Norme vincolanti d’impresa
Policy del responsabile deltrattamento

CONTENUTO
1.

Introduzione .......................................................................................................................... 3

2.

Parolechiave .......................................................................................................................... 6

3.

Impegni come Responsabile del trattamento ..................................................................... 10
Impegni del responsabile del trattamento .................................................................. 10
Diritti dei clienti............................................................................................................ 14

4.

Trasferimenti di dati personali ............................................................................................ 15
Trasferimenti di dati personali ..................................................................................... 15

5.

Impegni pratici .................................................................................................................... 16
Sicurezza e riservatezza ............................................................................................... 16
Responsabilità .............................................................................................................. 17
Programma di formazione ........................................................................................... 18
Programma di revisione ............................................................................................... 18
Relazione tra le leggi nazionali e le NVI ....................................................................... 18
Meccanismi di reclamo ................................................................................................ 19
Cooperazione con le autorità ....................................................................................... 19
Aggiornamento delle regole ........................................................................................ 20

6.

Diritti e responsabilità del terzo beneficiario ...................................................................... 21
Diritti del terzo beneficiario ......................................................................................... 21
Responsabilità e onere della prova .............................................................................. 22

7.

Disposizioni finali ................................................................................................................. 24
Disposizioni finali ......................................................................................................... 24

Appendix I

Elenco delle aziende del Gruppo Kumon.......................................................... 25

Appendix II

Accesso DELLE PERSONE e procedure di reclamo ............................................ 26

1

Reclami a Kumon ............................................................................................................. 26

1

2

Diritti degli interessati: richieste di accesso dell’interessato .......................................... 28

3

Diritti degli interessati: altre richieste ............................................................................. 29

Appendix III

Struttura di ottemperanza................................................................................ 30

1Incaricato globale per la protezione dei dati ................................................................... 30

2Team globale per la protezione dei dati .......................................................................... 31

3Manager locale per la protezione dei dati....................................................................... 31

4

Procedura di comunicazione interna per i dipendenti .................................................... 32

Appendix IV
1

Protocollo di formazione .................................................................................. 33

Formazione dei dipendenti .............................................................................................. 33

Appendix V

Protocollo di revisione ...................................................................................... 34

1

Principi della revisione ..................................................................................................... 34

2

Struttura della revisione .................................................................................................. 34

3

Processo di revisione ....................................................................................................... 34

Appendix VI

Procedura di aggiornamento ............................................................................ 36

1

Cambiamenti alle NVI ...................................................................................................... 36

2

Cambiamenti alle NVI che non richiedono autorizzazione .............................................. 36

2

1. INTRODUZIONE
Chi siamo?
Kumon è un fornitore di istruzione personalizzata, leader a livello mondiale, gestito da Kumon
Institute of Education Co., Ltd. , con sede in Giappone. Kumon fornisce programmi diapprendimento a studenti di varie età, in base al “ Metodo Kumon”, sviluppato dall’azienda.
Questi programmi di apprendimento sono forniti attraverso la rete globale di centri Kumon,
gestiti dall’azienda o in franchising, e i partner licenziatari.

Cosa sono le Norme vincolanti d’impresa (NVI)?
Per portare a termine la nostra missione di aiutare più persone possibile a scoprire il proprio
potenziale e sviluppare le proprie competenze grazie al Metodo Kumon, a volte Kumon
condividerà dati personali all’interno delle aziende del Gruppo Kumon. Per noi è importantegestire i dati personali con le tutele adeguate. Kumon adotta le seguenti Norme vincolantid’impresa per stabilire i principi di Kumon per la protezione dei dati personali e le regole che
seguiremo nel caso di condivisione di dati personali con aziende del Gruppo Kumon al di fuoridello Spazio Economico Europeo.
Le Norme vincolanti d’impresa consistono in due gruppi di norme. Le Norme vincolantid’impresa - Policy del titolare del trattamento e le Norme vincolanti d’impresa – Policy delresponsabile del trattamento. Questo documento contiene le Norme vincolanti d’impresa Policy del responsabile del trattamento e da qui in poi sarà chiamato “NVI”.
Queste NVI descrivono il modo in cui le aziende del Gruppo Kumon rispetteranno le leggi diprotezione dei dati nel trattamento dei dati per conto di parti terze, compresi gli istruttori dei
franchising.
Queste NVI saranno pubblicate nei siti di Kumon pertinenti.

Cosa viene trattato nelle NVI?
Queste NVI includono tutte le operazioni di raccolta, trasferimento e tutte le altre operazioni ditrattamento di dati personali originati nello Spazio Economico Europeo da parte delle aziendedel Gruppo Kumon (elenco consultabile nell’Allegato I). Questo potrebbe includere quantosegue:

3

Istruttori del franchisingNome, indirizzo, nome del centro, dati di contatto, informazioni
Categorie di dati

professionali e sull’istruzione, esperienza e storia dell’istruttore ealtre informazioni detenute dall’istruttore del franchising nel server
e nei sistemi dedicati per il funzionamento dei centri Kumon

Trasferimenti al di

Al Kumon Institute of Education Co., Ltd. con sede in Giappone

fuori dello SpazioAl Kumon Europe & Africa Limited, con sede nel Regno Unito



Fornire supporto informatico e manutenzione di server e sistemi

Economico Europeo
Scopi

usati dagli istruttori per il funzionamento dei centri Kumon
Fornire supporto amministrativo

Studenti che seguono (o sono interessati a seguire) il programma Kumon
Nome, ID studente, nome del centro, indirizzo, età, classe
Categorie di dati

frequentata, progresso nello studio, durata degli studi e altre
informazioni detenute dall’istruttore del franchising nei server esistemi dedicati per il funzionamento dei centri Kumon

Trasferimenti al di

Al Kumon Institute of Education Co., Ltd. con sede in Giappone

fuori dello SpazioAl Kumon Europe & Africa Limited, con sede nel Regno Unito



Fornire supporto informatico e manutenzione di server e sistemi

Economico Europeo
Scopi

usati dagli istruttori per il funzionamento dei centri Kumon
Fornire supporto amministrativo

Genitori degli studenti
Nome, nome dello studente, relazione con lo studente, indirizzo, dati
Categorie di dati

di contatto e altre informazioni detenute dall’istruttore delfranchising nei server e sistemi dedicati per il funzionamento dei
centri Kumon

Trasferimenti al di

Al Kumon Institute of Education Co., Ltd. con sede in Giappone

fuori dello SpazioAl Kumon Europe & Africa Limited, con sede nel Regno Unito



Fornire supporto informatico e manutenzione di server e sistemi

Economico Europeo
Scopi

usati dagli istruttori per il funzionamento dei centri Kumon
Fornire supporto amministrativo

4

Le NVI sono applicabili a tutti i tipi di trattamento, automatico o manuale, di qualsiasi natura.

Chi è tenuto a rispettare le NVI?
Le aziende del Gruppo Kumon elencate nell’Appendix I e i loro dipendenti devono seguire le NVI.
Ciascuna di queste aziende del Gruppo Kumon è tenuta a rispettare le NVI secondo un accordo
interaziendale ed è obbligata a seguire gli step necessari per garantire che l'azienda e i suoi
dipendenti rispettino queste NVI.
L’elenco delle aziende del Gruppo Kumon nell’Appendix I potrebbe essere aggiornato di tanto intanto, rispettando la procedura di aggiornamento delle NVI delineata nell’Appendix VI.

Ho una domanda sulle NVI. A chi posso rivolgermi?
Per domande o dubbi riguardanti le NVI e i diritti riguardanti i dati raccolti e trattati da un
membro del Gruppo Kumon, è possibile contattare il team globale per la protezione dei dati alseguente indirizzo: bcr@kumon.co.jp

52. PAROLECHIAVEPer gli scopi di queste NVI, le seguenti parole chiave avranno i seguenti significati:(a) “Bambino” oQualsiasi persona di età inferiore ai 16 anni (o qualsiasi altra età per“Bambini”

cui è richiesto il consenso di un custode legale secondo le leggi invigore nello Spazio Economico Europeo per il trattamento dei dati
personali della persona).

(b) “Cliente”

Quando Kumon è responsabile del trattamento, il titolare deltrattamento o del trattamento dei dati per conto del quale Kumon
sta trattando i dati. Per evitare ambiguità, cliente non è mai
un’altra azienda del Gruppo Kumon.

