Regras Vinculativas para
Empresas (BCR)
Política do Responsável
pelo TratamentoÍNDICE
1.

Introdução ............................................................................................................................. 32.

Palavras-chave....................................................................................................................... 83.

Compromissos como Responsável pelo Tratamento dos Dados ........................................ 12
Princípios Básicos ......................................................................................................... 12
Fundamento Jurídico para o Tratamento de Dados Pessoais...................................... 12
Transparência e Divulgação de Informações ............................................................... 13
Direitos dos Indivíduos................................................................................................. 15
Dados Pessoais de Crianças ......................................................................................... 17
Categorias Especiais de Dados Pessoais ...................................................................... 17

4.

Transferências de Dados Pessoais....................................................................................... 18
Transferências de Dados Pessoais ............................................................................... 18

5.

Compromissos Práticos ....................................................................................................... 19
Segurança e Confidencialidade .................................................................................... 19
Responsabilização ........................................................................................................ 20
Programa de Formação ................................................................................................ 21
Programa de Auditorias ............................................................................................... 22
Relação entre o Direito Nacional e as BCR .................................................................. 22
Mecanismos de Reclamações ...................................................................................... 23
Cooperação com as Autoridades ................................................................................. 23
Atualizações das Regras ............................................................................................... 23

6.

Direitos e Responsabilidade de Beneficiário Terceiro ........................................................ 24
Direitos de Beneficiário Terceiro ................................................................................. 24
Responsabilidade e Ónus da Prova .............................................................................. 24

7.

Disposições finais ................................................................................................................ 26

1

Disposições Finais ........................................................................................................ 26
Lista das Empresas do Grupo Kumon ............................................................... 27
Procedimentos de Reclamação e Acesso dos Titulares .................................... 28
1

Reclamação junto da Kumon ........................................................................................... 28

2

Direitos dos Indivíduos: pedidos de Acesso de Titulares................................................. 29

3

Direitos dos Indivíduos: outros Pedidos .......................................................................... 30
Estrutura de Conformidade .............................................................................. 32

1

Encarregado da Proteção de Dados Global ..................................................................... 32

2

Equipa de Proteção de Dados Global .............................................................................. 33

3

Gestor Local da Proteção de Dados ................................................................................. 33

4

Procedimento Interno de Comunicação para Funcionários ............................................ 34
Protocolo de Formação .................................................................................... 36

1

Formação de Funcionários............................................................................................... 36
Protocolo de Auditoria ..................................................................................... 37

1

Princípios de Auditoria..................................................................................................... 37

2

Estrutura de Auditoria ..................................................................................................... 37

3

Processo de Auditoria ...................................................................................................... 37
Procedimento de Atualização........................................................................... 39

1

Alterações às BCR ............................................................................................................ 39

2

Alterações às BCR que não necessitam de Autorização .................................................. 39

2

1. INTRODUÇÃO
Quem somos nós?
A Kumon é um líder mundial no fornecimento de educação individualizada, dirigido pelo Kumon
Institute of Education Co., Ltd. com sede no Japão. A Kumon fornece programas de aprendizagem
a estudantes de várias idades baseados no seu “Método Kumon” desenvolvido de forma
independente. Estes programas de aprendizagem são fornecidos através da rede global da Kumonde centros de estudos Kumon detidos pela empresa e franchisados e parceiros licenciados.

O que são as BCR?
Para cumprir a missão de ajudar o maior número possível de indivíduos a descobrirem o seu
potencial e a desenvolverem as suas competências ao máximo através do Método Kumon, porvezes a Kumon irá partilhar Dados Pessoais entre Empresas do Grupo Kumon. É importante paranós o tratamento dos Dados Pessoais com as proteções adequadas. A Kumon adota as Regras
Vinculativas para Empresas para estabelecer os princípios da Kumon para a proteção dos Dados
Pessoais e as regras que irá seguir se partilhar Dados Pessoais com Empresas do Grupo Kumon
fora do EEE.
As Regras Vinculativas para Empresas são compostas por dois conjuntos de políticas: As Regras
Vinculativas para Empresas – Política do Responsável pelo Tratamento e as Regras Vinculativas
para Empresas – Política do Subcontratante. Este documento intitula-se Regras Vinculativas para
Empresas – Política do Responsável pelo Tratamento e será referido no presente simplesmentecomo “BCR”.
Estas BCR descrevem de que forma as Empresas do Grupo Kumon irão cumprir com as leis sobre
proteção de dados quando atuarem na qualidade de Responsáveis pelo Tratamento.
As presentes BCR serão publicadas nos sites relevantes da Kumon.

3

O que é abrangido pelas BCR?
As presentes BCR abrangem a recolha, transferência e quaisquer outros tratamentos por partedas Empresas do Grupo Kumon (consulte a lista no Anexo I) dos Dados Pessoais oriundos do EEE.
Isto poderá incluir o seguinte:
Instrutores de Franchisings
Nome, morada, nome do centro de estudos, informações deCategorias de dados

contacto, informações profissionais e educativas, experiência ehistórico do instrutor
Transferências para
fora do EEEPara o Kumon Institute of Education Co., Ltd. com sede no
Japão



Para a Kumon Europe & Africa Limited, com sede no Reino
Unido



Fornecer apoio aos instrutores/pessoal dos centros paragarantir a qualidade do serviço

Fornecer apoio às Empresas do Grupo Kumon locais na gestão eexpansão de centros de estudos Kumon no país/região

Fornecer formação para funcionários e instrutoresDesenvolver e melhorar continuamente os materiais deaprendizagem e métodos de instrução da Kumon, a nível local e

Finalidades

global

Fornecer manutenção e suporte informático dos servidores esistemas dedicados usados pelas Empresas do Grupo Kumon
para gerirem a respetiva região



Gerar informações estatísticas para análise local, regional e
global

Conformidade

com

as

regraseregulamentações

governamentais

Estudantes que estudam (ou têm interesse em estudar) no programa Kumon
Categorias de dados

Nome, ID de estudante, nome do centro de estudos, morada, idade,nível escolar, progresso do estudo, duração do estudoTransferências para
fora do EEEPara o Kumon Institute of Education Co., Ltd. com sede no
Japão



Para a Kumon Europe & Africa Limited, com sede no Reino
Unido

4



Fornecer serviços relevantes ao estudante no âmbito do
Método Kumon



Fornecer apoio aos instrutores/pessoal dos centros paragarantir a qualidade do serviço

Fornecer apoio às Empresas do Grupo Kumon locais na gestão eexpansão de centros de estudos Kumon no país/região

Fornecer formação para funcionários e instrutoresDesenvolver e melhorar continuamente os materiais deFinalidades

aprendizagem e métodos de instrução da Kumon, a nível local e
global

Fornecer manutenção e suporte informático dos servidores esistemas dedicados usados pelas Empresas do Grupo Kumon
para gerirem a respetiva região



Gerar informações estatísticas para análise local, regional e
global

Conformidade

com

as

regraseregulamentações

governamentais

Pais de estudantes
Categorias de dados

Nome, nome do estudante, relação com o estudante, morada,
informações de contacto
Transferências para
fora do EEEPara o Kumon Institute of Education Co., Ltd. com sede no
Japão



Para a Kumon Europe & Africa Limited, com sede no Reino
Unido



Fornecer serviços relevantes ao estudante no âmbito do
Método Kumon

Contactar o pai, incluindo para responder a consultas ou
procurar feedback ou informações sobre o progresso do

Finalidades

estudanteFornecer manutenção e suporte informático dos servidores esistemas dedicados usados pelas Empresas do Grupo Kumon
para gerirem a respetiva região



Conformidadecomgovernamentais

5

asregraseregulamentações

Funcionários
Nome, número de documento de identificação, data de nascimento,
endereço de e-mail, empresa, departamento/equipa, função, áreaCategorias de dados

de trabalho, descrição da função, fotografia de funcionário, anos deserviço, tipo de emprego, avaliação, compensação (salário, bónus,ajudas de custo, regalias adicionais), se aplicável, data de rescisão emotivoTransferências para
fora do EEEPara o Kumon Institute of Education Co., Ltd. com sede no
Japão



Para a Kumon Europe & Africa Limited, com sede no Reino
Unido



Gestão de pessoal e de trabalho das empresas do grupo,
incluindo análise e desenvolvimento de regimes, sistemas,
regras e estratégias de recursos humanos de grupo

Finalidades

Identificar, comunicar e cooperar com funcionários das
Empresas do Grupo Kumon no EEE em vários projetos

Conformidade

com

as

regraseregulamentações

governamentais
As BCR aplicam-se a todos os tipos de Tratamentos, sejam eles automáticos ou manuais, e dequalquer natureza.

