno; las BCR-C y BCR-P están pendientes de aprobación y no deben presentarse como herramientas de transferencia aprobadas antes de su aprobación. |
| Fuente de validación | CNIL; Légifrance. |
Anexo local – España
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | RGPD de la UE; Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). |
| Autoridad local | Agencia Española de Protección de Datos (AEPD). |
| Disposiciones locales prevalentes | Los derechos derivados del RGPD se aplican junto con las normas complementarias españolas. Las personas pueden presentar una reclamación ante la AEPD. |
| Transferencias internacionales / localización | El capítulo V del RGPD se aplica a las transferencias fuera del EEE. |
| Fuente de validación | AEPD; BOE. |
Anexo local – Bélgica
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | RGPD de la UE; Ley belga de 30 de julio de 2018 relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales. |
| Autoridad local | Autoridad de Protección de Datos / Autorité de protection des données / Gegevensbeschermingsautoriteit (APD/GBA). |
| Disposiciones locales prevalentes | Los derechos derivados del RGPD se aplican junto con las normas complementarias belgas. Las personas pueden presentar una reclamación ante la APD/GBA. |
| Transferencias internacionales / localización | El capítulo V del RGPD se aplica a las transferencias fuera del EEE. |
| Fuente de validación | Autoridad belga de protección de datos. |
Anexo local – Luxemburgo
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | RGPD de la UE; Ley de 1 de agosto de 2018 relativa a la organización de la Comisión Nacional de Protección de Datos y al régimen general de protección de datos. |
| Autoridad local | Commission nationale pour la protection des données (CNPD). |
| Disposiciones locales prevalentes | Los derechos derivados del RGPD se aplican junto con las normas complementarias luxemburguesas. Las personas pueden presentar una reclamación ante la CNPD. |
| Transferencias internacionales / localización | El capítulo V del RGPD se aplica a las transferencias fuera del EEE. |
| Fuente de validación | CNPD Luxemburgo. |
Anexo local – Países Bajos
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | RGPD de la UE; Ley neerlandesa de aplicación del RGPD (Uitvoeringswet Algemene verordening gegevensbescherming – UAVG). |
| Autoridad local | Autoriteit Persoonsgegevens (AP). |
| Disposiciones locales prevalentes | Los derechos derivados del RGPD se aplican junto con las normas complementarias neerlandesas. Las personas pueden presentar una reclamación ante la AP. |
| Transferencias internacionales / localización | El capítulo V del RGPD se aplica a las transferencias fuera del EEE. |
| Fuente de validación | Autoriteit Persoonsgegevens. |
Anexo local – Polonia
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | RGPD de la UE; Ley de 10 de mayo de 2018 sobre la protección de datos personales. |
| Autoridad local | Presidente de la Oficina de Protección de Datos Personales (UODO). |
| Disposiciones locales prevalentes | Los derechos derivados del RGPD se aplican junto con las normas complementarias polacas. Las personas pueden presentar una reclamación ante la UODO. |
| Transferencias internacionales / localización | El capítulo V del RGPD se aplica a las transferencias fuera del EEE. |
| Fuente de validación | UODO. |
Anexo local – Portugal
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | RGPD de la UE; Ley n.º 58/2019, que garantiza la aplicación del RGPD en Portugal. |
| Autoridad local | Comissão Nacional de Proteção de Dados (CNPD). |
| Disposiciones locales prevalentes | Los derechos derivados del RGPD se aplican junto con las normas complementarias portuguesas. Las personas pueden presentar una reclamación ante la CNPD. |
| Transferencias internacionales / localización | El capítulo V del RGPD se aplica a las transferencias fuera del EEE. |
| Fuente de validación | CNPD Portugal; Diário da República. |
Anexo local – Suecia
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | RGPD de la UE; Ley (2018:218) sobre disposiciones complementarias al RGPD de la UE y Reglamento (2018:219). |
| Autoridad local | Autoridad sueca de protección de la privacidad (Integritetsskyddsmyndigheten – IMY). |
| Disposiciones locales prevalentes | Los derechos derivados del RGPD se aplican junto con las normas complementarias suecas. Las personas pueden presentar una reclamación ante la IMY. |
| Transferencias internacionales / localización | El capítulo V del RGPD se aplica a las transferencias fuera del EEE. |
| Fuente de validación | IMY. |
Anexo local – Canadá (federal)