(c) “Contratto con ilcliente”(d) “Titolare deltrattamento”

Il contratto tra Kumon e un cliente che stabilisce i termini deltrattamento dei dati personali.
La persona fisica o giuridica, l’ente pubblico, l’agenzia o qualsiasi
altro istituto che, singolarmente o in congiunzione ad altri,
determina gli scopi e i mezzi del trattamento di dati personali o cheè stato indicato come tale secondo la legge applicabile.

(e) “Responsabile delUna persona fisica o giuridica, ente pubblico, agenzia o qualsiasi

trattamento”

altro istituto che tratta i dati personali per conto del titolare deltrattamento.

(f) “SEE”

Lo Spazio Economico Europeo. Fermo restando quanto sopra,
durante il periodo di transizione in cui il Regno Unito è sottoposto
alle leggi dell’UE, il termine “SEE” includerà anche il Regno Unito.

(g) “Leggi SEE”

Le leggi dell’Unione Europea e dello Stato membro da cui i dati
personali sono stati inizialmente ottenuti o trattati per la prima
volta all’interno dello SEE.

(h) “Soggetto principale
SEE”

Kumon Europe & Africa, Ltd., un’azienda del Gruppo Kumon
istituita e operante nel Regno Unito. Fermo restando quanto sopra,
alla fine del periodo di transizione in cui il Regno Unito è sottoposto
alle leggi dell’UE, Kumon Instituto de Educación de España S. A.,6

un’azienda del Gruppo Kumon istituita e operante in Spagna,
diventerà il soggetto principale SEE.
(i) “Dipendente”

Qualsiasi persona all’interno di un’azienda del Gruppo Kumon
impegnata in operazioni aziendali sotto la direzione o supervisione
diretta o indiretta dell’azienda del Gruppo Kumon che, in aggiunta
ai dipendenti con un rapporto di lavoro dipendente (dipendenti atempo pieno, con contratto a chiamata, part-time, ecc.), include
incaricati, direttori, società di revisione e personale assunto a
tempo determinato, ecc. Per evitare ambiguità, “dipendente” noninclude fornitori indipendenti, subappaltatori o istruttori/personale
dei Centri Kumon.

(j) “Istruttore delfranchising”

Qualsiasi istruttore che sia stato autorizzato a istruire gli studenti
con il Metodo Kumon, in quanto ha stipulato un contratto difranchising con Kumon.

(k) “GDPR”

Regolamento (UE) 2016/679 del Parlamento Europeo e delConsiglio del 27 aprile 2016 sulla protezione delle persone fisicheriguardo il trattamento dei dati personali e la libera circolazione ditali dati, abrogante la Direttiva 95/46/CE (Regolamento generale
per la protezione dei dati), con le eventuali modifiche apportate.

(l) “Custode legale”

Un genitore o una persona con responsabilità genitoriale verso una
determinata persona.

(m) “Persona” o“Interessato”

La persona a cui appartengono i dati personali che sono stati
trasferiti da un’azienda del Gruppo Kumon nello SEE a un’aziendadel Gruppo Kumon al di fuori dello SEE.

(n) “KIE”

Kumon Institute of Education Co., Ltd.

(o) “Kumon”

L’azienda del Gruppo Kumon in questione o tutte le aziende delGruppo Kumon insieme, in base al contesto.

(p) “Azienda del Gruppo
Kumon”

Una delle entità elencate nell’Appendix I, che verrà aggiornato
regolarmente in base all’Appendix VI.

7

(q) “Autorità centrale disupervisione”

L’Autorità centrale di supervisione per la protezione dei dati
spagnola (Agencia Española de Protección de Datos (AEPD)), o altra
autorità di supervisione debitamente nominata come autorità
centrale di supervisione delle NVI secondo la legge applicabile.

(r) “Stato membro”

Tutti i paesi all’interno dello SEE.

(s) “Dati personali”

Qualsiasi informazione che viene prodotta all’interno dello SEE
relativa a una persona fisica che può essere identificata,
direttamente o indirettamente, in particolare tramite riferimento a
un elemento identificativo come nome, numero di identificazione,
dati di localizzazione, un identificativo online o uno o più fattori
specifici relativi all’identità fisica, fisiologica, genetica, mentale,economica, culturale o sociale di tale persona fisica.

(t) “Trattamento”(di dati personali)

Qualsiasi operazione o insieme di operazioni svolte sui dati
personali o su insiemi di dati personali, tramite mezzi automatizzati
o no, come la raccolta, la registrazione, l’organizzazione,
l’articolazione, la conservazione, l’adattamento o la modifica, il
recupero, la consultazione, l’utilizzo, la condivisione tramite
trasmissione, disseminazione o altro modo di rendere disponibile,l’allineamento o la combinazione, la restrizione, la cancellazione ola distruzione.

(u) “Paese di

Il paese in cui i dati personali vengono trattati.

trattamento”(v) “Categorie speciali didati personali”

Dati personali che rivelano origine razziale o etnica, opinioni
politiche, credenze religiose o filosofiche, appartenenza a gruppi
sindacali o dati generici, biometrici o dati riguardanti la salute o lavita sessuale o l’orientamento sessuale di una persona fisica.

(w) “Autorità disupervisione”(x) “Parte terza”

Un ente pubblico indipendente istituito da uno Stato membro,
responsabile di monitorare l’applicazione del GDPR.
Una persona fisica o giuridica, ente pubblico, agenzia o altroorganismo che non sono la persona, il titolare del trattamento o
Kumon in qualità di responsabile del trattamento. Per evitare8qualsiasi ambiguità, parte terza non include altre aziende delGruppo Kumon.
(y) “Terzo beneficiario”

La persona che gode dei diritti di terzo beneficiario come indicato
nella Sezione 6.1.1.

9

3. IMPEGNI COME RESPONSABILE DEL
TRATTAMENTO
Impegni del responsabile del trattamento
3.1.1

Impegni di base: Quando Kumon opera come responsabile del trattamento:(a)Kumon tratterà i dati personali esclusivamente nel rispetto delle istruzioni delcliente, incluse quelle riguardanti il trasferimento di dati a paesi terzi, a meno che
non sia tenuto a trattare i dati secondo la legge applicabile alla quale sono sottoposti.
In tal caso, Kumon informerà il cliente di tali requisiti legali prima che i dati vengano
trattati, a meno che la legge applicabile non vieti tale comunicazione per motivi dirilevante interesse pubblico. Ciascun membro del Gruppo Kumon elencato
nell’Appendix I che opera come responsabile del trattamento e i suoi dipendenti
sono tenuti a rispettare le istruzioni del cliente riguardo il trattamento dei dati e lemisure di sicurezza e riservatezza, come stipulato nel contratto con il cliente
dettagliato al punto (b) di seguito:(b)

Kumon applicherà tutte le misure tecniche e organizzative adeguate per garantire
un livello di sicurezza adeguato al rischio presentato dal trattamento (come segue,
dalle disposizioni della Sezione 5.1) e dovrà applicare le misure tecniche eorganizzative specificate nel contratto con il cliente, compresi tutti gli obblighi chegarantiscono la sicurezza dei dati in base al GDPR. In questo contesto, Kumon
assisterà il cliente nel garantire il rispetto dei propri obblighi;(c)Kumon garantirà l’attuazione di tutte le misure necessarie, come richiesto dalcliente, per garantire che i dati personali siano mantenuti aggiornati e adeguati,
corretti o cancellati. Kumon garantirà che tutte le aziende del Gruppo Kumon o isubincaricati al trattamento a cui i dati potrebbero essere stati comunicati vengano
informati di qualsiasi modifica o cancellazione dei dati;(d)Kumon applicherà misure per cancellare o rendere anonimi i dati personali che
tratta per conto del cliente, in base alle richieste del cliente, nel momento in cui
l’identificazione non è più necessaria, e garantisce che tutti gli organismi a cui i dati
sono stati comunicati vengano informati di ogni cancellazione o anonimizzazione dei
dati;

(e)

Kumon è soggetto a un dovere di trasparenza e correttezza e quindi aiuterà eassisterà il cliente a rispettare la legge, in particolare i requisiti per la protezione dei