Quem tem de seguir as BCR?
As Empresas do Grupo Kumon listadas no Appendix I e os respetivos Funcionários têm de seguir
as BCR. Cada uma destas Empresas do Grupo Kumon está vinculada às BCR através de um acordo
entre empresas e está obrigada a tomar as medidas necessárias para garantir que a empresa e osseus Funcionários respeitam estas BCR.
A lista das Empresas do Grupo Kumon no Appendix I poderá ser atualizada ocasionalmente, em
conformidade com o procedimento de atualização das BCR descrito no Appendix VI.

Tenho uma dúvida sobre as BCR. A quem posso colocá-la?
Para perguntas ou dúvidas sobre as BCR e os seus direitos relacionados com os dados recolhidos e
tratados por um membro do Grupo Kumon, os Indivíduos podem contactar a Equipa de Proteção
de Dados Global através do seguinte endereço de e-mail: bcr@kumon.co.jp

6

7

2. PALAVRAS-CHAVE
Para a finalidade das BCR, as palavras-chave abaixo terão os seguintes significados:(a) “Criança” ou“Crianças”

Qualquer Indivíduo com idade inferior a 16 anos (ou qualquer outra
idade com o devido consentimento de um Tutor requerido ao
abrigo das Leis relevantes do EEE a fim de processar os Dados
Pessoais do Indivíduo).

(b) “Responsável pelo

A pessoa singular ou coletiva, autoridade pública, agência ou outro

Tratamento dosórgão que, isoladamente ou juntamente com outros, determina as

Dados”

finalidades e meios do Tratamento de Dados Pessoais, ou que foi
nomeado como tal ao abrigo da legislação aplicável.

(c) “Subcontratante”

A pessoa singular ou coletiva, autoridade pública, agência ou outroórgão que trate os Dados Pessoais em nome do Responsável pelo
Tratamento dos Dados.

(d) “EEE”

O Espaço Económico Europeu. Sem prejuízo das disposições
anteriores, durante o período de transição em que o Reino Unido
está vinculado às leis da UE, o termo “EEE” deverá ser interpretadocomo incluindo o Reino Unido.

(e) “Leis do EEE”

As leis da União Europeia e do Estado-Membro a partir do qual os
Dados Pessoais foram originalmente recolhidos ou processados no
EEE.

(f) “Entidade Principal
no EEE”

A Kumon Europe & Africa, Ltd., uma Empresa do Grupo Kumon com
sede e atividade no Reino Unido. Sem prejuízo das disposições
anteriores, no final do período de transição em que o Reino Unido
está vinculado pelas leis da UE, o Kumon Instituto de Educación deEspaña S. A., uma Empresa do Grupo Kumon com sede e atividade
em Espanha, passará a ser a Entidade Principal no EEE.

(g) "Funcionário”

Qualquer indivíduo no seio de uma organização das Empresas do
Grupo Kumon que atue nas operações da empresa sob adireção e supervisão direta ou indireta da Empresa do
Grupo Kumon, que, além dos funcionários com uma

8relação de trabalho (funcionários a tempo inteiro,
funcionários contratados, funcionários a tempo parcial,etc.), deverá incluir responsáveis, diretores, auditores
empresariais e pessoal temporário, etc. Para evitar
quaisquer dúvidas, “funcionário” não inclui
subcontratados independentes, subcontratados ou
instrutores/pessoal dos Centros Kumon.
(h) “Instrutor deFranchisings”

Qualquer instrutor que tenha sido autorizado a instruir estudantes
com base no Método Kumon por ter celebrado um acordo defranchising com a Kumon.

(i) “RGPD”

O Regulamento (UE) 2016/679 do Parlamento Europeu e doConselho de 27 de abril de 2016 sobre a proteção das pessoas
singulares em matéria do tratamento de dados pessoais e do livre
movimento de tais dados e que revoga a Diretiva 95/46/CE(Regulamento Geral sobre Proteção de Dados), com quaisquer
alterações ocasionais.

(j) “Tutor”

Um pai ou pessoa com responsabilidade parental sobre um dado
Indivíduo.

(k) “Indivíduo”

O titular dos dados pessoais em questão que foram transferidos de
uma Empresa do Grupo Kumon no EEE para uma Empresa do Grupo
Kumon fora do EEE.

(l) “KIE”

O Kumon Institute of Education Co., Ltd.

(m) “Kumon”

A Empresa do Grupo Kumon relevante ou todas as Empresas do
Grupo Kumon em conjunto, dependendo do contexto.

(n) “Empresa do Grupo

Qualquer uma das entidades listadas no Appendix I, que será

Kumon”

atualizado ocasionalmente em conformidade com o Appendix VI.

(o) “Autoridade deA Agência Espanhola de Proteção de Dados (Agencia Española deSupervisão Principal”

Protección de Datos [AEPD]) ou outra Autoridade de Supervisão
devidamente nomeada como autoridade de supervisão principal
para as BCR ao abrigo da legislação aplicável.

9

(p) “Estado-Membro”

Qualquer país no EEE.

(q) “Dados Pessoais”

Quaisquer informações oriundas do EEE relacionadas com uma
pessoa singular que possa ser identificada, direta ou indiretamente,
em particular pela referência a um identificador como um nome,um número de identificação, dados de localização, um identificador
online ou um ou mais fatores específicos da identidade física,
fisiológica, genética, mental, económica, cultural ou social dessa
pessoa singular.

(r) “Tratamento”(de Dados Pessoais)

Qualquer operação ou conjunto de operações efetuadas sobre os
Dados Pessoais ou conjuntos de Dados Pessoais, realizadas ou não
através de meios automáticos, como a recolha, registo,organização, estruturação, armazenamento, adaptação ou
alteração, recuperação, consulta, utilização, divulgação portransmissão, disseminação ou de qualquer outra forma a
disponibilização, alinhamento ou combinação, restrição, eliminação
ou destruição.

(s) “País de Tratamento”

O país onde são tratados os Dados Pessoais em questão.

(t) “Categorias especiais

Os Dados Pessoais que revelem a origem racial ou étnica, opiniões

de Dados Pessoais”

políticas, crenças religiosas ou filosóficas, filiação sindical ou dados
genéricos, dados biométricos ou dados relacionados com a saúde
ou a vida sexual ou orientação sexual de uma pessoa singular.

(u) “Autoridade deSupervisão”

Uma autoridade pública independente estabelecida por um
Estado-Membro e que é responsável por monitorizar a aplicação do
RGPD.

(v) “Terceiro”

Uma pessoa singular ou coletiva, autoridade pública, agência ouórgão que não seja o Indivíduo, o Responsável pelo Tratamento dos
Dados ou a Kumon e que atue na qualidade de Subcontratante.
Para evitar qualquer dúvida, Terceiro não incluirá outras Empresas
do Grupo Kumon.

(w) “Beneficiário
Terceiro”

O Indivíduo que goza de direitos de beneficiário terceiro, de acordo
com o descrito na Secção 6.1.1.

10

11

3. COMPROMISSOS COMO RESPONSÁVEL PELO
TRATAMENTO DOS DADOS
Princípios Básicos
3.1.1

Legalidade, Equidade e Transparência: os Dados Pessoais serão tratados de forma legal,
justa e transparente relativamente ao Indivíduo (consulte a Secção 3.2 e a Secção 3.3).

3.1.2

Limitação das Finalidades: os Dados Pessoais serão recolhidos para as finalidades
específicas, explícitas e legítimas e não serão tratados de uma forma que seja incompatível
com essas finalidades.

3.1.3

Minimização dos Dados: a Kumon irá garantir que os Dados Pessoais são adequados,
relevantes e limitados ao necessário para as finalidades para que foram recolhidos,
transferidos e tratados.

3.1.4

Qualidade dos Dados: a Kumon irá garantir que os Dados Pessoais são corretos e, quando
necessário, mantidos atualizados. Para esta finalidade, os Indivíduos são encorajados a
informar a Kumon quando houver alguma alteração nos seus Dados Pessoais. A Kumon irá
tomar todas as medidas razoáveis para garantir que os dados incorretos, relacionados com
as finalidades para que são tratados, são eliminados ou retificados sem demora.

