Normas corporativas
vinculantes
Políticas para el
responsable del tratamiento

SUMARIO
1.

Introducción .......................................................................................................................... 32.

Palabras clave ........................................................................................................................ 7

3.

Compromisos del responsable del tratamiento .................................................................. 10
Principios básicos ......................................................................................................... 10
Base jurídica para el tratamiento de datos personales ............................................... 10
Transparencia y comunicación de información ........................................................... 11
Derechos de los interesados ........................................................................................ 13
Datos personales de los niños...................................................................................... 15
Categorías especiales de datos personales.................................................................. 15

4.

Transferencia de datos personales ..................................................................................... 16
Transferencia de datos personales .............................................................................. 16

5.

Compromisos prácticos ....................................................................................................... 17
Seguridad y confidencialidad ....................................................................................... 17
Responsabilidad proactiva ........................................................................................... 18
Programa de formación ............................................................................................... 19
Programa de auditoría ................................................................................................. 20
Relación entre la legislación nacional y las NCV .......................................................... 20
Mecanismos de reclamación ....................................................................................... 21
Cooperación con las autoridades ................................................................................. 21
Actualización de las normas ......................................................................................... 22

6.

Derechos de terceros beneficiarios y responsabilidad ....................................................... 23
Derechos de terceros beneficiarios ............................................................................. 23
Responsabilidad y carga de la prueba.......................................................................... 23

7.

Disposiciones finales ........................................................................................................... 25

1

Disposiciones finales .................................................................................................... 25
Appendix I

Lista de empresas del grupo Kumon ................................................................ 26

Appendix II

Acceso a los datos y procedimientos de reclamación ...................................... 27

1

Reclamaciones dirigidas a Kumon ................................................................................... 27

2

Derechos de los interesados: Solicitudes de acceso a los datos ..................................... 28

3

Derechos de los interesados: Otras solicitudes ............................................................... 30

Appendix III

Estructura de cumplimiento ............................................................................. 31

1

Delegado internacional de protección de datos.............................................................. 31

2

Equipo internacional de protección de datos.................................................................. 32

3

Delegado local de protección de datos ........................................................................... 32

4

Procedimiento de comunicación interna para la plantilla............................................... 33

Appendix IV
1

Protocolo de formación .................................................................................... 35

Formación del personal ................................................................................................... 35

Appendix V

Protocolo de auditoría ...................................................................................... 36

1

Principios.......................................................................................................................... 36

2

Estructura......................................................................................................................... 36

3

Proceso ............................................................................................................................ 36

Appendix VI

Procedimiento de actualización ....................................................................... 38

1

Cambios en las NCV ......................................................................................................... 38

2

Cambios en las NCV que no requieren autorización ....................................................... 38

2

1. INTRODUCCIÓN
¿Quiénes somos?
Kumon es un proveedor internacional líder en servicios de educación individualizada,
encabezado por Kumon Institute of Education Co., Ltd. Kumon ofrece programas deaprendizaje a alumnos de diversas edades basados en el «método Kumon», desarrollado demanera totalmente independiente. Estos programas se ofrecen a través de la red internacionalde franquicias Kumon, además de en centros de estudio propios, y de socios licenciatarios.

¿Qué son las normas corporativas vinculantes (NCV)?
Con el fin de cumplir con nuestra misión de ayudar a tantas personas como sea posible adescubrir su potencial y desarrollar sus capacidades al máximo gracias a nuestro método,
Kumon compartirá en algunas ocasiones datos personales entre las empresas del grupo. Es
importante para nosotros proteger adecuadamente los datos personales que manejamos.
Kumon adopta las normas corporativas aquí dispuestas para establecer los principios de Kumonen materia de protección de datos personales y las normas que seguiremos cuando
compartimos datos personales con empresas del grupo Kumon establecidas fuera del EEE.
Las normas corporativas vinculantes consisten en dos conjuntos de políticas: normas
corporativas vinculantes para el responsable del tratamiento y normas corporativas vinculantes
para el encargado del tratamiento. En este documento se recogen las normas corporativas
vinculantes para el responsable del tratamiento y nos referiremos a ellas como «NCV».
Estas NCV describen la forma en la que las empresas del grupo Kumon cumplirán con lanormativa de protección de datos cuando actúen como responsables del tratamiento.
Además, estas NCV estarán publicadas en los principales sitios web de Kumon.

3¿Qué cubren las NCV?
Estas NCV cubren la recogida, transferencia y cualquier otro tratamiento por parte de las
empresas del grupo Kumon (véase lista en Apéndice I) de datos personales procedentes delEEE. Estos podrán incluir los siguientes datos:
Orientadores franquiciados
Nombre, dirección, nombre del centro, información de contacto,
Tipos de datos

información profesional y educativa, trayectoria y experiencia comoorientador

Transferencias fuera



A Kumon Institute of Education Co., Ltd., con sede en Japóndel EEE

A Kumon Europe & Africa, con sede en el RU

Ofrecer apoyo a los orientadores y a la plantilla de los centros
para garantizar la calidad del servicioOfrecer apoyo a las empresas del grupo Kumon para que puedan
gestionar, mejorar y expandir los centros Kumon en el país / laregión

Ofrecer formación al personal y a los orientadores

Desarrollar y seguir mejorando los materiales didácticos deFinalidad

Kumon y los métodos de orientación, tanto en el ámbito local
como en el internacional

Ofrecer apoyo informático y mantenimiento del servidor y de lossistemas empleados por las empresas del grupo Kumon para
gestionar sus regiones



Generar información estadística para elaborar análisis locales,
regionales e internacionales

Cumplir con la normativa gubernamental

Alumnos que estudian (o están interesados en estudiar) los programas de Kumon
Nombre, número de identificación del alumno, nombre del centro
Tipos de datos

Kumon, dirección, edad, curso escolar, evolución en Kumon, tiempode estudioTransferencias fuera



A Kumon Institute of Education Co., Ltd., con sede en Japóndel EEE

A Kumon Europe & Africa Limited, con sede en el Reino Unido

Ofrecer al alumno de Kumon los servicios necesarios para su

Finalidad

estudio4



Ofrecer apoyo a los orientadores y a la plantilla de los centros
para garantizar la calidad del servicioOfrecer apoyo a las empresas locales del grupo Kumon para que
puedan gestionar, mejorar y expandir los centros Kumon en el
país / la región

Ofrecer formación al personal y a los orientadores

Desarrollar y seguir mejorando los materiales didácticos deKumon y los métodos de orientación, tanto en el ámbito local
como en el internacional

Ofrecer apoyo informático y mantenimiento del servidor y de lossistemas empleados por las empresas del grupo Kumon para
gestionar sus regiones



Generar información estadística para elaborar análisis locales,
regionales e internacionales

Cumplir con la normativa gubernamental

Familiares de alumnos
Tipos de datos

Nombre, nombre del alumno, parentesco, dirección, información decontacto

Transferencias fuera



A Kumon Institute of Education Co., Ltd., con sede en Japóndel EEE

A Kumon Europe & Africa Limited, con sede en el Reino Unido

Ofrecer al alumno de Kumon los servicios necesarios para su
estudio

Estar en contacto con los familiares, lo que incluye dar respuesta
a sus consultas y recabar comentarios o dar parte de la evolución

Finalidad

del alumno

Ofrecer apoyo informático y mantenimiento del servidor y de lossistemas empleados por las empresas del grupo Kumon para
gestionar sus regiones



Cumplir con la normativa gubernamental

Personal
Nombre, número de identificación, fecha de nacimiento, dirección
Tipos de datos

profesional de correo electrónico, departamento/equipo, cargo,área de especialización, descripción del puesto de trabajo, foto, años
de servicio, tipo de empleado, evaluación, remuneración (salario,

5bonus, dietas, incentivos), en su caso, fecha de finalización delcontrato y razones
Transferencias fuera



A Kumon Institute of Education Co., Ltd., con sede en Japón.

del EEE

A Kumon Europe & Africa Limited, con sede en el Reino Unido



Gestionar el personal y el trabajo de las empresas del grupo,
incluidos analizar y desarrollar estrategias, proyectos, sistemas ynormas relativos a los recursos humanos del grupo

Finalidad



Identificar, comunicarse y colaborar con los miembros delpersonal de las empresas del grupo Kumon del EEE en diversos
proyectos



Cumplir con la normativa gubernamental

Las NCV son de aplicación en todo tipo de tratamiento de datos, ya sea automático o manual,de cualquier naturaleza.

