Normas corporativas
vinculantes
Políticas para el encargadodel tratamiento

SUMARIO
1.

Introducción .......................................................................................................................... 32.

Palabras clave ........................................................................................................................ 6

3.

Obligaciones del encargado del tratamiento ...................................................................... 10
Compromisos del encargado del tratamiento ............................................................. 10
Derechos de los clientes .............................................................................................. 14

4.

Transferencia de datos personales ..................................................................................... 15
Transferencia de datos personales .............................................................................. 15

5.

Compromisos prácticos ....................................................................................................... 16
Seguridad y confidencialidad ....................................................................................... 16
Responsabilidad proactiva ........................................................................................... 17
Programa de formación ............................................................................................... 18
Programa de auditoría ................................................................................................. 18
Relación entre la legislación nacional y las NCV .......................................................... 18
Mecanismos de reclamación ....................................................................................... 20
Cooperación con las autoridades ................................................................................. 20
Actualización de las normas ......................................................................................... 20

6.

Derechos de terceros beneficiarios y responsabilidad ....................................................... 21
Derechos de terceros beneficiarios ............................................................................. 21
Responsabilidad y carga de la prueba.......................................................................... 22

7.

Disposiciones finales ........................................................................................................... 24
Disposiciones finales .................................................................................................... 24

Appendix I

Lista de empresas del grupo Kumon ................................................................ 25

Appendix II

Acceso a los datos y procedimientos de reclamación ...................................... 26

1

Reclamaciones dirigidas a Kumon ................................................................................... 26

1

2

Derechos del interesado: Solicitudes de acceso a los datos ........................................... 28

3

Derechos del interesado: Otras solicitudes ..................................................................... 29

Appendix III

Estructura de cumplimiento ............................................................................. 30

1

Delegado internacional de protección de datos.............................................................. 30

2

Equipo internacional de protección de datos.................................................................. 31

3

Encargado local de protección de datos.......................................................................... 31

4

Procedimiento de comunicación interna para la plantilla............................................... 32

Appendix IV
1

Protocolo de formación .................................................................................... 34

Formación del personal ................................................................................................... 34

Appendix V

Protocolo de auditoría ...................................................................................... 35

1

Principios de auditoría ..................................................................................................... 35

2

Estructura de la auditoría ................................................................................................ 35

3

Proceso de auditoría ........................................................................................................ 35

Appendix VI

Procedimiento de actualización ....................................................................... 37

1

Cambios en las NCV ......................................................................................................... 37

2

Cambios en las NCV que no requieren autorización ....................................................... 37

2

1. INTRODUCCIÓN
¿Quiénes somos?
Kumon es un proveedor internacional líder en servicios de educación individualizada,
encabezado por Kumon Institute of Education Co., Ltd. Kumon ofrece programas deaprendizaje a alumnos de diversas edades basados en el «método Kumon», desarrollado demanera totalmente independiente. Estos programas se ofrecen a través de la red internacionalde franquicias Kumon, además de en centros de estudio propios, y de socios licenciatarios.

¿Qué son las normas corporativas vinculantes (NCV)?
Con el fin de cumplir con nuestra misión de ayudar a tantas personas como sea posible adescubrir su potencial y desarrollar sus capacidades al máximo gracias a nuestro método,
Kumon compartirá datos personales entre las empresas del grupo. Es importante para nosotros
proteger adecuadamente los datos personales que manejamos. Kumon adopta las normas
corporativas aquí dispuestas para establecer los principios de Kumon en materia de protecciónde datos personales y las normas que seguiremos cuando compartimos datos personales con
empresas del grupo Kumon establecidas fuera del EEE.
Las normas corporativas vinculantes consisten en dos conjuntos de políticas: normas
corporativas vinculantes para el responsable del tratamiento y normas corporativas vinculantes
para el encargado del tratamiento. En este documento se recogen las normas corporativas
vinculantes para el encargado del tratamiento y nos referiremos a ellas como «NCV».
Estas NCV describen la forma en la que las empresas del grupo Kumon cumplirán con lanormativa de protección de datos cuando actúen como encargados del tratamiento para un
tercero, incluidos los orientadores franquiciados.
Además, estas NCV estarán publicadas en los principales sitios web de Kumon.

¿Qué cubren las NCV?
Estas NCV cubren la recogida, transferencia y cualquier otro tratamiento por parte de las
empresas del grupo Kumon (véase lista en Apéndice I) de datos personales procedentes delEEE. Estos podrán incluir los siguientes datos:
Orientadores franquiciados

3

Nombre, dirección, nombre del centro, información de contacto,
información profesional y educativa, trayectoria y experiencia como
Tipos de datos

orientador, así como otra información que guarde el orientador
franquiciado en el servidor y los sistemas empleados para operar en
los centros Kumon.

Transferencias fuera



A Kumon Institute of Education Co., Ltd., con sede en Japón.

del EEE

A Kumon Europe & Africa Limited, con sede en el Reino Unido

Ofrecer apoyo informático y mantenimiento del servidor y de lossistemas empleados por los orientadores para operar en losFinalidad

centros Kumon.


Ofrecer apoyo administrativo

Alumnos que estudian (o están interesados en estudiar) los programas de Kumon
Nombre, número de identificación del alumno, nombre del centro
Kumon, dirección, edad, curso escolar, evolución en Kumon, tiempo
Tipos de datos

de estudio, así como otra información que guarde el orientador
franquiciado en el servidor y los sistemas empleados para operar en
los centros Kumon.

Transferencias fuera



A Kumon Institute of Education Co., Ltd., con sede en Japón.

del EEE

A Kumon Europe & Africa Limited, con sede en el Reino Unido

Ofrecer apoyo informático y mantenimiento del servidor y de lossistemas empleados por los orientadores para operar en losFinalidad

centros Kumon.


Ofrecer apoyo administrativo

Familiares de alumnos
Nombre, nombre del alumno, parentesco, dirección, información deTipos de datos

contacto, así como otra información que guarde el orientador
franquiciado en el servidor y los sistemas empleados para operar en
los centros Kumon.

Transferencias fuera



A Kumon Institute of Education Co., Ltd., con sede en Japón.

del EEE

A Kumon Europe & Africa Limited, con sede en el Reino Unido

Ofrecer apoyo informático y mantenimiento del servidor y de lossistemas empleados por los orientadores para operar en losFinalidad

centros Kumon.


Ofrecer apoyo administrativo4Las NCV son de aplicación en todo tipo de tratamiento de datos, ya sea automático o manual,de cualquier naturaleza.

¿Quién debe cumplir las NCV?
Las empresas del grupo Kumon que se recogen en el Apéndice I y su personal deben respetar las
NCV. Cada una de estas empresas está sujeta a las NCV mediante un acuerdo interempresarial ytiene la obligación de tomar las medidas necesarias para garantizar que tanto la empresa como losmiembros del personal las cumplen.
La lista de empresas del grupo Kumon que se recogen en el Apéndice I se podrá actualizar cuando
corresponda de acuerdo con el procedimiento de actualización descrito en el Apéndice VI.

Tengo una duda sobre las NCV. ¿A quién debo preguntar?
Los miembros del grupo Kumon que deseen aclarar cualquier duda o cuestión relacionada conlas NCV y con los derechos que ostentan en cuanto a la recogida y el tratamiento de datos podrán
ponerse en contacto en el equipo internacional de protección de datos en la dirección
bcr@kumon.co.jp.

52. PALABRAS CLAVE
Las siguientes palabras clave se definen a continuación a efectos de las NCV:(a) «Niño» o «Niños»

Toda persona menor de 16 años (o de cualquier edad que,conforme a la legislación pertinente del EEE, requieraconsentimiento de un tutor para el tratamiento de datos
personales).

(b) «Cliente»

Cuando Kumon actúa en calidad de encargado del tratamiento, el
responsable del tratamiento o el encargado del tratamiento por
cuenta del cual está Kumon tratando los datos. Para disipar
equívocos, el cliente nunca es otra empresa del grupo Kumon.