10dati, in tempi ragionevoli e per quanto ragionevolmente possibile, compresa lacomunicazione di qualsiasi informazione utile che possa aiutare il cliente a
rispondere alle richieste degli interessati riguardanti l’esercizio dei propri diritti, agestire i reclami e l'assistenza al cliente per poter rispondere a indagini o richieste
da parte dell’autorità di supervisione.
(f)Kumon metterà in atto tutte le misure necessarie, per quanto possibile, quando
richiesto dal cliente, per il rispetto degli obblighi del cliente a rispondere allerichieste di esercizio dei diritti degli interessati, compresa la comunicazione diqualsiasi informazione utile per aiutare il cliente a rispettare l’obbligo di rispettare i
diritti degli interessati. Kumon trasmetterà senza indugio al cliente ogni richiesta daparte di un interessato senza rispondere alla stessa, a meno che non sia autorizzato
a farlo;(g)

Kumon ha il dovere di mettere a disposizione del cliente tutte le informazioni
necessarie per dimostrare l’adempimento degli obblighi qui considerati epermetterà al cliente di svolgere ispezioni per proprio conto o tramite un revisore
incaricato in conformità con l’Appendix V. Inoltre, Kumon informerà
immediatamente il cliente se, nella sua opinione, un’istruzione viola le presenti NVI
o altre leggi applicabili;(h)Kumon assisterà il cliente a garantire l’adempimento degli obblighi riguardanti losvolgimento di valutazioni sull’impatto della protezione dei dati (come definito nella
Sezione 5.2).

(i)Kumon assisterà il cliente ad applicare le misure tecniche e organizzative adeguate,
progettate per l’applicazione dei principi della protezione dei dati in modo effettivo
e a integrare le misure di tutela necessarie al trattamento, per facilitare il rispettodelle presenti NVI (come definito nella Sezione 5.2.5); e,(j)

Kumon tratterà i dati personali per conto del cliente sulle basi del contratto stipulato
tra loro, che sarà conforme con e rispetterà tutti i requisiti definiti nel GDPR.

3.1.2

Incapacità di osservanza totale: Nel caso in cui, in qualsiasi momento durante il periodo divalidità del contratto con il cliente, Kumon sia incapace di osservare in toto uno o tutti gli
obblighi definiti nella Sezione 3.1.1, compreso quando Kumon ha ragione di credere che lelegislazioni esistenti o future applicabili ad esse potrebbero impedirgli di osservare leistruzioni ricevute dal cliente o altri obblighi stabiliti dalle NVI o al contratto con il cliente,
informerà tempestivamente il cliente di ciò. In tal caso, il cliente ha diritto di sospendere il
trasferimento di dati e/o porre fine al contratto con effetto immediato. Inoltre, Kumon
informerà tempestivamente il soggetto principale SEE e le autorità di supervisione

11competenti per il cliente e per Kumon, rispettivamente.
3.1.3

Restituzione o distruzione di dati personali: Al termine o alla scadenza del contratto con ilcliente, Kumon si impegna a restituire o distruggere tutti i dati personali trattati ecancellarne le copie, in conformità con le istruzioni del cliente, e a certificare al cliente diaver fatto ciò, a meno che le leggi applicabili non richiedano la conservazione dei dati
personali trasferiti. In tale caso, Kumon informerà il cliente e garantirà di assicurare la
riservatezza dei dati personali trasferiti e non li tratterà attivamente.

3.1.4

Informazioni da fornire all’interessato: Gli interessati hanno diritto di accesso alle NVI.
Kumon si incarica di pubblicare le NVI sul sito web accessibile all’indirizzo
https://www.kumongroup.com/eng/bcr/, per garantire che le NVI siano accessibili agliinteressati.

3.1.5

Basi giuridiche per il trattamento dei dati personali: Per maggior chiarezza, Kumon non ha
alcun obbligo di determinare le basi giuridiche per il trattamento dei dati personali e, oveapplicabile, categorie speciali di dati personali per conto del cliente. La determinazione dellebasi giuridiche per il trattamento di dati che Kumon esegue su istruzioni del cliente èresponsabilità esclusiva del cliente o del titolare del trattamento.

3.1.6

Nomina di un subincaricato al trattamento: Kumon informerà il cliente e otterràpreventivamente l’autorizzazione informata per iscritto, sia specifica che generale, prima dinominare un subincaricato al trattamento (un responsabile del trattamento terzo o un’altraazienda del Gruppo Kumon) per svolgere attività di trattamento dei dati per conto di Kumon.
Il contratto con il cliente potrebbe specificare un’autorizzazione generale previa all’inizio delservizio; in tal caso, Kumon informerà il cliente dei subincaricati al trattamento al momentodella stipula del contratto e, successivamente, comunicherà in modo tempestivo qualsiasicambiamento che intende apportare riguardo l’aggiunta o la sostituzione di un subincaricato
al trattamento, per permettere al cliente di esporre le sue obiezioni al cambiamento o porrefine al contratto prima che i dati vengano trasferiti al nuovo subincaricato al trattamento.
Saranno nominati unicamente subincaricati al trattamento che forniscono garanzie
sufficienti riguardo gli impegni presi da Kumon nelle NVI, in particolare coloro che sono in
grado di stabilire e fornire misure tecniche e organizzative adeguate per governare il proprio
trattamento di dati personali. Kumon si assicurerà di questo nel seguente modo:(a)Garantendo che il subincaricato possa agire solo su istruzioni di Kumon per quantoriguarda i dati personali in questione;

12

(b)

Stipulando un accordo scritto che impone a tale subincaricato gli stessi obblighi diprotezione dei dati stabiliti nel contratto con il cliente, nello specifico, compresi gli
impegni del subincaricato riguardanti la sicurezza e la riservatezza dei dati personali
in questione, trattati in conformità con le NVI e tutti gli altri requisiti stabiliti nella
Sezione 5.1.4; e(c)Stabilendo qualsiasi altro obbligo che potrebbe essere necessario per garantire che
gli impegni del subincaricato siano allineati alle NVI relativamente al trattamento
dei dati personali in questione (come garantire che il subincaricato sia obbligato arispettare i doveri di Kumon verso il cliente, compresi, ma non limitati a, quelli
stabiliti nelle Sezioni 3.1.1, 3.1.3, 3.1.4 e 3.1.9).

3.1.7

Violazione da parte di un subincaricato: Kumon non potrà appoggiarsi a una violazione dei
suoi obblighi da parte di un subincaricato per evitare le proprie responsabilità verso il cliente.

3.1.8

Inserimento delle NVI nel contratto con il cliente: Quando il contratto con il cliente prevede
trasferimenti di dati personali che rientrano nell’ambito delle NVI, Kumon inserirà nel
contratto con il cliente i propri obblighi in quanto responsabile del trattamento dettagliati
nelle NVI, includendo le NVI come allegato o includendo un riferimento alle NVI accessibile
per via elettronica, su richiesta del cliente.

3.1.9

Notifica al cliente di una violazione/comunicazione del resoconto dell’ispezione: Nel caso
di una violazione della sicurezza o della riservatezza dei dati personali trattati da Kumon perconto di un cliente, Kumon informerà (i) il cliente, in quanto titolare del trattamento nel caso
in cui Kumon sia responsabile del trattamento, e (ii) il titolare del trattamento e il cliente nel
caso in cui Kumon sia un subincaricato, senza ritardi ingiustificati dal momento in cui prendeconoscenza della violazione; inoltre, assisterà il cliente nel garantire la conformità con i suoi
obblighi a tal riguardo e consegnerà il resoconto dell’ispezione preparato secondo la Sezione
5.4 al cliente, su sua richiesta.

3.1.10 Richieste di comunicazione: Nel caso in cui Kumon riceva una richiesta legalmente
vincolante di comunicazione di dati personali trattati per conto di un cliente da parte diun’autorità competente per l’applicazione della legge, Kumon informerà il cliente di ciò, se
non altrimenti vietato (ad es. secondo il codice penale per mantenere il segreto diun’indagine sull’applicazione della legge). In qualsiasi caso, Kumon gestirà la richiesta di
comunicazione nelle modalità stabilite nella Sezione 5.5.4.

