Norme vincolanti d’impresa
Policy del titolare deltrattamento

CONTENUTO
1.

Introduzione .......................................................................................................................... 3

2.

Parole chiave ......................................................................................................................... 7

3.

Impegni del titolare del trattamento .................................................................................. 10
Principi di base ............................................................................................................. 10
Basi giuridiche per il trattamento di dati personali ..................................................... 10
Trasparenza e comunicazione delle informazioni........................................................ 11
Diritti degli interessati.................................................................................................. 13
Dati personali di bambini ............................................................................................. 14
Categorie speciali di dati personali .............................................................................. 15

4.

Trasferimenti di dati personali ............................................................................................ 16
Trasferimenti di dati personali ..................................................................................... 16

5.

Impegni pratici .................................................................................................................... 17
Sicurezza e riservatezza ............................................................................................... 17
Responsabilità .............................................................................................................. 18
Programma di formazione ........................................................................................... 19
Programma di revisione ............................................................................................... 19
Relazione tra le leggi nazionali e le NVI ....................................................................... 19
Meccanismi di reclamo ................................................................................................ 21
Cooperazione con le autorità....................................................................................... 21
Aggiornamento delle regole ........................................................................................ 21

6.

Diritti e responsabilità del terzo beneficiario ...................................................................... 22
Diritti del terzo beneficiario ......................................................................................... 22
Responsabilità e onere della prova .............................................................................. 22

7.

Disposizioni finali ................................................................................................................. 24

1

Disposizioni finali ......................................................................................................... 24
Elenco di aziende del Gruppo Kumon .............................................................. 25
Accesso DEGLI INTERESSATI e procedure di reclamo ....................................... 26
1

Reclami a Kumon ............................................................................................................. 26

2

Diritti degli interessati: richieste di accesso dell’interessato .......................................... 27

3

Diritti degli interessati: altre richieste ............................................................................. 28
Struttura di ottemperanza................................................................................ 30

1Incaricato globale per la protezione dei dati ................................................................... 30

2Team globale per la protezione dei dati .......................................................................... 31

3Manager locale per la protezione dei dati....................................................................... 31

4

Procedura di comunicazione interna per i dipendenti .................................................... 32
Protocollo di formazione .................................................................................. 33

1

Formazione dei dipendenti .............................................................................................. 33
Protocollo di revisione ...................................................................................... 34

1

Principi della revisione ..................................................................................................... 34

2

Struttura della revisione .................................................................................................. 34

3

Processo di revisione ....................................................................................................... 34
Procedura di aggiornamento ............................................................................ 36

1

Cambiamenti alle NVI ...................................................................................................... 36

2

Cambiamenti alle NVI che non richiedono autorizzazione .............................................. 36

2

1. INTRODUZIONE
Chi siamo?
Kumon è un fornitore di istruzione personalizzata, leader a livello mondiale, gestito da Kumon
Institute of Education Co., Ltd. , con sede in Giappone. Kumon fornisce programmi diapprendimento a studenti di varie età, in base al “ Metodo Kumon”, sviluppato dall’azienda.
Questi programmi di apprendimento sono forniti attraverso la rete globale di centri Kumon,
gestiti dall’azienda o in franchising, e i partner licenziatari.

Cosa sono le Norme vincolanti d’impresa (NVI)?
Per portare a termine la nostra missione di aiutare più persone possibile a scoprire il proprio
potenziale e sviluppare le proprie competenze grazie al Metodo Kumon, a volte Kumon
condividerà dati personali all’interno delle aziende del Gruppo Kumon. Per noi è importantegestire i dati personali con le tutele adeguate. Kumon adotta le seguenti Norme vincolantid’impresa per stabilire i principi di Kumon per la protezione dei dati personali e le regole che
seguiremo nel caso di condivisione di dati personali con aziende del Gruppo Kumon al di fuoridello Spazio Economico Europeo.
Le Norme vincolanti d’impresa consistono in due gruppi di norme. Le Norme vincolantid’impresa - Policy del titolare del trattamento e le Norme vincolanti d’impresa - Policy delresponsabile del trattamento. Questo documento contiene le Norme vincolanti d’impresa Policy del responsabile del trattamento e da qui in poi sarà chiamato “NVI”.
Queste NVI descrivono il modo in cui le aziende del Gruppo Kumon rispetteranno le leggi diprotezione dei dati nel trattamento dei dati per conto di parti terze, compresi gli istruttori dei
franchising.
Queste NVI saranno pubblicate nei siti di Kumon pertinenti.

3

Cosa viene trattato nelle NVI?
Queste NVI includono tutte le operazioni di raccolta, trasferimento e tutte le altre operazioni ditrattamento di dati personali originati nello Spazio Economico Europeo da parte delle aziendedel Gruppo Kumon (elenco consultabile nell’Allegato I). Questo potrebbe includere quantosegue:
Istruttori del franchisingNome, indirizzo, nome del centro studi, informazioni di contatto,
Categorie di dati

informazioni sulla professione e sull’istruzione, storia ed esperienza
dell’istruttore

Trasferimenti al di

Al Kumon Institute of Education Co., Ltd. con sede in Giappone

fuori dello SpazioAl Kumon Europe & Africa Limited, con sede nel Regno Unito



Fornire supporto al personale e agli istruttori del centro per

Economico Europeo
garantire la qualità del servizio
Fornire supporto alle aziende locali del Gruppo Kumon per lagestione, il miglioramento e l’espansione dei centri studioKumon nel paese/regioneOffrire formazione al dipendente e all’istruttore

Sviluppare

Scopi

e

migliorare

ulteriormenteimateriali

diapprendimento di Kumon e i metodi di istruzione a livello locale
e globaleFornire supporto informatico e manutenzione di server e sistemi
usati dalle aziende del Gruppo Kumon per la gestione della
propria regione

Generare informazioni statistiche per l’analisi locale, regionale e
globale

Conformità con le regole e i regolamenti governativi

Studenti che seguono (o sono interessati a seguire) il programma Kumon
Categorie di dati

Nome, ID studente, nome del centro studi, indirizzo, età, classe
frequentata, progresso nello studio, durata degli studi

Trasferimenti al di

Al Kumon Institute of Education Co., Ltd. con sede in Giappone

fuori dello SpazioAl Kumon Europe & Africa Limited, con sede nel Regno Unito



Fornire i servizi adeguati allo studente secondo il Metodo Kumon

Economico Europeo
Scopi

4



Fornire supporto al personale e agli istruttori del centro per
garantire la qualità del servizio

Fornire supporto alle aziende locali del Gruppo Kumon per lagestione, il miglioramento e l’espansione dei centri studioKumon nel paese/regioneOffrire formazione al dipendente e all’istruttore

Sviluppareemigliorare

ulteriormenteimateriali

diapprendimento di Kumon e i metodi di istruzione a livello locale
e globaleFornire supporto informatico e manutenzione di server e sistemi
usati dalle aziende del Gruppo Kumon per la gestione della
propria regione

Generare informazioni statistiche per analisi locale, regionale e
globale

Conformità con le regole e i regolamenti governativi

Genitori degli studenti
Categorie di dati

Nome, nome dello studente, relazione con lo studente, indirizzo,
informazioni di contatto

Trasferimenti al di

Al Kumon Institute of Education Co., Ltd. con sede in Giappone

fuori dello SpazioAl Kumon Europe & Africa Limited, con sede nel Regno Unito



Fornire i servizi adeguati allo studente secondo il Metodo Kumon

Contattare il genitore, anche per rispondere alle richieste o

Economico Europeo

ottenere riscontro o dare informazioni sul progresso dello
Scopi

studenteFornire supporto informatico e manutenzione di server e sistemi
usati dalle aziende del Gruppo Kumon per la gestione della
propria regioneConformità con le regole e i regolamenti governativi

Dipendenti
Nome, numero ID, data di nascita, indirizzo e-mail aziendale,
Categorie di datiazienda, reparto/team, posizione, ambito di lavoro, descrizione dellaposizione, foto del dipendente, anni di servizio, tipo di rapporto

5

lavorativo, compenso (stipendio, bonus, indennità, vantaggi
complementari), ove applicabile data e ragioni del licenziamento
Trasferimenti al di

Al Kumon Institute of Education Co., Ltd. con sede in Giappone

fuori dello SpazioAl Kumon Europe & Africa Limited, con sede nel Regno Unito



Gestione del personale e della forza lavoro delle aziende delEconomico Europeo
gruppo, compresi l’analisi e lo sviluppo di strategie, schemi,
Scopi

sistemi e regole per risorse umane del gruppo

Identificazione, comunicazione e cooperazione con i dipendentidelle aziende del Gruppo Kumon nello SEE in vari progetti

Conformità con le regole e i regolamenti governativi

Le NVI sono applicabili a tutti i tipi di trattamento, automatico o manuale, di qualsiasi natura.

