Versión 3.0
Fecha de entrada en vigor: 14 de septiembre de 2023
1. Objetivo
La presente Política de privacidad describe cómo CRIO cumple con los requisitos normativos relacionados con la información de identificación personal, la información sanitaria protegida, la privacidad de los pacientes, el Reglamento General de Protección de Datos de la UE (RGPD), la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA), la Ley de Protección al Consumidor de California (CCPA), el Marco de Privacidad de Datos UE-EE. UU. (EU-U.S. DPF), la Extensión del Reino Unido al EU-U.S. DPF, el Marco de Privacidad de Datos Suiza-EE. UU. y otras leyes y normativas de privacidad aplicables.
2. Ámbito de aplicación
La presente Política de privacidad describe cómo CRIO recopila, utiliza, divulga y trata de cualquier otra forma la información personal en relación con nuestros sitios web, aplicaciones y otros servicios, y explica los derechos y las opciones de que disponen los usuarios con respecto a su información.
3. Datos recopilados por CRIO
CRIO es un proveedor de software y servicios para empresas del sector de las ciencias de la vida, destinados a la realización de ensayos clínicos en todo el mundo. En su calidad de agente externo de nuestros clientes, CRIO recibe y trata datos personales (por ejemplo, nombre, correo electrónico, número de teléfono) procedentes de compañías farmacéuticas, Clinicas de investigación y diversos consultores o subcontratistas.
Como parte de los productos y servicios que ofrecemos, CRIO trata datos personales e información sanitaria protegida (incluida información detallada sobre el estado de salud, evaluaciones médicas y resultados de pruebas).
CRIO pretende que sus políticas corporativas de privacidad, sus procedimientos operativos estándar (SOP) internos y sus prácticas de trabajo sean adecuados para garantizar el cumplimiento de las leyes y normativas internacionales aplicables, entre las que se incluyen el Reglamento General de Protección de Datos (RGPD) de la Unión Europea, la Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) y la Ley de Protección al Consumidor de California (CCPA), el Marco de Protección de Datos UE-EE. UU. (DPF), la Extensión del Reino Unido al DPF UE-EE. UU. y el DPF Suiza-EE. UU. Todos los trabajos con datos de clientes se rigen por acuerdos contractuales detallados, procedimientos operativos estándar y políticas empresariales, que están a disposición de los clientes y las autoridades reguladoras para su auditoría o revisión.
4. Definición de términos
La terminología y las siglas de CRIO se pueden consultar en el repositorio interno de documentos de CRIO.
5. Resolución de litigios
En cumplimiento del Marco de Protección de Datos (DPF) entre la UE y EE. UU., la Extensión del Reino Unido al DPF entre la UE y EE. UU. y el DPF entre Suiza y EE. UU., CRIO se compromete a resolver las quejas relacionadas con los Principios del DPF sobre nuestra recopilación y uso de su información personal. Las personas de la UE, el Reino Unido y Suiza que tengan consultas o reclamaciones sobre nuestro tratamiento de los datos personales recibidos en virtud del DPF UE-EE. UU., la Extensión del Reino Unido al DPF UE-EE. UU. y el DPF Suiza-EE. UU. deben ponerse en contacto primero con CRIO en:[email protected]o en la dirección postal que figura a continuación:
CRIO, Inc
-Responsable de protección de datos-
68 Harrison Avenue #605, PMB 32876
Boston, MA 02111
5.1 Resolución alternativa de litigios
En cumplimiento del DPF UE-EE. UU. y la Extensión del Reino Unido al DPF UE-EE. UU. y el DPF Suiza-EE. UU., CRIO se compromete a remitir las reclamaciones no resueltas relativas a nuestro tratamiento de los datos personales recibidos en virtud del DPF UE-EE. UU. y la Extensión del Reino Unido al DPF UE-EE. UU. y el DPF Suiza-EE. UU. a JAMS, un proveedor de resolución alternativa de litigios con sede en Estados Unidos, la Unión Europea, el Reino Unido y Suiza. Si no recibe una respuesta oportuna de nuestra parte a su reclamación relacionada con los Principios del DPF, o si no hemos resuelto su reclamación relacionada con los Principios del DPF a su satisfacción, visitehttps://www.jamsadr.com/eu-us-data-privacy-frameworkpara obtener más información o presentar una reclamación. Los servicios de JAMS se prestan sin coste alguno para usted.
