Código de Conduta de Privacidade de Dados – ExxonMobil

1.1 A ExxonMobil reafirma seu compromisso com a proteção de Dados Pessoais, incluindo:

i. O tratamento legal dos Dados Pessoais confiados à organização; e

ii. A gestão apropriada dos riscos de privacidade associados ao tratamento de Dados Pessoais, em conformidade com as necessidades de negócio e com a legislação aplicável.

1.2 A ExxonMobil e seus funcionários devem cumprir este Código ao tratar Dados Pessoais. O Código integra as obrigações de conformidade estabelecidas na Política de Ativos Corporativos e constitui parte das responsabilidades contratuais e/ou funcionais assumidas no âmbito da relação de trabalho com a organização. Todas as políticas corporativas, incluindo o Código de Ética (Code of ethics) disponível neste link devem ser lidas, compreendidas e integralmente cumpridas.

1.3 A ExxonMobil supervisiona o cumprimento deste Código e dos programas, ferramentas e procedimentos que o implementam por meio de:

i. Uma rede de contatos designados para assuntos relacionados à privacidade de dados. 

ii. O Escritório de Privacidade de Dados da ExxonMobil é composto por profissionais especializados em proteção de dados pessoais, responsáveis por fornecer orientações sobre a mitigação de riscos identificados em avaliações de impacto à privacidade, conduzidas pelas unidades de negócio, em conformidade com as políticas internas de proteção de dados. Compete ao Escritório de Privacidade de Dados o cumprimento das atribuiições previstas nas Seções 3.3, 8.2, 9.3, 15.1 e 18.2.x do Código.

Os Encarregados de Proteção de Dados designados pelas afiliadas, quando aplicável, são responsáveis por monitorar a conformidade com as Leis Aplicáveis e com o Código corporativo. Compete à esses profissionais prestar orientação técnica, elaborar relatórios e, quando necessário, encaminhar questões relevantes aos gestores seniores da ExxonMobil, incluindo membros do conselho de administração e o Consultor jurídico para a Europa. Ademais, atuam como um ponto de contato oficial para os Titulares dos Dados e para as Autoridades Competentes. A estrutura corporativa global é composta por gestores seniores da ExxonMobil, os quais são responsáveis por supervisionar as atividades do Escritório de Privacidade de Dados da empresa, nos termos das disposições internas e da legislação vigente.

1.4 A afiliada ExxonMobil Petroleum & Chemical BV, com sede registrada na Polderdijkweg, 2030, Antuérpia, Bélgica, participa da governança global de proteção de dados da ExxonMobil, exercendo papel de liderança no que tange à proteção de Dados Pessoais dos cidadãos Europeu. Os detalhes relativos a essa função, bem como os direitos específicos associados aos Dados Pessoais dos cidadãos Europeus, encontram-se descritos na Seção 18.

1.5 O Código constitui as Regras Corporativas Vinculativas (Binding Corporate Rules) da ExxonMobil, nos termos das Leis da união Europeia – Regulamento Geral sobre a Proteção de Dados (GDPR – General Data Protection regulation).

2.1 A ExxonMobil aplicará este Código em todos os países nos quais realiza o Tratamento de Dados Pessoais.

2.2 O Código será aplicável aos Dados Pessoais de indivíduos, compreendendo empregados atuais e antigos, candidatos a vagas, prestadores de serviços, representantes de clientes e demais parceiros comerciais, bem como consumidores. Todos os indivíduos têm acesso a avisos de privacidade que estão em conformidade com a legislação europeia de proteção de dados, os quais descrevem as categorias e tipos de Dados Pessoais tratados, estando disponíveis nos sites internos e externos da ExxonMobil. Quando relevante, os contratos estão sujeitos a cláusulas de  confidencialidade e são acessíveis exclusivamente as partes contratantes.

2.3 O Código não se aplica a dados anonimizados ou informações que não se enquadrem na definição legal de Dados Pessoais.

2.4 A ExxonMobil realiza o Tratamento de Dados Pessoais para fins empresariais, os quais incluem:

i. Administração de pessoal e operações de recursos humanos, tais como processamento de folha de pagamento e desenvolvimento de carreira do indivíduo;

ii. Verificação do cumprimento, por parte do indivíduo, das políticas internas da organização e do uso adequado dos ativos corporativos;

iii. Segurança física e controle de acesso do indivíduo a edifícios e instalações;

iv. Gestão de tecnologia da informação relacionada ao uso, pelo indivíduo, dos sistemas corporativos, incluindo fornecimento de software e hardware, controles de acesso, manutenção e atualização de mecanismos de segurança da informação;

v. Gestão de relacionamento com clientes e demais parceiros comerciais, incluindo o  Tratamento de Dados de contato e dados transacionais para viabilizar processos de pedidos, entregas, faturamento e desenvolvimento de negócios;

vi. Comunicação com órgãos governamentais para atendimento a exigências regulatórias;

vii. Comunicação com partes externas interessadas em assuntos relacionados às atividades empresariais da ExxonMobil.

