1. Resumen

1.1 PROPÓSITO

La Política de Gestión de Solicitudes de los Sujetos de Datos ("DSR") y de Cookies y Consentimiento de Albaugh (en adelante, referida como "la Empresa") regula la recepción, evaluación, respuesta y mantenimiento de registros de Albaugh en relación con las DSR. Las DSR pueden realizarse a Albaugh en virtud de varias leyes aplicables, y esta política se establece para regir el proceso de recepción y respuesta de dichas solicitudes de conformidad con las leyes aplicables. Además, esta política proporciona pautas sobre cuándo se debe obtener el consentimiento, el idioma que se debe utilizar y cómo se debe mantener la documentación.

1.2 ALCANCE

Esta política se aplica a todos los miembros de la fuerza laboral de Albaugh, que incluye trabajadores contratados y consultores. Albaugh requerirá que todas las terceras partes que utilicen hardware, software, redes, aplicaciones, datos, propiedad intelectual y cualquier recurso asociado gestionado y propiedad de Albaugh cumplan con los estándares legales aplicables. Esta política se aplica a Albaugh y sus Afiliados.

2. Definiciones

Ley(es) Aplicable(s) - Cualquier ley(es), regla(s) o regulación(es) estatal(es), federal(es) o extranjera(s) aplicable(s) al Procesamiento de Información Personal.

Controlador - La entidad que determina los fines y los medios del procesamiento de Información Personal. El Controlador puede ser referido como "Empresa" según las Leyes Aplicables.

Sujeto de Datos – Una persona identificada o identificable a quien se refiere la Información Personal.

Solicitud del Sujeto de Datos ("DSR") – El medio por el cual los sujetos de datos solicitan que la organización revele qué Información Personal posee sobre ellos y cómo la organización la utiliza o tiene la intención de utilizarla.

Información Personal ("PI") - Cualquier información relacionada con una persona natural o 'Sujeto de Datos', que pueda utilizarse para identificar directa o indirectamente a la persona. La Información Personal puede incluir información referida como "Datos Personales" o "Información de Identificación Personal" (PII) en algunas jurisdicciones.

Procesamiento - Cualquier operación o conjunto de operaciones que se realice sobre la Información Personal, ya sea por medios automáticos o no, como la recopilación, grabación, organización, almacenamiento, adaptación o alteración, recuperación, consulta, divulgación por transmisión, difusión o de cualquier otra forma hacer disponible, alineación o combinación, bloqueo, borrado o destrucción.

Procesador – Una entidad que procesa Información Personal en nombre del Controlador. El Procesador puede ser referido como "Proveedor de Servicios" según las Leyes Aplicables

3. Solicitudes del Sujeto de Datos

3.1 SOLICITUDES EN EL ÁMBITO

Dependiendo de la Ley Aplicable donde residan los sujetos de datos (por ejemplo, clientes, consumidores, empleados, etc.), los sujetos de datos pueden tener derecho a afirmar los siguientes derechos relacionados con la PI:

• Acceso y Portabilidad: El derecho a solicitar que Albaugh proporcione un informe de PI que posee la empresa. El informe podría incluir:
• Las categorías de PI que Albaugh ha recopilado sobre ese consumidor;
• Las categorías de fuentes de las cuales se recopila la PI;
• El propósito empresarial o comercial de recopilar o vender PI;
• Las categorías de terceros con quienes Albaugh comparte PI;
• Los elementos específicos de PI que Albaugh ha recopilado sobre ese consumidor.
• Rectificación: El derecho a solicitar que Albaugh rectifique la PI incorrecta o incompleta.
• Borrado: El derecho a solicitar que Albaugh elimine o borre la PI.
• Por ejemplo, las solicitudes pueden ser denegadas si se requiere retener la PI bajo ciertas circunstancias, incluyendo, pero no limitándose a:
• Cumplir con una obligación legal;
• Establecer, ejercer o defender reclamaciones legales; o
• Realizar una tarea en interés público o en el ejercicio de autoridad oficial;
• Retirar el consentimiento: El derecho a retirar el consentimiento para el procesamiento de PI por parte de Albaugh (consulte la sección "Gestión de Cookies y Consentimiento" a continuación).
• Comunicaciones de marketing: El derecho a optar por no recibir comunicaciones de marketing de Albaugh.
• Objeción: El derecho de los Sujetos de Datos a objetar el procesamiento de PI que les concierne.
• Restricción del Procesamiento: El derecho a restringir u objetar el procesamiento o la transferencia de PI por parte de Albaugh en ciertas circunstancias.
• Toma de Decisiones Automatizada Individual: El derecho a no estar sujeto a una decisión basada únicamente en el procesamiento automatizado de PI, incluido el perfilado.
• No Discriminación: El derecho a no enfrentar discriminación por afirmar los derechos mencionados anteriormente. Albaugh no tomará medidas retaliatorias o discriminatorias contra ningún consumidor que elija ejercer cualquiera de los derechos mencionados anteriormente. Por lo tanto, Albaugh no puede negar a los individuos sus servicios y productos. La Ley Aplicable podría prohibir cualquier práctica usurera, coercitiva o injusta al respecto.

3.2 Requisitos de las Solicitudes de Sujetos de Datos (DSR)

Independientemente de la regulación bajo la cual se realice una DSR, existen elementos comunes del programa de respuesta a DSR de Albaugh; cuando sea aplicable por ley, estos deberán ser llevados a cabo por Albaugh de la siguiente manera:

Recepción

El proceso mediante el cual las DSR pueden ser enviadas por individuos a Albaugh está delineado y proporcionado a los individuos a través de los Avisos de Privacidad de Albaugh que se muestran al público.

Documentación y Monitoreo de Solicitudes Recibidas

Albaugh se asegurará de que todas las DSR recibidas sean documentadas con el propósito de reconocer internamente su recepción. Albaugh asegurará que el estado de cumplimiento sea monitoreado (es decir, desde la recepción hasta el rechazo o cumplimiento) para cada solicitud para garantizar que se emita una respuesta satisfactoria de acuerdo con los requisitos y plazos reglamentarios.

Entrenamiento y Conciencia

Albaugh asegura que todas las personas responsables de manejar las DSR entrantes e investigaciones externas (es decir, solicitudes donde se requiere la cooperación de terceros) estén informadas de todos los requisitos reglamentarios aplicables y los procedimientos internos de Albaugh.

Plazos de Respuesta y Reconocimiento

Albaugh responderá a las solicitudes de acuerdo con los plazos reglamentarios pertinentes. Esto puede incluir el reconocimiento de la recepción de las solicitudes antes de que se tome una determinación sobre la aceptación o rechazo de la solicitud y antes de que se cumpla la solicitud.

Evaluación de la Base Legal

Como parte del proceso de respuesta a las DSR, Albaugh aceptará o rechazará las DSR basándose en una evaluación de la base legal de la solicitud según las Leyes Aplicables. Al denegar una DSR, Albaugh comunicará al sujeto de datos por qué no existe una obligación legal de completar la solicitud.

Verificación de Identidad

La determinación de la base legal de la solicitud, y cualquier respuesta subsiguiente al solicitante, incluirá, según lo considerado necesario de acuerdo con la ley aplicable, un procedimiento de verificación de identidad antes de que se divulgue cualquier información.

Evaluación Legal y Verificación de Identidad de Solicitudes de Terceros

Cuando un sujeto de datos utiliza un agente para enviar una DSR, Albaugh puede requerir que el sujeto de datos siga pasos adicionales para mantener el cumplimiento.

Rechazo de una Solicitud

Albaugh se asegura de que toda la información en relación con la decisión de rechazar la solicitud, y que se requiere proporcionar bajo las Leyes Aplicables, sea proporcionada al solicitante y se retenga de acuerdo con los requisitos reglamentarios. Los casos en los que Albaugh puede rechazar la solicitud incluyen, pero no se limitan a, la imposibilidad de validar la identidad del Sujeto de Datos y otras limitaciones con respecto al cumplimiento de otras Leyes Aplicables (como las leyes de la Unión Europea o del Estado Miembro, leyes federales de EE. UU., etc.).