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley de Protección de la Información Personal y los Documentos Electrónicos (Personal Information Protection and Electronic Documents Act – PIPEDA), cuando sea aplicable, junto con las leyes sectoriales y provinciales aplicables en materia de privacidad. |
| Autoridad local | Oficina del Comisionado de Privacidad de Canadá (Office of the Privacy Commissioner of Canada – OPC), para la PIPEDA. |
| Disposiciones locales prevalentes | La PIPEDA se aplica a las actividades comerciales del sector privado comprendidas en su ámbito de aplicación y sigue aplicándose a los flujos de datos comerciales interprovinciales/internacionales y a las organizaciones sujetas a regulación federal. Las leyes provinciales pueden aplicarse en su lugar en las jurisdicciones con una legislación sustancialmente similar. |
| Transferencias internacionales / localización | El tratamiento transfronterizo sigue sujeto a los requisitos de responsabilidad proactiva, transparencia y garantías adecuadas, así como a cualquier requisito contractual/organizativo aplicable. |
| Fuente de validación | Oficina del Comisionado de Privacidad de Canadá. |
| Estado de implantación en el país | La implantación de la protección de datos en Canadá aún no se ha completado, como tampoco la articulación de la normativa local con el RGPD. |
Anexo local – Canadá (Quebec)
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley de Quebec sobre la protección de la información personal en el sector privado, modernizada por la Ley 25. |
| Autoridad local | Commission d’accès à l’information du Québec (CAI). |
| Disposiciones locales prevalentes | Los requisitos propios de Quebec en materia de transparencia, gobernanza, evaluación de impacto relativa a la privacidad y derechos de las personas se aplican cuando la ley de Quebec sobre el sector privado rige el tratamiento. |
| Transferencias internacionales / localización | Antes de comunicar información personal fuera de Quebec, deben abordarse, cuando se requieran, la evaluación de impacto relativa a la privacidad aplicable en Quebec y las garantías contractuales. |
| Fuente de validación | Commission d’accès à l’information; Gobierno de Quebec. |
| Estado de implantación en el país | La implantación de la protección de datos en Quebec se ha completado y articula la normativa local con el RGPD. |
Anexo local – Vietnam
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley de Protección de Datos Personales n.º 91/2025/QH15, en vigor desde el 1 de enero de 2026; Decreto n.º 356/2025/ND-CP de desarrollo de la Ley. |
| Autoridad local | Autoridades públicas vietnamitas competentes, en particular el Ministerio de Seguridad Pública, en el marco establecido por la ley. |
| Disposiciones locales prevalentes | El régimen de 2026 se aplica a los tratamientos pertinentes que afecten a personas vietnamitas y contiene requisitos específicos en materia de consentimiento, información, derechos, seguridad, evaluación de impacto y cumplimiento. El antiguo régimen del Decreto 13/2023 ha sido sustituido por el marco de 2026. |
| Transferencias internacionales / localización | Aplicar los requisitos vietnamitas vigentes de evaluación y presentación de expedientes para las transferencias transfronterizas, así como cualquier otra medida obligatoria prevista en el marco de 2026. |
| Fuente de validación | Gobierno de Vietnam; Ministerio de Seguridad Pública; base de datos jurídica nacional. |
| Estado de implantación en el país | La implantación de la protección de datos en Vietnam aún no se ha completado, como tampoco la articulación de la normativa local con el RGPD. |
Anexo local – Jordania
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley n.º 24 de 2023 de Protección de Datos Personales. |
| Autoridad local | Consejo de Protección de Datos Personales y unidad reguladora de la protección de datos personales del Ministerio de Economía Digital y Emprendimiento. |
| Disposiciones locales prevalentes | Las condiciones locales de consentimiento/tratamiento, las obligaciones de transparencia, los derechos de los interesados y las obligaciones del responsable del tratamiento se aplican cuando la ley jordana rige el tratamiento. |
| Transferencias internacionales / localización | Toda condición propia de Jordania aplicable a la comunicación o a la transferencia fuera de Jordania debe verificarse antes de la transferencia correspondiente. |
| Fuente de validación | Ministerio jordano de Economía Digital y Emprendimiento. |
| Estado de implantación en el país | La implantación de la protección de datos en Jordania se ha completado y articula la normativa local con el RGPD. |
Anexo local – India