6. Reglamento General de Protección de Datos (RGPD)
El Reglamento General de Protección de Datos (RGPD) sustituyó a la Directiva 95/46/CE sobre protección de datos, con efecto a partir del 25 de mayo de 2018. Este reglamento es directamente aplicable en cada uno de los Estados miembros de la Unión Europea y afecta a los responsables y encargados del tratamiento, tanto dentro como fuera de la UE, que recopilan datos de interesados de la UE.
CRIO evaluó sus garantías técnicas y procedimentales para garantizar el cumplimiento del RGPD, que se describen a continuación.
6.1 Definiciones del RGPD
A los efectos del presente reglamento, se aplicarán las siguientes definiciones:
«datos personales»:cualquier información relativa a una persona física identificada o identificable («el interesado»); se considera identificable a una persona física que pueda identificarse, directa o indirectamente, en particular mediante un identificador, como un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios factores específicos relacionados con la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona física;
«tratamiento»:cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por medios automatizados o no, tales como la recogida, el registro, la organización, la estructuración, el almacenamiento, la adaptación o la modificación, la recuperación, la consulta, la utilización, la comunicación por transmisión, la difusión o cualquier otra forma de puesta a disposición, la interrelación o la combinación, la limitación, el borrado o la destrucción;
Por «responsable del tratamiento»se entiende la persona física o jurídica, la autoridad pública, el organismo u otra entidad que, por sí sola o conjuntamente con otras, determine los fines y los medios del tratamiento de datos personales.
«encargado del tratamiento»: toda persona física o jurídica, autoridad pública, organismo u otra entidad que trate datos personales por cuenta del responsable del tratamiento;
Por «tercero»se entiende cualquier persona física o jurídica, autoridad pública, organismo u organismo distinto del interesado, del responsable del tratamiento, del encargado del tratamiento y de las personas que, bajo la autoridad directa del responsable o del encargado del tratamiento, estén autorizadas a tratar datos personales.
6.2 Normas de notificación
De conformidad con el RGPD, los responsables del tratamiento están obligados a notificar cualquier «violación de la seguridad de los datos personales» a la autoridad de control «sin demora injustificada y, cuando sea factible, a más tardar 72 horas después de haber tenido conocimiento de ella». En su calidad de encargado del tratamiento por cuenta del responsable del tratamiento (tal y como se define en una relación contractual específica), CRIO se compromete a cumplir con la norma de notificación siguiendo el proceso descrito enel SOP-QMS-002 «Gestión de incidentes de calidad».
6.3 Delegado de protección de datos
CRIO ha nombrado a un delegado de protección de datos que supervisa el cumplimiento del RGPD por parte de la organización, lo que incluye la gestión de las actividades internas de protección de datos, la formación del personal y la realización de revisiones periódicas del programa de cumplimiento del RGPD de la organización.
Esta persona también actúa como contacto principal para las interacciones con las autoridades reguladoras en lo que respecta a cuestiones relacionadas con el tratamiento de datos personales. Además, es responsable de garantizar los derechos de los interesados en relación con las prácticas de protección de datos de CRIO, la revocación del consentimiento y el derecho al olvido, así como de velar por el cumplimiento de los derechos conexos. Esta persona opera con independencia de otras unidades de negocio y depende directamente de la alta dirección de CRIO.
6.4 Consentimiento
De conformidad con el RGPD, el consentimiento debe ser «libre, específico e inequívoco» y manifestarse mediante «una declaración o una acción afirmativa clara». CRIO recomienda que Clinicas, compañías farmacéuticas las organizaciones de investigación por contrato (CRO) soliciten el consentimiento del interesado, informándole de las actividades de tratamiento de datos antes de proceder a la recogida de los mismos.
Como mínimo, incluya lo siguiente para describir el tratamiento de los datos por parte de CRIO:
- Descripción de cómo recopilará CRIO los datos: a través de la aplicación de CRIO disponible en Internet.
- Descripción del lugar donde CRIO almacenará los datos recopilados a través de su aplicación.