13

Diritti dei clienti
3.2.1

Responsabilità verso il cliente: Il cliente avrà diritto di far valere(a)queste NVI e il contratto con il cliente contro ogni azienda del Gruppo Kumon che
abbia causato la violazione;(b)queste NVI e il contratto con il cliente contro il soggetto principale SEE (azienda delGruppo Kumon cui sono delegate le responsabilità di protezione dei dati comespecificato nella Sezione 6.2), nel caso in cui la violazione sia stata causata daun’azienda del Gruppo Kumon con sede al di fuori dello SEE; e/o(c)l’accordo scritto stipulato con il subincaricato esterno contro il soggetto principale
SEE nel caso in cui la violazione sia stata causata da un subincaricato esterno con
sede al di fuori dello SEE.

14

4. TRASFERIMENTI DI DATI PERSONALI
Trasferimenti di dati personali
4.1.1

Trasferimenti di dati personali per il trattamento dei dati: Kumon limiterà i trasferimenti ei successivi trasferimenti di dati personali a un altro responsabile del trattamento (sia esso
una Parte terza o un’altra azienda del Gruppo Kumon) a meno che:(a)non ci siano accordi scritti stipulati con il responsabile del trattamento conformi ai
requisiti stabiliti nella Sezione 3.1.6 e qualsiasi requisito stipulato secondo il GDPR
prima del trasferimento; e,(b)abbia altresì preso le misure necessarie per garantire la protezione adeguata
secondo il GDPR per i dati personali oggetto del trasferimento.

4.1.2

Trasferimenti di dati e trasferimenti ulteriori: In base alle istruzioni del cliente ai sensi dellaSezione 3.1.1(a), Kumon limiterà i trasferimenti e i trasferimenti ulteriori di dati personali aogni organizzazione al di fuori dello SEE (sia essa una parte terza o un’altra azienda delGruppo Kumon), a meno che questi non vengano effettuati in conformità con le leggi e iregolamenti del GDPR riguardanti il trasferimento di dati personali, nello specifico:(a)il trasferimento avviene verso un paese terzo o un’organizzazione internazionale
stabilita dall’autorità competente per garantire un livello di protezione adeguato;(b)il trasferimento è soggetto a tutele adeguate riconosciute dal GDPR che assicurano
i diritti applicabili e i ricorsi giuridici effettivi garantiti alle persone;(c)

il trasferimento soddisfa una condizione specificata come deroga permessa dal
GDPR; o,(d)se il trasferimento avviene verso un’altra azienda del Gruppo Kumon al di fuori dello
SEE, il trasferimento avverrà in conformità alle presenti NVI.

15

5. IMPEGNI PRATICI
Sicurezza e riservatezza
5.1.1

Misure tecniche e organizzative: Kumon garantirà che il trattamento dei dati personali
avvenga in una modalità che garantisce l’adeguata sicurezza dei dati personali, compresa laprotezione da trattamento illegale o non autorizzato e da perdita, distruzione o danno
accidentale, in particolare quando il trattamento include la trasmissione di dati attraverso
una rete, e da tutte le altre forme illegali di trattamento. Kumon garantisce questo mettendo
in atto adeguate misure tecniche e organizzative, che saranno aggiornate regolarmente.

5.1.2

Livello di sicurezza: Le misure tecniche e organizzative che devono essere applicate
garantiscono un livello di sicurezza adeguato rispetto al rischio, tenendo conto dello statodell’arte (espressione come intesa dall’Articolo 32 del GDPR) e dei costi di attuazione,
nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anchedel rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche.

5.1.3

Ottemperanza dei dipendenti: I dipendenti possono trattare i dati personali esclusivamente
in conformità con le NVI. Tutti i dipendenti che violano le NVI possono essere soggetti a
provvedimenti disciplinari (fino a e compreso il licenziamento).

5.1.4

Accordi scritti con i responsabili del trattamento dei dati: Kumon si assicurerà che tutti i
responsabili del trattamento dei dati (siano essi parti terze o altre aziende del gruppo
Kumon) che trattano dati personali per conto di Kumon siano vincolati da un accordo scritto(come delineato nella sezione 4.1), conforme a e comprensivo di tutti gli elementi specificati
dall’Articolo 28.3 del GDPR, in modo che potranno agire solo secondo le istruzioni di Kumone saranno responsabili dell’attuazione delle misure di sicurezza e riservatezza adeguate,
nonché di segnalare la violazione di dati personali a Kumon senza ritardi ingiustificati.

5.1.5

Violazione dei dati personali: Oltre a informare il cliente e/o il titolare del trattamento ai
sensi della Sezione 3.1.9, le violazioni dei dati personali saranno documentate (compresi ifatti della violazione, gli effetti e le azioni correttive intraprese). Tale documentazione sarà
resa disponibile all’autorità di supervisione competente su richiesta.

16

Responsabilità
5.2.1

Kumon sarà responsabile della conformità con le presenti NVI e sarà in grado di dimostrarlo.

5.2.2

Conservazione della documentazione: Kumon garantisce che venga conservata la
documentazione chiara di tutte le attività di trattamento dei dati, compresi:(a)il nome e i dati di contatto di:(i)il responsabile o i responsabili del trattamento dei dati e di ciascun titolaredel trattamento per conto del quale il responsabile del trattamento agiscee(ii) ove applicabile, il rappresentante del responsabile del trattamento o deltitolare del trattamento, e l’incaricato per la protezione dei dati;(b)categorie di persone e dati personali trattati da, o per conto dei, responsabili delcontrollo dei dati;(c)descrizioni delle misure di sicurezza tecniche e organizzative in atto;(d)ove applicabile, i trasferimenti di dati personali a paesi terzi o a organizzazioni
internazionali e documentazione delle tutele applicate per tutti i trasferimenti verso
paesi in cui l’autorità di supervisione del paese da cui il trasferimento ha origine non
ha deciso di garantire un livello di protezione adeguato; e

(e)
5.2.3

tutte le altre informazioni che devono essere registrate in base al GDPR.

Kumon conserva un registro scritto delle attività di trattamento, anche in formato
elettronico e, quando richiesto, lo rende disponibile all’autorità di supervisione.

5.2.4

Valutazione dell’impatto della protezione dei dati: Kumon determina la necessità disvolgere valutazioni dell’impatto della protezione dei dati per le operazioni di trattamento
che hanno una probabilità di comportare un alto rischio per i diritti e le libertà delle persone
fisiche. Se i risultati dimostrano che il trattamento risulterebbe in un alto rischio in assenzadi misure prese da Kumon per mitigare i rischi, Kumon consulterà l’autorità di supervisione
prima del trattamento.

5.2.5

Protezione dei dati fin dalla progettazione e protezione di default: Kumon adotta le misuretecniche e organizzative adeguate, progettate per l’applicazione dei principi della protezione
dei dati in modo effettivo, e integra le salvaguardie necessarie nel trattamento per facilitare
il rispetto delle presenti NVI.

17

5.2.6

Kumon nomina un incaricato della protezione globale dei dati, con il supporto dei vertici
aziendali, per sovrintendere e assicurare la conformità con le NVI all’interno di Kumon, in
conformità con il protocollo descritto nell’Appendix III.

Programma di formazione
5.3.1

Kumon fornisce una formazione adeguata ai propri dipendenti sulle NVI, in conformità con
il protocollo descritto nell’Appendix IV.

5.3.2

Nessun dipendente potrà (i) trasferire dati personali verso un paese al di fuori dello SEE o (ii)maneggiare dati personali al di fuori dello SEE prima di aver ricevuto la formazione adeguata
per farlo.

Programma di revisione
5.4.1

Kumon esegue una revisione della sua conformità con le NVI, in conformità con il protocollo
descritto nell’Appendix V.

Relazione tra le leggi nazionali e le NVI
5.5.1

Laddove le leggi dei paesi in cui vengono trattati i dati personali richiedono un maggiore
livello di protezione dei dati personali, queste prevalgono sulle NVI.

5.5.2

Se Kumon ha ragione di credere che la legislazione esistente o futura del paese in cui i dati
vengono trattati potrebbe impedire il rispetto degli obblighi delle NVI, o potrebbe avere un
effetto sostanziale sulle garanzie fornite dalle NVI, Kumon informerà tempestivamente il
team globale per la protezione dei dati (si veda Appendix III), il soggetto principale SEE, il
cliente, l’autorità di supervisione competente per il titolare del trattamento e l’autorità disupervisione competente per il responsabile del trattamento, ove applicabile, a meno chequesto non sia vietato da un’autorità competente per l’applicazione della legge (compresi
gli obblighi previsti dal codice penale per tutelare il segreto d’indagine). Il cliente ha diritto
di sospendere il trasferimento dei dati e/o porre fine al contratto.