¿Quién debe cumplir las NCV?
Las empresas del grupo Kumon que se recogen en el Apéndice I y su personal deben respetar las
NCV. Cada una de estas empresas está sujeta a las NCV mediante un acuerdo interempresarial ytiene la obligación de tomar las medidas necesarias para garantizar que tanto la empresa como losmiembros del personal las cumplen.
La lista de empresas del grupo Kumon que se recogen en el Apéndice I se podrá actualizar cuando
corresponda de acuerdo con el procedimiento de actualización descrito en el Apéndice VI.

Tengo una duda sobre las NCV. ¿A quién debo preguntar?
Los miembros del grupo Kumon que deseen aclarar cualquier duda o cuestión relacionada conlas NCV y con los derechos que ostentan en cuanto a la recogida y el tratamiento de datos podrán
ponerse en contacto en el equipo internacional de protección de datos en la dirección
bcr@kumon.co.jp.

6

2. PALABRAS CLAVE
Las siguientes palabras clave se definen a continuación a efectos de las NCV:(a) «Niño» o «Niños»

Toda persona menor de 16 años (o de cualquier edad que,conforme a la legislación pertinente del EEE, requieraconsentimiento de un tutor para el tratamiento de datos
personales).

(b) «Responsable deltratamiento»

Persona física o jurídica, autoridad pública, servicio u otro
organismo que, solo o junto con otros, determine los fines y medios
del tratamiento, o haya sido nombrada como tal en virtud de lo
dispuesto en la legislación aplicable.

(c) «Encargado deltratamiento»

Persona física o jurídica, autoridad pública, servicio u otro
organismo que trate datos personales por cuenta del responsabledel tratamiento.

(d) «EEE»

Espacio Económico Europeo. Sin perjuicio de lo anterior, durante elperiodo de transición en el que el Reino Unido sigue sujeto a lalegislación de la UE, se entiende que el término «EEE» incluye elReino Unido.

(e) «Legislación del EEE»

Legislación de la Unión Europea y los Estados miembros de los que
proceden los datos personales obtenidos o tratados en primer lugar
dentro del EEE.

(f) «Entidad principal

Kumon Europe & Africa, Ltd., empresa del grupo Kumon que estádentro del EEE»

establecida y opera en el Reino Unido. Sin perjuicio de lo anterior,
una vez concluido el periodo de transición en el que el Reino Unido
sigue sujeto a la legislación de la UE, Kumon Instituto de Educaciónde España, empresa del grupo Kumon que está establecida y opera
en España, pasará a ser la entidad principal dentro del EEE.

(g) «Miembros delpersonal»

Toda persona dentro de la organización de una empresa del grupo
Kumon que se dedica a las actividades de la empresa bajo la
dirección y supervisión, directa o indirecta, de la empresa del grupo
Kumon; además de los empleados con relación contractual (a7tiempo completo, a tiempo parcial, por obra o servicio, etc.),
incluye encargados, directores, auditores internos, trabajadores
temporales, etc. Para disipar equívocos, «miembro del personal»
no incluye proveedores, personas subcontratadas ni
orientadores/trabajadores de los centros Kumon.
(h) «Orientadores
franquiciados»(i) «RGPD»

Todo orientador autorizado a orientar alumnos con el método
Kumon por haber firmado un contrato de franquicia con Kumon.
REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DELCONSEJO de 27 de abril de 2016 relativo a la protección de laspersonas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos y por el que sederoga la Directiva 95/46/CE (Reglamento general de protección dedatos), con las modificaciones que correspondan.

(j) «Tutor»

Padre/madre o persona con patria potestad sobre un interesadodado.

(k) «Interesado»

Persona cuyos datos personales se han transferido de una empresadel grupo Kumon dentro del EEE a una empresa del grupo Kumon
fuera del EEE.

(l) «KIE»

Kumon Institute of Education Co., Ltd.

(m) «Kumon»

Las principales empresas del grupo Kumon o todas las empresas delgrupo Kumon en su conjunto, en función del contexto.

(n) «Empresa del grupo
Kumon»(o) Autoridad principal
de control

Toda entidad recogida en el Apéndice I, el cual se actualizará
cuando corresponda de acuerdo con el Apéndice VI.
La Agencia Española de Protección de Datos (AEPD) o cualquier otra
autoridad de control debidamente nombrada como tal para las NCV
en virtud de lo dispuesto en la legislación aplicable.

(p) «Estado miembro»

Todo país perteneciente al EEE.

(q) «Datos personales»

Toda información procedente del EEE sobre una persona física
identificable, directa o indirectamente, en particular mediante un8identificador, como por ejemplo un nombre, un número deidentificación, datos de localización, un identificador en línea o uno
o varios elementos propios de la identidad física, fisiológica,
genética, psíquica, económica, cultural o social de dicha persona
física.
(r) «Tratamiento»(de datos personales)

Toda operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro,organización, estructuración, conservación, adaptación omodificación, extracción, consulta, utilización, comunicación por
transmisión, difusión o cualquier otra forma de habilitación deacceso, cotejo o interconexión, limitación, supresión o destrucción.

(s) «País dePaís en el que tiene lugar el tratamiento de los datos personales.

tratamiento»(t) «Categorías

Datos personales que revelen el origen étnico o racial, las opiniones

especiales de datos

políticas, las convicciones religiosas o filosóficas, o la afiliación

personales»sindical, y el tratamiento de datos genéticos, datos biométricos odatos relativos a la salud, a la vida sexual o la orientación sexual deuna persona física.

(u) «Autoridad deAutoridad pública independiente establecida por un Estado

control»

miembro responsable de supervisar la aplicación del RGPD.

(v) «Tercero»

Persona física o jurídica, autoridad pública, servicio u organismo,
distinto del interesado, del responsable del tratamiento o deKumon, que actúa en calidad de encargado del tratamiento. Para
disipar equívocos, «tercero» no incluye otras empresas del grupo
Kumon.

(w) «Tercero
beneficiario»

Persona que disfruta de los derechos de terceros beneficiarios envirtud de lo establecido en el Apartado 6.1.1.

9

3. COMPROMISOS DEL RESPONSABLE DEL
TRATAMIENTO
Principios básicos
3.1.1

Licitud, lealtad y transparencia: Los datos personales serán tratados de manera lícita, leal ytransparente en relación con el interesado (véanse Apartados 3.2 y 3.3).

3.1.2

Limitación de la finalidad: Los datos personales serán recogidos con fines determinados,explícitos y legítimos, y no serán tratados ulteriormente de manera incompatible con dichos
fines.

3.1.3

Minimización de datos: Kumon garantizará que los datos personales serán adecuados,
pertinentes y limitados a lo necesario en relación con los fines para los que son recogidos,
transferidos y ulteriormente tratados.

3.1.4

Calidad de los datos: Kumon garantizará que los datos personales serán exactos y, si fuera
necesario, se mantendrán actualizados. A tal fin, se solicita a los interesados que informen a
Kumon cuando hay un cambio en sus datos personales. Kumon adoptará todas las medidasrazonables para garantizar que se suprimen o rectifican sin dilación los datos personales quesean inexactos con respecto a los fines para los que se tratan.