- Descripción del plazo durante el cual CRIO conservará y almacenará los datos.
6.5 Derechos de los interesados
CRIO aborda los derechos de los interesados, que abarcan el derecho de acceso, rectificación, supresión, limitación del tratamiento y portabilidad de los datos, así como el derecho de oposición, mediante procesos y procedimientos desarrollados internamente y detallados enel documento SOP-QMS-007 «Solicitudes de los interesados».
Los derechos, sujetos a la legislación local, tal y como se describen enel documento SOP-QMS-007 «Solicitud del interesado», incluyen:
- Acceso a la información personal;
- Rectificación de los datos que CRIO tiene sobre los interesados;
- Supresión de los datos personales de los interesados;
- Restricción del uso por parte de CRIO de los datos personales de un interesado;
- El derecho a oponerse al uso de los datos personales por parte de CRIO;
- El derecho a recibir los datos personales en un formato electrónico que permita su uso y a transmitirlos a un tercero (derecho a la portabilidad de los datos); y
- El derecho a presentar una reclamación ante la autoridad local de protección de datos, si existe en el país del interesado.
CRIO anima a los interesados a ponerse en contacto con nosotros para actualizar o corregir sus datos personales en caso de que estos cambien o de que la información que CRIO tiene en su poder sea inexacta. Es probable que se requiera información adicional para atender la solicitud.
Es posible que el interesado siga recibiendo material durante un breve periodo de tiempo tras una solicitud de supresión de datos, mientras CRIO actualiza sus listas. Posteriormente, los registros del interesado se suprimirán definitivamente de los sistemas de CRIO.
Los interesados pueden ejercer sus derechos poniéndose en contacto con CRIO en[email protected]o en la dirección postal que figura a continuación:
CRIO, Inc
-Responsable de protección de datos-
68 Harrison Avenue #605, PMB 32876
Boston, MA 02111
Nuestro representante en la UE es Data Protection Representative Limited (que opera bajo el nombre comercial «DPR Group»), una empresa registrada en la República de Irlanda con el número 616588, cuya dirección registrada es 1-2 Marino Mart, Fairview, Dublín 3, Irlanda.
Nuestro representante en Suiza es DataRep, con sede en la siguiente dirección:
Leutschenbachstrasse 95
Zúrich, 8050, Suiza
Nuestro representante en el Reino Unido es DataRep, con sede en la siguiente dirección:
107-111 Fleet Street
Londres, EC4A 2AB
Reino Unido
6.6 Decisión sobre la adecuación
Las decisiones de adecuación permiten el flujo de datos desde la UE (y Noruega, Liechtenstein e Islandia) hacia un tercer país sin que sea necesaria ninguna garantía adicional. En otras palabras, las transferencias al país en cuestión se equipararán a las transmisiones de datos dentro de la UE.
6.7 Evaluación de impacto relativa a la protección de datos y las cláusulas contractuales tipo
En su calidad de encargado del tratamiento, CRIO actúa en nombre del responsable del tratamiento. A la hora de seleccionar un encargado del tratamiento, los responsables del tratamiento deben recurrir únicamente a aquellos que ofrezcan garantías suficientes de su capacidad para aplicar las medidas técnicas y organizativas necesarias para cumplir los requisitos del RGPD. CRIO dispone de una evaluación de impacto relativa a la protección de datos de su plataforma, que puede ponerse a disposición del responsable del tratamiento para demostrar su cumplimiento del RGPD.
Además, determinadas disposiciones contractuales relativas a las tareas y responsabilidades del encargado del tratamiento, así como las cláusulas contractuales tipo, constituyen también mecanismos mediante los cuales el responsable del tratamiento puede establecer las condiciones del tratamiento llevado a cabo por el encargado. Estas condiciones incluyen cómo y cuándo se devolverán o suprimirán los datos tras el tratamiento, así como los detalles del mismo, tales como el objeto, la duración, la naturaleza, la finalidad, el tipo de datos y las categorías de interesados. El responsable y el encargado del tratamiento también pueden optar por utilizar cláusulas contractuales tipo como base jurídica para las transferencias de datos fuera de la UE, Suiza y el Reino Unido (y Gibraltar).