3.1 Os Dados Pessoais serão tratados de forma lícita e em conformidade com a legislação aplicável.

3.2 Este Código estabelece um padrão mínimo de proteção à privacidade de dados. Quando a Lei Aplicável exigir um nível de proteção superior ao previsto neste Código, a ExxonMobil adotará tal nível mais elevado. Por exemplo, quando o Tratamento de Dados Pessoais for permitido apenas com base em fundamentos legais específicos (ver Seções 18.2.iv e v), a ExxonMobil observará rigorosamente tais exigências.

3.3 A ExxonMobil, com o apoio do Escritório de Privacidade de Dados e dos Encarregados de Proteção de Dados (quando designados), realiza o monitoramento continuo da legislação global para assegurar a conformidade com este Código. Esse processo inclui as avaliações previstas na Seção 18.8 do presente Código. Caso a ExxonMobil tenha motivos razoáveis para acreditar que determinada legislação impeça o cumprimento das disposições deste Código, tomará uma decisão responsável quanto as medidas a serem adotadas, em consulta com o Escritório de Privacidade de Dados e com os Encarregados de Proteção de Dados (quando exigido por lei). 

O Encarregado de Proteção de Dados deverá informar e consultar a Autoridade Supervisora Competente sempre que a Lei Aplicável exigir tal comunicação ou quando a ExxonMobil entender que a legislação em questão possa ter impacto substancial e adverso sobre as garantias previstas neste Código.

Quando exigido pela legislação aplicável, os Dados Pessoais serão tratados para finalidades específicas e legítimas, sempre com fundamento em uma base legal, adequada para o Tratamento, e não serão posteriormente tratados de forma incompatível com tais finalidades. O Tratamento adicional não será considerado incompatível, por exemplo, quando ocorrer:

i. Mediante  consentimento ou autorização do Titular dos Dados;

ii. Em situações de emergência, como risco à vida ou interesses vitais do Titular; ou

iii. Para fins de estabelecimento, exercício ou defesa de reinvidicações legais.

5.1 A ExxonMobil compromete-se a tratar apenas os Dados Pessoais estritamente necessários para a realização de seus objetivos de negócio, conforme  exemplos descritos na Seção 2.4 acima. Sempre que possível, os Dados Pessoais serão eliminados, agregados e/ou pseudonimizados para garantir que apenas o mínimo necessário de dados seja tratado para a finalidade para a qual foram coletados.

5.2 Os Dados Pessoais serão mantidos pelo tempo necessário ao cumprimento das finalidades para as quais foram tratados, observando-se os prazos legais e regulamentares aplicáveis.

5.3 Quando exigido pela legislação vigente, a ExxonMobil adotará medidas para reduzir ao mínimo o Tratamento de Dados Pessoais, inclusive por meio da aplicação dos princípios de privacidade de dados, desde a concepção (Privacy by Design).

Considerando a finalidade do tratamento dos Dados Pessoais, a ExxonMobil adotará medidas razoáveis para:

i. Manter os Dados Pessoais precisos e atualizados; e

ii. Atualizar os Dados Pessoais sempre que for informada pelo Titular dos dados ou por uma Fonte Confiável acerca de alterações nos referidos dados.

A ExxonMobil fornecerá aviso claro e transparente sobre o Tratamento de Dados Pessoais, em conformidade com os requisitos legais aplicáveis.

8.1 Com base na avaliação dos riscos, a ExxonMobil aplicará medidas técnicas e organizacionais apropriadas para:

i. Garantir que os dados pessoais sejam Tratados em conformidade com as Leis de Proteção de Dados; e

ii. Proteger os Dados Pessoais contra Incidentes de Segurança envolvendo tais dados.

Essas medidas estão descritas em um cronograma de segurança da informação baseado em normas reconhecidas internacionalmente.

8.2 Na ocorrência de um Incidente de Segurança envolvendo Dados Pessoais, a ExxonMobil irá:

i. Consultar o Escritório de Privacidade de Dados da ExxonMobil, que mantém um registro dos incidentes;

ii. Reportar o ocorrido à Autoridade Reguladora e à Autoridade de Controle Competente; e

i. Informar os Titulares dos Dados sobre o incidente, em cada caso, conforme exigido pela Legislação aplicável.

9.1 Quando exigido pela legislação aplicável, a ExxonMobil responderá às solicitações dos Titulares dos Dados para:

i. Saber se e quais categorias de Dados Pessoais relacionados a eles estão sendo tratados pela ExxonMobil;

ii. Receber uma cópia de seus Dados Pessoais;

iii. Excluir, restringir, apagar ou interromper o Tratamento de seus Dados Pessoais;

iv. Retirar o consentimento para o Tratamento de dados, quando permitido pela legislação aplicável; e

v. Exercer o direito à Portabilidade dos Dados.