(c) «Acuerdo con elcliente»(d) «Responsable deltratamiento»

El acuerdo entre Kumon y el cliente por el que se establecen lostérminos a los que está sujeto el tratamiento de datos personales.
Persona física o jurídica, autoridad pública, servicio u otro
organismo que, solo o junto con otros, determine los fines y medios
del tratamiento, o haya sido nombrada como tal en virtud de lo
dispuesto en la legislación aplicable.

(e) «Encargado deltratamiento»

Persona física o jurídica, autoridad pública, servicio u otro
organismo que trate datos personales por cuenta del responsabledel tratamiento.

(f) «EEE»

Espacio Económico Europeo. Sin perjuicio de lo anterior, durante elperiodo de transición en el que el Reino Unido sigue sujeto a lalegislación de la UE, se entiende que el término «EEE» incluye elReino Unido.

(g) «Legislación del EEE»

Legislación de la Unión Europea y los Estados miembros de los que
proceden los datos personales obtenidos o tratados en primer lugar
dentro del EEE.

(h) «Entidad principal
dentro del EEE»

Kumon Europa y África, empresa del grupo Kumon que está
establecida y opera en el Reino Unido. Sin perjuicio de lo anterior,
una vez concluido el periodo de transición en el que el Reino Unido

6

sigue sujeto a la legislación de la UE, Kumon Instituto de Educaciónde España, empresa del grupo Kumon que está establecida y opera
en España, pasará a ser la entidad principal dentro del EEE.
(i) «Miembros delpersonal»

Toda persona dentro de la organización de una empresa del grupo
Kumon que se dedica a las actividades de la empresa bajo la
dirección y supervisión, directa o indirecta, de la empresa del grupo
Kumon; además de los empleados con relación contractual (atiempo completo, a tiempo parcial, por obra o servicio, etc.),
incluye encargados, directores, auditores internos, trabajadores
temporales, etc. Para disipar equívocos, «miembro del personal»
no incluye proveedores, personas subcontratadas ni
orientadores/trabajadores de los centros Kumon.

(j) «Orientadores
franquiciados»(k) «RGPD»

Todo orientador autorizado a orientar alumnos con el método
Kumon por haber firmado un contrato de franquicia con Kumon.
REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DELCONSEJO de 27 de abril de 2016 relativo a la protección de laspersonas físicas en lo que respecta al tratamiento de datos
personales y a la libre circulación de estos datos y por el que sederoga la Directiva 95/46/CE (Reglamento general de protección dedatos), con las modificaciones que puedan surgir.

(l) «Tutor»

Padre/madre o persona con patria potestad sobre un interesadodado.

(m) «Interesado»

Persona cuyos datos personales se han transferido de una empresadel grupo Kumon dentro del EEE a una empresa del grupo Kumon
fuera del EEE.

(n) «KIE»

Kumon Instituto de Educación(o) «Kumon»

Las principales empresas del grupo Kumon o todas las empresas delgrupo Kumon en su conjunto, en función del contexto.

(p) «Empresa del grupo
Kumon»

Toda entidad recogida en el Apéndice I, el cual se actualizará
cuando corresponda de acuerdo con el Apéndice VI.

7

(q) Autoridad principal
de control

La Agencia Española de Protección de Datos (AEPD) o cualquier otra
autoridad de control debidamente nombrada como tal para las NCV
en virtud de lo dispuesto en la legislación aplicable.

(r) «Estado miembro»

Todo país perteneciente al EEE.

(s) «Datos personales»

Toda información procedente del EEE sobre una persona física
identificable, directa o indirectamente, en particular mediante un
identificador, como por ejemplo un nombre, un número deidentificación, datos de localización, un identificador en línea o uno
o varios elementos propios de la identidad física, fisiológica,
genética, psíquica, económica, cultural o social de dicha persona
física.

(t) «Tratamiento»(de datos personales)

Toda operación o conjunto de operaciones realizadas sobre datos
personales o conjuntos de datos personales, ya sea por
procedimientos automatizados o no, como la recogida, registro,organización, estructuración, conservación, adaptación omodificación, extracción, consulta, utilización, comunicación por
transmisión, difusión o cualquier otra forma de habilitación deacceso, cotejo o interconexión, limitación, supresión o destrucción.

(u) «País dePaís en el que tiene lugar el tratamiento de los datos personales.

tratamiento»(v) «Categorías

Datos personales que revelen el origen étnico o racial, las opiniones

especiales de datos

políticas, las convicciones religiosas o filosóficas, o la afiliación

personales»sindical, y el tratamiento de datos genéticos, datos biométricos odatos relativos a la salud, a la vida sexual o la orientación sexual deuna persona física.

(w) «Autoridad deAutoridad pública independiente establecida por un Estado

control»

miembro responsable de supervisar la aplicación del RGPD.

(x) «Tercero»

Persona física o jurídica, autoridad pública, servicio u organismo,
distinto del interesado, del responsable del tratamiento o deKumon, que actúa en calidad de encargado del tratamiento. Para8

disipar equívocos, «tercero» no incluye otras empresas del grupo
Kumon.
(y) «Tercero
beneficiario»

Persona que disfruta de los derechos de terceros beneficiarios envirtud de lo establecido en el Apartado 6.1.1.

9

3. OBLIGACIONES DEL ENCARGADO DEL
TRATAMIENTO
Compromisos del encargado del tratamiento
3.1.1

Compromisos básicos: Cuando Kumon actúa en calidad de encargado del tratamiento:(a)Kumon tratará datos personales únicamente de acuerdo con con las instrucciones
documentadas de su cliente, que incluyen transferencia de datos a terceros países,a menos que el tratamiento sea obligatorio conforme a lo establecido en lalegislación a la que esté sujeto. En tal caso, Kumon informará al cliente de esa
exigencia legal previa al tratamiento, a menos que la legislación aplicable lo prohíba
por razones importantes de interés público. Las empresas del grupo Kumon que serecogen en el Apéndice I y su personal deben respetar las instrucciones del cliente
en cuanto al tratamiento de los datos y a las medidas de seguridad y
confidencialidad, en virtud del acuerdo con el cliente y tal como se especifica en elapartado (b) a continuación;(b)

Kumon aplicará las medidas técnicas y organizativas apropiadas para garantizar unnivel de seguridad adecuado al riesgo que presenta el tratamiento (tal como se
define en las disposiciones del Apartado 5.1), y deberá aplicar las medidas técnicas
y organizativas especificadas en el acuerdo con el cliente, incluida la seguridad delos datos coherente con el RGPD. En este contexto, Kumon ayudará al cliente a
cumplir con sus obligaciones;(c)

Kumon se asegurará de que aplica las medidas necesarias con arreglo a lassolicitudes del cliente con el fin de garantizar que los datos personales se mantienen
actualizados y adecuados, corregidos o suprimidos. Kumon garantizará que todas
las empresas del grupo Kumon o subencargados externos a los que se les hayan
comunicado los datos estén informados de cualquier rectificación o supresión dedatos;(d)Kumon aplicará medidas para suprimir y ocultar la identidad de los datos personales
que esté tratando por cuenta del cliente de acuerdo con las solicitudes del cliente
desde el momento en el que la identificación deje de ser necesaria y garantizará que
todas las entidades a las que se hayan comunicado los datos estén informadas deque se han suprimido o se ha ocultado la identidad de los datos.