3.1.5

Conservación de los datos: Kumon adoptará todas las medidas para que los datos
personales se mantengan de forma que se permita la identificación de los interesados
durante no más tiempo del necesario para los fines para los que fueron recogidos, y sean
tratados y eliminados con seguridad.

Base jurídica para el tratamiento de datos personales
3.2.1

Kumon llevará a cabo el tratamiento de datos personales únicamente si se cumplen uno ovarios de los siguientes requisitos:(a)el interesado ha dado su consentimiento inequívoco para uno o varios fines
específicos;(b)el tratamiento es necesario para la ejecución de un contrato en el que el interesado
es parte o para la aplicación a petición de este de medidas precontractuales;

10

(c)

el tratamiento es necesario para el cumplimiento de una obligación legal aplicable
al responsable del tratamiento;(d)el tratamiento es necesario para proteger intereses vitales del interesado;(e)el tratamiento es necesario para el cumplimiento de una misión realizada en interéspúblico o en el ejercicio de poderes públicos conferidos al responsable deltratamiento, o(f)el tratamiento es necesario para la satisfacción de intereses legítimos perseguidos
por el responsable del tratamiento o por un tercero encargado o encargados a quiense le hayan comunicado los datos, siempre que sobre dichos intereses no
prevalezcan los intereses o los derechos y libertades fundamentales del interesado.

Transparencia y comunicación de información
3.3.1

Comunicación de información: Se facilitará al interesado la siguiente información cuando serecojan sus datos personales o en caso de que no se obtengan directamente del interesado:(a)la identidad y los datos de contacto de Kumon y, en su caso, de su representante;(b)en su caso, los datos de contacto del delegado internacional de protección de datos,del equipo internacional de protección de datos y del delegado local de protecciónde datos;(c)

los fines del tratamiento a que se destinan los datos personales y la base jurídica deltratamiento;(d)cuando el tratamiento se base en intereses legítimos, los intereses legítimos delresponsable del tratamiento o de un tercero;(e)los destinatarios o las categorías de destinatarios de los datos personales, en su
caso;

(f)

la existencia del derecho a solicitar el acceso a los datos personales relativos alinteresado, y su rectificación o supresión, o la limitación de su tratamiento, o aoponerse al tratamiento, así como el derecho a la portabilidad de los datos;(g)en su caso, la intención de Kumon de transferir datos personales a un tercer país uorganización internacional, la referencia a las NCV u otras garantías adecuadas oapropiadas para realizar la transferencia, o al hecho de que se hayan prestado;(h)en su caso, los principios generales básicos del tratamiento de datos descritos en losApartados 3, 4 y 5.1, así como las disposiciones relativas a la responsabilidad por
incumplimiento de las NCV y los derechos de terceros beneficiarios descritos en losApartados 5.5, 5.6, 5.7, 6.1 y 6.2, y en el Apéndice II, junto con los medios para

11

ejercer estos derechos;(i)el plazo durante el cual se conservarán los datos personales o, cuando eso no sea
posible, los criterios utilizados para determinar este plazo;(j)cuando el tratamiento esté basado en consentimiento o consentimiento explícito,
la existencia del derecho a retirar el consentimiento en cualquier momento, sin que
ello afecte a la licitud del tratamiento basada en el consentimiento antes de su
retirada;(k)el derecho a presentar una reclamación ante una autoridad de control;(l)si la comunicación de datos personales es un requisito legal o contractual, o un
requisito necesario para suscribir un contrato, y si el interesado está obligado afacilitar los datos personales y está informado de las posibles consecuencias de que
no facilitar tales datos;(m)la existencia de decisiones automatizas, incluida la elaboración de perfiles, a que serefiere el artículo 22, Apartados 1 y 4 del RGPD, y, al menos en tales casos,
información significativa sobre la lógica aplicada, así como la importancia y lasconsecuencias previstas de dicho tratamiento para el interesado, y(n)cuando los datos personales no se hayan obtenido del interesado directamente, se
facilitará al interesado también información sobre las categorías y el origen de losdatos personales correspondientes.

3.3.2

Plazos para la comunicación de la información: Se facilitará al interesado la información
descrita en el Apartado 3.3.1:(a)en el momento en que se obtengan los datos personales del interesado;(b)

si no fuera posible hacerlo en el momento en que se obtengan los datos personales
porque no se han obtenido directamente del interesado, lo antes posible a partir deese momento, y a más tardar en el plazo de un mes, habida cuenta de lascircunstancias específicas en las que se traten dichos datos.

(c)si los datos personales han de utilizarse para comunicación con el interesado y losdatos personales no se han obtenido directamente del interesado, a más tardar enel momento de la primera comunicación a dicho interesado, o(d)si está previsto comunicar os datos personales a otro destinatario y no se han
obtenido directamente del interesado, a más tardar en el momento en que los datos
personales sean comunicados por primera vez.

3.3.3

Requisitos para no comunicar la información: Sin perjuicio de los Apartados 3.3.1 y 3.3.2,

12

Kumon no tendrá la obligación de comunicar la información al interesado según lo descrito
en el Apartado 3.3.1 en los siguientes casos:(a)el interesado ya posee la información;(b)los datos no se han obtenido directamente del interesado y la comunicación está
expresamente establecida por la legislación del EEE que se aplique al responsabledel tratamiento y que establezca medidas adecuadas para proteger los intereses
legítimos del interesado;(c)los datos no se han obtenido directamente del interesado y facilitarle la información
al interesado resulta imposible o exige un esfuerzo desproporcionado conforme alo establecido en el artículo 14(5)(b) del RGPD;(d)

los datos no se han obtenido directamente del interesado y deben seguir teniendo
carácter confidencial sobre la base de una obligación de secreto profesional
regulada por la legislación del EEE; o(e)el Derecho de la Unión o de los Estados miembros que se aplique al responsable oal encargado del tratamiento limita los derechos de los interesados relativos a latransparencia conforme a lo establecido en el artículo 23 del RGPD, siempre ycuando tal limitación respete en lo esencial los derechos y libertades fundamentales
y constituya medidas necesarias y proporcionadas en una sociedad democrática
para salvaguardar los intereses establecidos en el artículo 23 del RGPD, como laprotección del interesado o de los derechos y libertades de otros.

3.3.4

Comunicación de las NCV: Las NCV estarán a disposición de todo interesado que las solicite.
Las NCV serán de fácil acceso para los interesados. Kumon se compromete a publicar las NCV
en el sitio web https://www.kumongroup.com/eng/bcr/ con el fin de garantizar que las NCV
son de fácil acceso para los interesados.

3.3.5

Comunicación de la transferencia / el tratamiento de datos personales: Se informará a losinteresados de la transferencia o cualquier otro tratamiento de datos personales conforme
a lo establecido en el Apéndice II.

Derechos de los interesados
3.4.1

De acuerdo con el procedimiento descrito en el Apéndice II, todo interesado tendrá lossiguientes derechos:(a)confirmación de si los datos personales que les conciernen están siendo objeto detratamiento, acceso a la información estipulada en el Apartado 3.3.1, y una copia de13

todos los datos personales relativos a ellos que sean recogidos, tratados otransferidos por un miembro del grupo Kumon, sin restricciones, a intervalos
razonables, sin dilación excesiva ni gastos, o sujetos a una tasa razonable cuando lassolicitudes sean manifiestamente infundadas o excesivas (ej., el interesado solicita
varias copias);(b)

rectificación de los datos personales que sean incompletos o inexactos;(c)eliminación de los datos personales que le conciernan sin dilación indebida, cuando
ya no sean necesarios en relación con los fines para los que fueron recogidos otratados de otro modo, cuando ya no haya fundamento jurídico en el que basar el
tratamiento, o por cualquier otro motivo recogido en el RGPD;(d)limitación en cierta medida del tratamiento, si el interesado demuestra un interés
legítimo en dicha limitación;(e)oposición, en cualquier momento, en base a intereses legítimos imperiosos relativos
a su situación particular, al tratamiento o la transferencia de datos personales, a noser que la recogida, el tratamiento o la transferencia estén exigidas por ley (cuando
la oposición esté justificada, se deberá interrumpir la recogida, el tratamiento o latransferencia);(f)oposición, previa solicitud y sin coste alguno, al tratamiento de datos personales
que le conciernan cuando tenga por objeto la mercadotecnia directa, y(g)no ser objeto de una decisión basada únicamente en el tratamiento automatizado,
incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte
significativamente de modo similar, salvo que esté permitido conforme a loestablecido en el RGPD.