Cumplimiento de la Solicitud

Albaugh, con el fin de garantizar el cumplimiento del proceso de DSR, tiene políticas y procedimientos que requieren que se realice el reporte adecuado (o la modificación adecuada) de la PI en la organización. Albaugh también asegura que sus sistemas y terceros aplicables ejecuten y cumplan correctamente las obligaciones del proceso de DSR aprobado por Albaugh.

Antidiscriminación

Albaugh no discrimina a individuos que ejercen cualquiera de los derechos otorgados bajo regulaciones aplicables bajo ninguna circunstancia. Esta antidiscriminación incluye, pero no se limita a, no negar bienes o servicios al solicitante; no cobrar precios o tarifas diferentes por bienes o servicios, incluso mediante el uso de descuentos u otros beneficios o imposición de penalidades, y no proporcionar un nivel o calidad diferente de bienes o servicios a solicitantes individuales, ni sugerir que los individuos recibirán un precio o tarifa diferente por bienes o servicios o un nivel o calidad diferente de bienes o servicios como resultado de ejercer sus derechos.

Además, los Oficiales de IT y Cumplimiento regional trabajarán con el IT del Grupo y el Oficial de Cumplimiento del Grupo para abordar los requisitos específicos de cualquier ley local aplicable en cada región.

4. Cookies y Consentimiento

4.1 ASPECTOS REGULATORIOS

El término "consentimiento" aparece en casi todas las regulaciones de protección de datos vigentes en todo el mundo. La mayoría de los países, con la excepción de los Estados Unidos, requieren el consentimiento "opt-in" otorgado libremente por el sujeto de datos del cual Albaugh está recopilando información. Las Leyes Aplicables suelen definir "consentimiento" como "cualquier indicación de los deseos del Sujeto de Datos, libremente otorgada, específica, informada y no ambigua, mediante la cual él o ella, mediante una declaración o una acción afirmativa clara, manifiesta su acuerdo con el procesamiento de Datos Personales relacionados con él o ella".

Las Leyes Aplicables dictan las bases legales que una organización puede reclamar al recopilar y procesar PI; esto incluye "consentimiento". Albaugh debe asegurarse de que, si reclama "consentimiento" como base legal para una actividad de procesamiento de datos en particular, el razonamiento sea consistente a lo largo del proceso y no pueda cambiarse por otra base legal más tarde (sin embargo, inicialmente se pueden citar múltiples bases legales).

Las Leyes Aplicables establecen las siguientes condiciones con respecto al "consentimiento":

Dado Libremente:

• El cumplimiento de una disposición o servicio no requerirá consentimiento para procesar PI que no sea necesario para cumplir con esa disposición o servicio en particular.
• Se debe ofrecer una elección genuina o libre al Sujeto de Datos.

Específico:

• Si el consentimiento se obtiene en el contexto de una declaración escrita que concierne a otros asuntos, la sección de consentimiento debe ser claramente distinguible del resto.
• Los Sujetos de Datos deben consentir a cada actividad de procesamiento de datos por separado.

Informado:

• Los Sujetos de Datos deben ser informados, en un lenguaje sencillo, sobre quién está procesando sus datos, qué actividades de procesamiento ocurrirán y el propósito del procesamiento de datos; esto debe expresarse antes de capturar el consentimiento inicialmente.

No Ambiguo:

• El consentimiento del Sujeto de Datos para procesar sus PI debe ser demostrable.
• El silencio o la inactividad no serían aceptables, un Sujeto de Datos debe optar conscientemente marcando claramente una casilla, eligiendo una configuración técnica o proporcionando una declaración clara de consentimiento.