(e)Kumon estará sujeto al deber de transparencia y lealtad, y por lo tanto ayudará al10cliente a cumplir con la legislación, en particular, con los requisitos de protección dedatos, en un plazo de tiempo razonable y en la medida de lo razonablemente posible,
incluido el deber de comunicar cualquier información útil para ayudar al cliente a
dar respuesta a las solicitudes de los interesados sobre el ejercicio de sus derechos,tramitar sus reclamaciones y a poder responder a las investigaciones o consultas dela autoridad de control;(f)Kumon aplicará las medidas necesarias, siempre que sea posible, cuando lo solicite
el cliente, para que este pueda cumplir con su obligación de responder a lassolicitudes que tengan por objeto el ejercicio de los derechos de los interesados,
incluido comunicar toda información útil con el fin de ayudar al cliente a cumplir
con la obligación de respetar los derechos de los interesados. Kumon transmitirá sin
dilación al cliente toda solicitud de un interesado sin responderla, a menos que esté
autorizado a ello;(g)Kumon tendrá el deber de poner a disposición del cliente cualquier información
necesaria para demostrar el cumplimiento de las obligaciones establecidas en el
presente documento y permitirá al cliente efectuar auditorías por su cuenta o porparte de otro auditor autorizado conforme a lo establecido en el Apéndice V.
Además, Kumon informará inmediatamente al responsable si, en su opinión, una
instrucción infringe estas NCV u otra legislación aplicable.

(h)Kumon ayudará al cliente a cumplir con las obligaciones que se derivan de larealización de las evaluaciones de impacto relativas a la protección de datos (según
se detalla en el Apartado 5.2).

(i)Kumon ayudará al cliente a aplicar las medidas técnicas y organizativas apropiadas
que estén diseñadas para aplicar los principios de protección de datos de maneraefectiva y para integrar las garantías necesarias en el tratamiento, con el fin defacilitar el cumplimiento de estas NCV (según se detalla en el Apartado 5.2.5.);(j)Kumon tratará datos personales por cuenta del cliente en el marco del acuerdo
celebrado con el cliente, el cual cumplirá y respetará todos los requisitos dispuestos
en el RGPD.

3.1.2

Incapacidad de cumplimiento total: En caso de que en algún momento, durante la vigenciadel acuerdo con el cliente, Kumon no sea capaz de cumplir totalmente con una o varias delas obligaciones establecidas en el Apartado 3.1.1, incluso cuando Kumon tenga motivospara creer que la legislación existente o futura aplicable puede impedir que se cumplan las
instrucciones del cliente u otras obligaciones conforme a lo establecido en las NCV o en elacuerdo con el cliente, avisará de ello al cliente inmediatamente. En tal caso, el cliente

11

tendrá derecho a suspender la transferencia de datos o a terminar el acuerdo con efecto
inmediato. Además, Kumon avisará inmediatamente a la entidad principal dentro del EEE ya las autoridades de control competentes en relación con el cliente y en relación con Kumon.
3.1.3

Devolución o destrucción de datos personales: Una vez terminado o expirado el acuerdo
con el cliente, Kumon se compromete a devolver o destruir todos los datos personales
tratados y de suprimir las copias existentes de acuerdo con las instrucciones del cliente, ydará fe al cliente de haberlo hecho, a menos que la legislación aplicable exija almacenar losdatos personales transferidos. En tal caso, Kumon informará al cliente y asegurará que va agarantizar la confidencialidad de los datos personales transferidos y que no los tratará
activamente.

3.1.4

Información que deberá facilitarse a los interesados: Las NCV serán de fácil acceso para losinteresados.

Kumon

se

comprometeapublicar

las

NCV

en

el

sitio

web

https://www.kumongroup.com/eng/bcr/ con el fin de garantizar que las NCV son de fácil
acceso para los interesados.
3.1.5

Base jurídica para el tratamiento de datos personales: Cuando ello redunde en una mayor
claridad, Kumon no tendrá obligación de determinar la base jurídica para el tratamiento dedatos personales y, en su caso, para las categorías especiales de datos personales por cuentade Kumon del cliente. Determinar la base jurídica para el tratamiento que emprenda Kumonde conformidad con las instrucciones del cliente será responsabilidad exclusivamente delcliente o del máximo responsable del tratamiento.

3.1.6

Nombramiento de un subencargado: Kumon informará al cliente y le solicitará previamente
una autorización informada por escrito, ya sea específica o general, antes de nombrar a un
subencargado (sea un tercero encargado del tratamiento o sea otra empresa del grupo
Kumon) para llevar a cabo el tratamiento por cuenta de Kumon. El acuerdo con el cliente
podrá especificar una autorización previa general al comienzo del servicio, en cuyo caso
Kumon informará al cliente del subencargado en el momento de la celebración del acuerdo,
y posteriormente, de cualquier intención de cambio relativa a la incorporación o reemplazode un subencargado a su debido tiempo, de forma que el cliente tenga la oportunidad derechazar el cambio o terminar el acuerdo con el cliente antes de que los datos se transfieran
al nuevo subencargado. Solo se nombrarán subencargados que ofrezcan suficientes
garantías con respecto a los compromisos de Kumon en materia de NCV, en particular,aquellos que sean capaces de establecer y proporcionar medidas técnicas y organizativas

12

apropiadas que rijan su tratamiento de datos personales. Kumon garantizará lo anterior dela siguiente forma:(a)garantizando que el subencargado actuará solo siguiendo las instrucciones deKumon en lo que respecta a los datos personales en cuestión;(b)celebrando un acuerdo por escrito que imponga al subencargado las mismas
obligaciones en materia de protección de datos que establece el acuerdo con elcliente, en particular, que incluya los compromisos del subencargado con respecto
a seguridad y confidencialidad de los datos personales que estén siendo tratados,de acuerdo con las NCV y cualquier otro requisito establecido en el Apartado 5.1.4;
y(c)estableciendo cualquier otra obligación que sea necesaria para garantizar que loscompromisos del subencargado están en consonancia con las NCV en cuanto al
tratamiento de los datos personales en cuestión (como garantizar que elsubencargado está obligado a cumplir con los deberes de Kumon ante el cliente,incluidos, entre otros, los que se establecen en los Apartados 3.1.1, 3.1.3, 3.1.4 y
3.1.9).

3.1.7

Incumplimiento de un subencargado: Kumon no tendrá derecho a basarse en un
incumplimiento de obligaciones de un subencargado para eludir sus propias
responsabilidades ante el cliente.

3.1.8

Incorporación de las NCV en el acuerdo con el cliente: Si el acuerdo con el cliente conllevatransferencias de datos personales contempladas en las NCV, Kumon incorporará al acuerdo
con el cliente sus obligaciones en calidad de encargado del tratamiento añadiendo las NCV
como anexo o una referencia a estas accesible electrónicamente, a petición del cliente.

3.1.9

Notificación de violación de la seguridad de los datos personales/entrega del informe deauditoría al cliente: Cuando tiene lugar una violación de la seguridad o de la confidencialidad
de los datos personales tratados por Kumon para un cliente, Kumon informará (i) al cliente
en calidad de responsable del tratamiento en caso de que Kumon sea el encargado deltratamiento, y (ii) al responsable del tratamiento y al cliente en caso de que Kumon sea elsubencargado, sin dilación indebida tras conocer cualquier violación de la seguridad de losdatos; además, ayudará al cliente a cumplir con sus obligaciones a este respecto y entregará
al cliente que lo solicite el informe de auditoría preparado conforme a lo establecido en el
Apartado 5.4 .

13

3.1.10 Solicitudes de comunicación: En caso de que Kumon reciba una solicitud legalmente
vinculante por parte de la autoridad encargada de la aplicación de ley para comunicar datos
personales tratados por cuenta de un cliente, Kumon informará de ello al cliente a menos
que esté prohibido (por ejemplo, conforme a lo establecido en la legislación penal parapreservar la confidencialidad de una investigación llevada a cabo por dicha autoridad
encargada de la aplicación de la ley). En cualquier caso, Kumon tramitará la solicitud decomunicación de la forma que se establece en el Apartado 5.5.4.