9.2 Os Titulares dos Dados poderão solicitar à ExxonMobil a retificação de Dados Pessoais incorretos relacionados a eles, conforme descrito na Seção 6.

9.3 Os Titulares de Dados que desejarem exercer seus direitos, ou que tenham dúvida, preocupações ou reclamações sobre o possível descumprimento deste Código por parte da ExxonMobil, podem entrar em contato com o Escritório de Privacidade de Dados da empresa. Este contato permitirá obter orientações sobre o procedimento  adequado para o tratamento da reclamação. 

Por e-mail: data.privacy.office@exxonmobil.com
Por escrito: Escritório de Privacidade de Dados, c/o ExxonMobil Hungary Limited Liability Company, Endereço registrado: H-1134 Budapeste, Dózsa György út 61-63, Budapeste, H-1134, Hungria.

Os Titulares de Dados também poderão entrar em contato com os Encarregados de Proteção de Dados (quando nomeados), utilizando os mesmos dados de contato, mas com o assunto do e-mail intitulado como “DP Officer”.

Sempre que houver transferência de Dados Pessoais entre afiliadas da ExxonMobil, será garantida a proteção conforme as disposições estabelecidas neste Código. 

Os Dados Pessoais somente serão transferidos a terceiros (incluindo transferências internacionais) mediante adoção de medidas adequadas e em conformidade com as Leis Aplicáveis, garantindo a proteção adequada dos Dados Pessoais durante a transferência.

A ExxonMobil compromete-se a fornecer treinamento obrigatório sobre as obrigações estabelecidas neste Código aos funcionários e contratados que tenham acesso aos nossos sistemas e que:

i. Realizem o tratamento de Dados Pessoais, ou

ii. Estejam envolvidos na manutenção ou desenvolvimento de ferramentas utilizadas para processar Dados Pessoais.

Esse treinamento ocorre no início do vínculo empregatício e/ou das atividades com a ExxonMobil, e, posteriormente, a cada trêsanos.

A educação contínua é apoiada pelo Escritório de Privacidade de Dados e está disponível nos sistemas de treinamento corporativos da ExxonMobil.

13.1 A ExxonMobil mantém programas para verificar regularmente a implementação e a conformidade com este Código.

13.2 Os programas de verificação de conformidade incluem:

i. Auditorias periódicas nas unidades e linhas de negócio da ExxonMobil, conduzidas pelo departamento de auditoria interna, com acompanhamento de quaisquer medidas corretivas necessárias e supervisão do programa de auditoria e dos resultados pelo Conselho de Administração da ExxonMobil Corporation;

ii. Garantia de independência do departamento de auditoria interna da ExxonMobil na execução de suas funções, incluindo escopo, processo e frequência. Isso assegura a independência do departamento de auditoria e dos resultados das auditorias. Os resultados são comunicados à alta liderança da unidade ou linha de negócios auditada e/ou ao Encarregado de Proteção de Dados (quando aplicável), bem como a um representante do conselho da ExxonMobil Petroleum & Chemical BV, para garantir a implementação das recomendações;

iii. O departamento de auditoria interna é responsável por acompanhar todas as constatações identificadas nas auditorias realizadas. A supervisão tanto do departamento quanto do programa de auditoria - incluindo todos os resultados das auditorias internas - é conduzida pelos membros do Comitê de Auditoria do Conselho de Administração da ExxonMobil Corporation. Essa supervisão garante a integridade, a transparência e a efetividade das funções desempenhadas pela auditoria interna;

iv. Processo adicional para solicitação de auditorias por unidades ou linhas de negócio, conduzido pela auditoria interna da ExxonMobil.

14.1 A ExxonMobil cooperará com as Autoridades Competentes, responderá a solicitações de informações relacionadas ao tratamento de dados conforme o Código e considerará cuidadosamente os pareceres dessas autoridades em relação a pedidos sobre a aplicação deste Código.

14.2 No exercício de suas funções públicas, por uma autoridade competente, A ExxonMobil cooperará e cumprirá decisões formais e legais que sejam finais  e não estejam sujeitas a novos recursos.

14.3 Quando os Dados Pessoais forem transferidos entre Afiliadas, estas deverão cooperar e se auxiliar mutuamente, quando necessário, para responder à solicitações das Autoridades Competentes.

15.1 O Código poderá ser alterado pela ExxonMobil sempre que necessário para garantir conformidade com alterações legais ou para refletir mudanças na estrutura organizacional interna e nos processos. As alterações no Código serão registradas e armazenadas pelo Escritório de Privacidade de Dados e comunicadas a todas as Afiliadas da ExxonMobil (somente em caso de alterações materiais).

