PREÁMBULO
Pluxee se compromete a proteger la privacidad de sus empleados, clientes, consumidores y cualquier otra persona y ha implementado políticas, programas y prácticas de privacidad sólidas. En particular, cuando Pluxee, al ser un Encargado, lleva a cabo el Tratamiento de Datos Personales bajo las instrucciones documentadas de un Responsable.
Con el fin de cumplir con las mejores prácticas de retención de datos personales, Pluxee ha adoptado una Política Global de Retención de Datos. La presente Política describe cómo Pluxee, cuando actúa como Procesador, sigue los principios del RGPD y cualquier otra ley aplicable y, por lo tanto, cómo Pluxee garantiza la protección de los derechos y libertades de las personas.

DEFINICIONES
Responsable del tratamiento se refiere a la persona física o jurídica, autoridad pública, agencia u otro organismo que, solo o conjuntamente con otros, determine los fines y medios del tratamiento de datos personales. En esta directiva, Responsable significa un cliente u otra entidad de Pluxee.

Interesado se refiere a una persona identificada o identificable cuyos datos personales están preocupados por el procesamiento dentro del Pluxee incluidos los datos personales de los actuales, anteriores y futuros solicitantes de Pluxee, empleados, clientes, consumidores/beneficiarios, proveedores/proveedores, contratistas/subcontratistas, accionistas o terceros.

Reglamento General de Protección de Datos o RGPD significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE.

Los datos personales se refieren a cualquier información relacionada con una persona física identificada o identificable; una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador como un nombre, un número de identificación, datos de ubicación, un identificador en línea o a uno o más factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de esa persona física.

Procesamiento de datos personales se refiere a cualquier operación o conjunto de operaciones que se realizan sobre datos personales o en conjuntos de datos personales, ya sea por medios automatizados, como la recopilación, registro, organización, estructuración, adaptación o alteración del almacenamiento, recuperación, consulta, uso, divulgación por transmisión, difusión o puesta a disposición, alineación o combinación, restricción, borrado o destrucción.

Entidad Pluxee o entidades Pluxee se refiere a cualquier corporación, sociedad u otra entidad u organización que sea admitida de vez en cuando como miembro del Grupo Pluxee.

PREÁMBULO
Pluxee se compromete a proteger la privacidad de sus empleados, clientes, consumidores y cualquier otra persona y ha implementado políticas, programas y prácticas de privacidad sólidas.
Con el fin de cumplir con las mejores prácticas de retención de datos personales, Pluxee ha adoptado una Política Global de Retención de Datos. La presente política describe cómo Pluxee, cuando actúa como Responsable, sigue los principios del RGPD o cualquier otra ley de protección de datos aplicable.

• DEFINICIONES
  Responsable del tratamiento se refiere a la persona física o jurídica, autoridad pública, agencia u otro organismo que, solo o conjuntamente con otros, determine los fines y medios del tratamiento de datos personales. En esta directiva, responsable significa un cliente u otra entidad de Pluxee.
• 
  Interesado se refiere a una persona identificada o identificable cuyos datos personales están preocupados por el procesamiento dentro de Pluxee, incluidos los datos personales de los actuales, anteriores y futuros solicitantes de Pluxee, empleados, clientes, consumidores/beneficiarios, proveedores/vendedores, contratistas/subcontratistas, accionistas o terceros.
• 
  Reglamento General de Protección de Datos o RGPD significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE.
• 
  Los datos personales se refieren a cualquier información relacionada con una persona física identificada o identificable; una persona física identificable es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador como un nombre, un número de identificación, datos de ubicación, un identificador en línea o a uno o más factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de esa persona física.
• 
  Procesamiento de datos personales se refiere a cualquier operación o conjunto de operaciones que se realizan sobre datos personales o en conjuntos de datos personales, ya sea por medios automatizados, como la recopilación, registro, organización, estructuración, adaptación o alteración del almacenamiento, recuperación, consulta, uso, divulgación por transmisión, difusión o puesta a disposición, alineación o combinación, restricción, borrado o destrucción.
• 
  Entidad Pluxee o entidades Pluxee se refiere a cualquier corporación, sociedad u otra entidad u organización que sea admitida de vez en cuando como miembro del Grupo Pluxee.