Derechos de los clientes
3.2.1

Responsabilidad ante el cliente: El cliente tiene derecho a hacer cumplir con lo siguiente:(a)estas NCV y el acuerdo con el cliente a cualquier empresa del grupo Kumon que
haya cometido la violación de la seguridad de los datos;(b)estas NCV y el acuerdo con el cliente a la entidad principal dentro del EEE (empresadel grupo Kumon con las responsabilidades sobre la protección de datos delegadas
según se detalla en el Apartado 6.2) en caso de que la violación de la seguridad delos datos la haya cometido una empresa del grupo Kumon establecida fuera del EEE;o(c)el acuerdo escrito celebrado con un subencargado externo a la entidad principal
dentro del EEE en caso de que la violación de la seguridad la haya cometido un
subencargado externo establecido fuera del EEE.

14

4. TRANSFERENCIA DE DATOS PERSONALES
Transferencia de datos personales
4.1.1

Transferencia de datos personales para su tratamiento: Kumon limitará las transferencias
y transferencias ulteriores de datos personales a otro encargado del tratamiento(independientemente de si se trata de un tercero o de otra empresa del grupo Kumon), salvo
que:
(a)

haya alcanzado acuerdos con el encargado del tratamiento que respeten cualquierrequisito descrito en el Apartado 3.1.6 y con cualquier requisito estipulado en el
RGPD previo a la transferencia en cuestión, y(b)tome de otra manera las medidas necesarias para garantizar la protección adecuada
de conformidad con el RGPD de los datos personales a los que afecta latransferencia.

4.1.2

Transferencia de datos y transferencias ulteriores: En base a las instrucciones del cliente yde conforme a lo establecido en el Apartado 3.1.1(a), Kumon limitará la transferencia dedatos y las transferencias ulteriores a toda entidad fuera del EEE (independientemente de si
se trata de un tercero o de otra empresa del grupo Kumon), salvo que la transferencia
cumpla con el RGPD en lo relativo a transferencia de datos personales, y concretamente:(a)la transferencia se realice a un tercer país u organización internacional cuyo nivel deprotección sea adecuado según las autoridades competentes;(b)

la transferencia esté sujeta a las garantías adecuadas, reconocidas en el RGPD, quegarantizan que los interesados cuenten con derechos exigibles y acciones legales
efectivas;(c)la transferencia cumpla con la condición especificada como excepción regulada enel RGPD, o(d)si la transferencia se realiza a otra empresa del grupo Kumon fuera del EEE, latransferencia tendrá lugar de acuerdo con estas NCV.

15

5. COMPROMISOS PRÁCTICOS
Seguridad y confidencialidad
5.1.1

Medidas técnicas y organizativas: Kumon garantizará una seguridad adecuada en el
tratamiento de los datos personales, incluida la protección contra el tratamiento no
autorizado o ilícito y contra su pérdida, destrucción o daño accidental, en particular cuando
el tratamiento implique la transmisión de datos personales a través de una red, así como
contra toda forma ilícita de tratamiento. Kumon garantizará lo anterior aplicando medidas
técnicas y organizativas apropiadas que se actualizarán cuando corresponda.

5.1.2

Nivel de seguridad: Se aplicarán medidas técnicas y organizativas apropiadas para garantizar
un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica (talcomo se define en el Artículo 32 del RGPD), los costes de aplicación, y la naturaleza, el
alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad
variables para los derechos y libertades de las personas físicas.

5.1.3

Cumplimiento del personal: Los miembros del personal solo podrán llevar a cabo el
tratamiento de datos personales de acuerdo con lo establecido en las NCV. Todo miembrodel personal que incumpla las NCV podrá ser sometido a medidas disciplinarias (incluido el
despido).

5.1.4

Acuerdos escritos con los encargados del tratamiento: Kumon garantizará que todo
encargado del tratamiento (sea un tercero o sea otra empresa del grupo Kumon) que llevea cabo el tratamiento de datos personales por cuenta de Kumon se compromete, mediante
un acuerdo escrito (tal como se detalla en el Apartado 4.1) que incluye y es compatible con
todos los elementos del Artículo 28.3 del RGPD, a actuar únicamente de acuerdo con las
instrucciones de Kumon y a responsabilizarse de la aplicación de las medidas oportunas deseguridad y confidencialidad, así como a notificar a Kumon cualquier violación de laseguridad de los datos personales sin dilación indebida.

5.1.5

Violación de la seguridad de los datos personales: Además de informar al cliente o al
responsable del tratamiento conforme a lo establecido en el Apartado 3.1.9, se
documentará cualquier violación de la seguridad de los datos personales (incluidos loshechos relacionados con ella, sus efectos y las medidas correctivas adoptadas). Dicha

16

documentación estará a disposición de la autoridad de control competente que lo solicite.

Responsabilidad proactiva
5.2.1

Kumon será responsable del cumplimiento de estas NCV y capaz de demostrarlo.

5.2.2

Registro de las actividades de tratamiento: Kumon garantizará que se lleva un registro claro
de las actividades de tratamiento efectuadas, y este incluirá:(a)el nombre y los datos de contacto de:(i)el encargado o los encargados del tratamiento y de todos los responsables
del tratamiento por cuenta de los cuales está actuando el encargado deltratamiento, y(ii) en su caso, el representante del responsable del tratamiento o delencargado del tratamiento, y el delegado de protección de datos;(b)

una descripción de las categorías de interesados y de las categorías de datos
personales tratados por el responsable del tratamiento o su representante;(c)

una descripción general de las medidas técnicas y organizativas de seguridad
aplicadas;(d)en su caso, las transferencias de datos personales a un tercer país o una
organización internacional, incluida la identificación de dicho tercer país uorganización internacional, y la documentación de garantías adecuadas en el casode transferencia a países cuya autoridad de control no haya tomado la decisión degarantizar el nivel de protección adecuado, y(e)cualquier otra información que deba ser registrada conforme a lo establecido en el
RGPD.

5.2.3

Kumon mantendrá registro de las actividades de tratamiento por escrito (incluido formato
electrónico) y lo pondrá a disposición de la autoridad de control que lo solicite.

5.2.4

Evaluación de impacto relativa a la protección de datos: Kumon determinará la necesidad
de una evaluación del impacto de las operaciones de tratamiento en la protección de datos
personales que entrañen un alto riesgo para los derechos y libertades de las personas físicas.
Kumon consultará a la autoridad de control antes de proceder al tratamiento cuando losresultados muestren que el tratamiento entrañaría un alto riesgo si el responsable no toma
medidas para para mitigarlo.

175.2.5

Protección de datos desde el diseño y por defecto: Kumon aplicará las medidas técnicas yorganizativas apropiadas que estén diseñadas para aplicar los principios de protección dedatos de manera efectiva y para integrar las garantías necesarias en el tratamiento, con el
fin de facilitar el cumplimiento de estas NCV.

5.2.6

Kumon nombrará un delegado internacional de protección de datos, con apoyo de la alta
dirección, para supervisar y garantizar el cumplimiento de las NCV en Kumon, de acuerdo
con el protocolo descrito en el Apéndice III.

Programa de formación
5.3.1

Kumon ofrecerá la formación pertinente en materia de NCV a los miembros del personal deacuerdo con el protocolo descrito en el Apéndice IV.

5.3.2

Ningún miembro del personal podrá (i) transferir datos personales a un país fuera del EEE ni(ii) manipular datos personales fuera del EEE sin antes haber recibido la formación
pertinente para hacerlo.

Programa de auditoría
5.4.1

Kumon auditará su cumplimiento de las NCV de acuerdo con el protocolo descrito en el
Apéndice V.

Relación entre la legislación nacional y las NCV
5.5.1

Si la legislación de un país en el que se traten datos personales exige un nivel de protección
mayor, esta tendrá prioridad sobre las NCV.