15.2 A ExxonMobil comunicará à Autoridade Supervisora competente:

• Alterações materiais no Código e no Acordo Intragrupo,no menor prazo possível; e
• Anualmente, todas as alterações no Código e/ou na lista de Afiliadas vinculadas ao Código, incluindo uma breve descrição das modificações (ou a ausência delas, que também será comunicada).

15.3 A ExxonMobil disponibilizará o Código, bem como suas alterações:

• Externamente, no site oficial;
• Mediante solicitação do Titular dos Dados, conforme previsto na Subseção 9.3; e
• Internamente, na intranet da ExxonMobil

O Código entra em vigor na data de assinatura do Acordo Vinculativo corporativo entre Afiliadas (Binding Corporate Rules Inter-Affiliate Agreement).

Para obter informações adicionais sobre o Código de Conduta, entre em contato com o Escritório de Privacidade de Dados da ExxonMobil: data.privacy.office@exxonmobil.com.

18.1 Com relação aos Dados Pessoais Europeus, a ExxonMobil é responsável e compromete-se a cumprir todos os compromissos assumidos neste Código. Quando as Leis Europeias de Proteção de Dados impuserem um nível mais elevado de proteção, a ExxonMobil aplicará esse nível superior. A ExxonMobil notificará prontamente o Exportador dos Dados e a ExxonMobil Petroleum & Chemical BV caso não possa mais cumprir o Código, inclusive em decorrência de alteração legislativa no País de Destino ou de solicitação de acesso por parte de autoridade governamental.

18.2 No caso de transferência de Dados Pessoais Europeus para Afiliadas localizadas fora da Região Europeia, a ExxonMobil garantirá um nível de proteção que não comprometa o padrão estabelecido pelas Leis Europeias de Proteção de Dados. A ExxonMobil assegurará essa proteção mesmo que a legislação aplicável no país da Afiliada receptora não preveja tal nível de proteção.
Isso significa, em especial, no que diz respeito às práticas de privacidade descritas nas Seções 3, 4, 5, 7, 8, 9 e 11, que a ExxonMobil se compromete a:

i. Não realizar o Tratamento de Dados Pessoais Europeus que revelem origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas, filiação sindical, dados relativos à saúde, vida sexual, orientação sexual, dados genéticos ou dados biométricos com o objetivo de identificar unicamente um Indivíduo, salvo se tal Tratamento for permitido em conformidade com as Leis Europeias de Proteção de Dados;

ii. Não realizar o Tratamento de Dados Pessoais Europeus relacionados a condenações criminais e infrações, exceto em conformidade com as Leis Europeias de Proteção de Dados;

iii. Realizar avaliação de impacto para operações de Tratamento de dados consideradas de alto risco, conforme exigido pelas Leis Europeias de Proteção de Dados, e, caso os riscos permaneçam elevados após a implementação de medidas mitigadoras recomendadas pelos Encarregados de Proteção de Dados e orientações jurídicas específicas por avaliação, consultar a Autoridade Supervisora Competente, em conformidade com as Leis Europeias de Proteção de Dados;

iv. Realizar o Tratamento de Dados Pessoais Europeus para finalidades empresariais específicas e legítimas, com base jurídica válida, incluindo (conforme aplicável):

• Quando o Tratamento de Dados for necessário para atender a interesses legítimos da ExxonMobil ou de terceiros, exceto quando tais interesses forem sobrepostos pelos interesses ou pelos direitos e liberdades fundamentais do Indivíduo;

• Quando o Titular dos Dados tiver fornecido consentimento para o Tratamento de seus Dados Pessoais para uma ou mais finalidades específicas;

• Quando o Tratamento de Dados for necessário para a execução de contrato do qual o Titular dos Dados seja parte, ou para a adoção de medidas a pedido do Titular dos Dados antes da celebração de contrato;

• Quando o Tratamento de Dados for necessário para o cumprimento de obrigação legal à qual a ExxonMobil esteja sujeita;

• Em circunstâncias excepcionais, quando o Tratamento de Dados for necessário para proteger interesses vitais do Titular de Dados ou de outra pessoa natural.

v. Realizar o Tratamento de Dados Pessoais Europeus classificados como dados pessoais sensíveis, conforme definido pelas Leis Europeias de Proteção de Dados, para finalidades empresariais específicas e legítimas, com base jurídica válida, incluindo (conforme aplicável):

• Quando o Titular de Dados tiver fornecido consentimento explícito para o Tratamento de seus Dados Pessoais para uma ou mais finalidades específicas;

• Quando o Tratamento de Dados for necessário para o cumprimento de obrigações e exercício de direitos específicos da ExxonMobil ou do Titular de Dados no âmbito da legislação trabalhista, previdenciária e de proteção social, desde que autorizado;

• Quando o Tratamento de Dados for necessário para fins de medicina preventiva ou ocupacional, avaliação da capacidade laboral do empregado, diagnóstico médico, prestação de cuidados ou tratamentos de saúde ou assistência social, ou gestão de sistemas e serviços de saúde ou assistência social, conforme permitido pelas Leis Europeias de Proteção de Dados.