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley de Protección de Datos Personales Digitales de 2023 (Digital Personal Data Protection Act, 2023) y Reglamento de Protección de Datos Personales Digitales de 2025 (Digital Personal Data Protection Rules, 2025). |
| Autoridad local | Junta de Protección de Datos de la India (Data Protection Board of India). |
| Disposiciones locales prevalentes | El régimen indio rige los datos personales digitales comprendidos en su ámbito de aplicación territorial y utiliza los conceptos de «Data Fiduciary» (fiduciario de datos) y «Data Principal» (titular de los datos). Los requisitos locales en materia de información, consentimiento/usos legítimos, gestión de reclamaciones y derechos se aplican en lugar de la terminología del RGPD cuando difieran de ella. |
| Transferencias internacionales / localización | Aplicar cualquier restricción de transferencia o notificación gubernamental vigente en el momento de la transferencia. |
| Fuente de validación | Ministerio de Electrónica y Tecnologías de la Información; Gobierno de la India. |
| Estado de implantación en el país | La implantación de la protección de datos en la India aún no se ha completado, como tampoco la articulación de la normativa local con el RGPD. |
Anexo local – Arabia Saudí
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley de Protección de Datos Personales (PDPL), en su versión modificada; Reglamento de aplicación; Reglamento sobre la transferencia de datos personales fuera del Reino. |
| Autoridad local | Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA), como autoridad competente. |
| Disposiciones locales prevalentes | La PDPL se aplica dentro de su ámbito territorial y extraterritorial, incluidos los tratamientos pertinentes de datos personales relativos a personas residentes en el Reino realizados por entidades situadas fuera del Reino. Se aplican los requisitos propios de Arabia Saudí en materia de transparencia, derechos, base jurídica y obligaciones del responsable del tratamiento. |
| Transferencias internacionales / localización | Las transferencias fuera del Reino deben cumplir el reglamento saudí de transferencias, incluidas las condiciones aplicables de adecuación, garantías, evaluación de riesgos y otras. Las normas saudíes sobre BCR son distintas de la aprobación de BCR en la UE. |
| Fuente de validación | SDAIA / Plataforma Nacional de Gobernanza de Datos (National Data Governance Platform). |
| Estado de implantación en el país | La implantación de la protección de datos en Arabia Saudí se ha completado y articula la normativa local con el RGPD. |
Anexo local – Marruecos
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley n.º 09-08 relativa a la protección de las personas físicas con respecto al tratamiento de datos personales y su decreto de aplicación. |
| Autoridad local | Commission Nationale de contrôle de la protection des Données à caractère Personnel (CNDP). |
| Disposiciones locales prevalentes | Los requisitos locales en materia de finalidad, proporcionalidad, transparencia, derechos y formalidades ante la CNDP se aplican cuando la Ley 09-08 rige el tratamiento. |
| Transferencias internacionales / localización | Los requisitos de la CNDP en materia de declaración/autorización y de transferencias transfronterizas deben verificarse antes de las transferencias correspondientes. |
| Fuente de validación | CNDP Marruecos. |
| Estado de implantación en el país | La implantación de la protección de datos en Marruecos se ha completado y articula la normativa local con el RGPD. |
Anexo local – Mauricio
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley de Protección de Datos de 2017 (Data Protection Act 2017). |
| Autoridad local | Oficina de Protección de Datos (Data Protection Office), dirigida por el Comisionado de Protección de Datos (Data Protection Commissioner). |
| Disposiciones locales prevalentes | El régimen mauriciano se inspira en el RGPD y establece principios locales de protección de datos, obligaciones del responsable del tratamiento y derechos de los interesados. |
| Transferencias internacionales / localización | Aplicar las condiciones previstas en la Data Protection Act 2017 para las transferencias fuera de Mauricio, así como cualquier garantía aplicable. |
| Fuente de validación | Oficina de Protección de Datos de Mauricio (Data Protection Office). |
| Estado de implantación en el país | La implantación de la protección de datos en Mauricio se ha completado y articula la normativa local con el RGPD. |
Anexo local – Emiratos Árabes Unidos
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Decreto-ley federal n.º 45 de 2021 sobre la protección de datos personales, sin perjuicio de su ámbito de aplicación y sus exclusiones; además, pueden aplicarse normas propias de las zonas francas cuando proceda. |