3.4.2

Confirmación de identidad: Antes de cumplir con lo establecido en el Apartado 3.4.1,
cuando Kumon tenga dudas razonables en relación con la identidad de la persona que cursa
una solicitud, podrá solicitar que se facilite la información adicional necesaria para
comprobar la identidad de la persona que cursa la solicitud y localizar la información
necesaria relacionada con dicha solicitud. Kumon se ceñirá a los requisitos legales nacionales
cuando lleve a cabo un proceso de confirmación de identidad.

3.4.3

El procedimiento que se ha de seguir para ejercer los derechos de los interesados, así comolos plazos específicos de respuesta, se recogen en el Apéndice II.

14

Datos personales de los niños
3.5.1

Consentimiento del tutor: Salvo que Kumon cuente con base jurídica legítima que indiquelo contrario de conformidad con el RGPD, Kumon no recopilará, usará ni transferirá los datos
personales de los niños sin el consentimiento del tutor.

3.5.2

Tratamiento de datos de niños basado en intereses legítimos: Hay que tener especialmente
en cuenta los intereses y derechos de los niños antes del tratamiento de sus datos
personales, cuando el tratamiento tenga lugar conforme a lo descrito en el Apartado 3.2.1(f).

Categorías especiales de datos personales
3.6.1

Salvo que Kumon cuente con base jurídica legítima que indique lo contrario de conformidadcon el RGPD, Kumon realizará el tratamiento de categorías especiales de datos personalesúnicamente si es absolutamente necesario y cuando Kumon haya obtenido consentimiento
expreso, que habrá de ser verdadero y prestado libremente.

3.6.2

El acceso a todas las categorías especiales de datos personales se limitará exclusivamente al
personal adecuado.

3.6.3

Kumon garantizará que el tratamiento de categorías especiales de datos personales tienelugar con el refuerzo en las medidas de seguridad que sea necesario.

15

4. TRANSFERENCIA DE DATOS PERSONALES
Transferencia de datos personales
4.1.1

Transferencia de datos personales para su tratamiento: Kumon limitará las transferencias
y transferencias ulteriores de datos personales a un encargado del tratamiento(independientemente de si se trata de un tercero o de otra empresa del grupo Kumon), salvo
que:
(a)

haya alcanzado acuerdos con el encargado del tratamiento que respeten losrequisitos descritos en el Apartado 5.4.1 y con cualquier requisito estipulado en el
RGPD previo a la transferencia en cuestión, y(b)tome de otra manera las medidas necesarias para garantizar la protección adecuada
de conformidad con el RGPD de los datos personales a los que afecta latransferencia.

4.1.2

Transferencia de datos y transferencias ulteriores: Kumon limitará la transferencia de datos
y las transferencias ulteriores a toda entidad fuera del EEE (independientemente de si se
trata de un tercero o de otra empresa del grupo Kumon), salvo que la transferencia cumpla
con el RGPD en lo relativo a transferencia de datos personales, y concretamente:(a)la transferencia se realice a un tercer país u organización internacional cuyo nivel deprotección sea adecuado según las autoridades competentes;(b)

la transferencia esté sujeta a las garantías adecuadas, reconocidas en el RGPD, quegarantizan que los interesados cuenten con derechos exigibles y acciones legales
efectivas;(c)la transferencia cumpla con la condición especificada como excepción regulada enel RGPD, o(d)si la transferencia se realiza a otra empresa del grupo Kumon fuera del EEE, latransferencia tendrá lugar de acuerdo con estas NCV.

16

5. COMPROMISOS PRÁCTICOS
Seguridad y confidencialidad
5.1.1

Medidas técnicas y organizativas: Kumon garantizará una seguridad adecuada en el
tratamiento de los datos personales, incluida la protección contra el tratamiento no
autorizado o ilícito y contra su pérdida, destrucción o daño accidental, en particular cuando
el tratamiento implique la transmisión de datos personales a través de una red, así como
contra toda forma ilícita de tratamiento. Kumon garantizará lo anterior aplicando medidas
técnicas y organizativas apropiadas que se actualizarán cuando corresponda.

5.1.2

Nivel de seguridad: Se aplicarán medidas técnicas y organizativas apropiadas para garantizar
un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica (talcomo se define en el Artículo 32 del RGPD), los costes de aplicación, y la naturaleza, el
alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad
variables para los derechos y libertades de las personas físicas.

5.1.3

Cumplimiento del personal: Los miembros del personal solo podrán llevar a cabo el
tratamiento de datos personales de acuerdo con lo establecido en las NCV. Todo miembrodel personal que incumpla las NCV podrá ser sometido a medidas disciplinarias (incluido el
despido).

5.1.4

Acuerdos escritos con los encargados del tratamiento: Kumon garantizará que todo
encargado del tratamiento (sea un tercero o sea otra empresa del grupo Kumon) que llevea cabo el tratamiento de datos personales por cuenta de Kumon se compromete, mediante
un acuerdo escrito (tal como se detalla en el Apartado 4.1) que incluye y es compatible con
todos los elementos del Artículo 28.3 del RGPD, a actuar únicamente de acuerdo con las
instrucciones de Kumon y a responsabilizarse de la aplicación de las medidas oportunas deseguridad y confidencialidad, así como a notificar a Kumon cualquier violación de laseguridad de los datos personales sin dilación indebida.

5.1.5

Violación de la seguridad de los datos personales: Cuando se da una violación de laseguridad o la confidencialidad de los datos personales:(a)Kumon notificará la violación de la seguridad de los datos personales a la autoridad
de control competente sin dilación indebida teniendo en cuenta los requisitos

17establecidos en el RGPD de los datos personales afectados, a menos que resulte
improbable que la violación de la seguridad de los datos personales entrañe un
riesgo para los derechos y las libertades de las personas físicas. La notificación de laviolación de la seguridad de los datos personales a la autoridad de control
competente se hará a más tardar 72 horas después de que haya tenido constancia
de ella. Si dicha notificación no es posible en el plazo de 72 horas, se acompañará
de una indicación de los motivos de la dilación.
(b)

En caso de que la violación de la seguridad de los datos personales pueda entrañar
un alto riesgo para los derechos y las libertades de los interesados, Kumon
comunicará al interesado sin dilación indebida dicha violación de la seguridad de losdatos.

(c)

Además, Kumon notificará cualquier violación de la seguridad de los datos
personales al equipo internacional de protección de datos y a la entidad principal
dentro del EEE sin dilación indebida.

(d)

Se documentará cualquier violación de la seguridad de los datos personales(incluidos los hechos relacionados con ella, sus efectos y las medidas correctivas
adoptadas). Dicha documentación estará a disposición de la autoridad de control
competente que lo solicite.

Responsabilidad proactiva
5.2.1

Kumon será responsable del cumplimiento de estas NCV y capaz de demostrarlo.