vi. Realizar o Tratamento de Dados Pessoais Europeus que sejam adequados, pertinentes e limitados ao necessário em relação às finalidades empresariais legítimas;

vii. Aplicar os princípios de privacidade desde a concepção (privacy by design) e por padrão (privacy by default), conforme apropriado;

viii. Manter registro digital e escrito das atividades de Tratamento, o qual será disponibilizado à Autoridade Supervisora Competente mediante solicitação;

ix. Garantir aviso e transparência aos Titulares de Dados quanto ao uso e à finalidade do Tratamento de seus Dados Pessoais, incluindo referência a este Código, em conformidade com as Leis Europeias de Proteção de Dados;

x. Aplicar o mesmo nível de medidas de segurança para proteger os Dados Pessoais  Europeus conforme previsto nas Leis Europeias de Proteção de Dados;

xi. Em caso de violação de Dados Pessoais Europeus, a ExxonMobil deverá:

1. Consultar o Escritório de Privacidade de Dados da ExxonMobil e o Encarregado de Proteção de Dados, que prestarão suporte na avaliação do risco, registrarão a violação em um registro interno de incidentes e disponibilizarão a documentação pertinente à Autoridade Supervisora Competente, mediante solicitação;

2. Notificar a violação de dados pessoais às Autoridades Supervisoras Competentes no menor prazo possível e, sempre que possível, em até 72 horas após a ciência da violação, salvo se for improvável que a violação resulte em risco aos direitos e liberdades de pessoas naturais;

3. Notificar no menor prazo possível a ExxonMobil Petroleum & Chemical BV; e

4. Informar os Indivíduos no menor prazo possível, caso a violação seja suscetível de resultar em alto risco aos seus direitos e liberdades;

5. Quando a violação de Dados Pessoais Europeus decorrer de ações de um operador de dados da ExxonMobil, notificar no menor prazo possível o Controlador de Dados da ExxonMobil.

xii. Responder às solicitações e reclamações dos Titulares de Dados relacionadas ao Tratamento de Dados Pessoais Europeus, conforme previsto na Seção 18.7;

xiii. Garantir que os Titulares de Dados possam se opor ao Tratamento de seus Dados Pessoais, bem como as decisões tomadas exclusivamente com base em processamento automatizado que produzam efeitos legais ou impactem significamente o Indivíduo, exceto nos casos em que tais decisões sejam permitidas pelas Leis Europeias de Proteção de Dados;

xiv. Realizar a Transferência de Dados Pessoais Europeus para terceiros localizados fora da Região Europeia somente em conformidade com as Leis Europeias de Proteção de Dados;

xv. Celebrar contratos com Operadores de Dados que estejam em conformidade com as Leis Europeias de Proteção de Dados;

xvi. Nomear Encarregados de Proteção de Dados na Região Europeia para monitorar especificamente o cumprimento das Leis Europeias de Proteção de Dados. Em conformidade com essas leis, os Encarregados de Proteção de Dados poderão solicitar auditorias para apoiar suas responsabilidades de monitoramento de conformidade.

18.3 As Autoridades Supervisoras Competentes na Região Europeia poderão verificar o cumprimento deste Código, inclusive por meio da realização de auditorias na ExxonMobil, conforme os direitos de auditoria conferidos pelas Leis Europeias de Proteção de Dados. Os resultados das auditorias relacionadas a todos os Dados Pessoais serão comunicados conforme descrito na Seção 13.2, e também serão disponibilizados à Autoridade Supervisora Competente mediante solicitação. Qualquer disputa relacionada ao exercício da supervisão do cumprimento deste Código será resolvida pelos tribunais do país da(s) Autoridade(s) Supervisora(s) Competente(s), em conformidade com as Leis Europeias de Proteção de Dados. A ExxonMobil concorda em submeter-se à jurisdição aplicável.

Todas as Afiliadas deverão cooperar com a ExxonMobil Petroleum & Chemical BV conforme necessário para atender às solicitações das Autoridades Supervisoras Competentes, incluindo a disponibilização de resultados de auditorias e inspeções relevantes, inclusive auditorias presenciais, relacionadas ao Código.

A ExxonMobil cumprirá as orientações das Autoridades Supervisoras Competentes na Região Europeia com relação aos Dados Pessoais Europeus, estando sujeita ao esgotamento dos recursos legais cabíveis, quando considerado apropriado pela ExxonMobil.