3.1.5

Conservação dos Dados Pessoais: a Kumon tomará medidas para garantir que os Dados
Pessoais não são conservados num formato que permita a identificação dos Indivíduos
durante um período superior ao necessário para as finalidades para que são recolhidos eque são tratados e eliminados com segurança.

Fundamento Jurídico para o Tratamento de Dados Pessoais
3.2.1

A Kumon apenas irá tratar os Dados Pessoais se um ou mais dos seguintes fundamentos
forem cumpridos:(a)

O Indivíduo deu inequivocamente o seu consentimento para uma ou mais das
finalidades específicas;(b)

O Tratamento é necessário para a execução de um contrato em que o Indivíduo é
uma parte ou a fim de tomar medidas mediante pedido do Indivíduo antes de12celebrar um contrato;(c)

O Tratamento é necessário para a conformidade com a obrigação legal a que estásujeito;(d)

O Tratamento é necessário para proteger os interesses vitais do Indivíduo;(e)

O Tratamento é necessário para a execução de uma tarefa realizada no interessepúblico ou no exercício de uma autoridade oficial com poderes para isso; ou(f)O Tratamento é necessário para as finalidades dos interesses legítimos visados
pela mesma ou pelo Subcontratante ou Subcontratantes Terceiros a quem os
dados são divulgados, exceto quando a tais interesses se sobreponham os
interesses ou direitos e liberdades fundamentais do Indivíduo.

Transparência e Divulgação de Informações
3.3.1

Divulgação de Informações: serão fornecidas as seguintes informações ao Indivíduo
quando os Dados Pessoais forem recolhidos junto do Indivíduo ou se os Dados Pessoais
não tiverem sido obtidos diretamente do Indivíduo:(a)

A identidade da Kumon e do seu representante, caso exista, e os respetivos dadosde contacto;(b)

Quando aplicável, os dados de contacto do Encarregado da Proteção de Dados
Global, da Equipa de Proteção de Dados Global e/ou do Gestor Local da Proteção
de Dados;(c)

As finalidades do Tratamento a que se destinam os dados, bem como ofundamento jurídico para o Tratamento;(d)Quando o Tratamento tiver por base interesses legítimos, os interesses legítimos
visados pelo Responsável pelo Tratamento dos Dados ou pelo Terceiro;(e)

Os destinatários ou as categorias de destinatários dos Dados Pessoais, caso
existam;(f)

A existência do direito de acesso e o direito a retificar, eliminar Dados ou restringiro Tratamento dos Dados Pessoais que lhe digam respeito ou a opor-se ao
Tratamento, bem como do direito à portabilidade dos dados;(g)

Quando aplicável, o facto de que a Kumon pretende transferir Dados Pessoais paraum país terceiro ou uma organização internacional, uma referência às BCR ou aoutras salvaguardas apropriadas ou adequadas para realizar essa transferência eonde foram disponibilizadas;(h)Quando aplicável, os princípios básicos gerais do tratamento de dados descritos

13nesta Secção 3, na Secção 4 e na Secção 5.1, bem como as disposições relativas à
responsabilidade pelas violações das BCR e os direitos do Beneficiário Terceiro,conforme disposto nas Secções 5.5, 5.6, 5.7, 6.1 e 6.2, bem como no Appendix II,
juntamente com os meios para o exercício desses direitos;(i)

O período durante o qual os Dados Pessoais serão armazenados ou, quando tal
não for possível, os critérios usados para determinar esse período;(j)

Quando o Tratamento tiver por base o consentimento ou consentimento explícito,
a existência do direito de retirar o consentimento em qualquer altura, sem afetar alegalidade do Tratamento baseado no consentimento antes da retirada do mesmo;(k)O direito de apresentar uma reclamação junto da Autoridade de Supervisão;(l)

Se o fornecimento dos Dados Pessoais é um requisito legal ou contratual ou um
requisito necessário para celebrar um contrato, bem como se o Indivíduo estáobrigado a fornecer os Dados Pessoais e as possíveis consequências do não
fornecimento de tais dados;(m)

A existência de uma tomada de decisão automatizada, incluindo a criação de perfis,
referida no Artigo 22(1) e (4) do RGPD e, pelo menos nestes casos, informações
significativas sobre a lógica envolvida, bem como o significado e as consequências
previstas desse Tratamento para o Indivíduo; e(n)Se os Dados Pessoais não tiverem sido obtidos diretamente junto do Indivíduo,também serão fornecidas ao Indivíduo informações sobre as categorias e as fontes
dos Dados Pessoais afetados.

3.3.2

Prazo da Divulgação de Informações: as informações descritas na Secção 3.3.1 serão
fornecidas ao Indivíduo:(a)

No momento em que os Dados Pessoais forem obtidos junto do Indivíduo;(b)

Se não for possível fazê-lo, no momento em que os Dados Pessoais forem obtidos
porque os Dados Pessoais não foram obtidos diretamente junto do Indivíduo,assim que for possível após esse momento, mas pelo menos no prazo de um mês,considerando as circunstâncias específicas em que os Dados Pessoais são tratados;(c)

Se os Dados Pessoais forem usados para comunicar com o Indivíduo e os Dados
Pessoais não tiverem sido obtidos diretamente junto do Indivíduo, o mais tardar
aquando da primeira comunicação com esse Indivíduo; ou(d)Se estiver prevista a divulgação a outro destinatário e os Dados Pessoais não
tiverem sido obtidos diretamente junto do Indivíduo, o mais tardar quando os
Dados Pessoais forem divulgados pela primeira vez.

14

3.3.3

Motivos para a Não Divulgação: sem prejuízo das Secções 3.3.1 e 3.3.2, a Kumon não seráobrigada a divulgar as informações ao Indivíduo descritas na Secção 3.3.1, se:(a)

O Indivíduo já tiver as informações;(b)

Os dados não tiverem sido obtidos diretamente junto do Indivíduo e a divulgação
for expressamente regulada pelas leis do EEE a que o Responsável pelo
Tratamento dos Dados está sujeito e que fornece medidas apropriadas para
proteger o interesse legítimo do Indivíduo;(c)

Os dados não tiverem sido obtidos diretamente junto do Indivíduo e ofornecimento de informações se revelar impossível ou implicar um esforço
desproporcional em linha com o Artigo 14(5)(b) do RGPD;(d)

Os dados não tiverem sido obtidos diretamente junto do Indivíduo e os Dados
Pessoais tiverem de permanecer confidenciais devido a uma obrigação de sigilo
profissional regulamentado pelas leis do EEE; ou(e)

As leis da União Europeia ou dos Estados-Membros a que o Responsável pelo
Tratamento dos Dados ou o Subcontratante estão sujeitos restringirem os direitos
dos Indivíduos em matéria de transparência, de acordo com o Artigo 23 do RGPD,
desde que as restrições ao abrigo de tais leis respeitem a essência dos direitos eliberdades fundamentais e sejam medidas necessárias e proporcionais numa
sociedade democrática para salvaguardar os interesses previstos no Artigo 23 de
RGPD, tal como a proteção do titular dos dados ou os direitos e liberdades deterceiros.

3.3.4

Divulgação das BCR: as BCR serão disponibilizadas a qualquer Indivíduo mediante pedido.
Os Indivíduos têm o direito a um fácil acesso às BCR. A Kumon compromete-se a publicar
as BCR no site acessível em https://www.kumongroup.com/eng/bcr/, a fim de garantir que
as BCR são facilmente acessíveis ao Indivíduo.

3.3.5

Divulgação de Transferência/Tratamento de Dados Pessoais: os Indivíduos serão
informados da transferência e outro Tratamento dos respetivos Dados Pessoais de acordo
com o procedimento descrito no Appendix II.