5.2.2

Registro de las actividades de tratamiento: Kumon garantizará que se lleva un registro claro
de las actividades de tratamiento efectuadas, y este incluirá:(a)el nombre y los datos de contacto del responsable y, en su caso, del corresponsable,del representante del responsable, y del delegado de protección de datos;(b)

una descripción de las categorías de interesados y de las categorías de datos
personales tratados por el responsable del tratamiento o su representante;(c)

los fines del tratamiento de los datos personales;(d)las categorías de los destinatarios a quienes se comunicaron o comunicarán losdatos personales (incluidos los destinatarios en terceros países u organizaciones
internacionales);(e)

una descripción general de las medidas técnicas y organizativas de seguridad
aplicadas;

18

(f)

cuando sea posible, los plazos previstos para la supresión de las diferentes
categorías de datos;(g)en su caso, las transferencias de datos personales a un tercer país o una
organización internacional, incluida la identificación de dicho tercer país uorganización internacional, y la documentación de garantías adecuadas en el casode transferencia a países cuya autoridad de control no haya tomado la decisión degarantizar el nivel de protección adecuado, y(h)cualquier otra información que deba ser registrada conforme a lo establecido en el
RGPD.

5.2.3

Kumon mantendrá registro de las actividades de tratamiento por escrito (incluido formato
electrónico) y lo pondrá a disposición de la autoridad de control que lo solicite.

5.2.4

Evaluación de impacto relativa a la protección de datos: Kumon determinará la necesidad
de una evaluación del impacto de las operaciones de tratamiento en la protección de datos
personales que entrañen un alto riesgo para los derechos y libertades de las personas físicas.
Kumon consultará a la autoridad de control antes de proceder al tratamiento cuando losresultados muestren que el tratamiento entrañaría un alto riesgo si el responsable no toma
medidas para para mitigarlo.

5.2.5

Protección de datos desde el diseño y por defecto: Kumon aplicará las medidas técnicas yorganizativas apropiadas que estén diseñadas para aplicar los principios de protección dedatos de manera efectiva y para integrar las garantías necesarias en el tratamiento, con el
fin de facilitar el cumplimiento de estas NCV.

5.2.6

Kumon nombrará un delegado internacional de protección de datos, con apoyo de la alta
dirección, para supervisar y garantizar el cumplimiento de las NCV en Kumon, de acuerdo
con el protocolo descrito en el Apéndice III.

Programa de formación
5.3.1

Kumon ofrecerá la formación pertinente en materia de NCV a los miembros del personal deacuerdo con el protocolo descrito en el Apéndice IV.

5.3.2

Ningún miembro del personal podrá (i) transferir datos personales a un país fuera del EEE ni(ii) manipular datos personales fuera del EEE sin antes haber recibido la formación19pertinente para hacerlo.

Programa de auditoría
5.4.1

Kumon auditará su cumplimiento de las NCV de acuerdo con el protocolo descrito en el
Apéndice V.

Relación entre la legislación nacional y las NCV
5.5.1

Si la legislación de un país en el que se traten datos personales exige un nivel de protección
mayor, esta tendrá prioridad sobre las NCV.

5.5.2

Si Kumon tiene motivos para creer que la legislación nacional existente o futura del país detratamiento pueda impedir que se cumplan las obligaciones establecidas en las NCV, o pueda
afectar sustancialmente a las garantías recogidas en las NCV, Kumon deberán informar
inmediatamente al equipo internacional de protección de datos (véase Apéndice III), a laentidad principal dentro del EEE y a la autoridad de control competente, en su caso, a menos
que lo prohíba la autoridad encargada de la aplicación de la ley (incluidas las obligaciones
estipuladas en la legislación penal para preservar la confidencialidad de una investigación
llevada a cabo por dicha autoridad encargada de la aplicación de la ley).

5.5.3

En caso de conflicto entre la legislación nacional y los compromisos de las NCV, el delegado
internacional de protección de datos (véase Apéndice III) tomará una decisión responsable
en cuanto a las acciones que se deben tomar y consultará con las autoridades de control
competentes en caso de duda.

5.5.4

Si Kumon tiene motivos para considerar probable que los requisitos jurídicos de aplicación
en un país tercero puedan tener un efecto adverso sustancial en las garantías que ofrecenlas NCV, incluidas las solicitudes legalmente vinculantes de comunicación de datos
personales por parte de una autoridad encargada de la aplicación de ley o cuerpo deseguridad del estado, Kumon informará inmediatamente al equipo internacional deprotección de datos (de acuerdo con el procedimiento establecido en el Apéndice III) y a laautoridad de control competente de lo siguiente:(a)la solicitud (incluido el tipo de dato solicitado);(b)el organismo solicitante, y(c)la base jurídica de la solicitud,20

a menos que lo prohíba una autoridad encargada de la aplicación de ley (incluidas las
obligaciones estipuladas en la legislación penal para preservar la confidencialidad de una
investigación llevada a cabo por dicha autoridad encargada de la aplicación de la ley). En tal
caso, Kumon hará todo el esfuerzo posible para obtener el derecho a la exención de dicha
obligación y comunicar la autoridad de control competente tanta información y tan rápido
como sea posible, y demostrar los esfuerzos empleados. Si, a pesar de emplear todos sus
esfuerzos, Kumon no está en posición de informar a la autoridad de control competente,entonces proporcionará una vez al año información general sobre las solicitudes recibidas(incluido el número de solicitudes de comunicación, el tipo de datos personales solicitados
y el solicitante, cuando sea posible)
5.5.5

En cualquier caso, si Kumon tiene la obligación de proporcionar datos personales a una
autoridad pública, esto no deberá afectar a una cantidad ingente o desproporcionada dedatos personales ni constituirá una medida indiscriminada que supere lo que es necesario
en una sociedad democrática.

Mecanismos de reclamación
5.6.1

Los interesados cuyos datos personales sean tratados por Kumon tienen derecho a presentar
una reclamación ante Kumon utilizando los procesos para tramitar una reclamación
descritos en el Apéndice II.

Cooperación con las autoridades
5.7.1

Cooperación con la autoridad de control: Kumon cooperará con la autoridad de control
competente y ambos se ayudarán para tratar cualquier investigación o consulta puesta en
marcha por autoridades de control.

5.7.2

Cumplimiento de la decisión de la autoridad de control: Kumon acepta someterse a una
auditoría por parte de la autoridad de control competente y seguirá el asesoramiento quele proporcione la autoridad de control competente sobre cualquier cuestión que tenga quever con la interpretación de las NCV. Para disipar equívocos, nada de lo que recoge elpresente documento se interpretará como renuncia de Kumon a su derecho a apelar una
decisión de la autoridad de control competente.

21

Actualización de las normas
5.8.1

Toda actualización de las NCV se incorporará y se notificará a las autoridades de control deacuerdo con los procedimientos descritos en el Apéndice VI.

22

6. DERECHOS DE TERCEROS BENEFICIARIOS YRESPONSABILIDAD
Derechos de terceros beneficiarios
6.1.1

Aplicación de las NCV: Los interesados tendrán derecho, como terceros beneficiarios, aemprender acciones judiciales y a recibir de una empresa del grupo Kumon una reparacióny, cuando corresponda, una indemnización por daños y perjuicios materiales o inmateriales
en caso de que se incumplan las disposiciones de las NCV, en concreto en caso de
incumplimiento de las disposiciones que otorgan derechos a los interesados (Apartados 3, 4,
5.1, 5.2, 5.5, 5.6 y 6.2, así como el Apéndice II y el presente Apartado 6.1). Estos derechos
incluyen emprender acciones judiciales, además de recibir una indemnización.

6.1.2

Empresa responsable del grupo Kumon: La entidad principal dentro del EEE será una
empresa del grupo Kumon con sede dentro del EEE, responsable de proteger los derechosde terceros beneficiarios.

6.1.3

Disposiciones en materia de jurisdicción: Los terceros beneficiarios tendrán derecho apresentar una reclamación, en particular, ante:(a)los tribunales competentes de los Estados miembros cuya jurisdicción se encuentreo bien en el lugar donde el responsable del tratamiento esté establecido o donde eltercero beneficiario tenga su residencia habitual, según elija el tercero beneficiario,y(b)

la autoridad de control competente cuya jurisdicción se encuentre, en particular, obien en el lugar donde el tercero beneficiario tenga su residencia habitual, su lugar
de trabajo o el lugar de la supuesta infracción de las NCV, según elija el tercero
beneficiario.

