Compromiso de GE HealthCare con la protección de la Información personal

Introducción

GE HealthCare respeta los derechos de privacidad de las personas y tiene el compromiso de manejar la Información personal de manera responsable, de conformidad con las leyes pertinentes, las obligaciones contractuales correspondientes y el Compromiso de GE HealthCare con la protección de la Información personal (en adelante, el Compromiso), como se describe a continuación. En el Compromiso, se establecen los principios de GE HealthCare para el procesamiento de la Información personal tanto por parte de GE HealthCare como en su nombre.

Mediante el Compromiso, se establece una base legal para las transferencias transfronterizas de Información personal dentro del Grupo GE HealthCare (todas las divisiones de propiedad total o mayoritaria de la Empresa GE HealthCare). Además, GE HealthCare puede realizar transferencias transfronterizas de Información personal a terceros fuera del Grupo GE HealthCare de conformidad con las leyes pertinentes. GE HealthCare manejará la Información personal de acuerdo con el Compromiso cuando proceda, a menos que este se encuentre en conflicto con las disposiciones más estrictas de las leyes locales, en cuyo caso la ley local prevalecerá.

Ámbito

El Compromiso está diseñado para garantizar que se proteja la Información personal, independientemente del lugar geográfico o la tecnología, cuando se utilice dentro del Grupo GE HealthCare, y se aplica al procesamiento de la Información personal de GE HealthCare y a la Información personal de los Clientes de GE HealthCare.

Procesamiento de la Información personal

GE HealthCare solo procesa la Información personal del Cliente de GE HealthCare en nombre del Cliente y de acuerdo con las instrucciones que este proporcione.

GE HealthCare respeta los siguientes principios cuando procesa Información personal y proporciona cooperación y asistencia razonables al Cliente para facilitar su protección de los mismos principios. Cuando lo exija la ley correspondiente, esto incluye ayudar al Cliente con las evaluaciones del impacto en la privacidad, las consultas necesarias con las autoridades de protección de datos pertinentes y la implementación de medidas de cumplimiento, como la privacidad predeterminada y personalizada:

Imparcialidad: GE HealthCare procesará la Información personal de manera legal e imparcial.

Objetivo: GE HealthCare limitará el procesamiento de la Información personal al cumplimiento de los propósitos específicos y legítimos de GE HealthCare. GE HealthCare solo llevará a cabo el procesamiento que sea compatible con dichos fines, a menos que GE HealthCare tenga el consentimiento inequívoco de la persona o la confirmación del Cliente pertinente de que se obtuvo dicho consentimiento cuando fue necesario.

En general, GE HealthCare procesará Información personal en las siguientes situaciones:

• cuando GE HealthCare tenga un interés legítimo que, considerando todos los factores, justifique el procesamiento;
• cuando sea necesario para el mantenimiento o el establecimiento de una relación legal entre GE HealthCare y la persona;
• cuando sea necesario para cumplir con una obligación que las leyes, los reglamentos o las autoridades gubernamentales correspondientes impongan a GE HealthCare;
• cuando se presenten situaciones excepcionales que amenacen la vida, la salud o la seguridad de la persona o de otra persona;
• después de obtener el consentimiento otorgado libremente, explícito e informado de la persona, cuando así lo exija la ley correspondiente; o
• cuando el procesamiento se relacione con un acuerdo de servicio al Cliente.

En los casos en que GE HealthCare haya obtenido el consentimiento directamente, GE HealthCare establecerá un proceso que permitirá a las personas retirar su consentimiento en la medida exigida por las leyes pertinentes, en cualquier momento y sin cargo alguno.

Proporcionalidad: GE HealthCare limitará el procesamiento de la Información personal a lo que sea adecuado, pertinente y no excesivo en relación con los fines para los que GE HealthCare la recopila y utiliza.

Calidad de la información: GE HealthCare tomará medidas razonables con el propósito de proporcionar al Cliente un medio para garantizar que la Información personal sea exacta y se mantenga actualizada, a fin de conservar la Información personal solo mientras sea necesario para los fines para los que se recopiló y utilizó, y para borrarla o volverla anónima después de transcurridos dichos requisitos de retención.

Después de que el Cliente haya presentado una solicitud válida y cuando sea razonablemente factible hacerlo, GE HealthCare realizará las siguientes acciones:

• realizará o proporcionará al Cliente los medios para rectificar, actualizar, anonimizar o eliminar (según corresponda) la Información personal del Cliente de GE HealthCare; y
• notificará este hecho a cada Entidad de GE o tercero a quien se haya divulgado la Información personal del Cliente de GE HealthCare.