18.4 O Titular de Dados cujos Dados Pessoais Europeus forem transferidos para uma Afiliada localizada fora da Região Europeia possui direitos como terceiro beneficiário e poderá exercer diretamente as disposições das Seções 15.3 e 18.2.i., iii., iv., v., vii., viii., ix.3, x., xi., xii., 18.3 a 18.8 deste Código, por meio de qualquer uma das seguintes formas:

i. Entrando em contato com o Escritório de Privacidade de Dados da ExxonMobil, conforme previsto na Subseção 9.3;

ii. Apresentando uma reclamação junto à Autoridade Supervisora Competente do país em que o Indivíduo tenha residência habitual, local de trabalho ou onde tenha ocorrido a suposta infração ao Código;

iii. Ingressando com ação judicial contra a Afiliada relevante estabelecida na Região Europeia perante um tribunal competente da Região Europeia;

iv. Ingressando com ação judicial contra a ExxonMobil Petroleum & Chemical BV, com sede registrada na Polderdijkweg, 2030 Antuérpia, Bélgica, perante a Autoridade de Proteção de Dados da Bélgica, os tribunais de Bruxelas ou outros tribunais competentes, conforme permitido pelas Leis Europeias de Proteção de Dados.

18.5 Caso uma reclamação ou reivindicação válida seja apresentada nos termos da Seção 18.4, a ExxonMobil Petroleum & Chemical BV aceita a responsabilidade por qualquer violação deste Código cometida por uma Afiliada estabelecida fora da Região Europeia e compromete-se a tomar as medidas necessárias para sanar a violação e, quando apropriado, a indenizar os danos decorrentes da referida violação, conforme decisão final de tribunal ou Autoridade Supervisora Competente, não sujeita a novos recursos.

18.6 Caso uma reclamação, reivindicação ou ação judicial seja apresentada nos termos da Seção 18.4, o Titular de Dados não precisa comprovar a ocorrência de uma violação efetiva deste Código por parte da Afiliada fora da Região Europeia; basta que o Titular de Dados demonstre que sofreu um dano e que tal dano provavelmente decorre de uma violação deste Código por uma Afiliada estabelecida fora da Região Europeia. O ônus da prova recairá sobre a ExxonMobil Petroleum & Chemical BV, que deverá demonstrar que a Afiliada fora da Região Europeia não violou este Código. Caso a ExxonMobil Petroleum & Chemical BV comprove que a Afiliada não é responsável pela violação, poderá eximir-se de qualquer responsabilidade.

18.7 A ExxonMobil responderá às solicitações ou reclamações relacionadas ao Tratamento de Dados Pessoais Europeus no menor prazo possível e, em qualquer caso, dentro de um mês a partir do recebimento da solicitação ou reclamação. Esse prazo poderá ser prorrogado por mais dois meses, quando necessário e permitido pelas Leis Europeias de Proteção de Dados, mediante notificação escrita ao Titular de Dados. O Escritório de Privacidade de Dados da ExxonMobil e os Encarregados de Proteção de Dados atuam como ponto de escalonamento para os colaboradores da ExxonMobil responsáveis por responder a tais solicitações ou reclamações.

As reclamações poderão ser apresentadas pelo Titular de Dados à ExxonMobil por e-mail ou por escrito, conforme previsto na Seção 9.3 deste Código. A ExxonMobil reconhece solicitações e reclamações feitas diretamente pelos Titulares de Dados ou por meio de representantes de entidades, organizações ou associações sem fins lucrativos, em nome dos Titulares de Dados, quando permitido pelas Leis Europeias de Proteção de Dados.

Caso a ExxonMobil considere a reclamação procedente, informará ao Titular de Dados como pretende solucionar o problema que deu origem à reclamação. Se a reclamação for rejeitada ou se o Titular de Dados não estiver satisfeito com a resposta da ExxonMobil, poderá apresentar reclamação ou iniciar ação judicial conforme previsto nas Seções 18.4.ii e 18.4.iii deste Código. Além disso, se a reclamação estiver relacionada ao Tratamento de Dados Pessoais Europeus por Afiliadas estabelecidas fora da Região Europeia, o Indivíduo também poderá apresentar reclamação ou iniciar ação judicial conforme previsto na Seção 18.4.iv.

18.8 A ExxonMobil realiza e documenta as avaliações para determinar se uma Transferência de Dados Pessoais Europeus para um Importador de Dados localizado fora da Região Europeia, com base neste Código, está devidamente protegida por ele e se medidas suplementares devem ser implementadas em decorrência dos resultados da Avaliação. Essas Avaliações são mantidas atualizadas para refletir quaisquer alterações legislativas que possam modificar a análise de risco, incluindo o monitoramento, pelos Exportadores de Dados, da evolução de tecnicas de Tratamento de Dados no País de Destino em colaboração com os Importadores de Dados, quando apropriado. Em conformidade com a Seção 18.1, a ExxonMobil notificará prontamente o Exportador de Dados e a ExxonMobil Petroleum & Chemical BV caso não possa mais cumprir o Código em razão de alterações legais. As Afiliadas são informadas dos resultados das Avaliações pelo Escritório de Privacidade de Dados, incluindo se tais Transferências foram suspensas ou encerradas. A implementação de medidas suplementares é registrada juntamente com a Avaliação.