1. ALMACENAMIENTO DE DATOS PERSONALES DE CONFORMIDAD CON EL PRINCIPIO DE LIMITACIÓN DE ALMACENAMIENTO

A. DEFINICIÓN DE UN PERÍODO DE RETENCIÓN DE DATOS PERSONALES PARA CADA PROPÓSITO
Para cada propósito del Procesamiento de datos personales, se define un período limitado de retención de datos.
Los períodos de retención de datos pueden diferir dependiendo del propósito del procesamiento. Dichos períodos deben fijarse teniendo en cuenta la finalidad del tratamiento y teniendo en cuenta:

Cualquier requisito legal local que imponga un período de retención de datos;
En ausencia de requisitos legales locales, los datos personales deben conservarse durante no más tiempo del necesario para la finalidad para la que se recopilan.
La definición de un período de retención de datos es un proceso local. De hecho, la definición de dicho período se basa en primer lugar en los requisitos de cualquier ley local que pueda establecer un período de retención (por ejemplo, para cualquier tratamiento de recursos humanos, la legislación laboral local debe ser revisada).
Si las leyes locales no establecen un período de retención de datos específico para el Procesamiento en juego, el propietario de la empresa en cuestión tiene la responsabilidad de definir, junto con el punto de contacto único de protección de datos y el propietario de TI, un período de retención de datos específico que cumple con el RGPD y cualquier otro requisito de las leyes de protección de datos aplicables.
El período de retención de datos establecido con el propietario de la empresa se asegurará de que una vez que el propósito del tratamiento deje de existir y si no hay ningún requisito legal para retener los datos personales, los datos personales deben ser inmediatamente anonimizados o eliminados.
Pluxee eliminará los datos personales solo de forma segura de acuerdo con la Política de Información y Seguridad del Grupo.

B. MODO ACTIVO
Los datos personales serán accesibles para los empleados apropiados de Pluxee en un modo activo durante el período de retención de datos sobre una base de «necesidad de saber».

C. ARCHIVO TEMPORAL
Los datos personales pueden archivarse temporalmente con acceso restringido cuando la finalidad para la que se recopilaron ya no existe:
(a) Mientras dure el plazo de prescripción: defensa contra una acción legal o contractual potencial o real o futura planteada por terceros, incluidos los interesados; o
(b) Cumplir con una obligación legal.

D. ARCHIVO PERMANENTE
Los datos personales pueden almacenarse durante períodos más largos con fines estadísticos. Esto debe ser autorizado por la Oficina Global de Protección de Datos o el Punto de Contacto Único de Protección de Datos Local. En ese caso, Pluxee implementará las salvaguardas adecuadas para proteger a las personas, como la seudonimización. El archivo permanente se mantendrá en un soporte independiente, al que no puedan acceder los sistemas de producción, permitiendo únicamente un acceso separado, único y con motivación precisa al servicio encargado, que por sí solo está autorizado a consultar este tipo de archivos.
En tal caso, póngase en contacto con la Oficina Global de Protección de Datos o con su punto de contacto único de protección de datos local para ayudarle en los siguientes puntos:

Conservar únicamente los datos personales necesarios para la investigación estadística
Anonimizar los datos personales retenidos de forma irreversible siempre que sea posible
Si la anonimización no es posible, seudonimizar.
Archivar datos personales en un formato de solo lectura independiente y dar acceso únicamente al personal pertinente de forma única.

E. BORRADO
Al final del período de retención de datos (incluido el modo activo y el archivo temporal), Pluxee eliminará o anonimizará los datos personales de forma segura.
Si los datos personales han sido sub-procesados por un Procesador, Pluxee debe indicar al Encargado que elimine o devuelva los datos personales a más tardar en la fecha de rescisión del contrato. Pluxee debe exigir al Encargado que proporcione una certificación que confirme la buena supresión de los datos personales.

2. MONITOREO DE LA IMPLEMENTACIÓN EFECTIVA DE LOS PERIODOS DE RETENCIÓN DE DATOS.
Una vez que se haya establecido el período de retención de datos adecuado para un determinado Procesamiento de datos personales (ya sea debido a un requisito legal local o conjuntamente con el propietario de una empresa), Pluxee garantizará el seguimiento de su implementación cumpliendo con los siguientes pasos:

1. Asegúrese de que el período de retención de datos apropiado se ha registrado correctamente en OneTrust para cada Procesamiento de datos personales;
2. Crear un grupo de trabajo de retención de datos que incluya el punto de contacto único de protección de datos local, el propietario de la empresa en cuestión y el equipo de IS&T para implementar técnicamente el período de retención de datos (incluido el modo activo y el archivo temporal);
3. Elaborar un proceso detallado que incluya los pasos a seguir para eliminar los datos personales y al propietario de cada acción identificada en el proceso por el grupo de trabajo de retención de datos;
4. Reunirse con el grupo de trabajo de retención de datos anualmente para revisar si el período de retención de datos se implementa correctamente y si los datos personales se archivan o eliminan correctamente.

Apéndice 1 – Programa indicativo de retención de datos:
El período de conservación de datos se definirá sobre la base del tratamiento de que se trate. Los siguientes períodos de retención de datos se basan en los requisitos de varias leyes francesas.