| Autoridad local | Oficina de Datos de los Emiratos Árabes Unidos (UAE Data Office) a nivel federal; los reguladores sectoriales o de las zonas francas también pueden ser competentes cuando proceda. |
| Disposiciones locales prevalentes | La PDPL federal establece principios de tratamiento, derechos de los interesados y obligaciones de los responsables y encargados del tratamiento. Los regímenes del DIFC o del ADGM deben evaluarse por separado si una actividad de Astek está comprendida en dichas jurisdicciones. |
| Transferencias internacionales / localización | Aplicar los requisitos federales en materia de transferencias transfronterizas y, cuando proceda, las normas de la zona franca o del sector correspondiente. |
| Fuente de validación | Portal oficial del Gobierno de los Emiratos Árabes Unidos; portal legislativo de los Emiratos Árabes Unidos. |
| Estado de implantación en el país | La implantación de la protección de datos en los Emiratos Árabes Unidos se ha completado y articula la normativa local con el RGPD. |
Anexo local – Estados Unidos de América
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ninguna ley federal general de privacidad aplicable al sector privado rige la totalidad de los tratamientos realizados en Estados Unidos. Pueden aplicarse leyes federales sectoriales, la FTC Act y un número creciente de leyes estatales generales de privacidad en función de la actividad, el estado y los umbrales. |
| Autoridad local | Federal Trade Commission (FTC) para los asuntos de su competencia; fiscales generales de los estados (state attorneys general) y autoridades estatales de privacidad, cuando proceda (p. ej., la California Privacy Protection Agency para la CCPA/CPRA). |
| Disposiciones locales prevalentes | Toda implantación en Estados Unidos debe identificar los estados cuyas leyes son aplicables. La información destinada a los consumidores y los derechos deben completarse estado por estado cuando se alcancen los umbrales. California constituye una evaluación prioritaria cuando se aplique la CCPA/CPRA. |
| Transferencias internacionales / localización | El Derecho estadounidense no establece, por lo general, una restricción general de las transferencias comparable a la del RGPD, pero pueden aplicarse requisitos contractuales, sectoriales, estatales y de exportación extranjeros. Las transferencias procedentes del EEE/del Reino Unido o de otras jurisdicciones reguladas deben seguir cubiertas por el mecanismo de transferencia de la jurisdicción de origen. |
| Fuente de validación | FTC; California Privacy Protection Agency; autoridades estatales competentes. |
| Estado de implantación en el país | La implantación de la protección de datos en los Estados Unidos de América aún no se ha completado, como tampoco la articulación de la normativa local con el RGPD. |
Anexo local – China
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley de Protección de la Información Personal de la República Popular China (PIPL), junto con las normas aplicables en materia de ciberseguridad, seguridad de los datos y datos transfronterizos. |
| Autoridad local | Administración del Ciberespacio de China (CAC) y demás departamentos con funciones de protección de la información personal, en sus respectivos ámbitos de competencia. |
| Disposiciones locales prevalentes | La PIPL puede aplicarse de forma extraterritorial en las circunstancias previstas en su artículo 3. Cuando se aplique el artículo 53, un responsable del tratamiento de información personal establecido en el extranjero («personal information processor» en el sentido de la PIPL) debe crear un organismo especializado o designar un representante en China y comunicar los datos requeridos. Pueden aplicarse normas relativas al consentimiento separado y a la información personal sensible. |
| Transferencias internacionales / localización | La comunicación transfronteriza de información personal debe basarse en un mecanismo aplicable previsto por la PIPL y cumplir los requisitos vigentes de la CAC en materia de evaluación de seguridad, contrato tipo o certificación, cuando se activen. |
| Fuente de validación | Asamblea Popular Nacional; Administración del Ciberespacio de China. |
| Estado de implantación en el país | La implantación de la protección de datos en China aún no se ha completado, como tampoco la articulación de la normativa local con el RGPD. |
Anexo local – Malasia
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley de Protección de Datos Personales de 2010 (Personal Data Protection Act 2010 – Act 709), modificada por la Ley de modificación de 2024 (Personal Data Protection (Amendment) Act 2024), así como los reglamentos y directrices conexos. |