Chi è tenuto a rispettare le NVI?
Le aziende del Gruppo Kumon elencate nell’Appendix I e i loro dipendenti devono seguire le NVI.
Ciascuna di queste aziende del Gruppo Kumon è tenuta a rispettare le NVI secondo un accordo
interaziendale ed è obbligata a seguire gli step necessari per garantire che l'azienda e i suoi
dipendenti rispettino queste NVI.
L’elenco delle aziende del Gruppo Kumon nell’Appendix I potrebbe essere aggiornato di tanto intanto, rispettando la procedura di aggiornamento delle NVI delineata nell’Appendix VI.

Ho una domanda sulle NVI. A chi posso rivolgermi?
Per domande o dubbi riguardanti le NVI e i diritti riguardanti i dati raccolti e trattati da un
membro del Gruppo Kumon, è possibile contattare il team globale per la protezione dei dati alseguente indirizzo: bcr@kumon.co.jp

6

2. PAROLE CHIAVEPer gli scopi di queste NVI, le seguenti parole chiave avranno i seguenti significati:(a) “Bambino” oQualsiasi persona di età inferiore ai 16 anni (o qualsiasi altra età per“Bambini”

cui è richiesto il consenso di un custode legale secondo le leggi invigore nello Spazio Economico Europeo per il trattamento dei dati
personali delle persone).

(b) “Titolare deltrattamento”

La persona fisica o giuridica, l’ente pubblico, l’agenzia o qualsiasi
altro istituto che, singolarmente o in congiunzione ad altri,
determina gli scopi e i mezzi del trattamento di dati personali o cheè stato indicato come tale secondo la legge applicabile.

(c) “Responsabile delUna persona fisica o giuridica, ente pubblico, agenzia o qualsiasi

trattamento”

altro istituto che tratta i dati personali per conto del titolare deltrattamento.

(d) “SEE”

Lo Spazio Economico Europeo. Fermo restando quanto sopra,
durante il periodo di transizione in cui il Regno Unito è sottoposto
alle leggi dell’UE, il termine “SEE” includerà anche il Regno Unito.

(e) “Leggi SEE”

Le leggi dell’Unione Europea e dello Stato membro da cui i dati
personali sono stati inizialmente ottenuti o trattati per la prima
volta all’interno dello SEE.

(f) “Soggetto principale
SEE”

Kumon Europe & Africa, Ltd., un’azienda del Gruppo Kumon
istituita e operante nel Regno Unito. Fermo restando quanto sopra,
alla fine del periodo di transizione in cui il Regno Unito è sottoposto
alle leggi dell’UE, Kumon Instituto de Educación de España S. A.,
un’azienda del Gruppo Kumon istituita e operante in Spagna,
diventerà il soggetto principale SEE.

(g) “Dipendente”

Qualsiasi persona all’interno di un’azienda del Gruppo Kumon
impegnata in operazioni aziendali sotto la direzione o supervisione
diretta o indiretta dell’azienda del Gruppo Kumon che, in aggiunta
ai dipendenti con un rapporto di lavoro dipendente (dipendenti atempo pieno, con contratto a chiamata, part-time, ecc.), include

7

incaricati, direttori, società di revisione e personale assunto a
tempo determinato, ecc. Per evitare ambiguità, “dipendente” noninclude fornitori indipendenti, subappaltatori o istruttori/personale
dei Centri Kumon.
(h) “Istruttore delfranchising”

Qualsiasi istruttore che sia stato autorizzato a istruire gli studenti
con il Metodo Kumon, in quanto ha stipulato un contratto difranchising con Kumon.

(i) “GDPR”

Regolamento (UE) 2016/679 del Parlamento Europeo e delConsiglio del 27 aprile 2016 sulla protezione delle persone fisicheriguardo il trattamento dei dati personali e la libera circolazione ditali dati, abrogante la Direttiva 95/46/CE (Regolamento generale
per la protezione dei dati), con le eventuali modifiche apportate.

(j) “Custode legale”

Un genitore o una persona con responsabilità genitoriale verso una
determinata persona.

(k) “Persona” o“Interessato”

La persona a cui appartengono i dati personali che sono stati
trasferiti da un’azienda del Gruppo Kumon nello SEE a un’aziendadel Gruppo Kumon al di fuori dello SEE.

(l) “KIE”

Kumon Institute of Education Co., Ltd.

(m) “Kumon”

L’azienda del Gruppo Kumon in questione o tutte le aziende delGruppo Kumon insieme, in base al contesto.

(n) “Azienda del Gruppo
Kumon”(o) “Autorità centrale disupervisione”

Una delle entità elencate nell’Appendix I, che verrà aggiornato
regolarmente in base all’Appendix VI.
L’Autorità centrale di supervisione per la protezione dei dati
spagnola (Agencia Española de Protección de Datos (AEPD)), o altra
autorità di supervisione debitamente nominata come autorità
centrale di supervisione delle NVI secondo la legge applicabile.

(p) “Stato membro”

Tutti i paesi all’interno dello SEE.

(q) “Dati personali”

Qualsiasi informazione che viene prodotta all’interno dello SEE
relativa a una persona fisica che può essere identificata,8direttamente o indirettamente, in particolare tramite riferimento a
un elemento identificativo come nome, numero di identificazione,
dati di localizzazione, un identificativo online o uno o più fattori
specifici relativi all’identità fisica, fisiologica, genetica, mentale,economica, culturale o sociale di tale persona fisica.
(r) “Trattamento”(di dati personali)

Qualsiasi operazione o insieme di operazioni svolte sui dati
personali o su insiemi di dati personali, tramite mezzi automatizzati
o no, come la raccolta, la registrazione, l’organizzazione,
l’articolazione, la conservazione, l’adattamento o la modifica, il
recupero, la consultazione, l’utilizzo, la condivisione tramite
trasmissione, disseminazione o altro modo di rendere disponibile,l’allineamento o la combinazione, la restrizione, la cancellazione ola distruzione.

(s) “Paese di

Il paese in cui i dati personali vengono trattati.

trattamento”(t) “Categorie speciali didati personali”

Dati personali che rivelano origine razziale o etnica, opinioni
politiche, credenze religiose o filosofiche, appartenenza a gruppi
sindacali o dati generici, biometrici o dati riguardanti la salute o lavita sessuale o l’orientamento sessuale di una persona fisica.

(u) “Autorità disupervisione”(v) “Parte terza”

Un ente pubblico indipendente istituito da uno Stato membro,
responsabile di monitorare l’applicazione del GDPR.
Una persona fisica o giuridica, ente pubblico, agenzia o altroorganismo che non sono la persona, il titolare del trattamento o
Kumon in qualità di responsabile del trattamento. Per evitarequalsiasi ambiguità, parte terza non include altre aziende delGruppo Kumon.

(w) “Terzo beneficiario”

La persona che gode dei diritti di terzo beneficiario come indicato
nella Sezione 6.1.1.

9

3. IMPEGNI DEL TITOLARE DEL TRATTAMENTO
Principi di base
3.1.1

Legalità, giustizia e trasparenza: I dati personali verranno trattati in modo legale, giusto e
trasparente nei confronti della persona (si veda la Sezione 3.2 e la sezione 3.3).

3.1.2

Limite di scopo: I dati personali verranno raccolti per scopi specifici, espliciti e legittimi e nonverranno trattati ulteriormente in modalità incompatibili con tali scopi.

3.1.3

Minimizzazione dei dati: Kumon garantisce che i dati personali sono adeguati, pertinenti elimitati a quanto necessario per gli scopi per i quali sono stati raccolti, trasferiti eulteriormente trattati.