Direitos dos Indivíduos
3.4.1

Cada Indivíduo tem o direito, de acordo com o procedimento descrito no Appendix II:(a)de obter confirmação sobre se os Dados Pessoais relativos ao Indivíduo são
tratados, acesso às informações estipuladas na Secção 3.3.1 e uma cópia de todos15

os Dados Pessoais referentes a si que são recolhidos, tratados ou transferidos por
um membro do Grupo Kumon, sem constrangimentos, em intervalos razoáveis,
sem demora excessiva e sem custos, ou sujeito a uma taxa razoável no caso de opedido ser manifestamente infundado ou excessivo (por exemplo: se o Indivíduo
pedir várias cópias);(b)de obter a retificação dos Dados Pessoais, nomeadamente porque estão
incompletos ou incorretos;(c)de obter a eliminação de Dados Pessoais que lhe digam respeito sem demora
injustificada, no caso de os Dados Pessoais já não serem necessários para as
finalidades para que foram recolhidos ou tratados, de já não haver um
fundamento jurídico para o Tratamento ou por quaisquer outros motivos
dispostos no RGPD;(d)de obter a restrição do Tratamento até certo ponto, se o Indivíduo demonstrar
que tem um interesse legítimo nessa restrição;(e)de se opor, em qualquer altura e com motivos legítimos convincentes relacionados
com a respetiva situação particular, à recolha, Tratamento ou transferência dos
seus Dados Pessoais, a menos que a recolha, Tratamento ou transferência sejam
exigidos por lei (nos casos em que a oposição é justificada, a recolha, Tratamento
ou transferência têm de terminar);(f)de se opor, mediante pedido e sem qualquer custo, ao Tratamento dos seus Dados
Pessoais para a finalidade de marketing direto; e(g)de não ser sujeito a uma decisão baseada exclusivamente num tratamento
automático, incluindo a criação de perfis, que produza efeitos legais ou que
afetem significativamente o Indivíduo, a menos que tal seja permitido ao abrigo do
RGPD.

3.4.2

Confirmação da Identidade: antes de dar resposta aos pedidos previstos na Secção 3.4.1,
caso a Kumon tenha dúvidas razoáveis sobre a identidade da pessoa que efetua o pedido, a
Kumon poderá solicitar informações de que necessite razoavelmente para confirmar aidentidade da pessoa autora do pedido e localizar as informações relevantes para o pedido
em questão. A Kumon irá cumprir os requisitos legais nacionais na execução do processo
de identificação.

3.4.3

O procedimento seguido para o exercício dos direitos dos Indivíduos, bem como as
cronologias específicas de resposta são apresentados no Anexo II.

16

Dados Pessoais de Crianças
3.5.1

Consentimento do Tutor: a menos que a Kumon tenha um fundamento jurídico legítimo
ao abrigo do RGPD, a Kumon não irá recolher, usar ou transferir Dados Pessoais de
Crianças sem o consentimento do respetivo Tutor.

3.5.2

Tratamento de Dados de Crianças com Base em Interesses Legítimos: será dada especial
atenção aos interesses e direitos das Crianças antes do Tratamento dos seus Dados
Pessoais, se o Tratamento for realizado com base nos motivos apresentados na Secção
3.2.1 (f).

Categorias Especiais de Dados Pessoais
3.6.1

A menos que a Kumon tenha outro fundamento jurídico legítimo ao abrigo do RGPD, a
Kumon irá tratar as Categorias Especiais de Dados Pessoais apenas se tal for
absolutamente necessário e no caso de a Kumon ter obtido o consentimento expresso, que
deverá ser genuíno e concedido de forma voluntária.

3.6.2

O acesso a qualquer Categoria Especial de Dados Pessoais estará estritamente limitado ao
pessoal apropriado.

3.6.3

A Kumon irá garantir que as Categorias Especiais de Dados Pessoais são tratadas com
medidas de segurança otimizadas, conforme necessário.

17

4. TRANSFERÊNCIAS DE DADOS PESSOAIS
Transferências de Dados Pessoais
4.1.1

Transferências de Dados Pessoais para Tratamento de Dados: a Kumon irá restringir astransferências e transferências ulteriores de Dados Pessoais para um Subcontratante (querseja um Terceiro ou outra Empresa do Grupo Kumon), a menos que:(a)tenha celebrado acordos escritos com o Subcontratante que cumpram os
requisitos estabelecidos em Secção 5.1.4 e quaisquer requisitos estipulados no
RGPD antes de a transferência ocorrer; e(b)tenha de qualquer outra forma tomado as medidas necessárias para garantir aproteção adequada ao abrigo do RGPD para os Dados Pessoais afetados pelatransferência.

4.1.2

Transferências e Transferências Ulteriores: a Kumon irá restringir as transferências e astransferências ulteriores dos Dados Pessoais para qualquer entidade fora do EEE (quer sejaum Terceiro ou outra Empresa do Grupo Kumon), a menos que a transferência seja feita
em conformidade com o RGPD relativamente à transferência de Dados Pessoais e
especificamente:(a)

se a transferência for para um país terceiro ou uma organização internacional quea autoridade relevante tenha determinado que garante um nível adequado deproteção;(b)

se a transferência estiver sujeita a salvaguardas adequadas reconhecidas no RGPD
que garantam os direitos aplicáveis e vias de recurso eficazes concedidos aos
Indivíduos;(c)se a transferência satisfizer uma condição especificada como uma derrogação
permitida ao abrigo do RGPD; ou,(d)se a transferência for para outra Empresa do Grupo Kumon fora do EEE, atransferência irá ocorrer em conformidade com estas BCR.

18

5. COMPROMISSOS PRÁTICOS
Segurança e Confidencialidade
5.1.1

Medidas Técnicas e Organizativas: a Kumon irá garantir que os Dados Pessoais são
processados de uma forma que assegure a segurança adequada dos Dados Pessoais,
incluindo a proteção contra o Tratamento não autorizado ou ilegal e contra a perda,
destruição ou danos acidentais, em particular quando o Tratamento envolver atransmissão de dados através de uma rede, e contra todas as outras formas ilegais deTratamento. A Kumon garante isto através da implementação das medidas técnicas eorganizativas adequadas que serão atualizadas ocasionalmente.

5.1.2

Nível de Segurança: as medidas técnicas e organizativas a serem implementadas deverão
garantir um nível de segurança adequado ao risco, tendo em conta o estado de arte (talcomo esta expressão é interpretada no Artigo 32 do RGPD) e o custo da sua
implementação e a natureza, âmbito, contexto e finalidades do Tratamento, bem como orisco de probabilidade e gravidade variável para os direitos e as liberdades das pessoas
singulares.

5.1.3

Conformidade dos Funcionários: os Funcionários apenas podem tratar Dados Pessoais em
conformidade com as BCR. Quaisquer Funcionários que violem as BCR poderão ser alvo deação disciplinar (até e incluindo o despedimento).

5.1.4

Acordos Escritos com Subcontratantes: a Kumon irá garantir que qualquer Subcontratante(quer seja um Terceiro ou outra Empresa do Grupo Kumon) que trate os Dados Pessoais
em nome da Kumon estará vinculado por um acordo escrito (conforme descrito na Secção
4.1), em conformidade com e incluindo todos os elementos exigidos no Artigo 28.3 do
RGPD, dado que apenas irá atuar de acordo com as instruções da Kumon e será
responsável pela implementação das medidas de segurança e confidencialidade adequadas,
bem como pela notificação de uma violação dos Dados Pessoais à Kumon sem demora
injustificada.

5.1.5

Violação dos Dados Pessoais: no caso de haver uma violação de segurança ou
confidencialidade que afete os Dados Pessoais dos Indivíduos:(a)

A Kumon irá comunicar a violação à Autoridade de Supervisão competente sem

19demora injustificada, tendo em conta os requisitos do RGPD sobre os Dados
Pessoais afetados, a menos que seja improvável que tal violação resulte em riscos
para os direitos e liberdades de pessoas singulares. A notificação à Autoridade deSupervisão competente deverá ser feita no prazo de 72 horas após ser detetada aviolação dos Dados Pessoais. Caso a notificação à Autoridade de Supervisão nãoseja feita no prazo de 72 horas, a mesma deverá ser acompanhada pelos motivos
do atraso.
(b)

No caso de ser provável que tal violação resulte num risco elevado para os direitos
e liberdades dos Indivíduos, sem demora injustificada, a Kumon irá comunicar essa
violação aos Indivíduos em questão.

(c)

Além disso, a Kumon irá notificar quaisquer violações dos Dados Pessoais à Equipade Proteção de Dados Global e à Entidade Principal no EEE sem demora
injustificada.

(d)

As violações dos Dados Pessoais serão documentadas (incluindo os factos daviolação, os efeitos e as medidas corretivas tomadas). Essa documentação serádisponibilizada pela Autoridade de Supervisão competente mediante pedido.

Responsabilização
5.2.1

A Kumon será responsável por, e terá de demonstrar a conformidade com, estas BCR.