Responsabilidad y carga de la prueba
6.2.1

Responsabilidad de la entidad principal dentro del EEE en relación a los datos personales:
La entidad principal dentro del EEE acuerda que:(a)la entidad principal dentro del EEE se responsabilizará y aceptará tomar las acciones
necesarias para subsanar los actos de otras empresas del grupo Kumon de fuera del23

EEE y abonar la indemnización por daños y perjuicios materiales o inmateriales
provocados por la violación de las NCV por parte de una empresa del grupo Kumon
establecida fuera del EEE; la entidad principal dentro del EEE confirma que tiene
activos suficientes para pagar la indemnización por los daños y perjuicios
provocados por dicho incumplimiento de las NCV;(b)la entidad principal dentro del EEE aceptará la jurisdicción de los tribunales o de
cualquier otra autoridad competente de la UE, así como la responsabilidad por la
violación de las NCV y, en particular, por los derechos de los interesados y de lasacciones judiciales que resulten de dicha violación, como si la hubiera causado laentidad principal dentro del EEE en el Estado miembro en el que esté establecida,en lugar de la empresa del grupo Kumon establecida fuera del EEE, y(c)la entidad principal dentro del EEE no tendrá derecho a basarse en un
incumplimiento de un tercero encargado del tratamiento de sus obligaciones paraeludir sus propias responsabilidades.

6.2.2

Carga de la prueba para datos personales de terceros beneficiarios dentro del EEE:(a)

La entidad principal dentro del EEE soportará la carga de demostrar que la empresadel grupo Kumon establecida fuera del EEE no es responsable de ninguna violaciónde las NCV que haya supuesto reclamación alguna de los interesados por daños yperjuicios.

(b)

Si la entidad principal dentro del EEE puede demostrar que la empresa del grupo
Kumon no es responsable del evento que ha provocado los daños y perjuicios, podrá
quedar exento de toda responsabilidad.

24

7. DISPOSICIONES FINALES
Disposiciones finales
7.1.1

Las NCV entrarán en vigor desde el momento en el que sean aprobadas por la autoridad decontrol.

25

APPENDIX I

LISTA DE EMPRESAS DEL GRUPO

KUMON
Todas las consultas sobre las NCV deberán remitirse a la siguiente dirección de correo electrónico:
bcr@kumon.co.jp.
RegiónJAPÓN

Nombre de la empresa
Kumon Institute of Education

Dirección/Sitio web
Kumon Kyoiku-Kaikan 5-6-6 Nishinakajima Yodogawaku Osaka 532-8511 Japón

Co., Ltd.

Kumon Europe & Africa

https://www.kumon.ne.jp/
4th Floor West, Ealing Cross, 85 Uxbridge Road,
Ealing, London, W5 5TH Reino Unido

LimitedEUROPAYÁFRICA

Kumon Instituto de Educación

http://www.kumon.co.uk/
Paseo de la Castellana, 131, 1º A, 28046 Madrid,
Españade España SA

http://www.kumon.es/
Wiesenstrasse 21. 40549 Düsseldorf Alemania

Kumon Deutschland GmbH

http://www.kumon.de/26

APPENDIX IIACCESO A LOS DATOS YPROCEDIMIENTOS DE RECLAMACIÓN
1

Reclamaciones dirigidas a Kumon

1.1

Equipo responsable: El delegado internacional de protección de datos, el equipo internacionalde protección de datos y los delegados locales de protección de datos son los principales
departamentos competentes responsables de garantizar a los interesados el cumplimiento delas solicitudes de acceso y la tramitación de las reclamaciones (véase Apéndice III).

1.2

Contacto: Todo interesado podrá presentar reclamaciones relativas al cumplimiento de las
NCV contactando con el delegado local de protección de datos del país en el que reside elinteresado (véase Apéndice III). Los datos de contacto del delegado local de protección dedatos competente estarán a disposición en el sitio web de la empresa del grupo Kumon en un
país determinado.

1.3

Confirmación de recepción: El delegado local de protección de datos confirmará al interesado
que ha recibido la reclamación y dará una respuesta sustancial sin dilación indebida y en elplazo máximo de un mes desde la fecha de recepción de la reclamación.

1.4

Reclamaciones por datos personales de otras jurisdicciones: Si la reclamación afecta a datos
personales procedentes de fuera de la jurisdicción del delegado local de protección de datos,
este informará inmediatamente de la reclamación del interesado al equipo internacional deprotección de datos, que se encargará de tramitar todas las reclamaciones conforme a loestablecido en las NCV. En caso necesario, el equipo internacional de protección de datos
cooperará con otros miembros del personal de las principales empresas del grupo Kumon yunidades de negocio y apoyo, según proceda, para tramitar la reclamación. El equipointernacional de protección de datos confirmará al interesado haber recibido la reclamación
en el plazo de diez días laborables, y dará una respuesta sustancial en el plazo de un mes desdela fecha de recepción de la reclamación.

1.5

Marco temporal de la respuesta: Si, debido a la complejidad de la reclamación o al número
de solicitudes, no es posible ofrecer una respuesta sustancial dentro del plazo establecido enel Apartado 1.3 o 1.4, según corresponda, se avisará al reclamante en consecuencia con una
estimación razonable (que no supere los dos meses adicionales) de los plazos en los que se leproporcionará la respuesta.
1.6

Si el delegado local de protección de datos o el equipo internacional de protección de datos
llegan a la conclusión de que la reclamación tiene fundamento, tomará las medidas adecuadasde acuerdo con la naturaleza de la reclamación con el fin de garantizar el cumplimento de las
NCV.

1.7

Si el delegado local de protección de datos o el equipo internacional de protección de datos
rechaza la reclamación porque considera que no tiene fundamento, informará al interesado
de sus conclusiones y le recordará en la respuesta que siempre podrá dirigir sus reclamaciones
al delegado internacional de protección de datos.

1.8

Cuestionamiento de la respuesta: Si el reclamante no está de acuerdo con la respuesta
recibida del delegado local de protección de datos o del equipo internacional de protecciónde datos, o con cualquier aspecto incluido en las conclusiones, e informa de ello a la parte que
ha emitido la respuesta, el asunto pasará a manos del delegado internacional de protecciónde datos. El delegado internacional de protección de datos revisará el caso e informará alreclamante de su decisión, o bien de sostener las conclusiones de la parte que ha emitido la
respuesta o bien de emitir una respuesta nueva, en el plazo de un mes (que podrá ampliarse
dos meses más en función de la complejidad y el número de solicitudes) desde la recepciónde la reclamación del delegado/equipo de protección de datos pertinente.

1.9

Si se admite la reclamación, el delegado internacional de protección de datos se encargará deque se den los pasos necesarios en consecuencia.

1.10 Si el interesado considera que alguna acción emprendida por Kumon ha sido insuficiente paraabordar su reclamación, el interesado siempre podrá dirigir sus reclamaciones o peticiones ala autoridad de control competente o a los tribunales de los Estados miembros sin perjuicio
de si antes se ha reclamado o no directamente a Kumon conforme a lo establecido en el
Apartado 6.1.3 de las NCV. La respuesta del delegado local de protección de datos, del equipointernacional de protección de datos o del delegado internacional de protección de datos,
dirigida al interesado, incluirá un recordatorio de que el interesado cuenta con este derecho.

2

Derechos de los interesados: Solicitudes de acceso a los datos

2.1

El interesado podrá solicitar a Kumon el ejercicio de su «derecho de acceso» cuando Kumon

28

sea el responsable del tratamiento.
2.2

La solicitud se podrá dirigir de forma oral o escrita, incluso por correo electrónico, al delegado
local de protección de datos dentro del EEE o al equipo internacional de protección de datos.
El delegado local de protección de datos que reciba la solicitud informará de los detalles de lasolicitud al equipo internacional de protección de datos.