3.1.4

Qualità dei dati: Kumon garantisce che i dati personali sono accurati e, ove necessario,
mantenuti aggiornati. Per tale scopo, si raccomanda agli interessati di informare Kumon di
eventuali cambiamenti nei propri dati personali. Kumon adotterà tutte le misure necessarie
per garantire che i dati inaccurati relativi agli scopi per i quali sono stati raccolti, vengano
cancellati o rettificati senza indugio.

3.1.5

Conservazione di dati personali: Kumon adotterà le misure necessarie per garantire che idati personali vengano conservati in una forma che permetta l’identificazione degliinteressati per un arco di tempo non superiore al conseguimento delle finalità per i qualisono stati ottenuti e che vengano trattati ed eliminati in sicurezza.

Basi giuridiche per il trattamento di dati personali
3.2.1

Kumon tratterà i dati personali solo se una o più delle seguenti basi giuridiche sono
soddisfatte:(a)

La persona ha fornito in modo chiaro e senza ambiguità il suo consenso per uno opiù scopi specifici;(b)

Il trattamento è necessario per lo svolgimento di un contratto del quale la persona
è parte o per adottare le misure necessarie richieste dalla persona prima dellastipula di un contratto;(c)

Il trattamento è necessario per la conformità agli obblighi legali al quale è soggetto;

10

(d)

Il trattamento è necessario per proteggere gli interessi vitali della persona;(e)

Il trattamento è necessario per lo svolgimento di un’attività svolta per l’interesse
pubblico o nell’esercizio legittimo di pubblici poteri di cui è investito; o(f)Il trattamento è necessario per il perseguimento degli interessi legittimi di Kumon odel responsabile o responsabili del trattamento dei dati ai quali i dati vengono
divulgati, eccetto quando su tali interessi prevalgono gli interessi o i diritti
fondamentali e le libertà della persona.

Trasparenza e comunicazione delle informazioni
3.3.1

Comunicazione delle informazioni: la persona riceverà le seguenti informazioni quando i
dati personali vengono ottenuti dall’interessato o se i dati personali non sono stati ottenuti
direttamente dall’interessato:(a)L’identità di Kumon o dei suoi rappresentati, ove presenti, e le rispettive
informazioni di contatto;(b)

Ove applicabile, le informazioni di contatto dell’incaricato globale per la protezione
dei dati, del team globale per la protezione dei dati e/o del manager locale per laprotezione dei dati;(c)

Gli scopi del trattamento per cui i dati verranno utilizzati e le basi giuridiche per il
trattamento;(d)Laddove il trattamento è basato su interessi legittimi, gli interessi legittimi perseguiti
dal titolare del trattamento o dalla parte terza;(e)

Il destinatario o le categorie di destinatari dei dati personali, ove presenti;(f)L’esistenza del diritto di accesso e del diritto di rettifica, cancellazione dei dati
personali o restrizione del trattamento dei dati personali che lo/la riguardano, o diopporsi al trattamento, come anche il diritto di portabilità dei dati;(g)

Ove applicabile, il fatto che Kumon intende trasferire i dati personali a un paese
terzo o a un’organizzazione internazionale e un riferimento alle NVI o altre tutele
adeguate e appropriate per l'esecuzione di tale trasferimento e dove sono
disponibili;(h)

Ove applicabile, i principi di base generali del trattamento di dati descritti nella
Sezione 3, nella Sezione 4 e nella Sezione 5.1, come anche le disposizioni sulla
responsabilità per le violazioni delle NVI e i diritti del terzo beneficiario descritti nelle
Sezioni 5.5, 5.6, 5.7, 6.1 e 6.2, come anche l’Appendix II, insieme ai mezzi per
esercitare tali diritti;

11

(i)

il periodo per cui i dati personali verranno conservati o, ove questo non sia possibile,i criteri utilizzati per determinare tale periodo;(j)Laddove il trattamento è basato sul consenso o sul consenso esplicito, l’esistenzadel diritto di revocare il consenso in qualsiasi momento, senza influenzare la legalitàdel trattamento in base al consenso precedente la revoca;(k)

Il diritto di presentare un reclamo all’autorità di supervisione;(l)

Se la fornitura dei dati personali è un requisito obbligatorio o contrattuale, o un
requisito necessario per la stipula di un contratto, come anche se la persona è
obbligata a fornire dati personali e le possibili conseguenze per la mancata fornitura
di tali dati;(m)L’esistenza di mezzi automatici per la presa di decisioni, compresa la profilazione,
citati dall’articolo 22(1) e (4) del GDPR e, almeno in questi casi, informazioni
significative sulle logiche adottate e il significato delle conseguenze previste da tale
trattamento per la persona; e,(n)

Se i dati personali non sono stati ottenuti direttamente dall’interessato,l’interessato riceverà anche informazioni sulle categorie e fonti di dati personali inquestione.

3.3.2

Tempistiche per la comunicazione delle informazioni: Le informazioni di cui alla Sezione
3.3.1 saranno fornite all’interessato:(a)

Nel momento in cui i dati personali vengono ottenuti dall’interessato;(b)

Se non è possibile fare ciò nel momento in cui i dati personali vengono ottenuti
perché non sono stati ottenuti direttamente dall’interessato, appena possibile
successivamente, ma entro un mese al massimo, in base alle circostanze specifichenelle quali i dati personali vengono trattati;(c)

Se i dati personali verranno utilizzati per la comunicazione con l’interessato e nonsono stati ottenuti direttamente dallo stesso, al più tardi al momento della prima
comunicazione con l’interessato; o,(d)Se è prevista la comunicazione a un altro destinatario e i dati personali non sono
stati ottenuti direttamente dall’interessato, al più tardi quando i dati personali
vengono divulgati per la prima volta.

3.3.3

Basi per la non comunicazione: Fermo restando le Sezioni 3.3.1 e 3.3.2, Kumon non saràobbligato a comunicare all’interessato le informazioni descritte nella Sezione 3.3.1 se:(a)

La persona è già in possesso dell’informazione;

12

(b)

I dati non sono stati ottenuti direttamente dall’interessato e la comunicazione è
espressamente regolata dalle leggi SEE alle quali il titolare del trattamento èsottoposto e che prevedono misure adeguate per la protezione degli interessi
legittimi dalla persona;(c)

I dati non sono stati ottenuti direttamente dall’interessato e la comunicazione delle
informazioni risulta impossibile o comporterebbe uno sforzo sproporzionato, ai
sensi dell’Articolo 14(5)(b) del GDPR;(d)

I dati non sono stati ottenuti direttamente dall’interessato e i dati personali devono
rimanere riservati in base a un obbligo di segreto professionale regolamentato dalle
leggi SEE; o(e)

Il diritto dell’Unione Europea o dello Stato membro cui è soggetto il responsabiledel trattamento o il titolare del trattamento può limitare i diritti dell’interessato
riguardo la trasparenza, ai sensi dell’Articolo 23 del GDPR, qualora tale limitazione
rispetti l’essenza dei diritti e delle libertà fondamentali e sia una misura necessaria
e proporzionata in una società democratica per salvaguardare gli interessi stabiliti
dall’Articolo 23 del GDPR, come la protezione del proprietario dei dati o i diritti e lelibertà altrui.

3.3.4

Comunicazione delle NVI: Le NVI saranno rese disponibili a tutti gli interessati su richiesta.
Le persone hanno diritto ad accedere facilmente alle NVI. Kumon si incarica di pubblicare le
NVI sul sito web accessibile all’indirizzo https://www.kumongroup.com/eng/bcr/, pergarantire che le NVI siano accessibili agli interessati.

3.3.5

Comunicazione del trattamento/trasferimento dei dati personali: Gli interessati verranno
informati del trasferimento e dell’ulteriore trattamento dei propri dati personali secondo laprocedura descritta nell’Appendix II.