CRIO seguirá el ejemplo del responsable del tratamiento y se comprometerá a cumplir los requisitos de protección de datos mediante disposiciones contractuales, cláusulas contractuales tipo u otros mecanismos aceptables.
6.8 Terceros
La información personal de los interesados podrá compartirse con agentes, contratistas o socios de CRIO en relación con los servicios que estas personas o entidades presten a CRIO o en colaboración con ella. Dichos agentes, contratistas o socios tienen prohibido utilizar esta información para cualquier fin distinto al de prestar servicios a CRIO o en el marco de la colaboración en la que participan junto con CRIO. CRIO no cederá, venderá, alquilará, prestará ni divulgará de ningún otro modo información personal a terceros, salvo que se le permita o se le autorice a hacerlo.
CRIO se reserva el derecho a compartir información personal en respuesta a solicitudes de información debidamente autorizadas por parte de cualquier organismo encargado de hacer cumplir la ley, tribunal, organismo regulador, autoridad gubernamental u otro tercero, cuando consideremos que dicha divulgación es necesaria para cumplir con una obligación legal o reglamentaria, o para proteger los derechos de CRIO o los derechos de cualquier tercero.
También podemos proporcionar información personal a terceros en relación con la venta, cesión u otra transferencia del negocio de este sitio web al que se refiere la información, en cuyo caso exigiremos a dichos terceros que se comprometan a tratar la información personal de acuerdo con nuestra Política de privacidad.
También podemos compartir con terceros no afiliados información agregada y no personal sobre el uso del sitio web público de CRIO. Esta información agregada no contiene ningún dato de carácter personal sobre nuestros usuarios.
6.8.1 Subcontratistas encargados del tratamiento de datos
Los subcontratistas de CRIO también están sujetos a los mismos requisitos en virtud del RGPD y también están obligados por cualquier contrato con el responsable del tratamiento.
Entre los tipos de subcontratistas con los que se trabaja se incluyen los siguientes:
- Proveedores de alojamiento en la nube
- Software de terceros que da soporte a las funciones de nuestra aplicación (incluidas las integraciones)
- Empresas externas que colaboran en el desarrollo y el mantenimiento de nuestros productos y servicios.
6.8.2 Responsabilidad en caso de transferencias posteriores
CRIO es responsable del tratamiento de los datos personales que recibe en virtud del Marco de Protección de Datos y de su posterior transferencia a un agente tercero, y puede ser responsable de las transferencias posteriores que incumplan los principios del Marco de Protección de Datos.
6.9 Cumplimiento del marco de protección de datos
CRIO cumple con el Marco de Protección de Datos UE-EE. UU. (EU-U.S. DPF), la Extensión del Reino Unido al EU-U.S. DPF y el Marco de Protección de Datos Suiza-EE. UU. (Swiss-U.S. DPF), tal y como los establece el Departamento de Comercio de los Estados Unidos. CRIO ha certificado ante el Departamento de Comercio de EE. UU. que se adhiere a los Principios del Marco de Protección de Datos UE-EE. UU. (Principios del EU-U.S. DPF) en lo que respecta al tratamiento de datos personales recibidos de la Unión Europea en virtud del EU-U.S. DPF y del Reino Unido (y Gibraltar) en virtud de la Extensión del Reino Unido al EU-U.S. DPF. CRIO ha certificado ante el Departamento de Comercio de EE. UU. que se adhiere a los Principios del Marco de Privacidad de Datos Suiza-EE. UU. (Principios del MPD Suiza-EE. UU.) en lo que respecta al tratamiento de datos personales recibidos de Suiza en virtud del MPD Suiza-EE. UU. En caso de conflicto entre los términos de esta política de privacidad y los Principios del Marco de Protección de Datos UE-EE. UU. y/o los Principios del Marco de Protección de Datos Suiza-EE. UU., prevalecerán estos últimos. Para obtener más información sobre el programa del Marco de Protección de Datos (DPF) y consultar nuestra certificación, visitehttps://www.dataprivacyframework.gov/.
6.9.1 Competencia
La Comisión Federal de Comercio (FTC) tiene jurisdicción sobre el cumplimiento por parte de CRIO del Marco de Protección de Datos UE-EE. UU. (EU-U.S. DPF) y la Extensión del Reino Unido al EU-U.S. DPF, así como del Marco de Protección de Datos Suiza-EE. UU. (Swiss-U.S. DPF). CRIO está sujeta a las facultades de investigación y ejecución de la FTC.