Transparencia: Cuando las leyes pertinentes lo requieran, GE HealthCare pondrá a disposición de las personas, en el punto de recopilación, o en un período razonable a partir de la recopilación, información sobre la identidad de GE HealthCare; los propósitos y la base legal para procesar su Información personal; los destinatarios previstos y las transferencias transfronterizas de datos; las fuentes de la Información personal; cómo pueden las personas ejercer sus derechos con respecto a la Información personal; los datos de contacto del Oficial de protección de datos según corresponda; y explicaciones adicionales según sea necesario para asegurar un procesamiento imparcial. En los casos en que GE HealthCare recopile Información personal a través de Internet u otros medios electrónicos, GE HealthCare publicará un aviso de privacidad de fácil acceso que cumpla con estos requisitos de transparencia.

Confidencialidad: GE HealthCare mantendrá la confidencialidad de la Información personal que procese, excepto cuando la divulgación sea necesaria debido a un requisito operativo o legal correspondiente. Esta obligación continuará incluso después de finalizada la relación con el Cliente. GE HealthCare requiere que todos los miembros del Grupo GE HealthCare que procesan la Información personal del Cliente de GE HealthCare y sus empleados cumplan con las instrucciones del Cliente sobre el procesamiento de la Información personal del Cliente de GE HealthCare.

Seguridad: GE HealthCare se esfuerza por proteger la Información personal con medidas técnicas y organizacionales apropiadas para garantizar su integridad, confidencialidad, seguridad y disponibilidad, y requiere que todos los miembros del Grupo GE HealthCare que procesan la Información personal del Cliente de GE HealthCare y sus empleados cumplan con las medidas de seguridad y confidencialidad establecidas en el acuerdo de servicio con el Cliente. GE HealthCare proporcionará una asistencia razonable al Cliente de GE HealthCare para garantizar la seguridad del procesamiento e informará al Cliente de GE HealthCare de cualquier fallo de la seguridad de la Información personal del Cliente de GE HealthCare según lo exigen dichas leyes.

Vigencia del término: Al finalizar el acuerdo de servicio con el Cliente, a menos que se acuerde lo contrario con el Cliente que o la ley pertinente lo impida, GE HealthCare devolverá o destruirá (y, en el caso de la destrucción, certificará al Cliente que lo hizo) toda la Información personal del Cliente de GE HealthCare y todas las copias que posea de esta.

Uso compartido o transferencia de la Información personal

GE HealthCare puede compartir o transferir la Información personal en las siguientes circunstancias:

• La Información personal se puede compartir dentro del Grupo GE HealthCare para los propósitos especificados anteriormente, siempre que la entidad del Grupo GE HealthCare que procesa la Información personal cumpla con este Compromiso.
• GE HealthCare puede proporcionar Información personal a determinados proveedores de suministros o servicios contratados para realizar ciertos procesos u otros servicios en su nombre. GE HealthCare se esforzará por garantizar que las relaciones con nuevos proveedores permitan el procesamiento de la Información personal de una manera coherente con este Compromiso y la ley correspondiente por medio de una relación legal establecida a través de un contrato u otros medios legalmente permitidos, que impondrán obligaciones equivalentes al proveedor a aquellas que se aplican a GE HealthCare en virtud del acuerdo de servicio con el Cliente. En virtud de esos contratos, los proveedores deben implementar las medidas de seguridad adecuadas y solo pueden procesar la Información personal de conformidad con las instrucciones de GE HealthCare.
• GE HealthCare podrá divulgar cierta Información personal a otros terceros, incluidas las autoridades policiales, cuando así lo exija la ley, a fin de proteger los derechos legales de GE HealthCare, o en relación con cualquier actividad de fusión o adquisición de GE HealthCare, o con la quiebra o reorganización de cualquier parte de GE HealthCare. GE HealthCare puede llevar a cabo transferencias transfronterizas de Información personal dentro del Grupo GE HealthCare, en función del cumplimiento de los miembros del Grupo destinatario a las partes pertinentes de este Compromiso. GE HealthCare también puede llevar a cabo transferencias transfronterizas fuera del Grupo GE HealthCare cuando el destinatario pueda proporcionar el nivel mínimo de protección previsto en este Compromiso, se base en una justificación adecuada según la ley correspondiente o el país al que se transmite dicha información permita el nivel de protección previsto por las decisiones de adecuación de la Comisión Europea. Como parte del compromiso de GE HealthCare con la responsabilidad, GE HealthCare estará listo para demostrar que una transferencia transfronteriza cumple con las protecciones previstas en este Compromiso, en particular cuando así lo requiera una autoridad supervisora competente.
• Cuando se realicen transferencias transfronterizas, las Empresas de GE HealthCare y las Entidades de GE HealthCare no tienen motivos para creer que las leyes y prácticas en el país tercero de destino correspondientes al procesamiento de la Información personal por parte del importador de datos impiden que el importador de datos cumpla con sus obligaciones en virtud de este Compromiso y tienen debidamente en cuenta las circunstancias específicas de la transferencia transfronteriza, las leyes y prácticas del país tercero de destino y cualquier garantía contractual, técnica u organizacional pertinentes para complementar las medidas de protección en virtud de este Compromiso.