2.3

El equipo internacional de protección de datos, ya sea directamente o a través del delegado
local de protección de datos que reciba la solicitud, responderá a la solicitud que sea válida
con información acerca de las acciones tomadas para tramitar la solicitud, sin dilación
indebida, y en cualquier caso, en el plazo de un mes (o en un plazo inferior si así lo estipula lalegislación local) desde la fecha en la que se ha recibido la solicitud. El plazo de la respuesta
podrá ampliarse dos meses más de acuerdo con las condiciones estipuladas en el Apartado
1.5 del Apéndice II de las NCV.

2.4

Kumon no tiene la obligación de cumplir con una solicitud de acceso del interesado si tiene
dudas razonables acerca de la identidad de la persona que cursa la solicitud y no se le facilita
la información que sea razonablemente necesaria para comprobar la identidad del interesado
que cursa la solicitud y localizar los datos que está buscando el interesado. Kumon cumplirá
con los requisitos jurídicos nacionales cuando lleve adelante un proceso de identificación.

2.5

El equipo internacional de protección de datos someterá la solicitud a evaluación para decidir
si es válida y si se requiere comprobar la identidad o alguna otra información. Además,recurrirá al apoyo de los miembros del personal apropiados para tramitar el acceso delinteresado, según sea necesario o apropiado.

2.6

El equipo internacional de protección de datos contactará por escrito con el interesado para
confirmar que ha recibido la solicitud de acceso, comprobar la identidad o alguna otra
información, si fuera necesario, o rechazar la solicitud en caso de que alguna de las exenciones
de acceso fuera de aplicación.

2.7

Se podrán denegar solicitudes válidas únicamente si son manifiestamente infundadas oexcesivas.

29

3

Derechos de los interesados: Otras solicitudes

3.1

El interesado podrá solicitar el ejercicio de otros derechos detallados en el Apartado 3.4 de las
NCV. Dicha solicitud la podrá analizar y tramitar, según sea apropiado, el delegado local deprotección de datos del país del que proceden los datos personales, previa consulta con elequipo internacional de protección de datos en caso necesario. Los marcos temporales de la
respuesta estipulados en el Apartado 2.3 del Apéndice II de las NCV deberán aplicarse mutatis
mutandis.

3.2

Si se recibe una solicitud de cambio de los datos personales de un interesado y Kumon es el
responsable del tratamiento de esos datos personales, dicha información se rectificará oactualizará en consecuencia si Kumon considera que existe base jurídica para hacerlo.

3.3

Si Kumon elimina, actualiza, corrige u oculta la identidad de datos personales en calidad deresponsable del tratamiento, Kumon informará a otras empresas del grupo Kumon osubencargado al cual se hayan comunicado los datos personales para que puedan ellos
mismos modificar también sus registros en consecuencia.

3.4

Si la solicitud dirigida a Kumon en calidad de responsable del tratamiento supone detener eltratamiento de datos personales del interesado porque los derechos y libertades delinteresado se ven perjudicados por tal tratamiento, o sobre la base de otros motivos legítimos
imperiosos, el asunto pasará a manos del equipo internacional de protección de datos para su
evaluación. Cuando el tratamiento de datos emprendido por Kumon venga exigido por ley, lasolicitud no se considerará válida.

30

APPENDIX III ESTRUCTURA DE CUMPLIMIENTO
1

Delegado internacional de protección de datos

1.1

El delegado internacional de protección de datos nombrado por Kumon será responsable desupervisar la ejecución y asegurar el cumplimiento de las NCV, así como de la legislación enmateria de protección de datos aplicable. No se someterá a ningún conflicto de intereses,
informará directamente a la junta directiva/presidente de KIE, y su nombramiento, papel yactuación se llevarán a cabo de acuerdo con las NCV y las directrices del Comité Europeo deProtección de Datos sobre delegados de protección de datos, que se actualizarán cuando
corresponda. El delegado internacional de protección de datos no recibirá instrucciones
acerca del ejercicio de sus cometidos y contará con el apoyo de los directivos de KIE.

1.2

Las principales responsabilidades del delegado internacional de protección de datos incluyen
las siguientes:(a)garantizar que se definen y comunican las NCV y otras normas relacionadas con
protección, objetivos y criterios en materia de protección de datos;(b)

proporcionar en calidad de alta dirección apoyo y recursos claros y visibles para las NCV
y para todo objetivo o iniciativa sobre privacidad en general;(c)evaluar, aprobar y priorizar medidas correctivas coherentes con los requisitos de las
NCV, los planes estratégicos, los objetivos de negocio y los requisitos normativos;(d)evaluar periódicamente las iniciativas privadas, los logros y los recursos para garantizar
la efectividad y la mejora continuas;(e)garantizar que los objetivos de negocio de Kumon están en consonancia con las NCV ylas estrategias, políticas y prácticas relacionadas con la protección de datos;(f)coordinar la comunicación de las NCV y de todos los asuntos sobre protección de datos
durante las auditorías;(g)tramitar todas las reclamaciones que se le hayan remitido de acuerdo con el derechode acceso y los procedimientos de reclamación recogidos en las NCV, y(h)actuar como punto de contacto para tratar con las autoridades de control (o asignar
dicho papel a los delegados locales de protección de datos con respecto a asuntos
exclusivos de una región dada).

31

2

Equipo internacional de protección de datos

2.1

El equipo internacional de protección de datos está formado por personal nombrado por KIE
y cumple con las siguientes responsabilidades bajo la dirección del delegado internacional deprotección de datos:(a)ofrecer directrices sobre el tratamiento de datos personales de acuerdo con las NCV;(b)

responder a las consultas de los miembros del personal, clientes y otros terceros
relativas al cumplimiento de las NCV;(c)ofrecer aportaciones sobre las auditorías de las NCV, coordinar respuestas a lasconclusiones de las auditorías y responder a las consultas de las autoridades de control;(d)controlar los cambios en la legislación internacional sobre protección de datos ygarantizar que los cambios pertinentes se reflejan en las NCV y en las políticas yprácticas de Kumon relacionadas;(e)organizar formaciones para los miembros del personal sobre las NCV y la legislación enmateria de protección de datos;(f)promover la concienciación sobre protección de datos entre las unidades de negocio ylas áreas funcionales por medio de comunicados e iniciativas;(g)evaluar los procesos y procedimientos de protección de datos para garantizar que sonsostenibles y efectivos;(h)informar periódicamente sobre el estado de las NCV al delegado internacional deprotección de datos y otras organizaciones que correspondan;(i)garantizar que cualquier asunto relacionado con el cumplimiento de las NCV se poneen conocimiento del equipo internacional de protección de datos y del delegado
internacional de protección de datos, según corresponda, y que se determinan e
implementan medidas correctivas dentro de un plazo de tiempo razonable, y(j)garantizar que cualquier cambio en las NCV se incorporará de acuerdo con losprocedimientos de actualización (véase Apéndice VI).

3

Delegado local de protección de datos

3.1

Cada empresa del grupo Kumon contará con un delegado local de protección de datos, que
será responsable de la protección de datos en el día a día de la empresa.

3.2

Cuando el delegado internacional de protección de datos lo considere apropiado, el delegado
local de protección de datos para las sedes regionales del grupo Kumon podrá coordinar las

32

actividades de los delegados locales de protección de datos de las filiales. Además, si eldelegado internacional de protección de datos así lo establece, el delegado local de protecciónde datos será el punto de contacto para tratar con las autoridades de control asuntos sobre
datos personales exclusivamente locales.
3.3

El delegado local de protección de datos cooperará con el delegado internacional deprotección de datos y el equipo internacional de protección de datos de las siguientes
maneras:(a)poner al día de las actualizaciones de la legislación aplicable en materia de protecciónde datos;(b)

ofrecer formación sobre protección de datos personales en la empresa, y(c)ofrecer información sobre el estado de la protección en la empresa.