5.5.3

Laddove esiste un conflitto tra le leggi nazionali e gli obblighi stabiliti nelle NVI, l’incaricato
globale per la protezione dei dati (si veda Appendix III) deciderà in modo responsabile qualeazione intraprendere e consulterà le autorità di supervisione competenti in caso di dubbio.

18

5.5.4

Se Kumon ha ragione di credere che i requisiti legali ai quali potrebbe essere soggetto in un
paese terzo potrebbero avere un effetto avverso sostanziale sulle garanzie fornite dalle NVI,
comprese richieste giuridicamente vincolanti di comunicazione di dati personali da parte diun’autorità competente per l’applicazione della legge o un organo di sicurezza statale,
Kumon informerà tempestivamente il team globale di protezione dei dati (conformemente
alla procedura descritta nell’Appendix III), l’autorità di supervisione competente e il cliente:(a)della richiesta (compreso il tipo di dati richiesti);(b)dell’ente richiedente; e(c)delle basi giuridiche per la richiesta,

a meno che questo non sia vietato da un’autorità competente per l’applicazione della legge(compresi gli obblighi previsti dal codice penale per tutelare il segreto d’indagine). In tal caso,
Kumon farà il possibile per ottenere il diritto alla deroga da tale obbligo e comunicheràquante informazioni possibili all’autorità di supervisione competente il prima possibile,
dimostrando i propri sforzi in tal senso. Se, nonostante tutti gli sforzi compiuti, Kumon nonè in grado di avvisare l’autorità di supervisione competente, fornirà informazioni generali
sulle richieste che riceve una volta all’anno (compreso il numero di richieste dicomunicazione e il tipo di data richiesto e il richiedente, ove possibile).
5.5.5

In tutti i casi in cui Kumon è obbligato a fornire dati personali a un ente pubblico, questo non
riguarderà una quantità massiccia e sproporzionata di dati personali, e non sarà cosìindiscriminato da andare oltre quanto necessario in una società democratica.

Meccanismi di reclamo
5.6.1

Le persone i cui dati personali sono trattati da Kumon hanno il diritto di presentare reclami
a Kumon secondo il processo di gestione dei reclami descritto nell’Appendix II.

5.6.2

Laddove il cliente è fattivamente sparito, ha cessato di esistere legalmente o è diventato
insolvente, a meno che la totalità degli obblighi legali del cliente non venga presa in caricoda un’altra entità, Kumon gestirà i reclami degli interessati secondo i termini e le condizioni
specificati nell’Appendix II.

Cooperazione con le autorità
5.7.1

Cooperazione con l’autorità di supervisione: Kumon coopera con l’autorità di supervisione
competente e l’assiste nella gestione di indagini o investigazioni da parte di autorità di19

supervisione.
5.7.2

Ottemperanza delle decisioni dell’autorità di supervisione: Kumon accetta di essere
sottoposto a revisione da parte dell’autorità di supervisione competente e rispetterà leraccomandazioni fornite dall’autorità di supervisione competente su qualsiasi questione
riguardante l’interpretazione delle NVI. Per evitare qualsiasi ambiguità, nulla all’interno diquesto documento deve essere interpretato come una rinuncia ai diritti di Kumon di
impugnare una decisione adottata dall’autorità di supervisione competente.

Aggiornamento delle regole
5.8.1

Tutti gli aggiornamenti delle NVI saranno effettuati e segnalati alle autorità di supervisionee al cliente, in conformità con le procedure descritte nell’Appendix VI.

20

6. DIRITTI E RESPONSABILITÀ DEL TERZOBENEFICIARIO
Diritti del terzo beneficiario
6.1.1

Applicazione delle NVI: Gli interessati hanno il diritto di far valere, in quanto terzi beneficiari,
direttamente contro Kumon, le disposizioni delle NVI che sono dirette in modo specifico ai
responsabili del trattamento dei dati e conferiscono diritti sulle persone, in particolare la
Sezione 3.1.1, la Sezione 3.1.2, la Sezione 3.1.3, la Sezione 3.1.4, la Sezione 3.1.6, la Sezione
3.1.9, la Sezione 3.1.10, la Sezione 5.1, la Sezione 5.2, la Sezione 5.5, la Sezione 5.6 (e, perestensione, l’Appendix II), la Sezione 5.7, la Sezione 6.1 e la Sezione 6.2. Tali diritti coprono iricorsi giurisdizionali per qualsiasi violazione dei diritti del terzo beneficiario garantiti nel
presente documento, il diritto a ottenere risarcimenti e, ove appropriato, il diritto a ricevere
un compenso per eventuali danni (danni materiali e psicologici).

6.1.2

Azienda del gruppo Kumon responsabile: Il soggetto principale SEE sarà l’azienda delGruppo Kumon con sede nello SEE responsabile di rispondere ai diritti del terzo beneficiario.

6.1.3

Disposizioni in materia di giurisdizione: I terzi beneficiari hanno diritto di presentare unreclamo, in particolare, presso:(a)i tribunali competenti dello Stato membro la cui giurisdizione è stabilita in base alluogo in cui Kumon o il cliente hanno una sede, o dove il terzo beneficiario ha la sua
residenza principale, come scelto dal terzo beneficiario; e(b)

le autorità di supervisione competenti la cui giurisdizione è stabilita, in particolare,
in base al luogo in cui il terzo beneficiario ha la sua residenza principale o il suo luogo
di lavoro, o dove la presunta violazione delle NVI ha avuto luogo, come scelto dalterzo beneficiario.

6.1.4

Diritti degli interessati sui dati personali del cliente: Nel caso in cui un cliente sia scomparsodi fatto, abbia cessato di esistere giuridicamente o sia diventato insolvente, a meno chel’interezza degli obblighi legali del cliente non vengano assunti da un’altra parte, gliinteressati proprietari dei dati personali trattati da Kumon per conto del cliente potranno far
valere le NVI come terzi beneficiari contro Kumon nel ruolo di responsabile del trattamento,in particolare la Sezione 3.1.1, la Sezione 3.1.4, la Sezione 5.2, la Sezione 5.5, la Sezione 5.6(e, per estensione, l’Appendix II), la Sezione 5.7, la Sezione 6.1, la Sezione 6.2 e l’Appendix I.

21

Questo diritto copre i ricorsi giurisdizionali e il diritto di ricevere un compenso in base alle
Sezioni 6.1.1 e 6.1.3 come sopra.

Responsabilità e onere della prova
6.2.1

La responsabilità del soggetto principale SEE sui dati personali: Il soggetto principale SEE
concorda che:(a)il soggetto principale SEE si assume la responsabilità e accetta di prendere le misurenecessarie per rimediare alle azioni di altre aziende del gruppo Kumon istituite fuori
dallo SEE per le violazioni causate da un subincaricato esterno istituito al di fuoridello SEE e di pagare il compenso per tutti i danni materiali e immateriali risultanti
dalla violazione delle NVI da parte dell’azienda del Gruppo Kumon o di un
subincaricato esterno istituito al di fuori dello SEE. Il soggetto principale SEE
conferma di avere attivi sufficienti per pagare il compenso per i danni risultanti datale violazione delle NVI;(b)

Il soggetto principale SEE accetterà la giurisdizione dei tribunali o di altre autorità
competenti all’interno dell’UE e accetterà la responsabilità per le violazioni delle NVI
e, in particolare, per i diritti delle persone e i rimedi risultanti da esse, se la violazione
è stata causata dal soggetto principale SEE nello Stato membro in cui ha sede, invecedell’azienda del Gruppo Kumon con sede al di fuori dello SEE o del subincaricato
esterno o del responsabile del trattamento terzo beneficiario con sede al di fuoridello SEE; e(c)

Il soggetto principale SEE non potrà appoggiarsi a una violazione dai suoi obblighi daparte di un responsabile del trattamento terzo beneficiario per evitare le proprie
responsabilità.