Diritti degli interessati
3.4.1

Tutti gli interessati hanno il diritto, in base alla procedura descritta nell’Appendix II:(a)di ottenere conferma del fatto che i dati personali dell’interessato vengono trattati
o no, l’accesso alle informazioni stipulate nella Sezione 3.3.1 e una copia dei dati
personali che lo/la riguardano che sono stati raccolti, trattati o trasferiti da un
membro del Gruppo Kumon, senza limitazioni, a intervalli regolari, senza eccessivo
ritardo e a titolo gratuito o ad una tariffa ragionevole quando la richiesta è
manifestamente infondata o eccessiva (ad es. l’interessato richiede diverse copie);

13

(b)

di ottenere la rettifica dei dati personali, in particolare se sono incompleti oinaccurati;(c)il diritto di ottenere la cancellazione dei dati personali che lo/la riguardano senza
indugio, laddove i dati personali non sono più necessari per gli scopi per i quali sono
stati raccolti o trattati, laddove non c’è più una base giuridica per il trattamento o
per qualsiasi altro motivo ai sensi del GDPR.

(d)il diritto di ottenere la limitazione del trattamento a un certo livello, se l’interessato
dimostra di avere un interesse legittimo per tale restrizione;(e)di opporsi in qualsiasi momento, per motivazioni legittime imprescindibili relative
alla sua situazione particolare, alla raccolta, al trattamento o al trasferimento dei
propri dati personali, a meno che tale raccolta, trattamento o trasferimento non
siano richiesti dalla legge (laddove l’opposizione è giustificata, la raccolta, il
trattamento o il trasferimento deve essere interrotto);(f)di opporsi, su richiesta e a titolo gratuito, al trattamento di dati personali relativi a
lui/lei per finalità di marketing diretto; e(g)Il diritto di non essere sottoposto a una decisione basata unicamente sul
trattamento automatizzato, compresa la profilazione, che produca effetti giuridici
che lo/la riguardano o che, in modo analogo, incida significativamente sulla sua
persona, a meno che questo sia permesso dal GDPR.

3.4.2

Conferma dell’identità: Prima di rispondere alle richieste ai sensi della Sezione 3.4.1, se
Kumon ha dubbi ragionevoli riguardanti l’identità della persona che effettua la richiesta,
Kumon può richiedere di cui ha ragionevole necessità per confermare l’identità dellapersona che effettua la richiesta e per localizzare le informazioni necessarie relative allarichiesta. Kumon aderisce ai requisiti legali nazionali durante il processo di identificazione.

3.4.3

La procedura seguita per l’esercizio dei diritti degli interessati, come anche le tempistiche
specifiche di risposta sono precisate nell’Allegato II.

Dati personali di bambini
3.5.1

Consenso del custode legale: A meno che Kumon non abbia una base giuridica legittima ai
sensi del GDPR, non procederà alla raccolta, all’utilizzo e al trasferimento di dati personali dibambini senza il consenso del custode legale.

3.5.2

Trattamento di dati di bambini basato su interessi legittimi: Verrà data considerazione

14

speciale agli interessi dei bambini prima del trattamento dei loro dati personali, se il
trattamento avviene in base alle motivazioni dettagliate nella Sezione 3.2.1 (f).

Categorie speciali di dati personali
3.6.1

A meno che Kumon non abbia una base giuridica diversa ai sensi del GDPR, Kumon tratterà
le categorie speciali di dati personali solo se strettamente necessario e laddove Kumon abbia
ottenuto consenso esplicito, che deve essere sincero e fornito senza coercizione.

3.6.2

L’accesso alle categorie speciali di dati personali è strettamente riservato al personale
incaricato.

3.6.3

Kumon garantisce che le categorie speciali di dati personali sono trattate con maggiori
misure di sicurezza come necessario.

15

4. TRASFERIMENTI DI DATI PERSONALI
Trasferimenti di dati personali
4.1.1

Trasferimenti di dati personali per il trattamento dei dati: Kumon limiterà i trasferimenti ei trasferimenti ulteriori di dati personali a un responsabile del trattamento (sia esso una
Parte terza o un’altra azienda del Gruppo Kumon) a meno che:(a)non ci siano accordi scritti stipulati con il responsabile del trattamento conformi ai
requisiti stabiliti nella Sezione 5.1.4 e qualsiasi requisito stipulato secondo il GDPR
prima del trasferimento; e,(b)abbia altresì preso le misure necessarie per garantire la protezione adeguata
secondo il GDPR per i dati personali oggetto del trasferimento.

4.1.2

Trasferimenti di dati e trasferimenti ulteriori: Kumon limiterà i trasferimenti e i
trasferimenti ulteriori di dati personali a ogni organizzazione al di fuori dello SEE (sia essa
una parte terza o un’altra azienda del Gruppo Kumon), a meno che questi non vengano
effettuati in conformità con quanto stipulato dal GDPR sul trasferimento di dati personali,
nello specifico:(a)il trasferimento avviene verso un paese terzo o un’organizzazione internazionale
stabilita dall’autorità competente per garantire un livello di protezione adeguato;(b)il trasferimento è soggetto a tutele adeguate riconosciute dal GDPR, che assicurano
i diritti applicabili e i ricorsi giuridici effettivi garantiti alle persone;(c)

il trasferimento soddisfa una condizione specificata come deroga permessa dal
GDPR; o,(d)se il trasferimento avviene verso un’altra azienda del Gruppo Kumon al di fuori dello
SEE, il trasferimento avverrà in conformità alle presenti NVI.

16

5. IMPEGNI PRATICI
Sicurezza e riservatezza
5.1.1

Misure tecniche e organizzative: Kumon garantirà che il trattamento dei dati personali
avvenga in una modalità che garantisce l’adeguata sicurezza dei dati personali, compresa laprotezione da trattamento illegale o non autorizzato e da perdita, distruzione o danno
accidentale, in particolare quando il trattamento include la trasmissione di dati attraverso
una rete, e da tutte le altre forme illegali di trattamento. Kumon garantisce questo mettendo
in atto misure tecniche e organizzative adeguate, che saranno aggiornate regolarmente.

5.1.2

Livello di sicurezza: Le misure tecniche e organizzative che devono essere applicate
garantiscono un livello di sicurezza adeguato rispetto al rischio, tenendo conto dello statodell’arte (espressione come intesa dall’Articolo 32 del GDPR) e dei costi di attuazione,
nonché della natura, dell'oggetto, del contesto e delle finalità del trattamento, come anchedel rischio di varia probabilità e gravità per i diritti e le libertà delle persone fisiche.

5.1.3

Ottemperanza dei dipendenti: I dipendenti possono trattare i dati personali esclusivamente
in conformità con le NVI. Tutti i dipendenti che violano le NVI possono essere soggetti a
provvedimenti disciplinari (fino a e compreso il licenziamento).

5.1.4

Accordi scritti con i responsabili del trattamento dei dati: Kumon si assicurerà che tutti i
responsabili del trattamento dei dati (siano essi parti terze o altre aziende del gruppo
Kumon) che trattano dati personali per conto di Kumon siano vincolati da un accordo scritto(come delineato nella sezione 4.1), conforme a e comprensivo di tutti gli elementi specificati
dall’Articolo 28.3 del GDPR, in modo che potranno agire solo secondo le istruzioni di Kumone saranno responsabili dell’attuazione delle misure di sicurezza e riservatezza adeguate,
nonché di segnalare la violazione di dati personali a Kumon senza ritardi ingiustificati.

5.1.5

Violazione dei dati personali: Laddove avviene una violazione della sicurezza o dellariservatezza che riguarda i dati personali dell’interessato:(a)Kumon informerà l’autorità di supervisione competente della violazione senza
indugio, sulla base dei requisiti del GDPR per i dati personali in questione, a menoche sia improbabile che tale violazione comporti un rischio per i diritti e le libertàdelle persone fisiche. La comunicazione all’autorità di supervisione competente17

deve avvenire entro 72 ore dal momento in cui si è presa conoscenza dellaviolazione dei dati personali. Laddove la comunicazione all’autorità di supervisione
non avvenga entro 72 ore, sarà accompagnata dalle motivazioni per il ritardo.
(b)

Laddove sia probabile che tali violazioni risultino in un alto rischio per i diritti e lelibertà delle persone, Kumon informerà senza indugio gli interessati della violazione.

(c)

Inoltre, Kumon informerà di ogni violazione dei dati personali il team globale per laprotezione dei dati e il soggetto principale SEE, senza indugio.

(d)Le violazioni dei dati personali verranno documentate (inclusi i fatti della violazione,
gli effetti e le azioni correttive intraprese). Tale documentazione sarà resa
disponibile all’autorità di supervisione competente su richiesta.