4

Procedimiento de comunicación interna para la plantilla

4.1

Kumon pondrá a disposición de los miembros del personal un servicio directo de comunicaciónpara cualquier consulta relacionada con asuntos de protección de datos personales detallados
en las NCV.

4.2

Alternativamente, un miembro del personal podrá dirigir cualquier consulta sobre asuntos deprotección de datos personales detallados en las NCV al delegado local de protección de datos,quien la revisará y responderá en el plazo de un mes desde que ha recibido la consulta. Si laconsulta está relacionada con asuntos que no son puramente locales, el delegado local deprotección de datos recurrirá al equipo internacional de protección de datos.

4.3

Si el miembro del personal no está de acuerdo con la respuesta recibida del delegado local deprotección de datos o del equipo internacional de protección de datos, o cualquier aspecto
incluido en las conclusiones, e informa de ello a la parte que ha emitido la respuesta, el asunto
pasará a manos del delegado internacional de protección de datos. El delegado internacionalde protección de datos revisará el caso e informará al miembro del personal de su decisión, obien de sostener las conclusiones de la parte que ha emitido la respuesta o bien de emitir una
respuesta nueva, en el plazo de un mes (que podrá ampliarse dos meses más en función de lacomplejidad y el número de solicitudes) desde la recepción de la consulta del delegado/equipode protección de datos pertinente.

4.4

Las reclamaciones de los miembros del personal relativas al tratamiento de sus datos

33personales por parte de las empresas del grupo Kumon conforme a lo establecido en estas
NCV se podrán cursar según lo que se detalla en el Apéndice II de las NCV.

34

APPENDIX IV PROTOCOLO DE FORMACIÓN
1

Formación del personal

1.1

Se requerirá que todos los miembros del personal involucrados en la transferencia, el
tratamiento o la recogida de datos personales estén formados en protección de datos
personales, incluido el contenido de las NCV y la legislación aplicable en materia de protecciónde datos (i) como parte de su programa de iniciación y (ii) al menos una vez al año. Dicha
formación se podrá ofrecer en línea, con seminarios presenciales o de cualquier otra manera
que se considere adecuada a las circunstancias.

1.2

El equipo internacional de protección de datos preparará los materiales formativos y se losproporcionará al delegado local de protección de datos. El delegado local de protección dedatos se encargará de formar a los miembros del personal de la empresa, además de registrar
los resultados de la formación y comunicárselos al equipo internacional de protección dedatos.

1.3

El objetivo de estas formaciones es que los miembros del personal conozcan los principios
básicos de la protección, confidencialidad y seguridad de datos personales, así como lossistemas informáticos que contienen datos personales.

1.4

Kumon pondrá a disposición oportunidades formativas complementarias según considere
necesario, como por ejemplo:-

formación online específica dirigida a miembros directivos del personal;-

formación específica para determinados departamentos (por ejemplo, RRHH, TI,
Coordinación), y-

oportunidades de formación internacional, como formación en línea a través deuna intranet común o conferencias intragrupo.

1.5

La formación incluirá lo siguientes temas:-

el contenido de la legislación local en material de protección de datos personales;-

los cambios en las NCV y su contenido, y-cómo afecta la legislación sobre protección de datos personales a Kumon (incluidas
mejores prácticas para cumplir con las NCV).

35

APPENDIX V

PROTOCOLO DE AUDITORÍA

1

Principios

1.1

Kumon acuerda someterse a auditorías periódicas sobre protección de datos practicadas por
auditores, o bien internos o bien externos acreditados, o a petición del delegado internacionalde protección de datos.

2

Estructura

2.1

El delegado internacional de protección de datos garantizará que un auditor interno o externo
acreditado de Kumon (el «equipo de auditoría»), según estime conveniente, audite de forma
independiente el cumplimiento de todos los aspectos de las NCV, incluidos los método para
asegurar que se adoptan e implementan las medidas correctivas.

2.2

El equipo de auditoría será responsable de efectuar o supervisar las auditorías independientes
para el cumplimiento de las NCV y garantizará que estas auditorías contemplan todos los
aspectos recogidos en las NCV. Además, el equipo de auditoría es responsable de garantizarque cualquier asunto o instancia de incumplimiento se notificará al equipo internacional deprotección de datos y a los delegados locales de protección de datos competentes.

3

Proceso

3.1

Las auditorías cubrirán todos los aspectos de las NCV e identificarán métodos para aplicar las
medidas correctivas que puedan requerirse como resultado de las auditorías.

3.2

Las auditorías sobre el cumplimiento de las NCV tendrán lugar en los siguientes casos:(a)

al menos, una vez al año, de acuerdo con los procedimientos de auditoría de Kumon,(b)a petición del delegado internacional de protección de datos o de la junta directiva deKIE, o(c)cuando el equipo internacional de protección de datos lo considere necesario (porejemplo, en respuesta a un incidente específico).

3.3

El equipo de auditoría llevará a cabo un análisis de riesgo para determinar el alcance de laauditoría, que considerará relevantes asuntos como riesgos nuevos o específicos para la el36negocio de la empresa auditada, cambios en los sistemas o procedimientos de seguridad, elcontenido de una auditoría o reclamación anterior, la naturaleza y la ubicación de los datos
personales o la forma de tratamiento.
3.4

La auditoría se llevará a cabo mediante una inspección presencial, entrevistas con losmiembros del personal implicados, cuestionarios, revisión de documentos o cualquier otro
método que el equipo de auditoría considere necesario.

3.5

Se informará de los resultados de todas las auditorías al delegado internacional de protecciónde datos y a la junta directiva de KIE.

3.6

Se proporcionará una copia de los resultados de las auditorías a las autoridades de control, apetición suya.

3.7

Cualquier empresa del grupo Kumon acepta someterse a una auditoría por parte de lasautoridades de control y cumplirá con las recomendaciones de las autoridades de control
sobre cualquier asunto relacionado con esas normas.

37

APPENDIX VI PROCEDIMIENTO DE ACTUALIZACIÓN
1

Cambios en las NCV

1.1

Kumon informará de cualquier cambio en las NCV sin dilación indebida a las autoridades decontrol pertinentes a través de las autoridades de control competentes, así como a todas lasempresas del grupo Kumon.

2

Cambios en las NCV que no requieren autorización

2.1

Es posible actualizar las NCV o la lista de empresas del grupo Kumon sin tener que volver asolicitar una autorización, dado que:(a)

El delegado internacional de protección de datos mantiene una lista actualizada de las
empresas del grupo Kumon sujetas a las NCV y de los subencargados nombrados por
Kumon para el tratamiento de datos personales. Dicha lista estará a disposición de losinteresados y de las autoridades de control si lo solicitan previamente y la solicitud esválida.

(b)

El delegado internacional de protección de datos mantendrá un registro de los cambios
en las NCV, incluidos los detalles de los cambios y la fecha en la que toman efecto, yproporcionará la información necesaria a petición del interesado o de las autoridadesde control.

(c)

No se transferirán datos a un miembro nuevo hasta que dicho miembro nuevo esté
efectivamente sujeto a las NCV y pueda cumplir con ellas.

(d)

Se informará una vez al año de cualquier cambio en las NCV o en la lista de empresasdel grupo Kumon a las autoridades de control que conceden las autorizaciones con una
breve explicación que justifique la actualización.

(e)

Se informará inmediatamente a las autoridades de control pertinentes, a través de lasautoridades de control competentes, de cualquier cambio en las NCV que pueda afectar
al nivel de protección que ofrecen las NCV o afectar significativamente a las NCV.

38