6.2.2

Onere della prova per i dati personali SEE di terzi beneficiari:(a)

Il soggetto principale SEE ha l’onere della prova per dimostrare che l’azienda delGruppo Kumon con sede al di fuori dello SEE o un subincaricato esterno non sono
responsabili delle violazioni delle NVI che hanno portato alla richiesta di danni daparte delle persone.

(b)

Laddove il cliente è in grado di dimostrare di aver subito danni e può riportare i fattiche dimostrano la probabilità che i danni siano risultati dalla violazione delle NVI daparte di un’azienda del Gruppo Kumon o di un subincaricato esterno con sede al difuori dello SEE, è compito del soggetto principale SEE provare che tale azienda delGruppo Kumon o tale subincaricato esterno non è responsabile della violazione.

22

(c)

Se il soggetto principale SEE può dimostrare che l’azienda del Gruppo Kumon o il
subincaricato esterno non sono responsabili dell’evento che ha causato i danni, puòesonerarsi dalla responsabilità.

23

7. DISPOSIZIONI FINALI
Disposizioni finali
7.1.1

Le NVI sono in vigore dalla data in cui sono state approvate dall’autorità centrale disupervisione.

24

APPENDIX I

ELENCO DELLE AZIENDE DEL GRUPPOKUMONTutte le domande relative a queste NVI possono essere rivolte al seguente indirizzo e-mail:bcr@kumon.co.jp
RegioneNome azienda

GIAPPO

Kumon Institute of Education

NE

Co., Ltd.

Kumon Europe & Africa

Indirizzo/Sito web
Kumon Kyoiku-Kaikan 5-6-6 Nishinakajima Yodogawaku Osaka 532-8511 Giappone
https://www.kumon.ne.jp/
4th Floor West, Ealing Cross, 85 Uxbridge Road,
Ealing, London, W5 5TH Regno Unito

LimitedEUROPAE
AFRICA

Kumon Instituto de Educación

http://www.kumon.co.uk/
Paseo de la Castellana, 131, planta baja y primera
28046 Madrid, Spagnade España S. A.
Kumon Deutschland GmbH

http://www.kumon.es/
Wiesenstrasse 21. 40549 Düsseldorf Germania
http://www.kumon.de/25

APPENDIX IIACCESSO DELLE PERSONE E

PROCEDURE DI RECLAMO
1

Reclami a Kumon

1.1

Team responsabile: I principali reparti competenti incaricati di garantire agli interessati ilrispetto delle loro richieste di accesso e la gestione dei reclami sono: l’incaricato globale perla protezione dei dati, il team globale per la protezione dei dati e i manager locali per laprotezione dei dati (vedere Appendix III).

1.2

Modalità di contatto: Qualsiasi persona può presentare reclami riguardo la conformità con le
NVI contattando il manager locale per la protezione dei dati nel paese di residenza dellapersona (vedere Appendix III). Le informazioni di contatto del manager locale per la protezione
dei dati rispettivo sono disponibili nel sito web locale dell’azienda del Gruppo Kumon delpaese.

1.3

Conferma di ricezione: Il manager locale per la protezione dei dati confermerà
tempestivamente la ricezione del reclamo all’interessato e, senza indugio e in ogni caso entro
un mese dalla data di ricezione del reclamo, fornirà una risposta esaustiva.

1.4

Reclami per dati personali di altre giurisdizioni: Se il reclamo è relativo a dati personali chehanno origine al di fuori della giurisdizione del manager locale per la protezione dei dati, questi
segnalerà tempestivamente il reclamo al team globale per la protezione dei dati, che gestirà ireclami secondo le NVI. Ove necessario, il team globale di protezione dei dati potrebbe
collaborare con altri dipendenti delle aziende del Gruppo Kumon, altre aziende e unità disupporto coinvolte, se necessario per la gestione del reclamo. Il team globale per la protezione
dei dati confermerà la ricezione del reclamo all’interessato entro 10 giorni lavorativi e fornirà
una risposta esaustiva entro un mese dalla data di ricezione del reclamo.

1.5

Tempistiche di risposta: Se, come potrebbe avvenire, a causa della complessità del reclamo odel volume di richieste, non è possibile fornire una risposta esaustiva entro il periodo
prescritto nella Sezione 1.3 o 1.4, la persona che ha presentato il reclamo verrà informata diconseguenza, con una stima ragionevole (non eccedente i due mesi aggiuntivi) delle
tempistiche in cui la risposta verrà fornita.

26

1.6

Se il manager locale per la protezione dei dati o il team globale per la protezione dei dati
giungono alla conclusione che il reclamo è valido o fondato, verranno adottate le misureadeguate in base alla natura del reclamo per garantire la conformità con le NVI.

1.7

Se il manager locale per la protezione dei dati o il team globale per la protezione dei dati
rifiutano il reclamo in quanto lo ritengono invalido o infondato, l’interessato sarà informatodelle conclusioni e, nella risposta che il manager locale per la protezione dei dati o il teamglobale per la protezione dei dati forniscono all’interessato, verrà ricordato che il reclamo orichiesta di risarcimento possono essere rivolti all’incaricato globale per la protezione dei dati.

1.8

Contestare una risposta: Se il reclamo contesta la risposta del manager locale per laprotezione dei dati o del team globale per la protezione dei dati, o qualsiasi aspetto di una
conclusione e avvisa la controparte di ciò, la questione verrà inoltrata all’incaricato globale
per la protezione dei dati. L’incaricato globale per la protezione dei dati esaminerà il caso e
informerà la persona che ha effettuato il reclamo della sua decisione di sostenere leconclusioni della parte chiamata a rispondere o di giungere a un’altra conclusione, entro unmese (che potrebbe essere esteso di due mesi aggiuntivi in base alla complessità e al volumedelle richieste) dalla ricezione del reclamo dal rispettivo team/manager per la protezione dei
dati.

1.9

Se il reclamo è sostenuto, l’incaricato globale per la protezione dei dati organizzerà gli stepnecessari che dovranno essere adottati di conseguenza.

1.10 Se l’interessato ritiene che le azioni intraprese da Kumon sono insufficienti per rispondere al
suo reclamo, può rivolgere il suo reclamo o richiesta di risarcimento alle autorità disupervisione competenti o ai tribunali degli stati membri, senza pregiudizio al fatto che il
reclamo sia stato precedentemente presentato direttamente a Kumon secondo la Sezione
6.1.3 delle NVI. Nella risposta fornita all’interessato da parte del manager locale per laprotezione dei dati o del team globale per la protezione dei dati o dell’incaricato globale perla protezione dei dati, questo diritto verrà ricordato all’interessato.
1.11 Reclami riguardanti dati personali del cliente: Quando viene effettuato un reclamo al
manager locale per la protezione dei dati relativamente alla raccolta e all’utilizzo di dati
personali, laddove Kumon è responsabile del trattamento, Kumon comunicherà i dettagli delreclamo al cliente senza indugio. Se il cliente richiede a Kumon di svolgere accertamenti sul
reclamo, Kumon continuerà ad agire nella stretta osservanza dei termini del contratto con il

27cliente.

2

Diritti degli interessati: richieste di accesso dell’interessato

2.1

L’interessato può richiedere di esercitare il proprio “diritto di accesso” a Kumon, quando
Kumon è responsabile del trattamento, se l’interessato non è in misura di effettuare unreclamo contro il titolare del trattamento, ai sensi della Sezione 6.1.4 delle NVI.

2.2

La richiesta può essere presentata in forma scritta o orale, anche via e-mail, al manager locale
per la protezione dei dati nello SEE o al team globale per la protezione dei dati. Il manager
locale per la protezione dei dati che riceve la richiesta riporterà i dettagli della richiesta al teamglobale per la protezione dei dati.

2.3

Il team globale per la protezione dei dati, ricevendo la richiesta direttamente o attraverso ilmanager locale per la protezione dei dati, risponderà a una richiesta valida con informazioni
sulle azioni intraprese riguardo la richiesta, senza indugio, e in ogni caso entro un mese (operiodo più breve se stipulato dalla legge locale) dalla ricezione di tale richiesta. Le tempistichedi risposta possono essere estese di due mesi aggiuntivi in base alle condizioni stipulate nella
Sezione 1.5 dell’Allegato II delle NVI.