6.9.2 Arbitraje vinculante
Al obtener la certificación conforme al Marco de Protección de Datos UE-EE. UU. (DPF), CRIO está obligada a someter las reclamaciones a arbitraje y a cumplir las condiciones establecidas en el anexo I de los principios del DPF, siempre que una persona haya invocado el arbitraje vinculante mediante notificación a CRIO y haya seguido los procedimientos y cumplido las condiciones establecidas en el anexo I de los principios. Para obtener más información, visite:https://www.dataprivacyframework.gov/s/article/ANNEX-I-introduction-dpf?tabset- 35584=2
6.10 Mecanismos de CRIO para la transferencia de datos desde la UE, el Reino Unido y Suiza a los Estados Unidos
6.10.1 Marco de protección de datos UE-EE. UU.
La decisión de adecuación relativa al Marco de Protección de Datos UE-EE. UU., de 10 de julio de 2023, abarca las transferencias de datos desde cualquier entidad pública o privada del EEE a empresas estadounidenses que participen en dicho Marco. Al comprometerse con el Marco de Protección de Datos UE-EE. UU., CRIO puede acogerse a la decisión de adecuación de la Comisión Europea y utilizar el marco como mecanismo para transferir datos de forma segura y libre desde el EEE a los Estados Unidos.
6.10.2 Cláusulas contractuales tipo
Cuando así lo requiera el responsable del tratamiento y en los casos en que sea aplicable, CRIO suscribirá las cláusulas contractuales tipo, que son contratos aprobados por la Comisión Europea entre los exportadores de datos dentro de la UE y los importadores de datos en los denominados «países terceros», para transferir datos personales desde la UE a destinatarios en dichos países terceros, de conformidad con el RGPD.
Cabe señalar que no se pueden recibir datos personales procedentes del Reino Unido y Gibraltar al amparo de la Ampliación del Reino Unido al Marco de Protección de Datos UE-EE. UU. (DPF) antes de la fecha de entrada en vigor de los reglamentos de adecuación que establecen el puente de datos para dicha Ampliación. Por lo tanto, CRIO sigue recurriendo a las Cláusulas Contractuales Tipo (SCC) como mecanismo de transferencia de datos procedentes del Reino Unido y Gibraltar.
Además, no se podrán recibir datos personales procedentes de Suiza al amparo del Marco de Protección de Datos Suiza-EE. UU. hasta la fecha de entrada en vigor del reconocimiento de la adecuación de dicho marco por parte de Suiza. Por lo tanto, CRIO sigue recurriendo a las Cláusulas Contractuales Típicas como mecanismo de transferencia de datos procedentes de Suiza.
6.11 ¿Cómo garantiza CRIO el cumplimiento del RGPD, la Ley Federal Suiza de Protección de Datos (FADP) y el RGPD del Reino Unido?
Al cumplir con el Marco de Protección de Datos UE-EE. UU. (DPF), los clientes de CRIO pueden optar por utilizar dicho marco como mecanismo de transferencia válido.
Además, el anexo sobre tratamiento de datos estándar de CRIO incorpora las cláusulas contractuales tipo (SCC) para cualquier transferencia de datos personales desde la UE, el Reino Unido y Suiza a los Estados Unidos que se produzca en relación con la prestación de los servicios de CRIO.
- En el caso de los clientes actuales cuyos contratos vigentes aún no incluyan el DPA ni las CCT, CRIO puede acordar modificar el contrato para incorporar ambos.
- Al firmar su acuerdo de tratamiento de datos (DPA) y las cláusulas contractuales tipo (SCC), CRIO queda legalmente obligada a cumplir los requisitos pertinentes del RGPD que se aplican a la prestación de sus servicios. Con ese fin, CRIO cuenta con políticas y procedimientos internos sólidos para garantizar la seguridad, la integridad y la privacidad de los datos.
- Los datos recopilados en CRIO dentro de una determinada región se almacenan a nivel regional (por ejemplo, los datos del EEE, del Reino Unido y de Suiza se conservan en el centro de datos de la UE).