Responsabilità
5.2.1

Kumon è responsabile della conformità con le presenti NVI ed è in grado di dimostrarlo.

5.2.2

Conservazione della documentazione: Kumon garantisce che venga conservata la
documentazione chiara di tutte le attività di trattamento dei dati, compresi:(a)il nome, le informazioni di contatto del titolare del trattamento e, ove applicabile, iltitolare del trattamento aggiunto, il rappresentante del titolare del trattamento el’incaricato per la protezione dei dati;(b)categorie di persone e dati personali trattati da, o per conto dei, responsabili delcontrollo dei dati;(c)gli scopi per cui i dati personali sono trattati;(d)le categorie di destinatari a cui i dati personali sono stati o saranno divulgati (inclusi
i destinatari in paesi terzi o le organizzazioni internazionali);(e)descrizioni delle misure di sicurezza tecniche e organizzative in atto;(f)ove possibile, le scadenze previste per la cancellazione delle diverse categorie di
dati;

(g)

ove applicabile, i trasferimenti di dati personali a paesi terzi o a organizzazioni
internazionali e documentazione delle misure di tutela applicate per tutti i
trasferimenti verso paesi in cui l’autorità di supervisione del paese da cui il
trasferimento ha origine non ha deciso di garantire un livello di protezione
adeguato; e(h)tutte le altre informazioni che devono essere registrate in base al GDPR.

18

5.2.3

Kumon conserva un registro scritto delle attività di trattamento, anche in formato
elettronico e, quando richiesto, lo rende disponibile all’autorità di supervisione.

5.2.4

Valutazione dell’impatto della protezione dei dati: Kumon determina la necessità disvolgere valutazioni dell’impatto della protezione dei dati per le operazioni di trattamento
che hanno una probabilità di comportare un alto rischio per i diritti e le libertà delle persone
fisiche. Se i risultati dimostrano che il trattamento risulterebbe in un alto rischio in assenzadi misure prese da Kumon per mitigare i rischi, Kumon consulterà l’autorità di supervisione
prima del trattamento.

5.2.5

Protezione dei dati fin dalla progettazione e protezione di default: Kumon adotta le misuretecniche e organizzative adeguate, studiate per l’applicazione dei principi della protezione
dei dati in modo effettivo, e integra le misure di tutela necessarie al trattamento per
facilitare il rispetto delle presenti NVI.

5.2.6

Kumon nomina un incaricato per la protezione globale dei dati, con il supporto dei vertici
aziendali, per sovrintendere e assicurare la conformità con le NVI all’interno di Kumon, in
conformità con il protocollo descritto nell’Appendix III.

Programma di formazione
5.3.1

Kumon fornisce una formazione adeguata ai propri dipendenti sulle NVI, in conformità con
il protocollo descritto nell’Appendix IV.

5.3.2

Nessun dipendente potrà (i) trasferire dati personali verso un paese al di fuori dello SEE o (ii)maneggiare dati personali al di fuori dello SEE prima di aver ricevuto la formazione adeguata
per farlo.

Programma di revisione
5.4.1

Kumon esegue una revisione della sua conformità con le NVI, in conformità con il protocollo
descritto nell’Appendix V.

Relazione tra le leggi nazionali e le NVI
5.5.1

Laddove le leggi dei paesi in cui vengono trattati i dati personali richiedono un maggiore

19

livello di protezione dei dati personali, queste prevalgono sulle NVI.
5.5.2

Se Kumon ha ragione di credere che la legislazione esistente o futura del paese in cui i dati
vengono trattati potrebbe impedire il rispetto degli obblighi delle NVI, o potrebbe avere un
effetto sostanziale sulle garanzie fornite dalle NVI, Kumon informerà tempestivamente il
team globale per la protezione dei dati (si veda Appendix III), il soggetto principale SEE el’autorità di supervisione competente, ove applicabile, a meno che questo non sia vietato daun’autorità competente per l’applicazione della legge (compresi gli obblighi previsti dalcodice penale per tutelare il segreto d’indagine).

5.5.3

Laddove esiste un conflitto tra le leggi nazionali e gli obblighi stabiliti nelle NVI, l’incaricato
globale per la protezione dei dati (si veda Appendix III) deciderà in modo responsabile qualeazione intraprendere e consulterà le autorità di supervisione competenti in caso di dubbio.

5.5.4

Se Kumon ha ragione di credere che i requisiti legali ai quali potrebbe essere soggetto in un
paese terzo potrebbero avere un effetto avverso sostanziale sulle garanzie fornite dalle NVI,
comprese richieste giuridicamente vincolanti di comunicazione di dati personali da parte diun’autorità competente per l’applicazione della legge o di un organo di sicurezza statale,
Kumon informerà tempestivamente il team globale di protezione dei dati (conformemente
alla procedura descritta nell’Appendix III) e l’autorità di supervisione competente:(a)della richiesta (compreso il tipo di dati richiesti);(b)dell’ente richiedente; e(c)delle basi giuridiche per la richiesta,

a meno che questo non sia vietato da un’autorità competente per l’applicazione della legge(compresi gli obblighi previsti dal codice penale per tutelare il segreto d’indagine). In tal caso,
Kumon farà il possibile per ottenere il diritto alla deroga da tale obbligo e comunicheràquante informazioni possibili all’autorità di supervisione competente il prima possibile,
dimostrando i propri sforzi in tal senso. Se, nonostante tutti gli sforzi compiuti, Kumon nonè in grado di avvisare l’autorità di supervisione competente, fornirà informazioni generali
sulle richieste che riceve una volta all’anno (compreso il numero di richieste dicomunicazione e il tipo di data richiesto e il richiedente, ove possibile).
5.5.5

In tutti i casi in cui Kumon è obbligato a fornire dati personali a un ente pubblico, questo non
riguarderà una quantità massiccia e sproporzionata di dati personali, e non sarà cosìindiscriminato da andare oltre quanto necessario in una società democratica.

20

Meccanismi di reclamo
5.6.1

Le persone i cui dati personali sono trattati da Kumon hanno il diritto di presentare reclami
a Kumon secondo il processo di gestione dei reclami descritto nell’Appendix II.

Cooperazione con le autorità
5.7.1

Cooperazione con l’autorità di supervisione: Kumon coopera con l’autorità di supervisione
competente e l’assiste nella gestione di indagini o investigazioni da parte delle autorità disupervisione.

5.7.2

Rispetto delle decisioni dell’autorità di supervisione: Kumon accetta di essere sottoposto arevisione da parte dell’autorità di supervisione competente e rispetterà le raccomandazioni
fornite dall’autorità di supervisione competente su qualsiasi questione riguardantel’interpretazione delle NVI. Per evitare qualsiasi ambiguità, nulla all’interno di questo
documento deve essere interpretato come una rinuncia ai diritti di Kumon di impugnare una
decisione adottata dall’autorità di supervisione competente.

Aggiornamento delle regole
5.8.1

Tutti gli aggiornamenti delle NVI saranno effettuati e segnalati alle autorità di supervisione,
in conformità con le procedure descritte nell’Appendix VI.

21

6. DIRITTI E RESPONSABILITÀ DEL TERZOBENEFICIARIO
Diritti del terzo beneficiario
6.1.1

Applicazione delle NVI: Gli interessati avranno diritto, in quanto terzi beneficiari, ai ricorsi
giurisdizionali e a ottenere risarcimenti e, ove adeguato, compensi per eventuali dannimateriali o immateriali in caso di violazione delle disposizioni delle NVI da parte diun’azienda del Gruppo Kumon, in particolare nel caso di violazione delle disposizioni che
conferiscono diritti sulle persone (Sezione 3, Sezione 4, Sezione 5.1, Sezione 5.2, Sezione 5.5,
Sezione 5.6, Sezione 5.7, e Sezione 6.2, come anche l’Appendix II e questa Sezione 6.1).
Questo diritto copre i ricorsi giurisdizionali e il diritto di ricevere un compenso.

6.1.2

Azienda del gruppo Kumon responsabile: Il soggetto principale SEE sarà l’azienda delGruppo Kumon con sede nello SEE responsabile di rispondere ai diritti del terzo beneficiario.