5.2.2

Manutenção de Registos: a Kumon irá garantir que são mantidos registos claros de todas
as atividades de Tratamento de dados, incluindo:(a)o nome, os dados de contacto do Responsável pelo Tratamento dos Dados e, seaplicável, do Responsável pelo Tratamento dos Dados conjunto, do representante
do Responsável pelo Tratamento dos Dados e do Encarregado da proteção dedados;(b)categorias de Indivíduos e os Dados Pessoais processados por ou em nome dos
Responsáveis pelo Tratamento dos Dados;(c)

as finalidades para que estão a ser tratados os Dados Pessoais;(d)categorias dos destinatários a quem os Dados Pessoais foram ou serão divulgados(incluindo destinatários em países terceiros ou organizações internacionais);(e)descrições das medidas de segurança técnicas e organizativas implementadas;(f)quando possível, os limites de tempo previstos para a eliminação das diferentes
categorias de dados;

20

(g)

quando aplicável, as transferências de Dados Pessoais para um país terceiro ou
uma organização internacional e documentação das salvaguardas empregues em
quaisquer transferências para países que a Autoridade de Supervisão do país deorigem da transferência não tenha decidido que garante um nível de proteção
adequado; e

(h)
5.2.3

quaisquer outras informações que devam ser registadas de acordo com o RGPD.

A Kumon deverá manter o registo das atividades de Tratamento por escrito, incluindo em
formato eletrónico, e quando exigido, deverá disponibilizá-lo à Autoridade de Supervisão.

5.2.4

Avaliação de Impacto relativa à Proteção de Dados: a Kumon deverá determinar anecessidade de executar avaliações de impacto relativas à proteção de dados para as
operações de Tratamento que provavelmente resultarão num risco elevado para os
direitos e a liberdade de pessoas singulares. Se os resultados mostrarem que o Tratamento
resultaria num risco elevado na ausência de medidas tomadas pela Kumon para mitigar os
riscos, a Kumon deverá consultar a Autoridade de Supervisão antes do Tratamento.

5.2.5

Proteção de dados desde a conceção e por defeito: a Kumon deverá implementar as
medidas técnicas e organizativas adequadas concebidas para implementar os princípios deproteção de dados de forma eficaz e integrar as salvaguardas necessárias no Tratamento, afim de facilitar o cumprimento com as presentes BCR.

5.2.6

A Kumon irá nomear um Encarregado da Proteção de Dados Global, com o apoio da gestão
de nível superior, para supervisionar e garantir a conformidade com as BCR na Kumon, deacordo com o protocolo descrito no Appendix III.

Programa de Formação
5.3.1

A Kumon irá fornecer formação adequada sobre as BCR aos seus Funcionários, em
conformidade com o protocolo descrito no Appendix IV.

5.3.2

Nenhum Funcionário terá permissão para (i) transferir Dados Pessoais para um país fora do
EEE ou (ii) tratar Dados Pessoais fora do EEE, antes de receber a formação adequada para
tal.

21

Programa de Auditorias
5.4.1

A Kumon irá realizar auditorias à sua conformidade com as BCR, em conformidade com o
protocolo descrito no Appendix V.

Relação entre o Direito Nacional e as BCR
5.5.1

Quando as leis de qualquer país em que os Dados Pessoais são tratados exigirem um nível
de proteção superior para os Dados Pessoais, essas prevalecerão sobre as BCR.

5.5.2

Se a Kumon tiver motivos para acreditar que a legislação nacional existente ou futura do
País de Tratamento poderá impedi-la de cumprir as suas obrigações ao abrigo das BCR, ou
que poderá ter um efeito substancial nas garantias fornecidas pelas BCR, a Kumon deverá
informar prontamente a Equipa de Proteção de Dados Global (consulte o Appendix III), a
Entidade Principal no EEE e a Autoridade de Supervisão competente, quando aplicável, amenos que isso seja proibido por uma autoridade de aplicação da lei (incluindo obrigações
ao abrigo do direito penal para preservar a confidencialidade de uma investigação legal).

5.5.3

Quando ocorrer um conflito entre a legislação nacional e os compromissos das BCR, o
Encarregado da Proteção de Dados (consulte o Appendix III) irá tomar uma decisão
responsável sobre a ação a tomar e irá consultar as Autoridades de Supervisão
competentes em caso de dúvida.

5.5.4

Se a Kumon tiver motivos para acreditar que os requisitos legais a que pode estar sujeita
num país terceiro tenham provavelmente um efeito adverso substancial nas garantias
fornecidas pelas BCR, incluindo pedidos juridicamente vinculativos para divulgar Dados
Pessoais por uma autoridade de aplicação da lei ou órgão de segurança estatal, a Kumon
deverá informar atempadamente a Equipa de Proteção de Dados Global (de acordo com oprocedimento descrito no Appendix III) e a Autoridade de Supervisão competente sobre:(a)o pedido (incluindo o tipo de dados pedidos);(b)o órgão que efetuou o pedido; e(c)o fundamento jurídico do pedido,a menos que isso seja proibido por uma autoridade de aplicação da lei (incluindo
obrigações ao abrigo do direito penal para preservar a confidencialidade de uma
investigação legal). Nesse caso, a Kumon envidará os seus melhores esforços para obter odireito de renunciar a essa obrigação e comunicar o máximo de informações possíveis à

22Autoridade de Supervisão competente o quanto antes e para demonstrar os seus esforços
nesse sentido. Se, apesar dos melhores esforços da Kumon, não estiver numa posição denotificar a Autoridade de Supervisão competente, irá fornecer informações gerais sobre os
pedidos que receber uma vez por ano (incluindo o número de pedidos de divulgação, otipo de dados pedidos e o autor do pedido, sempre que possível).
5.5.5

Em qualquer caso, quando a Kumon for obrigada a fornecer Dados Pessoais a uma
autoridade pública, isso não afetará uma quantidade massiva ou desproporcional de Dados
Pessoais e não será indiscriminado de uma forma que vá além do necessário numa
sociedade democrática.

Mecanismos de Reclamações
5.6.1

Os Indivíduos cujos Dados Pessoais são tratados pela Kumon têm o direito de apresentar
reclamações à Kumon através do processo de tratamento de reclamações descrito no
Appendix II.

Cooperação com as Autoridades
5.7.1

Cooperação com Autoridade de Supervisão: a Kumon deverá cooperar com a Autoridade
de Supervisão competente e promover a ajuda mútua para tratar de uma investigação ou
consulta das Autoridades de Supervisão.

5.7.2

Conformidade com a Decisão da Autoridade de Supervisão: a Kumon aceita ser objeto deauditoria por parte da Autoridade de Supervisão competente e irá cumprir os conselhos
fornecidos pela Autoridade de Supervisão competente sobre quaisquer matérias
relacionadas com a interpretação das BCR. Para evitar qualquer dúvida, nada no presente
documento será interpretado como uma renúncia aos direitos da Kumon de recorrer deuma decisão da Autoridade de Supervisão competente.

Atualizações das Regras
5.8.1

Quaisquer atualizações às BCR serão efetuadas e comunicadas às Autoridades deSupervisão, em conformidade com os procedimentos descritos no Appendix VI.

23

6. DIREITOS E RESPONSABILIDADE DE BENEFICIÁRIO
TERCEIRO
Direitos de Beneficiário Terceiro
6.1.1

Aplicação das BCR: os Indivíduos deverão ter direitos, enquanto Beneficiários Terceiros, arecursos judiciais e a obterem compensações e, quando apropriado, ressarcimento por
quaisquer danos materiais ou não materiais no caso de violação das disposições das BCR
por parte de uma Empresa do Grupo Kumon, em particular no caso da violação das
disposições que conferem direitos aos Indivíduos (Secção 3, Secção 4, Secção 5.1, Secção
5.2, Secção 5.5, Secção 5.6, Secção 5.7 e Secção 6.2, bem como o Appendix II e a presenteSecção 6.1). Esse direito abrange os recursos judiciais, bem como o direito de receber oressarcimento.

6.1.2

Empresa do Grupo Kumon Responsável: a Entidade Principal no EEE será a Empresa do
Grupo Kumon com sede no EEE responsável por dar resposta aos direitos do Beneficiário
Terceiro.