5.5.2

Si Kumon tiene motivos para creer que la legislación nacional existente o futura del país detratamiento puede impedir que se cumplan las obligaciones establecidas en las NCV, opuede afectar sustancialmente a las garantías recogidas en las NCV, Kumon deberáninformar inmediatamente al equipo internacional de protección de datos (véase Apéndice
III), a la entidad principal dentro del EEE, al cliente, a la autoridad de control competentepara el responsable del tratamiento y a la autoridad de control competente para elencargado del tratamiento, en su caso, a menos que lo prohíba la autoridad encargada de laaplicación de la ley (incluidas las obligaciones estipuladas en la legislación penal para18

preservar la confidencialidad de una investigación llevada a cabo por dicha autoridad
encargada de la aplicación de la ley). El cliente tendrá derecho a suspender la transferencia
de datos o a terminar el acuerdo con efecto inmediato.
5.5.3

En caso de conflicto entre la legislación nacional y los compromisos de las NCV, el delegado
internacional de protección de datos (véase Apéndice III) tomará una decisión responsable
en cuanto a las acciones que se deben tomar y consultará con las autoridades de control
competentes en caso de duda.

5.5.4

Si Kumon tiene motivos para considerar probable que los requisitos jurídicos de aplicación
en un país tercero puedan tener un efecto adverso sustancial en las garantías que ofrecenlas NCV, incluidas las solicitudes legalmente vinculantes de comunicación de datos
personales por parte de una autoridad encargada de la aplicación de ley o cuerpo deseguridad del estado, Kumon informará inmediatamente al equipo internacional deprotección de datos (de acuerdo con el procedimiento establecido en el Apéndice III), a laautoridad de control competente y al cliente de lo siguiente:(a)la solicitud (incluido el tipo de dato solicitado);(b)el organismo solicitante, y(c)la base jurídica de la solicitud,a menos que lo prohíba una autoridad encargada de la aplicación de ley (incluidas las
obligaciones estipuladas en la legislación penal para preservar la confidencialidad de una
investigación llevada a cabo por dicha autoridad encargada de la aplicación de la ley). En tal
caso, Kumon hará todo el esfuerzo posible para obtener el derecho a la exención de dicha
obligación y comunicar la autoridad de control competente tanta información y tan rápido
como sea posible, y demostrar los esfuerzos empleados. Si, a pesar de emplear todos sus
esfuerzos, Kumon no está en posición de informar a la autoridad de control competente,entonces proporcionará una vez al año información general sobre las solicitudes recibidas(incluido el número de solicitudes de comunicación, el tipo de datos personales solicitados
y el solicitante, cuando sea posible)
5.5.5

En cualquier caso, si Kumon tiene la obligación de proporcionar datos personales a una
autoridad pública, esto no deberá afectar a una cantidad ingente o desproporcionada dedatos personales ni constituirá una medida indiscriminada que supere lo que es necesario
en una sociedad democrática.

19

Mecanismos de reclamación
5.6.1

Los interesados cuyos datos personales sean tratados por Kumon tienen derecho a presentar
una reclamación ante Kumon utilizando los procesos para tramitar una reclamación
descritos en el Apéndice II.

5.6.2

Si el cliente ha desaparecido de facto, ha cesado de existir jurídicamente o es insolvente, amenos que otra entidad asuma la totalidad de las obligaciones jurídicas del cliente, Kumon
tramitará las reclamaciones de interesados conforme a lo establecido en los términos y
condiciones establecidos en el Apéndice II.

Cooperación con las autoridades
5.7.1

Cooperación con la autoridad de control: Kumon cooperará con la autoridad de control
competente y ambos se ayudarán para tratar cualquier investigación o consulta puesta en
marcha por autoridades de control.

5.7.2

Cumplimiento de la decisión de la autoridad de control: Kumon acepta someterse a una
auditoría por parte de la autoridad de control competente y seguirá el asesoramiento quele proporcione la autoridad de control competente sobre cualquier cuestión que tenga quever con la interpretación de las NCV. Para disipar equívocos, nada de lo que recoge elpresente documento se interpretará como renuncia de Kumon a su derecho a apelar una
decisión de la autoridad de control competente.

Actualización de las normas
5.8.1

Toda actualización de las NCV se incorporará y se notificará a las autoridades de control y alcliente de acuerdo con los procedimientos descritos en el Apéndice VI.

20

6. DERECHOS DE TERCEROS BENEFICIARIOS YRESPONSABILIDAD
Derechos de terceros beneficiarios
6.1.1

Aplicación de las NCV:

Los interesados tienen derecho a hacer cumplir, como terceros

beneficiarios, directamente a Kumon aquellas disposiciones de las NCV que están dirigidas
específicamente a los encargados del tratamiento y que confieren derechos a los interesados,en particular, los Apartados 3.1.1, 3.1.2, 3.1.3, 3.1.4, 3.1.6, 3.1.9, 3.1.10, 5.1, 5.2, 5.5, 5.6 (y,por extensión, el Apéndice II), 5.7, 6.1 y 6.2. Estos derechos incluyen emprender acciones
judiciales por cualquier violación de los derechos de terceros beneficiarios garantizadas enel presente documento, el derecho a obtener reparación y, en su caso, el derecho a recibir
una indemnización por daños y perjuicios (daños materiales y también psicológicos).
6.1.2

Empresa responsable del grupo Kumon: La entidad principal dentro del EEE será una
empresa del grupo Kumon con sede dentro del EEE, responsable de proteger los derechosde terceros beneficiarios.

6.1.3

Disposiciones en materia de jurisdicción: Los terceros beneficiarios tendrán derecho apresentar una reclamación, en particular, ante:(a)los tribunales competentes de los Estados miembros cuya jurisdicción se encuentreo bien en el lugar donde Kumon o el cliente estén establecidos o donde el tercero
beneficiario tenga su residencia habitual, según elija el tercero beneficiario, y(b)

la autoridad de control competente cuya jurisdicción se encuentre, en particular, obien en el lugar donde el tercero beneficiario tenga su residencia habitual, su lugar
de trabajo o el lugar de la supuesta infracción de las NCV, según elija el tercero
beneficiario.

6.1.4

Derechos de los interesadossobre los datos personales de clientes: Si el cliente ha
desaparecido de facto, ha cesado de existir jurídicamente o es insolvente, a menos que otra
entidad asuma la totalidad de las obligaciones jurídicas del cliente, los interesados cuyos
datos personales estén siendo tramitados por Kumon por cuenta del cliente tendrán
derecho a hacer cumplir las NCV como terceros beneficiarios a Kumon, en calidad deencargado del tratamiento, en particular, los Apartados 3.1.1, 3.1.4, 5.2, 5.5, 5.6 (y, por
extensión, el Apéndice II), 5.7, 6.1, 6.2. y el Apéndice I. Estos derechos incluyen emprender21

acciones judiciales, además de recibir una indemnización de acuerdo con los Apartados 6.1.1
y 6.1.3 anteriores.

Responsabilidad y carga de la prueba
6.2.1

Responsabilidad de la entidad principal dentro del EEE en relación a los datos personales:
La entidad principal dentro del EEE acuerda que:(a)la entidad principal dentro del EEE se responsabilizará y aceptará tomar las acciones
necesarias para subsanar los actos de otras empresas del grupo Kumon de fuera delEEE o la violación de la seguridad de los datos causada por un subencargado
establecido fuera del EEE, y abonar la indemnización por daños y perjuicios
materiales o inmateriales provocados por el incumplimiento de las NCV por partede una empresa del grupo Kumon establecida fuera del EEE; la entidad principal
dentro del EEE confirma que tiene activos suficientes para pagar la indemnización
por los daños y perjuicios provocados por dicho incumplimiento de las NCV;(b)la entidad principal dentro del EEE aceptará la jurisdicción de los tribunales o de
cualquier otra autoridad competente de la UE, así como la responsabilidad por la
violación de las NCV y, en particular, por los derechos de los interesados y de lasacciones judiciales que resulten de dicha violación, como si la hubiera causado laentidad principal dentro del EEE en el Estado miembro en el que esté establecida,en lugar de la empresa del grupo Kumon establecida fuera del EEE o el subencargado
externo o el tercero encargado del tratamiento establecido fuera del EEE, y(c)la entidad principal dentro del EEE no tendrá derecho a basarse en un
incumplimiento de un tercero encargado del tratamiento de sus obligaciones paraeludir sus propias responsabilidades.