2.4

Kumon non è obbligato a onorare una richiesta di accesso dell’interessato laddove sussistono
ragionevoli dubbi sull’identità della persona che effettua la richiesta e laddove Kumon non ha
ricevutoleinformazioni

ragionevolmente

necessarie

perconfermare

l’identità

dell’interessato che effettua la richiesta e per localizzare le informazioni da lui richieste.
Kumon aderisce ai requisiti legali nazionali durante il processo di identificazione.
2.5

Il team globale per la protezione dei dati effettuerà una valutazione iniziale della richiesta per
decidere se tale richiesta è valida e se sono necessarie la conferma di identità o ulteriori
informazioni. Inoltre, coinvolgerà i dipendenti adeguati per aiutare a gestire l’accesso de, senecessario o adeguato.

2.6

Il team globale per la protezione dei dati contatterà poi l’interessato in forma scritta perconfermare la ricezione della richiesta di accesso dell’interessato, richiederà la confermadell’identità o ulteriori informazioni ove necessario, o rifiuterà la richiesta se una delleesenzioni all’accesso delle persone è applicabile.

28

2.7

Le richieste valide possono essere rifiutate solo se le richieste sono manifestamente infondateo eccessive.

3

Diritti degli interessati: altre richieste

3.1

L’interessato può richiedere di esercitare altri diritti riconosciutigli dal GDPR. Tale richiesta
verrà considerata e gestita adeguatamente dal manager locale per la protezione dei dati delpaese da cui provengono i dati personali, dopo aver consultato il team globale per laprotezione dei dati ove necessario. Le tempistiche di risposta stipulate nella Sezione 2.3
dell’Allegato II delle NVI sono applicabili mutatis mutandis.

3.2

Se viene ricevuta una richiesta che informa di un cambiamento dei dati personali di una
persona, laddove Kumon è titolare del trattamento per tali dati personali, tali dati devono
essere rettificati o aggiornati di conseguenza se Kumon ritiene che ci siano basi legittime perfare ciò.

3.3

Quando Kumon cancella, rende anonimi, aggiorna o corregge dati personali, su istruzione di
un cliente, Kumon informerà le altre aziende del Gruppo Kumon o i subincaricati al
trattamento dei dati a cui i dati personali sono stati rispettivamente comunicati, in modo che
possano aggiornare i loro registri.

29

APPENDIX III STRUTTURA DI OTTEMPERANZA
1

Incaricato globale per la protezione dei dati

1.1

L’incaricato globale per la protezione dei dati nominato da Kumon sarà responsabile dellasupervisione dei vertici aziendali e della responsabilità di garantire la conformità di Kumon alle
NVI, come anche alle leggi applicabili sulla protezione dei dati. Non avrà conflitti di interessi,
risponderà direttamente al consiglio di amministrazione di KIE/amministratore delegato e lasua nomina, ruolo e prestazione saranno svolti ai sensi del GDPR e delle Linee guida sugli
incaricati per la protezione dei dati del Comitato europeo per la protezione dei dati, e dei suoi
aggiornamenti. L’incaricato globale per la protezione dei dati non riceverà istruzioni
riguardanti l'esercizio dei suoi compiti e avrà il supporto dei vertici aziendali di KIE.

1.2

Le principali responsabilità dell’incaricato globale per la protezione dei dati includono:(a)Garantire che le NVI e altre regole relative alla protezione di dati, obiettivi e standard
siano definite e comunicate;(b)Fornire supporto e risorse chiare e visibili ai vertici aziendali per le NVI e gli obiettivi e
le iniziative di riservatezza in generale;(c)Valutare, approvare e assegnare la priorità ad azioni correttive in base ai requisiti di NVI,
piani strategici, obiettivi aziendali e requisiti normativi;(d)Valutare periodicamente iniziative per la riservatezza, risultati e risorse per garantirel’efficienza e il miglioramento continui;(e)Garantire che gli obiettivi aziendali di Kumon siano in linea con le NVI e le relative
strategie, policy e pratiche di protezione dei dati;(f)Coordinare la comunicazione delle NVI e i problemi di protezione dei dati durante larevisione;(g)

Gestire reclami che gli/le vengono affidati ai sensi delle Procedure di reclamo edell’Accesso degli interessati delle NVI; e,(h)Svolgere la funzione di punto di contatto per le autorità di supervisione (o delegare taleruolo ai manager locali per la protezione dei dati per questioni riguardanti solamente
una data regione).

30

2Team globale per la protezione dei dati

2.1

Il team globale per la protezione dei dati è composto da dipendenti nominati da KIE eottempera le responsabilità delineate qui di seguito, guidato dall’incaricato globale per laprotezione dei dati:(a)Fornire direttive per il trattamento di dati personali ai sensi delle NVI;(b)

Rispondere a richieste sulle NVI da parte di dipendenti, clienti e altre parti terze emonitorarne l’ottemperanza;(c)Fornire un input sulle revisioni delle NVI, coordinare le risposte alle conclusioni dellerevisioni e rispondere alle richieste delle autorità di supervisione;(d)

Monitorare i cambiamenti delle leggi globali sulla protezione dei dati e garantire che i
cambiamenti adeguati vengano apportati alle NVI e alle policy e pratiche relative di
Kumon;(e)Organizzare la formazione dei dipendenti sulle NVI e sulle leggi per la protezione dei
dati;

(f)

Promuovere la consapevolezza sulla protezione dei dati nei reparti e aree funzionali
attraverso comunicazioni e iniziative;(g)Valutare i processi e le procedure di protezione dei dati per garantire che siano
sostenibili ed efficaci;(h)Effettuare un resoconto periodico sullo stato delle NVI all’incaricato globale per laprotezione dei dati e altri organismi se necessario;(i)Garantire che qualsiasi questione relativa alla conformità con le NVI sia portata
all’attenzione del team globale per la protezione dei dati e dell’incaricato globale per laprotezione dei dati, ove necessario, e che le azioni correttive siano stabilite e attuate
entro un periodo di tempo ragionevole; e(j)Garantire che tutti i cambiamenti alle NVI siano effettuati ai sensi delle Procedure diaggiornamento (si veda Allegato VI).

3

Manager locale per la protezione dei dati

3.1

Ciascuna azienda del Gruppo Kumon ha un manager locale per la protezione dei dati,
responsabile della conformità con la protezione dei dati nelle attività quotidiane dell’azienda.

3.2

Laddove l’incaricato globale per la protezione dei dati lo ritiene necessario, il manager locale
per la protezione dei dati delle sedi regionali del Gruppo Kumon può coordinare le attività dei31manager locali per la protezione dei dati delle filiali delle sedi. Inoltre, se delegato
dall’incaricato globale per la protezione dei dati, il manager locale per la protezione dei datisarà il punto di contatto per le autorità di supervisione, esclusivamente per questioni locali
riguardanti la protezione dei dati.
3.3

Il manager locale per la protezione dei dati coopererà con l’incaricato globale per la protezione
dei dati e il team globale per la protezione dei dati, in questi termini:(a)Aggiornandoli sulle leggi applicabili sulla protezione dei dati personali;(b)Organizzando formazioni sulla protezione dei dati personali all’interno dell’azienda; e(c)Fornendo informazioni sullo stato della protezione dei dati personali all’internodell’azienda.

4

Procedura di comunicazione interna per i dipendenti

4.1

Kumon rende disponibile a tutti i dipendenti una linea telefonica per comunicare qualsiasi
richiesta riguardante problematiche sulla protezione dei dati personali delineate nelle NVI.

4.2

In alternativa, i dipendenti possono comunicare qualsiasi richiesta riguardante problematichesulla protezione dei dati personali delineate nelle NVI al manager locale per la protezione dei
dati, che la analizzerà e risponderà entro un mese dal ricevimento della richiesta. Se larichiesta riguarda questioni che non sono puramente locali, il manager locale per la protezione
dei dati consulterà il team globale per la protezione dei dati.