6.1.3

Disposizioni in materia di giurisdizione: I terzi beneficiari hanno diritto di presentare unreclamo, in particolare, presso:(a)i tribunali competenti dello Stato membro la cui giurisdizione è stabilita in base alluogo in cui il titolare del trattamento ha una sede, o dove il terzo beneficiario ha lasua residenza principale, come scelto dal terzo beneficiario; e(b)

le autorità di supervisione competenti la cui giurisdizione è stabilita, in particolare,
in base al luogo in cui il terzo beneficiario ha la sua residenza principale o il suo luogo
di lavoro, o dove la presunta violazione delle NVI ha avuto luogo, come scelto dalterzo beneficiario.

Responsabilità e onere della prova
6.2.1

La responsabilità del soggetto principale SEE sui dati personali: Il soggetto principale SEE
concorda che:(a)il soggetto principale SEE si assume la responsabilità e accetta di prendere le misurenecessarie per rimediare alle azioni di altre aziende del gruppo Kumon istituite fuori
dallo SEE e di pagare il compenso per tutti i danni materiali e immateriali risultanti
dalla violazione delle NVI da parte dell’azienda del Gruppo Kumon istituita al di fuori

22

dello SEE. Il soggetto principale SEE conferma di avere attivi sufficienti per pagare ilcompenso per i danni risultanti da tale violazione delle NVI;(b)

Il soggetto principale SEE accetterà la giurisdizione dei tribunali o di altre autorità
competenti all’interno dell’UE e accetterà la responsabilità per le violazioni delle NVI
e, in particolare, per i diritti delle persone e i rimedi risultanti da esse, se la violazione
è stata causata dal soggetto principale SEE nello Stato membro in cui ha sede, invecedell’azienda del Gruppo Kumon con sede al di fuori dello SEE; e(c)

Il soggetto principale SEE non potrà appoggiarsi a una violazione dai suoi obblighi daparte di un responsabile del trattamento terzo beneficiario per evitare le proprie
responsabilità.

6.2.2

Onere della prova per i dati personali SEE di terzi beneficiari:(a)

Il soggetto principale SEE ha l’onere della prova per dimostrare che l’azienda delGruppo Kumon con sede al di fuori dello SEE non è responsabile delle violazioni delle
NVI che hanno portato alla richiesta di danni da parte delle persone.

(b)

Se il soggetto principale SEE può dimostrare che l’azienda del Gruppo Kumon non è
responsabile dell’evento che ha causato i danni, può esonerarsi dalla responsabilità.

23

7. DISPOSIZIONI FINALI
Disposizioni finali
7.1.1

Le NVI sono in vigore dalla data in cui sono state approvate dall’autorità di supervisione.

24

ELENCO DI AZIENDE DEL GRUPPOKUMONTutte le domande relative a queste NVI possono essere rivolte al seguente indirizzo e-mail:bcr@kumon.co.jp
RegioneNome azienda

GIAPPO

Kumon Institute of Education

NE

Co., Ltd.

Kumon Europe & Africa

Indirizzo/Sito web
Kumon Kyoiku-Kaikan 5-6-6 Nishinakajima Yodogawaku Osaka 532-8511 Giappone
https://www.kumon.ne.jp/
4th Floor West, Ealing Cross, 85 Uxbridge Road,
Ealing, London, W5 5TH Regno Unito

LimitedEUROPAE
AFRICA

Kumon Instituto de Educación

http://www.kumon.co.uk/
Paseo de la Castellana, 131, planta baja y primera
28046 Madrid, Spagnade España S. A.
Kumon Deutschland GmbH

http://www.kumon.es/
Wiesenstrasse 21. 40549 Düsseldorf Germania
http://www.kumon.de/25

ACCESSO DEGLI INTERESSATI E
PROCEDURE DI RECLAMO
1

Reclami a Kumon

1.1

Team responsabile: I principali reparti competenti incaricati di garantire agli interessati ilrispetto delle loro richieste di accesso e la gestione dei reclami sono: l’incaricato globale perla protezione dei dati, il team globale per la protezione dei dati e i manager locali per laprotezione dei dati (si veda Appendix III).

1.2

Modalità di contatto: Qualsiasi persona può presentare reclami riguardo la conformità con le
NVI contattando il manager locale per la protezione dei dati nel paese di residenzadell’interessato (vedere Appendix III). Le informazioni di contatto del manager locale per laprotezione dei dati rispettivo sono disponibili nel sito web locale dell’azienda del Gruppo
Kumon del paese.

1.3

Conferma di ricezione: Il manager locale per la protezione dei dati confermerà
tempestivamente la ricezione del reclamo all’interessato e, senza indugio e in ogni caso entro
un mese dalla data di ricezione del reclamo, fornirà una risposta esaustiva.

1.4

Reclami per dati personali di altre giurisdizioni: Se il reclamo è relativo a dati personali chehanno origine al di fuori della giurisdizione del manager locale per la protezione dei dati, questi
segnalerà tempestivamente il reclamo al team globale per la protezione dei dati, che gestirà ireclami secondo le NVI. Ove necessario, il team globale di protezione dei dati potrebbe
collaborare con altri dipendenti delle aziende del Gruppo Kumon, altre aziende e unità disupporto coinvolte, se necessario per la gestione del reclamo. Il team globale per la protezione
dei dati confermerà la ricezione del reclamo all’interessato entro 10 giorni lavorativi e fornirà
una risposta esaustiva entro un mese dalla data di ricezione del reclamo.

1.5

Tempistiche di risposta: Se, come potrebbe avvenire, a causa della complessità del reclamo odel volume di richieste, non è possibile fornire una risposta esaustiva entro il periodo
prescritto nella Sezione 1.3 o 1.4, la persona che ha presentato il reclamo verrà informata diconseguenza, con una stima ragionevole (non eccedente i due mesi aggiuntivi) delle
tempistiche in cui la risposta verrà fornita.

1.6

Se il manager locale per la protezione dei dati o il team globale per la protezione dei dati
giungono alla conclusione che il reclamo è valido o fondato, verranno adottate le misureadeguate in base alla natura del reclamo per garantire la conformità con le NVI.

1.7

Se il manager locale per la protezione dei dati o il team globale per la protezione dei dati
rifiutano il reclamo in quanto lo ritengono invalido o infondato, l’interessato sarà informatodelle conclusioni e, nella risposta che il manager locale per la protezione dei dati o il teamglobale per la protezione dei dati forniscono all’interessato, verrà ricordato che il reclamo orichiesta di risarcimento possono essere rivolti all’incaricato globale per la protezione dei dati.

1.8

Contestare una risposta: Se il reclamo contesta la risposta del manager locale per laprotezione dei dati o del team globale per la protezione dei dati, o qualsiasi aspetto di una
conclusione, e avvisa la controparte di ciò, la questione verrà inoltrata all’incaricato globale
per la protezione dei dati. L’incaricato globale per la protezione dei dati esaminerà il caso e
informerà la persona che ha effettuato il reclamo della sua decisione di sostenere leconclusioni della parte chiamata a rispondere o di giungere a un’altra conclusione, entro unmese (che potrebbe essere esteso di due mesi aggiuntivi in base alla complessità e al volumedelle richieste) dalla ricezione del reclamo dal rispettivo team/manager per la protezione dei
dati.

1.9

Se il reclamo è sostenuto, l’incaricato globale per la protezione dei dati organizzerà gli stepnecessari che dovranno essere adottati di conseguenza.

1.10 Se l’interessato ritiene che le azioni intraprese da Kumon sono insufficienti per rispondere al
suo reclamo, può rivolgere il suo reclamo o richiesta di risarcimento alle autorità disupervisione competenti o ai tribunali degli stati membri, senza pregiudizio al fatto che il
reclamo sia stato precedentemente presentato direttamente a Kumon secondo la Sezione
6.1.3 delle NVI. Nella risposta fornita all’interessato da parte del manager locale per laprotezione dei dati o del team globale per la protezione dei dati o dell’incaricato globale perla protezione dei dati, questo diritto verrà ricordato all’interessato.

2

Diritti degli interessati: richieste di accesso dell’interessato

2.1

L’interessato può richiedere di esercitare il proprio “diritto di accesso” a Kumon, quando
Kumon agisce come titolare del trattamento.