6.2.2

Carga de la prueba para datos personales de terceros beneficiarios dentro del EEE:(a)

La entidad principal dentro del EEE soportará la carga de demostrar que la empresadel grupo Kumon establecida fuera del EEE o el subencargado externo no es
responsable de ninguna violación de las NCV que haya supuesto reclamación algunade los interesados por daños y perjuicios.

(b)

En caso de que el cliente pueda demostrar que ha sufrido daños y determinar loshechos que prueban que es probable que dichos daños hayan sido provocados por
incumplimiento de las NCV por una empresa del grupo Kumon o un subencargado
externo establecido fuera del EEE, la entidad principal dentro del EEE deberádemostrar que dicha empresa del grupo Kumon o dicho subencargado externo no22

es responsable del incumplimiento.
(c)

Si la entidad principal dentro del EEE puede demostrar que la empresa del grupo
Kumon o el subencargado externo no es responsable del evento que ha provocado
los daños y perjuicios, podrá quedar exento de toda responsabilidad.

23

7. DISPOSICIONES FINALES
Disposiciones finales
7.1.1

Las NCV entrarán en vigor desde el momento en el que sean aprobadas por la autoridad
principal de control.

24

APPENDIX I

LISTA DE EMPRESAS DEL GRUPO

KUMON
Todas las consultas sobre las NCV deberán remitirse a la siguiente dirección de correo electrónico:
bcr@kumon.co.jp.
RegiónNombre de la empresa

Dirección/Sitio web
Kumon Kyoiku-Kaikan 5-6-6 Nishinakajima Yodogawa-JAPÓN

Kumon Instituto de Educación

ku Osaka 532-8511 Japón
https://www.kumon.ne.jp/

Kumon Europe & Africa

4th Floor West, Ealing Cross, 85 Uxbridge Road,
Ealing, London, W5 5TH Reino Unido

LimitedEUROPAYÁFRICA

Kumon Instituto de Educación

http://www.kumon.co.uk/
Paseo de la Castellana, 131, 1º A, 28046 Madrid,
Españade España SA

http://www.kumon.es/
Wiesenstrasse 21. 40549 Düsseldorf Alemania

Kumon Deutschland GmbH

http://www.kumon.de/25

APPENDIX IIACCESO A LOS DATOS YPROCEDIMIENTOS DE RECLAMACIÓN
1

Reclamaciones dirigidas a Kumon

1.1

Equipo responsable: El delegado internacional de protección de datos, el equipo internacionalde protección de datos y los delegados locales de protección de datos son los principales
departamentos competentes responsables de garantizar a los interesados el cumplimiento delas solicitudes de acceso y la tramitación de las reclamaciones (véase Apéndice III).

1.2

Contacto: Todo interesado podrá presentar reclamaciones relativas al cumplimiento de las
NCV contactando con el delegado local de protección de datos del país en el que reside elinteresado (véase Apéndice III). Los datos de contacto del delegado local de protección dedatos competente estarán a disposición en el sitio web de la empresa del grupo Kumon en un
país determinado.

1.3

Confirmación de recepción: El delegado local de protección de datos confirmará al interesado
que ha recibido la reclamación y dará una respuesta sustancial sin dilación indebida y en elplazo máximo de un mes desde la fecha de recepción de la reclamación.

1.4

Reclamaciones por datos personales de otras jurisdicciones: Si la reclamación afecta a datos
personales procedentes de fuera de la jurisdicción del delegado local de protección de datos,
este informará inmediatamente de la reclamación del interesado al equipo internacional deprotección de datos, que se encargará de tramitar todas las reclamaciones conforme a loestablecido en las NCV. En caso necesario, el equipo internacional de protección de datos
cooperará con otros miembros del personal de las principales empresas del grupo Kumon yunidades de negocio y apoyo, según proceda, para tramitar la reclamación. El equipointernacional de protección de datos confirmará al interesado haber recibido la reclamación
en el plazo de diez días laborables, y dará una respuesta sustancial en el plazo de un mes desdela fecha de recepción de la reclamación.

1.5

Marco temporal de la respuesta: Si, debido a la complejidad de la reclamación o al número
de solicitudes, no es posible ofrecer una respuesta sustancial dentro del plazo establecido enel Apartado 1.3 o 1.4, según corresponda, se avisará al reclamante en consecuencia con una
estimación razonable (que no supere los dos meses adicionales) de los plazos en los que se le26

proporcionará la respuesta.
1.6

Si el delegado local de protección de datos o el equipo internacional de protección de datos
llegan a la conclusión de que la reclamación tiene fundamento, tomará las medidas adecuadasde acuerdo con la naturaleza de la reclamación con el fin de garantizar el cumplimento de las
NCV.

1.7

Si el delegado local de protección de datos o el equipo internacional de protección de datos
rechaza la reclamación porque considera que no tiene fundamento, informará al interesado
de sus conclusiones y le recordará en la respuesta que siempre podrá dirigir sus reclamaciones
al delegado internacional de protección de datos.

1.8

Cuestionamiento de la respuesta: Si el reclamante no está de acuerdo con la respuesta
recibida del delegado local de protección de datos o del equipo internacional de protecciónde datos, o con cualquier aspecto incluido en las conclusiones, e informa de ello a la parte que
ha emitido la respuesta, el asunto pasará a manos del delegado internacional de protecciónde datos. El delegado internacional de protección de datos revisará el caso e informará alreclamante de su decisión, o bien de sostener las conclusiones de la parte que ha emitido la
respuesta o bien de emitir una respuesta nueva, en el plazo de un mes (que podrá ampliarse
dos meses más en función de la complejidad y el número de solicitudes) desde la recepciónde la reclamación del delegado/equipo de protección de datos pertinente.

1.9

Si se admite la reclamación, el delegado internacional de protección de datos se encargará deque se den los pasos necesarios en consecuencia.

1.10 Si el interesado considera que alguna acción emprendida por Kumon ha sido insuficiente paraabordar su reclamación, el interesado siempre podrá dirigir sus reclamaciones o peticiones ala autoridad de control competente o a los tribunales de los Estados miembros sin perjuicio
de si antes se ha reclamado o no directamente a Kumon conforme a lo establecido en el
Apartado 6.1.3 de las NCV. La respuesta del delegado local de protección de datos, del equipointernacional de protección de datos o del delegado internacional de protección de datos,
dirigida al interesado, incluirá un recordatorio de que el interesado cuenta con este derecho.
1.11 Reclamaciones relativas a los datos personales del cliente: Si se presenta una reclamación
ante el delegado local de protección de datos relativa a la recogida y el uso de datos
personales siendo Kumon un encargado del tratamiento, Kumon informará al cliente de los27detalles de la reclamación sin dilación indebida. Si el cliente solicita a Kumon que investigue
la reclamación, Kumon respetará rigurosamente los términos establecidos en el acuerdo con
el cliente.

2

Derechos del interesado: Solicitudes de acceso a los datos

2.1

El interesado podrá solicitar a Kumon el ejercicio de su «derecho de acceso» cuando Kumon
sea el encargado del tratamiento, si el interesado no es capaz de presentar una queja contra
el responsable del tratamiento conforme a lo establecido en el Apartado 6.1.4 de las NCV.

2.2

La solicitud se podrá dirigir de forma oral o escrita, incluso por correo electrónico, al delegado
local de protección de datos dentro del EEE o al equipo internacional de protección de datos.
El delegado local de protección de datos que reciba la solicitud informará de los detalles de lasolicitud al equipo internacional de protección de datos.

2.3

El equipo internacional de protección de datos, ya sea directamente o a través del delegado
local de protección de datos que reciba la solicitud, responderá a la solicitud que sea válida
con información acerca de las acciones tomadas para tramitar la solicitud, sin dilación
indebida, y en cualquier caso, en el plazo de un mes (o en un plazo inferior si así lo estipula lalegislación local) desde la fecha en la que se ha recibido la solicitud. El plazo de la respuesta
podrá ampliarse dos meses más de acuerdo con las condiciones estipuladas en el Apartado
1.5 del Apéndice II de las NCV.