Puede Ser Revocado:

• El Sujeto de Datos siempre debe tener el derecho de retirar fácilmente su consentimiento (es decir, optar por no participar) en cualquier momento; este derecho debe expresarse antes de capturar el consentimiento inicialmente.

4.2 “VENTA" DE INFORMACIÓN PERSONAL

"Venta" se refiere a la venta, alquiler, divulgación, revelación, difusión, puesta a disposición, transferencia o comunicación, oralmente, por escrito, o por medios electrónicos u otros medios de IP que el consumidor no haya dirigido intencionalmente a compartir con un tercero. Las transferencias de IP a terceros, independientemente de la consideración monetaria, pueden clasificarse como "venta" bajo las Leyes Aplicables. Por lo tanto, la "venta" de información personal requiere consentimiento.

4.2.1 Regla de No Venta

Bajo ciertas Leyes Aplicables, los Consumidores tienen el derecho de decir a las empresas que no "vendan" su IP. Los requisitos específicos de la Regla de No Venta incluyen lo siguiente:

• Todas las páginas web deben tener una página llamada "No Vender Mi Información Personal" que permita a los consumidores optar por no participar en la "venta" de su IP.
• El enlace de la página "No Vender Mi Información Personal" debe estar presente en la página de inicio del sitio web (también es una buena práctica hacer visible el enlace en todas las páginas web).
• Los consumidores deben poder optar por no participar sin crear una cuenta en el sitio web.
• La política de privacidad del sitio web debe incluir un lenguaje que describa los derechos del consumidor y un enlace a la página "No Vender Mi Información Personal".
• Después de que un consumidor opta por no participar, no se le puede solicitar que su IP sea "vendida" durante 12 meses.

Albaugh no participa en la venta de IP. Si algún sitio web de Albaugh recopila IP para venderla a un tercero, el sitio web debe incluir una página de "No Vender Mi Información Personal".

4.2.2 Menores y la Venta de Información Personal

Albaugh no debe "vender" intencionalmente la IP de consumidores menores de 16 años. Los consumidores entre las edades de 13 y 16 años o los padres/tutores (para consumidores menores de 13 años) deben especificar "optar" o "consentir" a la "venta" de su IP (o la de sus hijos).

Los servicios y productos de Albaugh no están destinados a personas menores de dieciocho (18) años. Albaugh no recopila ni utiliza intencionalmente IP relacionada con menores.

4.3 REQUISITOS DE LA POLÍTICA

Albaugh está obligado a obtener el consentimiento de los Sujetos de Datos de acuerdo con las Leyes Aplicables. Cuando se requiera consentimiento, deben cumplirse los siguientes requisitos:

• Capacidad para demostrar que el Sujeto de Datos ha dado su consentimiento explícito para el procesamiento de su IP.
• Capacidad para demostrar que el Sujeto de Datos ha consentido en el procesamiento de su IP para uno o más fines específicos.
• El consentimiento es fácilmente distinguible de cualquier otro asunto relacionado con el Sujeto de Datos.
• El consentimiento está en una forma inteligible y de fácil acceso, utilizando un lenguaje claro y sencillo.
• El Sujeto de Datos ha sido informado de su derecho a retirar el consentimiento antes de haberlo dado.
• El procesamiento de datos se limita al contrato vinculado por el consentimiento explícito dado por el Sujeto de Datos.
• Los registros de consentimiento se conservan, cuando corresponda, de acuerdo con las políticas internas de retención de datos y las obligaciones regulatorias.

Además, el Departamento de IT regional y el Oficial de Cumplimiento regional revisarán los procedimientos de consentimiento de Albaugh para verificar el cumplimiento de cualquier otra ley o regulación local aplicable.

4.4 EXCEPCIONES

Cualquier excepción a la política debe ser aprobada por el Asesor Legal.

4.5 APLICACIÓN DE LA POLÍTICA

Cualquier empleado que se encuentre en violación de esta política puede estar sujeto a medidas disciplinarias, incluyendo la terminación de su contrato.

5. Historial de revisión del documento y aprobación.