4.3

Se il dipendente contesta la risposta del manager locale per la protezione dei dati o del teamglobale per la protezione dei dati, o qualsiasi aspetto di una conclusione e avvisa lacontroparte di ciò, la questione verrà inoltrata all’incaricato globale per la protezione dei dati.
L’incaricato globale per la protezione dei dati esaminerà il caso e informerà il dipendente dellasua decisione di sostenere le conclusioni della parte chiamata a rispondere o di giungere aun’altra conclusione, entro un mese (che potrebbe essere esteso di due mesi aggiuntivi in basealla complessità e al volume delle richieste) dalla ricezione della richiesta dal rispettivo
team/manager per la protezione dei dati.

4.4

I reclami da parte dei dipendenti riguardanti la gestione dei propri dati da parte delle aziendedel Gruppo Kumon, ai sensi di queste NVI, possono essere presentati come spiegatonell’Appendix II delle NVI.

32

APPENDIX IV PROTOCOLLO DI FORMAZIONE
1Formazione dei dipendenti

1.1

Tutti i dipendenti coinvolti nelle attività di trasferimento, gestione e raccolta di dati personali
dovranno essere formati sulla protezione dei dati personali, compreso il contenuto delle NVI
e le leggi applicabili sulla protezione dei dati (i) come parte della loro formazione iniziale (ii) ealmeno una volta l’anno. Tale formazione verrà fornita sotto forma di e-learning, seminari inpresenza e altri formati ritenuti adeguati in base alle circostanze.

1.2

Il team globale per la protezione dei dati preparerà il materiale per le formazioni e lo fornirà
al manager locale per la protezione dei dati. Il manager locale per la protezione dei dati
guiderà la formazione dei dipendenti dell’azienda e conserverà un registro dei risultati dellaformazione, che fornirà al team globale per la protezione dei dati.

1.3

Lo scopo di queste formazioni è che i dipendenti siano formati sui principi base di protezione,
riservatezza e sicurezza dei dati personali e tutti i sistemi di informazioni che contengono dati
personali.

1.4

Kumon fornirà le seguenti opportunità aggiuntive di formazione se lo riterrà adeguato:-E-learning speciale per i dipendenti con ruoli manageriali;-

Formazioni progettate per reparti specifici (ad es. Risorse Umane, IT, uffici locali); e-

Opportunità di formazione globali, come e-learning sull’intranet globale e
conferenze infragruppo.

1.5

La formazione verterà sui seguenti argomenti:-

Il contenuto delle leggi locali sulla protezione dei dati personali;-

Il contenuto ed eventuali cambiamenti delle NVI; e-che impatto ha la legge sulla protezione dei dati personali su Kumon (incluse lemigliori pratiche per rispettare le NVI).

33

APPENDIX V

PROTOCOLLO DI REVISIONE

1

Principi della revisione

1.1

Kumon accetta di essere sottoposto all’obbligo di effettuare regolarmente revisioni dellaprotezione dei dati, svolte da revisori interni o esterni accreditati, o su richiesta specifica
dell’incaricato globale per la protezione dei dati.

2Struttura della revisione

2.1

L’incaricato globale per la protezione dei dati organizzerà l'attività del revisore interno oesterno accreditato (il “Team di revisione”) come ritiene necessario, per eseguire revisioni
indipendenti del rispetto di tutti gli aspetti delle NVI, compresi metodi per garantire che leazioni correttive vengano adottate e applicate.

2.2

Il team di revisione sarà responsabile di eseguire e/o supervisionare le revisioni indipendentidel rispetto delle NVI e garantirà che tali revisioni prendano in considerazione tutti gli aspettidelle NVI. Inoltre, il team di revisione è responsabile di garantire che qualsiasi problematica o
caso di non conformità siano portati all’attenzione del team globale per la protezione dei dati
e dei rispettivi manager locali per la protezione dei dati.

2.3

Kumon accetterà, su richiesta del cliente, di sottoporre le sue strutture di trattamento dei dati
a revisione delle attività di trattamento relative a tale cliente. In tal caso, la revisione verrà
eseguita dal cliente stesso o da revisori indipendenti in possesso delle qualifiche necessarie,selezionati dal cliente e vincolati da obbligo di riservatezza, come stipulato nel contratto con
il cliente. Ove applicabile, Kumon garantirà che anche i subincaricati al trattamento rispettino
le richieste di revisione di cui sopra.

3

Processo di revisione

3.1

Le revisioni coinvolgeranno tutti gli aspetti delle NVI e identificheranno modalità di azioni
correttive che potrebbero essere necessarie come risultato della revisione.

3.2

Le revisioni dell’ottemperanza delle NVI si svolgono:(a)almeno una volta l’anno in conformità con le procedure di revisione di Kumon;

34

(b)

su richiesta dell’incaricato globale per la protezione dei dati e/o del consiglio di
amministrazione di KIE;

(c)come ritenuto necessario da parte del team globale per la protezione dei dati (adesempio, in risposta a un evento specifico); e/o(d)laddove Kumon agisce come responsabile del trattamento, come richiesto dai terminidel contratto con il cliente.

3.3

Il team di revisione svolgerà un’analisi di rischio per determinare l’ambito della revisione, checonsidererà le problematiche pertinenti come: rischio nuovo o specifico per l’attività
dell’azienda sottoposta a revisione; cambiamenti ai sistemi o alle procedure di sicurezza;l’oggetto di revisioni o reclami precedenti; natura e luogo dei dati personali, come anche il
metodo di trattamento.

3.4

La revisione avverrà tramite ispezione in loco, colloqui con il personale interessato,questionari, revisione di documenti o altri metodi ritenuti adeguati dal team di revisione.

3.5

I risultati di tutte le revisioni verranno comunicati all’incaricato globale per la protezione dei
dati e al consiglio di amministrazione di KIE, e verranno anche resi disponibili al cliente
interessato.

3.6

Una copia dei risultati delle revisioni sarà fornita alle autorità di supervisione su richiesta.

3.7

Tutte le aziende del Gruppo Kumon accettano di essere sottoposte a revisione da parte delle
autorità di supervisione e rispetteranno le raccomandazioni delle autorità di supervisione sulle
problematiche relative a tali regole.

35

APPENDIX VI PROCEDURA DI AGGIORNAMENTO
1

Cambiamenti alle NVI

1.1

Kumon comunicherà tutti i cambiamenti alle NVI senza indugio alle autorità di supervisione
competenti tramite le autorità di supervisione e a tutte le aziende del Gruppo Kumon.

1.2

Inoltre, Kumon informerà il cliente dei cambiamenti apportati alle NVI. Se i cambiamenti alle
NVI influenzano le condizioni secondo le quali Kumon tratta i dati personali in qualità diresponsabile del trattamento, Kumon informerà il cliente dei cambiamenti proposti con
anticipo, in modo tempestivo, cosicché il cliente abbia la possibilità di obiettare ilcambiamento o di porre fine al contratto con Kumon prima che le modifiche vengano adottate.

2

Cambiamenti alle NVI che non richiedono autorizzazione

2.1

Gli aggiornamenti delle NVI o dell’elenco di aziende del Gruppo Kumon possono essere
effettuati senza obbligo di richiedere un’autorizzazione, se:(a)L’incaricato globale per la protezione dei dati mantiene un elenco aggiornato delleaziende del Gruppo Kumon vincolato dalle NVI e dei subincaricati al trattamento
nominati da Kumon per il trattamento di dati personali. Tale elenco è accessibile aiclienti, agli interessati e alle autorità di supervisione su presentazione di una valida
richiesta.

(b)L’incaricato globale per la protezione dei dati tiene un registro dei cambiamenti alle NVI,
comprendente la data in cui i cambiamenti prendono effetto e i dettagli dei
cambiamenti effettuati, e fornisce le informazioni necessarie, su richiesta, agliinteressati e alle autorità di supervisione e in modo regolare al cliente.

(c)

Non vengono eseguiti trasferimenti a nuovi membri fino a quando questi nuovi membri
non sono effettivamente vincolati dalle NVI e possono ottemperarle.

(d)Tutti i cambiamenti alle NVI o all’elenco di aziende del Gruppo Kumon devono essere
segnalati una volta all’anno alle autorità di supervisione che forniscono le autorizzazioni,
con una breve spiegazione delle motivazioni che giustificano l’aggiornamento.

(e)Tutti i cambiamenti alle NVI che possono influenzare il livello di protezione offerto dalle
NVI o influenzare significativamente le NVI vengono tempestivamente comunicati alle
autorità di supervisione competenti, tramite l’autorità di supervisione competente.

36