6.1.3

Disposições em Matéria de Competência: os Beneficiários Terceiros terão o direito deapresentar uma reclamação, em particular:(a)junto dos tribunais competentes do Estado-Membro cuja jurisdição será definida
com base no local onde o Responsável pelo Tratamento dos Dados tenha um
estabelecimento ou onde o Beneficiário Terceiro tenha a sua residência habitual,de acordo com a escolha do Beneficiário Terceiro; e(b)junto das Autoridades de Supervisão competentes cuja jurisdição será definida,em particular, com base no local onde o Beneficiário Terceiro tem a sua residência
habitual ou onde o respetivo local de trabalho se encontra ou onde a alegada
violação das BCR ocorreu, de acordo com a escolha do Beneficiário Terceiro.

Responsabilidade e Ónus da Prova
6.2.1

A Responsabilidade da Entidade Principal no EEE relativamente aos Dados Pessoais: A
Entidade Principal no EEE concorda que:(a)a Entidade Principal no EEE será responsável por, e aceita tomar as medidas

24necessárias no sentido de, reparar os atos de outras Empresas do Grupo Kumoncom sede fora do EEE e de pagar o ressarcimento por quaisquer danos materiais
ou não materiais decorrentes da violação das BCR por parte da Empresa do Grupo
Kumon com sede fora do EEE. A Entidade Principal no EEE confirma que tem ativos
suficientes para pagar o ressarcimento pelos danos decorrentes de tal violação das
BCR;
(b)

A Entidade Principal no EEE deverá aceitar a jurisdição dos tribunais ou de outras
autoridades competentes da UE e deverá aceitar a responsabilidade pelas
violações das BCR e, em particular, pelos direitos e recursos dos Indivíduos
decorrentes das mesmas, como se a violação tivesse sido causada pela Entidade
Principal no EEE no Estado-Membro em que está sediada e não pela Empresa do
Grupo Kumon com sede fora do EEE; e(c)

A Entidade Principal no EEE não terá direito de depender de uma violação porparte de um Subcontratante Terceiro das respetivas obrigações para evitar as suaspróprias responsabilidades.

6.2.2Ónus da Prova para Dados Pessoais de Beneficiários Terceiros no EEE:(a)

A Entidade Principal no EEE tem o ónus da prova de demonstrar que a Empresa do
Grupo Kumon com sede fora do EEE não é responsável por quaisquer violações das
BCR que levaram os Indivíduos a reclamarem uma indemnização.

(b)

Se a Entidade Principal no EEE conseguir provar que a Empresa do Grupo Kumonnão é responsável pelo evento que deu origem aos danos, poderá eximir-se dequaisquer responsabilidades.

25

7. DISPOSIÇÕES FINAIS
Disposições Finais
7.1.1

As BCR entrarão em vigor na data em que forem aprovadas pela Autoridade de Supervisão.

26

LISTA DAS EMPRESAS DO GRUPO
KUMON
Todas as questões relacionadas com estas BCR podem ser colocadas através do endereço dee-mail: bcr@kumon.co.jp
RegiãoJAPÃONome da empresa

Morada/Site
Kumon Kyoiku-Kaikan 5-6-6 Nishinakajima

O Kumon Institute of

Yodogawa-ku Osaka 532-8511 Japão

Education Co., Ltd.

Kumon Europe & Africa

https://www.kumon.ne.jp/
4th Floor West, Ealing Cross, 85 Uxbridge Road,
Ealing, London, W5 5TH Reino Unido

LimitedEUROPAEÁFRICA

Kumon Instituto de Educación

http://www.kumon.co.uk/
Paseo de la Castellana, 131, planta baja y primera
28046 Madrid, ESPANHA

de España S. A.
Kumon Deutschland GmbH

http://www.kumon.es/
Wiesenstrasse 21. 40549 Düsseldorf ALEMANHA
http://www.kumon.de/27

PROCEDIMENTOS DE RECLAMAÇÃO E
ACESSO DOS TITULARES
1

Reclamação junto da Kumon

1.1

Equipa Responsável: o Encarregado da Proteção de Dados Global, a Equipa de Proteção de
Dados Global e os Gestores Locais da Proteção de Dados são os principais departamentos
competentes responsáveis por garantir aos Indivíduos o cumprimento dos respetivos
pedidos de acesso e do tratamento das respetivas reclamações (consulte o Appendix III).

1.2

Janela de Contacto: qualquer Indivíduo pode apresentar reclamações relativamente àconformidade com as BCR, contactando o Gestor Local da Proteção de Dados no país onde o
Indivíduo reside (consulte o Appendix III). Os dados de contacto do Gestor Local da Proteção
de Dados são disponibilizados no site local da Empresa do Grupo Kumon num dado país.

1.3

Confirmação de Receção: o Gestor Local da Proteção de Dados irá confirmar prontamente a
receção da reclamação do Indivíduo e irá responder à mesma sem demora injustificada e,em qualquer caso, no prazo de um mês a contar da data da receção da reclamação.

1.4

Reclamações sobre Dados Pessoais de Jurisdições Diferentes: se a reclamação estiver
relacionada com Dados Pessoais oriundos de fora da jurisdição do Gestor Local da Proteção
de Dados, este irá comunicar prontamente a reclamação do Indivíduo à Equipa de Proteção
de Dados Global, que irá tratar de todas as reclamações no âmbito das BCR. Se necessário, a
Equipa de Proteção de Dados Global poderá cooperar com outros Funcionários de Empresas
do Grupo Kumon, unidades de negócio e suporte relevantes, de acordo com o adequadopara tratar da reclamação. A Equipa de Proteção de Dados Global irá acusar a receção deuma reclamação ao Indivíduo no prazo de dez dias úteis e dar-lhe-á uma resposta
substantiva no prazo de um mês a contar da data de receção da reclamação.

1.5

Intervalo de Tempo de Resposta: se, devido à complexidade da reclamação ou ao número
de pedidos, não for possível dar uma resposta substantiva no prazo prescrito na Secção 1.3
ou 1.4, conforme o caso, a reclamação será deliberada adequadamente com uma estimativa
razoável (que não excederá dois meses adicionais) para a cronologia em que será dada uma
resposta.

1.6

Se o Gestor Local da Proteção de Dados ou a Equipa de Proteção de Dados Global chegaremà conclusão que a reclamação tem mérito ou fundamento, irão tomar medidas de acordo
com a natureza da reclamação, de forma a garantir a conformidade com as BCR.

1.7

Se o Gestor Local da Proteção de Dados ou a Equipa de Proteção de Dados Global rejeitarema reclamação por considerarem que a mesma não tem mérito ou fundamento, o Indivíduo
será informado desta decisão e será relembrado na resposta dada ao Indivíduo pelo Gestor
Local da Proteção de Dados ou pela Equipa de Proteção de Dados Global que poderá sempre
endereçar as respetivas reclamações ao Encarregado da Proteção de Dados.

1.8

Contestar uma Resposta: se o autor da reclamação contestar a resposta do Gestor Local daProteção de Dados ou da Equipa de Proteção de Dados Global ou qualquer aspeto de uma
decisão e notificar a parte respondente desse facto, a questão será remetida para oEncarregado da Proteção de Dados. O Encarregado da Proteção de Dados irá rever o caso e
informar o autor da reclamação da respetiva resolução de manter a decisão da parterespondente ou de substitui-la por uma nova decisão, no prazo de um mês (que poderá ser
alargado por mais dois meses, dependendo da complexidade e do número de pedidos) a
contar da data de receção da reclamação do Gestor/Equipa de Proteção de Dados relevante.

1.9

Se a reclamação for mantida, o Encarregado da Proteção de Dados Global irá tratar dos
passos necessários a dar como consequência.

1.10 Se o Indivíduo considerar que qualquer ação tomada pela Kumon será insuficiente para
resolver a sua reclamação, o Indivíduo poderá sempre endereçar as suas reclamações às
Autoridades de Supervisão ou tribunais competentes dos Estados-Membros, sem prejuízo deter ou não apresentado primeiro a sua reclamação diretamente à Kumon em conformidade
com a Secção 6.1.3 das BCR. O Indivíduo será relembrado desse direito na resposta dada ao
Indivíduo pelo Gestor Local da Proteção de Dados ou pela Equipa de Proteção de Dados
Global ou pelo Encarregado da Proteção de Dados.

2

Direitos dos Indivíduos: pedidos de Acesso de Titulares

2.1

O Indivíduo poderá pedir para exercer o seu “direito de acesso” à Kumon quando a Kumon
for um Responsável pelo Tratamento dos Dados.