O processo de Avaliação considera todos os aspectos da Transferência, incluindo a análise de se as leis e práticas locais no País de Destino:

• Respeitam a essência dos direitos e liberdades fundamentais;

• Excedem o que é necessário e proporcional em uma sociedade democrática para justificar a exigência de divulgação ou autorização de acesso aos Dados Pessoais Europeus; e

• Exigem a divulgação de Dados Pessoais Europeus ou autorizam o acesso por autoridades públicas.

Caso a Avaliação conclua que as leis e práticas locais do País de Destino possam causar um impacto adverso substancial às garantias e compromissos estabelecidos neste Código, a Afiliada deverá comunicar tal conclusão, conforme previsto na Seção 18.1.

Nesses casos, a ExxonMobil, em coordenação com a ExxonMobil Petroleum & Chemical BV, o Escritório de Privacidade de Dados e os Encarregados de Proteção de Dados, revisará as medidas contratuais, técnicas e organizacionais de segurança existentes e decidirá se deve complementá-las para mitigar o risco. O processo de Avaliação e implementação de medidas suplementares também se aplica as Transferências de Dados existentes que tenham sido notificadas como afetadas por leis e medidas locais pelo Importador de Dados. Essas Transferências de Dados são imediatamente suspensas por determinação da ExxonMobil e, se instruído pelas Autoridades Supervisoras Competentes, permanecerão suspensas até que medidas suplementares sejam identificadas, se possível.

Caso não seja possível identificar medidas suplementares adequadas ou, mesmo que identificadas, elas não ofereçam proteção suficiente para permitir que o Código proteja a Transferência de Dados Pessoais Europeus, ou se uma Transferência suspensa não for restabelecida dentro de um mês após a suspensão, ou se a suspensão for prorrogada por motivos de continuidade operacional, as Transferências existentes serão descontinuadas e novas Transferências não serão permitidas. Todos os Dados Pessoais Europeus que seriam transferidos, incluindo todas as cópias, deverão ser devolvidos ou destruídos, conforme escolha do Exportador de Dados, salvo se houver legislação local que proíba tal ação. Nesse caso, os Dados Pessoais Europeus permanecerão com o Importador de Dados, que continuará a cumprir este Código. Caso o Exportador de Dados opte pela exclusão, o Importador de Dados deverá fornecer evidência, quando solicitado, de que todos os Dados Pessoais Europeus foram permanentemente excluídos.

Todas as Avaliações estarão disponíveis para a Autoridade Supervisora Competente mediante solicitação.

18.9 Caso o Importador de Dados receba ou tome conhecimento de uma Solicitação de Acesso Governamental, deverá notificar prontamente o Exportador de Dados e o Titular de Dados cujos Dados Pessoais Europeus forem objeto da referida solicitação.

Caso o Importador de Dados esteja parcial ou totalmente impedido de realizar notificações relacionadas à Solicitação de Acesso Governamental, ele deverá fazer o máximo esforço possível para obter autorização que permita a dispensa desse impedimento. Esses esforços devem ser devidamente documentados, incluindo a Solicitação de Acesso Governamental original, para que possam ser apresentados ao Exportador de Dados, se solicitado, enquanto a Transferência de Dados Pessoais estiver protegida por este Código. Todas as Solicitações de Acesso Governamental, bem como a documentação interna correspondente, deverão ser preservadas conforme as diretrizes de gestão documental da ExxonMobil.

A ExxonMobil avaliará a legalidade da Solicitação de Acesso Governamental para fins de divulgação conforme descrito acima — em especial, se está dentro dos poderes concedidos à autoridade pública solicitante — e contestará a Solicitação de Acesso Governamental caso, após avaliação criteriosa, conclua que há fundamentos razoáveis para considerar que a solicitação é ilegal à luz das leis do País de Destino, das obrigações aplicáveis sob o direito internacional e/ou dos princípios de boas práticas internacionais entre governos. A ExxonMobil irá compartilhar essa avaliação com o Exportador de Dados. Nas mesmas condições, a ExxonMobil buscará possibilidades de recurso. Ao contestar uma Solicitação de Acesso Governamental, a ExxonMobil buscará medidas provisórias com o objetivo de suspender os efeitos da solicitação até que a autoridade judicial competente decida sobre o mérito da questão. A ExxonMobil documentará sua avaliação jurídica e qualquer contestação à Solicitação de Acesso Governamental para fins de divulgação e, na medida permitida pelas leis do País de Destino, disponibilizará essa documentação à Autoridade Supervisora Competente mediante solicitação. A ExxonMobil não divulgará os Dados Pessoais solicitados até que seja legalmente obrigada a fazê-lo, conforme as regras processuais aplicáveis, e fornecerá apenas a quantidade mínima de informações permitida ao responder, com base em uma interpretação razoável da solicitação.