Procesamiento de Información personal confidencial

Cuando GE HealthCare procese o transfiera Información personal confidencial, lo hará según las instrucciones del Cliente y aplicará las medidas de seguridad apropiadas según lo exija la ley correspondiente. Se proporcionarán las medidas de seguridad adecuadas en función de la naturaleza de esta información y de los riesgos asociados a los usos previstos.

Responsabilidad

GE HealthCare es responsable del cumplimiento de los requisitos establecidos en el Compromiso y de conformidad con las leyes pertinentes. Específicamente, GE HealthCare realizará las siguientes acciones:

• tomará las medidas necesarias para cumplir con los requisitos del Compromiso y las disposiciones de las leyes pertinentes; y
• contará con los mecanismos internos necesarios para demostrar dicho cumplimiento, incluido el mantenimiento de un registro de sus actividades de procesamiento de conformidad con las leyes pertinentes.

Programa de privacidad

GE HealthCare emplea prácticas de privacidad diseñadas para apoyar su cumplimiento del Compromiso y las leyes pertinentes, lo que incluye la designación de una red de líderes de privacidad, programas de educación y concientización, protocolos de respuesta a incidentes, valuaciones de impacto en la privacidad, rutinas de auditoría y un enfoque de Privacidad personalizada y Privacidad predeterminada para el desarrollo de procesos y sistemas.

Derechos de los individuos

De acuerdo con las leyes pertinentes, una persona que haya establecido satisfactoriamente su identidad ante GE HealthCare o ante el Cliente puede ejercer los siguientes derechos en relación con la Información personal que GE haya recopilado directamente de esta persona; GE HealthCare ayudará al Cliente a cumplir con sus obligaciones de privacidad hacia las personas:

Acceso: Cuando así lo exijan las leyes pertinentes, luego de una solicitud de una persona y siguiendo las instrucciones del Cliente, GE HealthCare proporcionará Información personal con la que GE HealthCare cuente acerca de esta persona, lo que incluye la información relativa a la fuente de la Información personal, los propósitos de cualquier procesamiento realizado por GE HealthCare y los destinatarios, o las categorías de destinatarios, a quienes se haya divulgado dicha Información personal.

Corrección y eliminación: Siguiendo las instrucciones del Cliente, se respetarán y se confirmarán las solicitudes válidas de corrección o eliminación de Información personal incompleta, imprecisa o excesiva, excepto que la eliminación no se realizará cuando la retención sea una exigencia de la relación contractual entre GE HealthCare y el Cliente, en el contexto de una disputa legal u otro requisito de retención legal, o según lo exijan las leyes pertinentes.

Objeción: Siguiendo las instrucciones del Cliente, GE HealthCare dejará de procesar la Información personal cuando la objeción de una persona esté justificada en virtud de las leyes pertinentes, por ejemplo, cuando la vida o la salud de la persona estén en riesgo debido al procesamiento. Una persona también tiene el derecho de objetar decisiones basadas únicamente en el procesamiento automatizado de la Información personal que producen efectos legales que afectan de manera importante a la persona involucrada, excepto en los casos en los que la persona haya solicitado el procesamiento o cuando sea necesario para la relación contractual entre GE y el Cliente. En este último caso, el individuo puede dar sus puntos de vista sobre la decisión automatizada. Una persona tiene el derecho a oponerse al procesamiento de la Información personal por parte de GE HealthCare para fines de comercialización cuando lo permitan las leyes pertinentes. El ejercicio de este derecho a objetar podría reemplazarse en los casos en que GE HealthCare o el Cliente puedan demostrar que su interés legítimo y apremiante para continuar el procesamiento anula los intereses o los derechos y libertades fundamentales de la persona.

Restricción: Una persona también tiene el derecho a solicitar la restricción de cualquier procesamiento de su Información personal por parte de GE HealthCare, en la medida en que tal derecho se otorgue de conformidad con las leyes pertinentes, por ejemplo, cuando se impugna la exactitud de la Información personal con la que cuenta GE HealthCare. Siguiendo las instrucciones del Cliente, GE HealthCare dejará de procesar dicha información cuando la restricción esté justificada, con excepción del almacenamiento y de otras operaciones de procesamiento permitidas en virtud de las leyes pertinentes.