2.2

O pedido poderá ser feito por escrito ou oralmente, o que poderá incluir o uso de e-mail,29

junto do Gestor Local da Proteção de Dados no EEE ou junto da Equipa de Proteção de
Dados Global. O Gestor Local da Proteção de Dados que receber o pedido irá comunicar os
dados do pedido à Equipa de Proteção de Dados Global.
2.3

A Equipa de Proteção de Dados Global, quer seja diretamente ou através do Gestor Local daProteção de Dados que receber o pedido, irá responder a um pedido válido com
informações sobre a ação tomada relativamente ao pedido, sem demora injustificada, e, em
qualquer caso, no prazo de um mês (ou qualquer período mais curto, conforme estipulado
ao abrigo da legislação local) a contar da receção desse pedido. O intervalo de tempo deresposta poderá ser alargado por dois meses adicionais, sujeito às condições estipuladas naSecção 1.5 do Anexo II das BCR.

2.4

A Kumon não é obrigada a cumprir o pedido de acesso de um titular se a Kumon tiver
dúvidas razoáveis sobre a identidade da pessoa que realiza o pedido e não receber as
informações razoáveis que solicitar a fim de confirmar a identidade do Indivíduo que
efetuou o pedido e de localizar os dados que o Indivíduo procura. A Kumon irá cumprir os
requisitos legais nacionais na execução do processo de identificação.

2.5

A Equipa de Proteção de Dados Global irá fazer uma avaliação inicial do pedido para decidir
se é um pedido válido ou se é necessário efetuar uma confirmação de identidade ou dequalquer outra informação. Também irá envolver os Funcionários apropriados para apoiar
no tratamento do acesso do titular, conforme necessário ou adequado.

2.6

A Equipa de Proteção de Dados Global irá depois contactar o Indivíduo por escrito para
confirmar a receção do pedido de acesso do titular, procurar a confirmação da identidade ou
de outras informações, se necessário, ou rejeitar o pedido caso se aplique uma das isenções
do acesso de titulares.

2.7

Os pedidos válidos poderão ser recusados se forem manifestamente infundados ou
excessivos.

3

Direitos dos Indivíduos: outros Pedidos

3.1

O Indivíduo poderá pedir para exercer outros dos seus direitos descritos na Secção 3.4 das
BCR. Tal pedido terá de ser considerado e tratado como apropriado pelo Gestor Local daProteção de Dados do país de origem dos Dados Pessoais, mediante consulta da Equipa de30

Proteção de Dados Global, conforme necessário. Os intervalos de tempo de resposta
estipulados na Secção 2.3 do Anexo II das BCR deverão ser aplicados mutatis mutandis.
3.2

Se for recebido um pedido a informar de uma alteração nos Dados Pessoais de um Indivíduo
em que a Kumon seja o Responsável pelo Tratamento desses Dados Pessoais, tal informação
terá de ser retificada ou atualizada em conformidade, se a Kumon considerar que existe um
fundamente legítimo para fazê-lo.

3.3

Quando a Kumon eliminar, anonimizar, atualizar ou corrigir Dados Pessoais na qualidade de
Responsável pelo Tratamento dos Dados, a Kumon irá notificar do mesmo as outras
Empresas do Grupo Kumon ou qualquer subcontratante ulterior a quem os Dados Pessoais
tenham sido divulgados, para que também possam atualizar os respetivos registos.

3.4

Se o pedido feito à Kumon na qualidade de Responsável pelo Tratamento dos Dados visar otérmino do tratamento dos Dados Pessoais do Indivíduo porque os direitos e liberdades do
Indivíduo são prejudicados em virtude de tal tratamento por parte da Kumon ou com basenoutros motivos legítimos e convincentes, a questão será encaminhada para a Equipa deProteção de Dados Global para ser avaliada. Quando o tratamento efetuado pela Kumon for
exigido por lei, o pedido não será considerado válido.

31

ESTRUTURA DE CONFORMIDADE
1

Encarregado da Proteção de Dados Global

1.1

O Encarregado da Proteção de Dados Global nomeado pela Kumon será responsável pela
supervisão de nível executivo e pela responsabilidade de garantir a conformidade da Kumoncom as BCR, bem como a legislação sobre proteção de dados aplicável. Não estará sujeito aqualquer conflito de interesses e irá responder diretamente ao Conselho deAdministração/CEO do KIE e a respetiva nomeação, função e desempenho serão
transmitidos em conformidade com o RGPD e as Diretrizes do Comité Europeu para a
Proteção de Dados sobre Encarregados da Proteção de Dados, com as atualizações que lhe
forem introduzidas. O Encarregado da Proteção de Dados Global não irá receber quaisquer
instruções sobre o exercício das respetivas tarefas e terá o apoio dos executivos do KIE.

1.2

As principais responsabilidades do Encarregado da Proteção de Dados Global incluem:(a)Garantir que as BCR e outras regras relacionadas com a proteção de dados, os
objetivos e as normas são definidos e comunicados;(b)

Fornecer apoio e recursos de gestão sénior claros e visíveis sobre as BCR e os
objetivos e iniciativas de privacidade em geral;(c)

Avaliar, aprovar e dar prioridade às medidas corretivas em conformidade com osrequisitos das BCR, planos estratégicos, objetivos empresarias e requisitos
regulamentares;(d)Periodicamente, avaliar as iniciativas de privacidade, metas alcançadas e recursos
para garantir uma eficácia e melhoria contínuas;(e)Garantir que os objetivos empresariais da Kumon estão em linha com as BCR e com as
práticas, políticas e estratégias de proteção de dados relacionadas;(f)Coordenar a comunicação sobre as BCR e os problemas de proteção de dados durante
a auditoria;(g)

Tratar de quaisquer reclamações que lhe sejam encaminhadas de acordo com os
Procedimentos de Reclamação e de Acesso dos Titulares das BCR; e(h)Atuar como ponto de contacto com as Autoridades de Supervisão (ou delegar essafunção para os Gestores Locais da Proteção de Dados relativamente a matérias
exclusivas de uma dada região).

32

2Equipa de Proteção de Dados Global

2.1

A Equipa de Proteção de Dados Global é composta por pessoal nomeado pelo KIE e
desempenha as seguintes responsabilidades sob a direção do Encarregado da Proteção de
Dados Global:(a)Fornecer orientações sobre o Tratamento dos Dados Pessoais em conformidade com
as BCR;(b)

Responder a consultas e questões de conformidade relacionadas com as BCR porparte dos Funcionários, clientes e outros Terceiros;(c)

Fornecer contributos sobre as auditorias das BCR, coordenar respostas às conclusões
de auditorias e responder a consultas das Autoridades de Supervisão;(d)Monitorizar alterações às leis sobre a proteção de dados global e garantir que asalterações apropriadas são feitas às BCR e às políticas e práticas da Kumon
relacionadas com essa matéria;(e)

Providenciar formação para os Funcionários sobre as BCR e as leis sobre proteção dedados;(f)

Promover a consciencialização sobre a proteção de dados em todas as unidades denegócio e áreas funcionais através de comunicações e iniciativas;(g)

Avaliar os processos e procedimentos de proteção de dados para garantir que sãosustentáveis e eficazes;(h)Comunicar periodicamente o estatuto das BCR ao Encarregado da Proteção de Dados
Global e a outras organizações, conforme adequado;(i)

Garantir que quaisquer questões relacionadas com a conformidade com as BCR são
apresentadas à Equipa de Proteção de Dados Global e ao Encarregado da Proteção de
Dados Global, conforme apropriado, e que quaisquer medidas corretivas são
determinadas e implementadas num prazo razoável; e(j)Garantir que quaisquer alterações às BCR são efetuadas em conformidade com os
Procedimentos Atualizados (consulte o Anexo VI).

3

Gestor Local da Proteção de Dados

3.1

Cada Empresa do Grupo Kumon terá um Gestor Local da Proteção de Dados, que será
responsável pela conformidade diária com a proteção de dados por parte da empresa.

3.2

Quando o Encarregado da Proteção de Dados Global o considerar apropriado, o Gestor Local

33

da Proteção de Dados da sede regional do Grupo Kumon poderá coordenar as atividades dos
Gestores Locais da Proteção de Dados para as subsidiárias das sedes. Além disso, quando tal
tarefa lhe for delegada pelo Encarregado da Proteção de Dados Global, o Gestor Local daProteção de Dados será o ponto de contacto com as Autoridades de Supervisão, para otratamento exclusivo de questões relacionadas com dados pessoais locais.
3.3

O Gestor Local da Proteção de Dados deverá cooperar com o Encarregado da Proteção de
Dados Global e a Equipa de Proteção de Dados Global, através de meios como:(a)Atualizações sobre a legislação aplicável à proteção de dados pessoais;(b)Fornecimento de formação sobre proteção de dados pessoais na empresa; e(c)Fornecimento de informações sobre o estatuto da proteção de dados pessoais na
empresa.