2.4

Kumon no tiene la obligación de cumplir con una solicitud de acceso del interesado si tiene
dudas razonables acerca de la identidad de la persona que cursa la solicitud y no se le facilita
la información que sea razonablemente necesaria para comprobar la identidad del interesado
que cursa la solicitud y localizar los datos que está buscando el interesado. Kumon cumplirá
con los requisitos jurídicos nacionales cuando lleve adelante un proceso de identificación.

2.5

El equipo internacional de protección de datos someterá la solicitud a evaluación para decidir
si es válida y si se requiere comprobar la identidad o alguna otra información. Además,recurrirá al apoyo de los miembros del personal apropiados para tramitar el acceso delinteresado, según sea necesario o apropiado.

2.6

El equipo internacional de protección de datos contactará por escrito con el interesado para
confirmar que ha recibido la solicitud de acceso, comprobar la identidad o alguna otra

28

información, si fuera necesario, o rechazar la solicitud en caso de que alguna de las exenciones
de acceso fuera de aplicación.
2.7

Se podrán denegar solicitudes válidas únicamente si son manifiestamente infundadas oexcesivas.

3

Derechos del interesado: Otras solicitudes

3.1

El interesado podrá solicitar el ejercicio de otros derechos detallados en el RGPD. Dicha
solicitud la podrá analizar y tramitar, según sea apropiado, el delegado local de protección dedatos del país del que proceden los datos personales, previa consulta con el equipointernacional de protección de datos en caso necesario. Los marcos temporales de la
respuesta estipulados en el Apartado 2.3 del Apéndice II de las NCV deberán aplicarse mutatis
mutandis.

3.2

Si se recibe una solicitud de cambio de los datos personales de un interesado y Kumon es el
responsable del tratamiento de esos datos personales, dicha información se rectificará oactualizará en consecuencia si Kumon considera que existe base jurídica para hacerlo.

3.3

Si Kumon elimina, actualiza, corrige u oculta la identidad de datos personales siguiendo las
instrucciones de un cliente, Kumon informará a otras empresas del grupo Kumon osubencargado al cual se hayan comunicado los datos personales para que puedan ellos
mismos modificar también sus registros en consecuencia.

29

APPENDIX III ESTRUCTURA DE CUMPLIMIENTO
1

Delegado internacional de protección de datos

1.1

El delegado internacional de protección de datos nombrado por Kumon será responsable desupervisar la ejecución y asegurar el cumplimiento de las NCV, así como de la legislación enmateria de protección de datos aplicable. No se someterá a ningún conflicto de intereses,
informará directamente a la junta directiva/presidente de KIE, y su nombramiento, papel yactuación se llevarán a cabo de acuerdo con las NCV y las directrices del Comité Europeo deProtección de Datos sobre delegados de protección de datos, que se actualizarán cuando
corresponda. El delegado internacional de protección de datos no recibirá instrucciones
acerca del ejercicio de sus cometidos y contará con el apoyo de los directivos de KIE.

1.2

Las principales responsabilidades del delegado internacional de protección de datos incluyen
las siguientes:(a)garantizar que se definen y comunican las NCV y otras normas relacionadas con
protección, objetivos y criterios en materia de protección de datos;(b)

proporcionar en calidad de alta dirección apoyo y recursos claros y visibles para las NCV
y para todo objetivo o iniciativa sobre privacidad en general;(c)evaluar, aprobar y priorizar medidas correctivas coherentes con los requisitos de las
NCV, los planes estratégicos, los objetivos de negocio y los requisitos normativos;(d)evaluar periódicamente las iniciativas privadas, los logros y los recursos para garantizar
la efectividad y la mejora continuas;(e)garantizar que los objetivos de negocio de Kumon están en consonancia con las NCV ylas estrategias, políticas y prácticas relacionadas con la protección de datos;(f)coordinar la comunicación de las NCV y de todos los asuntos sobre protección de datos
durante las auditorías;(g)tramitar todas las reclamaciones que se le hayan remitido de acuerdo con el derechode acceso y los procedimientos de reclamación recogidos en las NCV, y(h)actuar como punto de contacto para tratar con las autoridades de control (o asignar
dicho papel a los delegados locales de protección de datos con respecto a asuntos
exclusivos de una región dada).

30

2Equipo internacional de protección de datos

2.1

El equipo internacional de protección de datos está formado por personal nombrado por KIE
y cumple con las siguientes responsabilidades bajo la dirección del delegado internacional deprotección de datos:(a)ofrecer directrices sobre el tratamiento de datos personales de acuerdo con las NCV;(b)

responder a las consultas de los miembros del personal, clientes y otros terceros
relativas al cumplimiento de las NCV;(c)ofrecer aportaciones sobre las auditorías de las NCV, coordinar respuestas a lasconclusiones de las auditorías y responder a las consultas de las autoridades de control;(d)controlar los cambios en la legislación internacional sobre protección de datos ygarantizar que los cambios pertinentes se reflejan en las NCV y en las políticas yprácticas de Kumon relacionadas;(e)organizar formaciones para los miembros del personal sobre las NCV y la legislación enmateria de protección de datos;(f)promover la concienciación sobre protección de datos entre las unidades de negocio ylas áreas funcionales por medio de comunicados e iniciativas;(g)evaluar los procesos y procedimientos de protección de datos para garantizar que sonsostenibles y efectivos;(h)informar periódicamente sobre el estado de las NCV al delegado internacional deprotección de datos y otras organizaciones que correspondan;(i)garantizar que cualquier asunto relacionado con el cumplimiento de las NCV se poneen conocimiento del equipo internacional de protección de datos y del delegado
internacional de protección de datos, según corresponda, y que se determinan e
implementan medidas correctivas dentro de un plazo de tiempo razonable, y(j)garantizar que cualquier cambio en las NCV se incorporará de acuerdo con losprocedimientos de actualización (véase Apéndice VI).

3

Encargado local de protección de datos

3.1

Cada empresa del grupo Kumon contará con un delegado local de protección de datos, que
será responsable de la protección de datos en el día a día de la empresa.

3.2

Cuando el delegado internacional de protección de datos lo considere apropiado, el delegado
local de protección de datos para las sedes regionales del grupo Kumon podrá coordinar las

31

actividades de los delegados locales de protección de datos de las filiales. Además, si eldelegado internacional de protección de datos así lo establece, el delegado local de protecciónde datos será el punto de contacto para tratar con las autoridades de control asuntos sobre
datos personales exclusivamente locales.
3.3

El delegado local de protección de datos cooperará con el delegado internacional deprotección de datos y el equipo internacional de protección de datos de las siguientes
maneras:(a)poner al día de las actualizaciones de la legislación aplicable en materia de protecciónde datos;(b)

ofrecer formación sobre protección de datos personales en la empresa, y(c)ofrecer información sobre el estado de la protección en la empresa.

4

Procedimiento de comunicación interna para la plantilla

4.1

Kumon pondrá a disposición de los miembros del personal un servicio directo de comunicaciónpara cualquier consulta relacionada con asuntos de protección de datos personales detallados
en las NCV.

4.2

Alternativamente, un miembro del personal podrá dirigir cualquier consulta sobre asuntos deprotección de datos personales detallados en las NCV al delegado local de protección de datos,quien la revisará y responderá en el plazo de un mes desde que ha recibido la consulta. Si laconsulta está relacionada con asuntos que no son puramente locales, el delegado local deprotección de datos recurrirá al equipo internacional de protección de datos.