| Autoridad local | Comisionado de Protección de Datos Personales (Malasia). |
| Disposiciones locales prevalentes | El marco malasio modificado prevé requisitos reforzados de responsabilidad proactiva, en particular normas sobre la notificación de violaciones de datos, la designación de un DPO y otras obligaciones, cuando proceda. |
| Transferencias internacionales / localización | Aplicar las normas malasias vigentes en materia de transferencias transfronterizas y las directrices del Comisionado sobre transferencias transfronterizas. |
| Fuente de validación | Comisionado de Protección de Datos Personales (Malasia). |
| Estado de implantación en el país | La implantación de la protección de datos en Malasia aún no se ha completado, como tampoco la articulación de la normativa local con el RGPD. |
Anexo local – Singapur
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Ley de Protección de Datos Personales de 2012 (Personal Data Protection Act 2012 – PDPA) y sus reglamentos de aplicación. |
| Autoridad local | Comisión de Protección de Datos Personales (Personal Data Protection Commission – PDPC). |
| Disposiciones locales prevalentes | La PDPA establece obligaciones de responsabilidad, notificación, consentimiento, limitación de la finalidad, exactitud, protección, limitación de la conservación, limitación de las transferencias, acceso/rectificación y notificación de violaciones de datos, sin perjuicio de las excepciones legales. |
| Transferencias internacionales / localización | Las transferencias fuera de Singapur deben cumplir el requisito de limitación de las transferencias previsto por la PDPA, que consiste por lo general en garantizar un nivel de protección comparable, salvo que se aplique una excepción. |
| Fuente de validación | PDPC Singapur. |
| Estado de implantación en el país | La implantación de la protección de datos en Singapur aún no se ha completado, como tampoco la articulación de la normativa local con el RGPD. |
Anexo local – Reino Unido
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | UK GDPR; Data Protection Act 2018, en su versión modificada; Data (Use and Access) Act 2025 (todas las disposiciones relativas a la protección de datos en vigor a más tardar en junio de 2026). |
| Autoridad local | Information Commissioner’s Office (ICO). |
| Disposiciones locales prevalentes | Las normas británicas en materia de transparencia y derechos de las personas se aplican cuando es aplicable el UK GDPR. La ley de 2025 modificó determinados aspectos del Derecho británico de protección de datos y debe reflejarse en los procedimientos propios del Reino Unido. |
| Transferencias internacionales / localización | Aplicar el régimen británico de transferencias internacionales, en particular los reglamentos de adecuación del Reino Unido, el acuerdo británico de transferencia internacional de datos (International Data Transfer Agreement)/el Addendum británico u otras garantías permitidas, cuando se requiera. |
| Fuente de validación | ICO. |
| Estado de implantación en el país | La implantación de la protección de datos en el Reino Unido se ha completado y articula la normativa local con el RGPD. |
Anexo local – Australia
El presente anexo complementa la base de los avisos legales únicamente cuando la ley aplicable en esta jurisdicción exige una norma, una información, una autoridad, un derecho, una condición de transferencia o un requisito en materia de canal de denuncias de carácter local. Si la normativa local es distinta del RGPD, el Grupo Astek articula dicha normativa local con el RGPD y aplica siempre la normativa que más protege sus datos personales.
| Variable local | Información del país |
|---|---|
| Marco aplicable en materia de protección de datos | Privacy Act 1988 y Principios Australianos de Privacidad (Australian Privacy Principles – APP), cuando se aplique la ley. |
| Autoridad local | Office of the Australian Information Commissioner (OAIC). |
| Disposiciones locales prevalentes | Las entidades sujetas a los APP deben cumplir los 13 APP, en particular en materia de gestión abierta y transparente, información en la recogida, uso/comunicación, marketing directo, comunicación transfronteriza, seguridad, acceso y rectificación. La sujeción depende del ámbito de aplicación previsto por la ley, en particular en función del volumen de negocio y de categorías determinadas. |
| Transferencias internacionales / localización | El APP 8 regula la comunicación transfronteriza para las entidades sujetas, sin perjuicio de las excepciones legales. |
| Fuente de validación | OAIC. |
| Estado de implantación en el país | La implantación de la protección de datos en Australia aún no se ha completado, como tampoco la articulación de la normativa local con el RGPD. |