27

2.2

La richiesta può essere presentata in forma scritta o orale, anche via e-mail, al manager locale
per la protezione dei dati nello SEE o al team globale per la protezione dei dati. Il manager
locale per la protezione dei dati che riceve la richiesta riporterà i dettagli della richiesta al teamglobale per la protezione dei dati.

2.3

Il team globale per la protezione dei dati, ricevendo la richiesta direttamente o attraverso ilmanager locale per la protezione dei dati, risponderà a una richiesta valida con informazioni
sulle azioni intraprese riguardo la richiesta, senza indugio, e in ogni caso entro un mese (operiodo più breve se stipulato dalla legge locale) dalla ricezione di tale richiesta. Le tempistichedi risposta possono essere estese di due mesi aggiuntivi in base alle condizioni stipulate nella
Sezione 1.5 dell’Allegato II delle NVI.

2.4

Kumon non è obbligato a onorare una richiesta di accesso dell’interessato laddove sussistono
ragionevoli dubbi sull’identità della persona che effettua la richiesta e laddove Kumon non ha
ricevutoleinformazioni

ragionevolmente

necessarie

perconfermare

l’identità

dell’interessato e per localizzare le informazioni da lui richieste. Kumon aderisce ai requisiti
legali nazionali durante il processo di identificazione.
2.5

Il team globale per la protezione dei dati effettuerà una valutazione iniziale della richiesta per
decidere se tale richiesta è valida e se sono necessarie la conferma di identità o ulteriori
informazioni. Inoltre, coinvolgerà i dipendenti adeguati per aiutare a gestire l’accesso
dell’interessato, se necessario o adeguato.

2.6

Il team globale per la protezione dei dati contatterà poi l’interessato in forma scritta perconfermare la ricezione della richiesta di accesso dell’interessato, richiederà la confermadell’identità o ulteriori informazioni ove necessario, o rifiuterà la richiesta se una delleesenzioni all’accesso degli interessati è applicabile.

2.7

Le richieste valide possono essere rifiutate solo se le richieste sono manifestamente infondateo eccessive.

3

Diritti degli interessati: altre richieste

3.1

L’interessato può richiedere di esercitare altri diritti descritti nella Sezione 3.4 delle NVI. Talerichiesta verrà considerata e gestita adeguatamente dal manager locale per la protezione dei
dati del paese da cui provengono i dati personali, dopo aver consultato il team globale per la28

protezione dei dati ove necessario. Le tempistiche di risposta stipulate nella Sezione 2.3
dell’Allegato II delle NVI sono applicabili mutatis mutandis.
3.2

Se viene ricevuta una richiesta che informa di un cambiamento dei dati personali di una
persona, laddove Kumon è titolare del trattamento per tali dati personali, tali dati devono
essere rettificati o aggiornati di conseguenza se Kumon ritiene che ci siano basi legittime perfare ciò.

3.3

Quando Kumon cancella, rende anonimi, aggiorna o corregge dati personali, nel suo ruolo di
titolare del trattamento, Kumon informerà le altre aziende del Gruppo Kumon o i subincaricati
al trattamento dei dati a cui i dati personali sono stati rispettivamente divulgati, in modo che
possano aggiornare i loro registri.

3.4

Se la richiesta presentata a Kumon in quanto titolare del trattamento è di terminare il
trattamento di dati personali dell’interessato perché i diritti e le libertà della persona sonopregiudicati da tale trattamento da parte di Kumon, o sulle basi di altre motivazioni legittime
imprescindibili, la questione verrà inoltrata al team globale per la protezione dei dati perulteriore valutazione. Laddove il trattamento svolto da Kumon è richiesto dalla legge, larichiesta non sarà considerata valida.

29

STRUTTURA DI OTTEMPERANZA
1

Incaricato globale per la protezione dei dati

1.1

L’incaricato globale per la protezione dei dati nominato da Kumon sarà responsabile dellasupervisione dei vertici aziendali e della responsabilità di garantire la conformità di Kumon alle
NVI, come anche alle leggi applicabili sulla protezione dei dati. Non avrà conflitti di interessi,
risponderà direttamente al consiglio di amministrazione di KIE/amministratore delegato e lasua nomina, ruolo e prestazione saranno svolti ai sensi del GDPR e delle Linee guida sugli
incaricati per la protezione dei dati del Comitato europeo per la protezione dei dati e dei suoi
aggiornamenti. L’incaricato globale per la protezione dei dati non riceverà istruzioni
riguardanti l'esercizio dei suoi compiti e avrà il supporto dei vertici aziendali di KIE.

1.2

Le principali responsabilità dell’incaricato globale per la protezione dei dati includono:(a)Garantire che le NVI e le altre regole relative a protezione di dati, obiettivi e standard
siano definite e comunicate;(b)Fornire supporto e risorse chiare e visibili ai vertici aziendali per le NVI e gli obiettivi e
le iniziative di riservatezza in generale;(c)Valutare, approvare e assegnare la priorità ad azioni correttive in base ai requisiti di NVI,
piani strategici, obiettivi aziendali e requisiti normativi;(d)Valutare periodicamente iniziative per la riservatezza, risultati e risorse per garantirel’efficienza e il miglioramento continui;(e)Garantire che gli obiettivi aziendali di Kumon siano in linea con le NVI e le relative
strategie, policy e pratiche di protezione dei dati;(f)Coordinare la comunicazione delle NVI e i problemi di protezione dei dati durante larevisione;(g)

Gestire reclami che gli/le vengono affidati ai sensi delle Procedure di reclamo edell’Accesso degli interessati delle NVI; e,(h)Svolgere la funzione di punto di contatto per le autorità di supervisione (o delegare taleruolo ai manager locali per la protezione dei dati per questioni riguardanti solamente
una data regione).

30

2Team globale per la protezione dei dati

2.1

Il team globale per la protezione dei dati è composto da dipendenti nominati da KIE eottempera le responsabilità delineate qui di seguito, guidato dall’incaricato globale per laprotezione dei dati:(a)Fornire direttive per il trattamento di dati personali ai sensi delle NVI;(b)

Rispondere a richieste sulle NVI da parte di dipendenti, clienti e altre parti terze emonitorarne l’ottemperanza;(c)Fornire un input sulle revisioni delle NVI, coordinare le risposte alle conclusioni dellerevisioni e rispondere alle richieste delle autorità di supervisione;(d)

Monitorare i cambiamenti delle leggi globali sulla protezione dei dati e garantire che i
cambiamenti adeguati vengano apportati alle NVI e alle policy e pratiche relative di
Kumon;(e)Organizzare la formazione dei dipendenti sulle NVI e sulle leggi per la protezione dei
dati;

(f)

Promuovere la consapevolezza sulla protezione dei dati in reparti e aree funzionali
attraverso comunicazioni e iniziative;(g)Valutare i processi e le procedure di protezione dei dati per garantire che siano
sostenibili ed efficaci;(h)Effettuare un resoconto periodico sullo stato delle NVI all’incaricato globale per laprotezione dei dati e altri organismi se necessario;(i)Garantire che qualsiasi questione relativa alla conformità con le NVI sia portata
all’attenzione del team globale per la protezione dei dati e dell’incaricato globale per laprotezione dei dati, ove necessario, e che le azioni correttive siano stabilite e attuate
entro un periodo di tempo ragionevole; e(j)Garantire che tutti i cambiamenti alle NVI siano effettuati ai sensi delle Procedure diaggiornamento (si veda Allegato VI).

3

Manager locale per la protezione dei dati

3.1

Ciascuna azienda del Gruppo Kumon ha un manager locale per la protezione dei dati,
responsabile della conformità con la protezione dei dati nelle attività quotidiane dell’azienda.

3.2

Laddove l’incaricato globale per la protezione dei dati lo ritiene necessario, il manager locale
per la protezione dei dati delle sedi regionali del Gruppo Kumon può coordinare le attività dei31manager locali per la protezione dei dati delle filiali delle sedi. Inoltre, se delegato
dall’incaricato globale per la protezione dei dati, il manager locale per la protezione dei datisarà il punto di contatto per le autorità di supervisione, esclusivamente per questioni locali
riguardanti la protezione dei dati.
3.3

Il manager locale per la protezione dei dati coopererà con l’incaricato globale per la protezione
dei dati e il team globale per la protezione dei dati, in questi termini:(a)Aggiornandoli sulle leggi applicabili sulla protezione dei dati personali;(b)Organizzando formazioni sulla protezione dei dati personali all’interno dell’azienda; e(c)Fornendo informazioni sullo stato della protezione dei dati personali all’internodell’azienda.