Quejas: Cualquier persona que asegure haber sufrido daños como resultado de un incumplimiento del Compromiso por parte de una entidad del Grupo GE HealthCare puede presentar una queja al Oficial de cumplimiento o al Líder de privacidad del Grupo GE HealthCare correspondientes, o a través de los Procesos de gestión de quejas de GE HealthCare disponibles en los sitios web de GE HealthCare si se agotaron otros canales o no están disponibles:

• Informe de inquietudes internas: https://submit-irm.trustarc.com/services/validation/13864fcb-7587-457a-9a97-91497f5c0ad7
• Informe de inquietudes externas: https://submit-irm.trustarc.com/services/validation/66c3579f-50bb-49a3-b68a-39e4f9076a57

GE HealthCare solo estará obligado a tramitar la queja si el Cliente se ha declarado en quiebra, desapareció de facto o ha dejado de existir legalmente y solo cuando ninguna entidad sucesora haya asumido las obligaciones legales del Cliente.

Si el Cliente considera que la queja está justificada, GE HealthCare ayudará al Cliente y tomará medidas razonables para solucionar la queja y lograr la satisfacción razonable de la persona. GE HealthCare se esfuerza por ayudar al Cliente a responder a las quejas dentro de los treinta días siguientes a su recepción. Una persona con una queja no resuelta en relación con el cumplimiento del Compromiso por parte de GE HealthCare en alguno de los países en los que se apliquen las Reglas de Privacidad Transfronterizas del foro de Cooperación Económica Asia-Pacífico (APEC, por sus siglas en inglés) puede comunicarse con el proveedor de soluciones de disputas con terceras partes de GE HealthCare, con oficinas en Estados Unidos, (sin cargo alguno).

Aplicación: Una persona que haya sufrido daños como resultado de una infracción del Compromiso podría tener derecho a recibir una indemnización por tales daños de conformidad con las leyes pertinentes y según lo dispuesto en el Compromiso. Una persona que tenga derecho a recibir una indemnización podrá hacer valer sus derechos según lo dispuesto en el Compromiso recurriendo directamente a los tribunales o a otra autoridad judicial, de conformidad con las leyes pertinentes.

Cooperación con las autoridades supervisoras

GE HealthCare cooperará con cualquier autoridad supervisora nacional o regional competente, responsable de supervisar la ley de privacidad pertinente, que tenga buenas razones para cuestionar cualquier procesamiento de Información personal por parte de GE HealthCare, y acatará las decisiones de dicha autoridad supervisora competente sobre cualquier asunto relacionado con el Compromiso.

GE HealthCare notificará al Cliente cualquier solicitud legalmente vinculante que reciba de una autoridad policial para la divulgación de la Información personal del Cliente de GE HealthCare, a menos que la ley pertinente lo prohíba, como una prohibición en virtud de la ley penal para preservar la confidencialidad de una investigación de las autoridades.

Cambios en el Compromiso

GE HealthCare se reserva el derecho de modificar el Compromiso. Cualquier cambio sustancial se enviará a la Autoridad principal de protección de datos de GE HealthCare o a su agente de marca de confianza, cuando proceda, y se notificará en el sitio web de GE HealthCare.

Cuando cualquier cambio propuesto al Compromiso tenga un efecto materialmente perjudicial sobre las condiciones de procesamiento de la Información personal del Cliente de GE HealthCare, GE HealthCare notifica al Cliente de dicho cambio propuesto. El Cliente puede oponerse al cambio propuesto para los fines de un acuerdo de servicio existente o rescindir el acuerdo de servicio pertinente.

Definiciones

Información personal se refiere a cualquier información relacionada con una persona física identificada o identificable.

Información personal de GE HealthCare se refiere a cualquier Información personal que se obtenga en el contexto de una relación de una persona con GE HealthCare y que GE HealthCare procesa en nombre del Cliente. Dicha Información personal de GE HealthCare puede incluir, por ejemplo, los datos del cliente obtenidos en el contexto de una relación de cliente con GE HealthCare.

Información personal del Cliente de GE HealthCare se refiere a cualquier Información personal que se obtenga en el contexto de la prestación de servicios por parte de GE HealthCare a un Cliente en virtud de un acuerdo de servicio, y que GE HealthCare procese en nombre del Cliente.

Cliente se refiere a una persona o entidad que celebra un acuerdo de servicio con GE HealthCare.

Información personal confidencial, categoría especial de Información personal, se refiere a información sobre el origen racial o étnico, las opiniones políticas, las creencias religiosas o filosóficas, la afiliación sindical, los datos genéticos, los datos biométricos, la salud, la vida sexual o la orientación sexual.