4.3

Si el miembro del personal no está de acuerdo con la respuesta recibida del delegado local deprotección de datos o del equipo internacional de protección de datos, o cualquier aspecto
incluido en las conclusiones, e informa de ello a la parte que ha emitido la respuesta, el asunto
pasará a manos del delegado internacional de protección de datos. El delegado internacionalde protección de datos revisará el caso e informará al miembro del personal de su decisión, obien de sostener las conclusiones de la parte que ha emitido la respuesta o bien de emitir una
respuesta nueva, en el plazo de un mes (que podrá ampliarse dos meses más en función de lacomplejidad y el número de solicitudes) desde la recepción de la consulta del delegado/equipode protección de datos pertinente.

4.4

Las reclamaciones de los miembros del personal relativas al tratamiento de sus datos

32personales por parte de las empresas del grupo Kumon conforme a lo establecido en estas
NCV se podrán cursar según lo que se detalla en el Apéndice II de las NCV.

33

APPENDIX IV PROTOCOLO DE FORMACIÓN
1

Formación del personal

1.1

Se requerirá que todos los miembros del personal involucrados en la transferencia, el
tratamiento o la recogida de datos personales estén formados en protección de datos
personales, incluido el contenido de las NCV y la legislación aplicable en materia de protecciónde datos (i) como parte de su programa de iniciación y (ii) al menos una vez al año. Dicha
formación se podrá ofrecer en línea, con seminarios presenciales o de cualquier otra manera
que se considere adecuada a las circunstancias.

1.2

El equipo internacional de protección de datos preparará los materiales formativos y se losproporcionará al delegado local de protección de datos. El delegado local de protección dedatos se encargará de formar a los miembros del personal de la empresa, además de registrar
los resultados de la formación y comunicárselos al equipo internacional de protección dedatos.

1.3

El objetivo de estas formaciones es que los miembros del personal conozcan los principios
básicos de la protección, confidencialidad y seguridad de datos personales, así como lossistemas informáticos que contienen datos personales.

1.4

Kumon pondrá a disposición oportunidades formativas complementarias según considere
necesario, como por ejemplo:-

formación online específica dirigida a miembros directivos del personal;-

formación específica para determinados departamentos (por ejemplo, RRHH, TI,
Coordinación), y-

oportunidades de formación internacional, como formación en línea a través deuna intranet común o conferencias intragrupo.

1.5

La formación incluirá lo siguientes temas:-

el contenido de la legislación local en material de protección de datos personales;-

los cambios en las NCV y su contenido, y-cómo afecta la legislación sobre protección de datos personales a Kumon (incluidas
mejores prácticas para cumplir con las NCV).

34

APPENDIX V

PROTOCOLO DE AUDITORÍA

1

Principios de auditoría

1.1

Kumon acuerda someterse a auditorías periódicas sobre protección de datos practicadas por
auditores, o bien internos o bien externos acreditados, o a petición del delegado internacionalde protección de datos.

2

Estructura de la auditoría

2.1

El delegado internacional de protección de datos garantizará que un auditor interno o externo
acreditado de Kumon (el «equipo de auditoría»), según estime conveniente, audite de forma
independiente el cumplimiento de todos los aspectos de las NCV, incluidos los método para
asegurar que se adoptan e implementan las medidas correctivas.

2.2

El equipo de auditoría será responsable de efectuar o supervisar las auditorías independientes
para el cumplimiento de las NCV y garantizará que estas auditorías contemplan todos los
aspectos recogidos en las NCV. Además, el equipo de auditoría es responsable de garantizarque cualquier asunto o instancia de incumplimiento se notificará al equipo internacional deprotección de datos y a los delegados locales de protección de datos competentes.

2.3

Kumon ofrecerá a petición del cliente sus instalaciones de tratamiento de datos para que selleve a cabo la auditoría de las actividades de tratamiento relativas a ese cliente, en cuyo caso
esta será realizada por el propio cliente o por auditores independientes con las cualificaciones
profesionales necesarias, seleccionados por el cliente y sujetos a la confidencialidad, tal comolo estipula el acuerdo con el cliente. En su caso, Kumon garantizará que los subencargados
también cumplirán con las solicitudes de auditoría citadas.

3

Proceso de auditoría

3.1

Las auditorías cubrirán todos los aspectos de las NCV e identificarán métodos para aplicar las
medidas correctivas que puedan requerirse como resultado de las auditorías.

3.2

Las auditorías sobre el cumplimiento de las NCV tendrán lugar en los siguientes casos:(a)

al menos, una vez al año, de acuerdo con los procedimientos de auditoría de Kumon,

35

(b)

a petición del delegado internacional de protección de datos o de la junta directiva de
KIE;

(c)

cuando el equipo internacional de protección de datos lo considere necesario (porejemplo, en respuesta a un incidente específico), o(d)cuando Kumon actúe en calidad de encargado del tratamiento, tal como lo estipula elacuerdo con el cliente.

3.3

El equipo de auditoría llevará a cabo un análisis de riesgo para determinar el alcance de laauditoría, que considerará relevantes asuntos como riesgos nuevos o específicos para la elnegocio de la empresa auditada, cambios en los sistemas o procedimientos de seguridad, elcontenido de una auditoría o reclamación anterior, la naturaleza y la ubicación de los datos
personales o la forma de tratamiento.

3.4

La auditoría se llevará a cabo mediante una inspección presencial, entrevistas con losmiembros del personal implicados, cuestionarios, revisión de documentos o cualquier otro
método que el equipo de auditoría considere necesario.

3.5

Se informará de los resultados de todas las auditorías al delegado internacional de protecciónde datos y a la junta directiva de KIE y se pondrán a disposición del cliente en cuestión.

3.6

Se proporcionará una copia de los resultados de las auditorías a las autoridades de control, apetición suya.

3.7

Cualquier empresa del grupo Kumon acepta someterse a una auditoría por parte de lasautoridades de control y cumplirá con las recomendaciones de las autoridades de control
sobre cualquier asunto relacionado con esas normas.

36

APPENDIX VI PROCEDIMIENTO DE ACTUALIZACIÓN
1

Cambios en las NCV

1.1

Kumon informará de cualquier cambio en las NCV sin dilación indebida a las autoridades decontrol pertinentes a través de las autoridades de control competentes, así como a todas lasempresas del grupo Kumon.

1.2

Kumon también informará al cliente de los cambios que sufran las NCV. Si los cambios en las
NCV afectan a las condiciones en las que Kumon trata datos personales en calidad deencargado del tratamiento, Kumon informará con antelación, a su debido tiempo, de loscambios propuestos al cliente afectado, de forma que el cliente tenga la oportunidad derechazar el cambio o terminar el acuerdo con Kumon antes de que se incorpore lamodificación.

2

Cambios en las NCV que no requieren autorización

2.1

Es posible actualizar las NCV o la lista de empresas del grupo Kumon sin tener que volver asolicitar una autorización, dado que:(a)

El delegado internacional de protección de datos mantiene una lista actualizada de las
empresas del grupo Kumon sujetas a las NCV y de los subencargados nombrados por
Kumon para el tratamiento de datos personales. Dicha lista estará a disposición de loscliente, los interesados y de las autoridades de control si lo solicitan previamente y lasolicitud es válida.

(b)

El delegado internacional de protección de datos mantendrá un registro de los cambios
en las NCV, incluidos los detalles de los cambios y la fecha en la que toman efecto, yproporcionará la información necesaria a petición del interesado, sistemáticamente alcliente, y a petición de las autoridades de control.

(c)

No se transferirán datos a un miembro nuevo hasta que dicho miembro nuevo esté
efectivamente sujeto a las NCV y pueda cumplir con ellas.

(d)

Se informará una vez al año de cualquier cambio en las NCV o en la lista de empresasdel grupo Kumon a las autoridades de control que conceden las autorizaciones con una
breve explicación que justifique la actualización.

(e)

Se informará inmediatamente a las autoridades de control pertinentes, a través de lasautoridades de control competentes, de cualquier cambio en las NCV que pueda afectar37

al nivel de protección que ofrecen las NCV o afectar significativamente a las NCV.

38