- Todos los datos se cifran (AES de 256 bits) durante su transmisión a las bases de datos de CRIO y se conservan de forma seudonimizada en los sistemas de CRIO.
7. Ley de Privacidad del Consumidor de California (CCPA)
En la medida en que sea aplicable, CRIO cumple con la Ley de Privacidad del Consumidor de California. La Política de privacidad para los residentes de California se puede consultar en la sección «Seguridad y cumplimiento» del sitio web corporativo de CRIO: https://clinicalresearch.io/about-crio/security-compliance/
8. Política de privacidad del sitio web
Para los visitantes del sitio web de CRIO (www.clinicalresearch.io), se aplica la política de privacidad que se encuentra enhttps://clinicalresearch.io/about-crio/privacy-policy/.
9. Política de privacidad del usuario
Para los usuarios de la aplicación CRIO, se aplica la política de privacidad de CRIO. La política de privacidad se puede consultar en la sección «Seguridad y cumplimiento» del sitio web corporativo de CRIO:https://clinicalresearch.io/about-crio/security-compliance/
10. Responsabilidad de los empleados
La seguridad de los datos recopilados por CRIO, entre los que se incluyen datos sensibles de estudios clínicos, es responsabilidad de todos los empleados de CRIO. Queda prohibida la obtención, el acceso, el uso o la divulgación no autorizados de datos personales (incluidas categorías especiales de datos personales) e información médica protegida (PHI) en cualquier formato (verbal, en papel o electrónico) de una manera no permitida por los acuerdos contractuales o las políticas o procedimientos de CRIO, que comprometa la seguridad o la privacidad de los datos personales y la PHI.
El incumplimiento de la presente Política de privacidad, de los procedimientos de protección de datos o de las políticas de seguridad de la información podrá dar lugar a medidas disciplinarias que pueden llegar a incluir el despido.
Si un empleado tiene conocimiento o sospecha de que una actividad o conducta, ya sea propuesta o ya realizada, incumple las políticas o procedimientos de protección de datos y/o seguridad de la información, tendrá la obligación de comunicar el incidente de inmediato. Dichos incidentes deberán comunicarse al superior directo del empleado, al responsable de Recursos Humanos, al responsable de Calidad y Cumplimiento Normativo o a la Dirección.
11. Notificación de infracciones
La conducta de los empleados puede reforzar un ambiente ético e influir positivamente en el comportamiento de sus compañeros. Si un empleado no puede impedir una presunta conducta indebida o descubre dicha conducta después de que se haya producido, deberá comunicar sus sospechas a su superior directo, al responsable de Recursos Humanos, al delegado de protección de datos o a la dirección.
Cualquier informe que afecte a la dirección se comunicará inmediatamente al Consejo de Administración.
Las infracciones denunciadas por los empleados, ya sea por teléfono, mediante notas detalladas o por correo electrónico, se tratarán de forma confidencial.
El hecho de no informar de irregularidades conocidas o sospechosas relacionadas con las actividades de CRIO puede, por sí solo, dar lugar a que dicha persona o entidad sea objeto de medidas disciplinarias, que pueden llegar a incluir el despido.
No se tomarán medidas disciplinarias ni se aplicarán otras formas de represalia o venganza contra ningún empleado que, de buena fe, comunique una inquietud, un asunto, un problema o una infracción de la ley, la normativa o el Código de Conducta.
12. Formación del personal
Debido a la naturaleza y la importancia de la protección de datos, y con el fin de mitigar el riesgo de incumplimientos normativos, los empleados de CRIO deben realizar una formación anual sobre protección de datos. Todas las personas de la organización deben contar con la formación y las cualificaciones adecuadas para desempeñar las tareas que se les asignan en el marco del entorno que contiene datos regulados.
13. Referencias
- Reglamento General de Protección de Datos (RGPD)
- Ley de Privacidad del Consumidor de California (CCPA)
- Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA)
- Marco de protección de datos UE-EE. UU. (EU-U.S. DPF)
- Marco de protección de datos entre Suiza y Estados Unidos (Swiss-U.S. DPF)
- Ampliación del Marco de Protección de Datos UE-EE. UU. al Reino Unido