4

Procedimento Interno de Comunicação para Funcionários

4.1

A Kumon disponibiliza a todos os Funcionários uma linha direta para a comunicação dequalquer consulta relacionada com as questões de proteção de dados pessoais descritas nas
BCR.

4.2

Em alternativa, um Funcionário poderá comunicar qualquer consulta relacionada com asquestões de proteção de dados pessoais descritas nas BCR ao Gestor Local da Proteção de
Dados, que irá analisar e responder às mesmas no prazo de um mês a contar da receção daconsulta. Se a consulta estiver relacionada com questões que não sejam puramente locais, oGestor Local da Proteção de Dados irá consultar a Equipa de Proteção de Dados Global.

4.3

Se o Funcionário contestar a resposta do Gestor Local da Proteção de Dados ou da Equipa deProteção de Dados Global ou qualquer aspeto de uma decisão e notificar a parterespondente desse facto, a questão será remetida para o Encarregado da Proteção de Dados.
O Encarregado da Proteção de Dados irá rever o caso e informar o Funcionário da respetiva
resolução de manter a decisão da parte respondente ou de substitui-la por uma nova
decisão, no prazo de um mês (que poderá ser alargado por mais dois meses, dependendo dacomplexidade e do número de pedidos) a contar da data de receção da consulta do
Gestor/Equipa de Proteção de Dados relevante.

4.4

As reclamações dos Funcionários relacionadas com o tratamento dos respetivos dados por
Empresas do Grupo Kumon ao abrigo das presentes BCR poderão ser apresentadas

34conforme o descrito no Appendix II das BCR.

35

PROTOCOLO DE FORMAÇÃO
1

Formação de Funcionários

1.1

Todos os Funcionários envolvidos na transferência, tratamento e recolha de Dados Pessoaisterão de fazer formação em proteção de dados pessoais, incluindo um resumo das BCR e asleis de proteção de dados aplicáveis (i) como parte do respetivo programa de formação
inicial e (ii) pelo menos uma vez por ano. Tal formação será fornecida em formato dee-learning, em seminários presenciais ou de qualquer outra forma considerada adequadanas circunstâncias em questão.

1.2

A Equipa de Proteção de Dados Global irá preparar os materiais de formação e fornecê-losao Gestor Local da Proteção de Dados. O Gestor Local da Proteção de Dados irá então
realizar a formação para os Funcionários da empresa e registar e comunicar o resultado daformação à Equipa de Proteção de Dados Global.

1.3

O objetivo destas formações é que os Funcionários conheçam devidamente os princípios
básicos de proteção, confidencialidade e segurança dos Dados Pessoais e todos os sistemas
de informação que contenham Dados Pessoais.

1.4

A Kumon irá fornecer as oportunidades de formação adicionais que considerar adequadas,
como por exemplo:-

E-learning especial concebido para Funcionários com funções de gestão;-Formação concebida para departamentos específicos (por exemplo: RH, TI,
gabinetes locais); e-

Oportunidades de formação global, como e-learning através de conferências
intragrupo e intranet global.

1.5

A formação fornecida incidirá nos seguintes temas:-

A substância da legislação local sobre proteção de dados pessoais;-

A substância das BCR e qualquer alteração às mesmas; e-

O modo como as leis de proteção de dados pessoais afetam a Kumon (incluindo as
melhores práticas para estar em conformidade com as BCR).

36

PROTOCOLO DE AUDITORIA
1

Princípios de Auditoria

1.1

A Kumon concorda em sujeitar-se ao dever de ser alvo de auditorias à proteção de dados
regularmente, que deverão ser levadas a cabo por auditores internos ou externos
acreditados ou mediante pedido do Encarregado da Proteção de Dados Global.

2

Estrutura de Auditoria

2.1

O Encarregado da Proteção de Dados Global irá garantir que o auditor interno ou externo
acreditado da Kumon (a “Equipa de Auditoria”), conforme considere adequado, realize
auditorias independentes à conformidade com todos os aspetos das BCR, incluindo os
métodos para assegurar que as medidas corretivas serão adotadas e implementadas.

2.2

A Equipa de Auditoria será responsável pela realização e/ou supervisão de auditorias
independentes à conformidade com as BCR e irá garantir que tais auditorias incidem sobre
todos os aspetos das BCR. Além disso, a Equipa de Auditoria será responsável por garantir
que quaisquer problemas ou ocorrências de não conformidade serão comunicados à Equipade Proteção de Dados Global e aos Gestores Locais da Proteção de Dados relevantes.

3

Processo de Auditoria

3.1

As auditorias deverão abranger todos os aspetos das BCR e identificar os métodos demedidas corretivas que possam ser exigidos em resultado da auditoria.

3.2

As auditorias de conformidade com as BCR são realizadas:(a)pelo menos uma vez por ano, de acordo com os procedimentos de auditoria da
Kumon;(b)mediante pedido do Encarregado da Proteção de Dados Global e/ou do Conselho deAdministração do KIE; e/ou(c)conforme o que a Equipa de Proteção de Dados Global considerar necessário (porexemplo, em resposta a um incidente específico).

3.3

A Equipa de Auditoria irá realizar uma análise dos riscos para determinar o âmbito da37

auditoria, que irá considerar questões relevantes como: riscos novos ou específicos para aatividade da empresa auditada; alterações aos sistemas ou procedimentos de segurança; otema de quaisquer auditorias ou reclamações anteriores; a natureza e localização dos Dados
Pessoais, bem como a forma de Tratamento.
3.4

A auditoria será realizada através de uma inspeção no local, entrevistas com o pessoal
relevante, questionários, análise de documentos ou outros métodos considerados
adequados pela Equipa de Auditoria.

3.5

O resultado de todas as auditorias será comunicado ao Encarregado da Proteção de Dados
Global e ao Conselho de Administração do KIE.

3.6

Uma cópia do resultado das auditorias será fornecida às Autoridades de Supervisão
mediante pedido.

3.7

Qualquer Empresa do Grupo Kumon aceita ser auditada pelas Autoridades de Supervisão eirá seguir o aconselhamento das Autoridades de Supervisão relativamente a quaisquer
matérias relacionadas com estas regras.

38

PROCEDIMENTO DE ATUALIZAÇÃO
1

Alterações às BCR

1.1

A Kumon irá comunicar quaisquer alterações às BCR sem demora injustificada às Autoridade
de Supervisão relevantes através das Autoridades de Supervisão competentes, bem como atodas as Empresas do Grupo Kumon.

2

Alterações às BCR que não necessitam de Autorização

2.1

As atualizações às BCR ou à lista de Empresas do Grupo Kumon podem ocorrer sem
necessidade de submeter um novo pedido de autorização, desde que:(a)

O Encarregado da Proteção de Dados Global mantenha uma lista atualizada das
Empresas do Grupo Kumon sujeitas às BCR e dos subcontratantes ulteriores
nomeados pela Kumon para tratar os Dados Pessoais. Essa lista será disponibilizada
aos Indivíduos e às Autoridades de Supervisão mediante pedido válido dos mesmos.

(b)

O Encarregado da Proteção de Dados Global irá manter um registo das alterações às
BCR, incluindo a data de entrada em vigor das alterações e os detalhes das alterações
efetuadas, e irá fornecer as informações necessárias ao Indivíduo ou às Autoridadesde Supervisão, mediante pedido.

(c)Nenhuma transferência será efetuada para um novo membro antes de o novo
membro ficar efetivamente sujeito às BCR e poder garantir a conformidade.

(d)Quaisquer alterações às BCR ou à lista de Empresas do Grupo Kumon serão
comunicadas uma vez por ano às Autoridades de Supervisão que concedem as
autorizações com uma breve explicação dos motivos que justificam a atualização.

(e)

Quaisquer alterações às BCR que possam afetar o nível de proteção oferecido pelas
BCR ou que afetem significativamente as BCR serão prontamente comunicadas àsAutoridades de Supervisão relevantes, através da Autoridade de Supervisão
competente.

39