4

Procedura di comunicazione interna per i dipendenti

4.1

Kumon rende disponibile a tutti i dipendenti una linea telefonica per comunicare qualsiasi
richiesta riguardante problematiche sulla protezione dei dati personali delineate nelle NVI.

4.2

In alternativa, i dipendenti possono comunicare qualsiasi richiesta riguardante problematichesulla protezione dei dati personali delineate nelle NVI al manager locale per la protezione dei
dati, che la analizzerà e risponderà entro un mese dal ricevimento della richiesta. Se larichiesta riguarda questioni che non sono puramente locali, il manager locale per la protezione
dei dati consulterà il team globale per la protezione dei dati.

4.3

Se il dipendente contesta la risposta del manager locale per la protezione dei dati o del teamglobale per la protezione dei dati, o qualsiasi aspetto di una conclusione, e avvisa lacontroparte di ciò, la questione verrà inoltrata all’incaricato globale per la protezione dei dati.
L’incaricato globale per la protezione dei dati esaminerà il caso e informerà il dipendente dellasua decisione di sostenere le conclusioni della parte chiamata a rispondere o di giungere aun’altra conclusione, entro un mese (che potrebbe essere esteso di due mesi aggiuntivi in basealla complessità e al volume delle richieste) dalla ricezione della richiesta dal rispettivo
team/manager per la protezione dei dati.

4.4

I reclami da parte dei dipendenti riguardanti la gestione dei propri dati da parte delle aziendedel Gruppo Kumon, ai sensi di queste NVI, possono essere presentati come spiegatonell’Appendix II delle NVI.

32

PROTOCOLLO DI FORMAZIONE
1Formazione dei dipendenti

1.1

Tutti i dipendenti coinvolti nelle attività di trasferimento, gestione e raccolta di dati personali
dovranno essere formati sulla protezione dei dati personali, compreso il contenuto delle NVI
e le leggi applicabili sulla protezione dei dati (i) come parte della loro formazione iniziale (ii) ealmeno una volta l’anno. Tale formazione verrà fornita sotto forma di e-learning, seminari inpresenza e altri formati ritenuti adeguati in base alle circostanze.

1.2

Il team globale per la protezione dei dati preparerà il materiale per le formazioni e lo fornirà
al manager locale per la protezione dei dati. Il manager locale per la protezione dei dati
guiderà la formazione dei dipendenti dell’azienda e conserverà un registro dei risultati dellaformazione, che fornirà al team globale per la protezione dei dati.

1.3

Lo scopo di queste formazioni è che i dipendenti siano formati sui principi base di protezione,
riservatezza e sicurezza dei dati personali e tutti i sistemi di informazioni che contengono dati
personali.

1.4

Kumon fornirà le seguenti opportunità aggiuntive di formazione se lo riterrà adeguato:-E-learning speciale per i dipendenti con ruoli manageriali;-

Formazioni progettate per reparti specifici (ad es. Risorse Umane, IT, uffici locali); e-

Opportunità di formazione globali, come e-learning sull’intranet globale e
conferenze infragruppo.

1.5

La formazione verterà sui seguenti argomenti:-

Il contenuto delle leggi locali sulla protezione dei dati personali;-

Il contenuto ed eventuali cambiamenti delle NVI; e-che impatto ha la legge sulla protezione dei dati personali su Kumon (incluse lemigliori pratiche per rispettare le NVI).

33

PROTOCOLLO DI REVISIONE
1

Principi della revisione

1.1

Kumon accetta di essere sottoposto all’obbligo di effettuare regolarmente revisioni dellaprotezione dei dati, svolte da revisori interni o esterni accreditati, o su richiesta specifica
dell’incaricato globale per la protezione dei dati.

2Struttura della revisione

2.1

L’incaricato globale per la protezione dei dati organizzerà l'attività del revisore interno oesterno accreditato (il “Team di revisione”) come ritiene necessario, per eseguire revisioni
indipendenti del rispetto di tutti gli aspetti delle NVI, compresi metodi per garantire che leazioni correttive vengano adottate e applicate.

2.2

Il team di revisione sarà responsabile di eseguire e/o supervisionare le revisioni indipendentidel rispetto delle NVI e garantirà che tali revisioni prendano in considerazione tutti gli aspettidelle NVI. Inoltre, il team di revisione è responsabile di garantire che qualsiasi problematica o
caso di non conformità siano portati all’attenzione del team globale per la protezione dei dati
e dei rispettivi manager locali per la protezione dei dati.

3

Processo di revisione

3.1

Le revisioni coinvolgeranno tutti gli aspetti delle NVI e identificheranno modalità di azioni
correttive che potrebbero essere necessarie come risultato della revisione.

3.2

Le revisioni dell’ottemperanza delle NVI si svolgono:(a)almeno una volta l’anno in conformità con le procedure di revisione di Kumon;(b)

su richiesta dell’incaricato globale per la protezione dei dati e/o del consiglio di
amministrazione di KIE; e/o(c)come ritenuto necessario da parte del team globale per la protezione dei dati (adesempio, in risposta a un evento specifico).

3.3

Il team di revisione svolgerà un’analisi di rischio per determinare l’ambito della revisione, checonsidererà le problematiche pertinenti come: rischio nuovo o specifico per l’attività

34

dell’azienda sottoposta a revisione; cambiamenti ai sistemi o alle procedure di sicurezza;l’oggetto di revisioni o reclami precedenti; natura e luogo dei dati personali, come anche il
metodo di trattamento.
3.4

La revisione avverrà tramite ispezione in loco, colloqui con il personale interessato,questionari, revisione di documenti o altri metodi ritenuti adeguati dal team di revisione.

3.5

I risultati di tutte le revisioni verranno comunicati all’incaricato globale per la protezione dei
dati e al consiglio di amministrazione di KIE.

3.6

Una copia dei risultati delle revisioni sarà fornita alle autorità di supervisione su richiesta.

3.7

Tutte le aziende del Gruppo Kumon accettano di essere sottoposte a revisione da parte delle
autorità di supervisione e rispetteranno le raccomandazioni delle autorità di supervisione sulle
problematiche relative a tali regole.

35

PROCEDURA DI AGGIORNAMENTO
1

Cambiamenti alle NVI

1.1

Kumon comunicherà tutti i cambiamenti alle NVI senza indugio alle autorità di supervisione
competenti tramite le autorità di supervisione e a tutte le aziende del Gruppo Kumon.

2

Cambiamenti alle NVI che non richiedono autorizzazione

2.1

Gli aggiornamenti delle NVI o dell’elenco di aziende del Gruppo Kumon possono essere
effettuati senza obbligo di richiedere un’autorizzazione, se:(a)L’incaricato globale per la protezione dei dati mantiene un elenco aggiornato delleaziende del Gruppo Kumon vincolato dalle NVI e dei 3.3 al trattamento nominati daKumon per il trattamento di dati personali. Tale elenco è accessibile agli interessati ealle autorità di supervisione su presentazione di una valida richiesta.

(b)L’incaricato globale per la protezione dei dati tiene un registro dei cambiamenti alle NVI,
comprendente la data in cui i cambiamenti prendono effetto e i dettagli dei
cambiamenti effettuati, e fornisce le informazioni necessarie, su richiesta, agliinteressati o alle autorità di supervisione.

(c)

Non vengono eseguiti trasferimenti a nuovi membri fino a quando questi nuovi membri
non sono effettivamente vincolati dalle NVI e possono ottemperarle.

(d)Tutti i cambiamenti alle NVI o all’elenco di aziende del Gruppo Kumon devono essere
segnalati una volta all’anno alle autorità di supervisione che forniscono le autorizzazioni,
con una breve spiegazione delle motivazioni che giustificano l’aggiornamento.

(e)Tutti i cambiamenti alle NVI che possono influenzare il livello di protezione offerto dalle
NVI o influenzare significativamente le NVI vengono comunicati tempestivamente alle
autorità di supervisione competenti, tramite l’autorità di supervisione competente.

36