A ExxonMobil adotará medidas para evitar qualquer Transferência de Dados Pessoais Europeus a autoridades públicas (bem como qualquer acesso direto por tais autoridades aos Dados Pessoais transferidos sob este Código) que seja massiva, desproporcional e indiscriminada, de forma que exceda o necessário em uma sociedade democrática.

O Importador de Dados fornecerá ao Exportador de Dados, anualmente e em intervalos regulares, informações gerais sobre as Solicitações de Acesso Governamental recebidas, incluindo o máximo de informações relevantes possível (em especial, número de solicitações, tipo de dados solicitados, autoridade ou autoridades requerentes, se as solicitações foram contestadas e o resultado dessas contestações).

18.10 As Afiliadas não realizarão a Transferência de Dados Pessoais Europeus com base neste Código para outras Afiliadas, a menos que estas também estejam vinculadas ao Código.

18.11 Caso um Importador de Dados deixe de estar sujeito às obrigações deste Código, ele poderá ser autorizado a manter, devolver ou excluir os Dados Pessoais recebidos do Exportador de Dados. Caso o Exportador de Dados e o Importador de Dados concordarem que os dados podem ser mantidos, o Importador deverá garantir que estes dados continuarão protegidos em conformidade com as Leis Europeias de Proteção de Dados.

“Acordo Intragrupo” corresponde ao acordo entre Afiliadas da ExxonMobil pelo qual as Afiliadas adotam e se vinculam ao Código.

“Afiliada” refere-se a qualquer empresa ou sociedade que tenha adotado este Código por meio da assinatura do acordo entre afiliadas, e na qual a Exxon Mobil Corporation ou qualquer empresa controladora da Exxon Mobil Corporation, atualmente ou futuramente, detenha ou controle, direta ou indiretamente, mais de 50% do capital com direito a voto ou à nomeação de seus diretores ou equivalentes funcionais, bem como qualquer sucessora dessa empresa ou sociedade.

“Alterações Materiais” são as modificações no Código que tenham impacto negativo no padrão de proteção de dados para Dados Pessoais Europeus previsto no Código, ou que afetem significativamente o escopo ou a estrutura do Código com relação aos Dados Pessoais Europeus.

“Autoridade Supervisora Competente (SA)” refere-se à autoridade supervisora de proteção de dados do EEE competente para o Exportador de Dados nos termos deste Código.

“Avaliações” refere-se à análise jurídica de: (i) circunstâncias específicas das Transferências de Dados; (ii) leis e práticas do País de Destino relevantes para determinada Transferência, incluindo aquelas que exigem divulgação ou acesso, bem como aquelas que impõem limitações ou oferecem salvaguardas; e (iii) medidas contratuais, técnicas ou organizacionais relevantes e existentes para complementar as proteções previstas neste Código.

“Dados Pessoais” são os dados relacionados a um indivíduo (Titular de Dados).

“Dados Pessoais Europeus” correspondem aos Dados Pessoais que estão ou estiveram sujeitos às Leis Europeias de Proteção de Dados.

“EEE” significa o Espaço Econômico Europeu (EEA – European Economica Area). Estabelecido pelo acordo de 1º de janeiro de 1994, que prevê a livre circulação de pessoas, bens, serviços e capitais dentro do Mercado Único Europeu.

“Fonte Confiável” significa pessoa ou entidade autorizada a representar o Indivíduo, ou pessoa ou entidade que, na determinação da ExxonMobil, possui autoridade aparente para representar o Indivíduo (Titular de Dados).

“Exportador de Dados” significa a Afiliada localizada na Região Europeia que transfere Dados Pessoais Europeus para fora da Região Europeia a um Importador de Dados.

“Importador de Dados” significa a Afiliada que recebe Dados Pessoais Europeus transferidos da Região Europeia por um Exportador de Dados.

“Informação Anonimizada” significa informação que não se relaciona a uma pessoa natural identificada ou identificável, ou dados pessoais tornados anônimos de forma que o Titular dos Dados não possa ser identificado ou não seja mais identificável.

“Leis Aplicáveis” significam: (i) em relação aos Dados Pessoais Europeus, as Leis Europeias de Proteção de Dados; e/ou (ii) em relação a quaisquer outros Dados Pessoais, as leis e regulamentos nacionais, federais, estaduais e locais aplicáveis à proteção, privacidade e segurança de Dados Pessoais, conforme atualizados, modificados ou substituídos periodicamente e conforme aplicável ao Tratamento de Dados realizado pela ExxonMobil.

“Leis Europeias de Proteção de Dados” significam o Regulamento (UE) 2016/679 sobre a proteção de pessoas naturais no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral de Proteção de Dados da UE), conforme implementado na legislação nacional dos Estados membros do EEE e do Reino Unido, e conforme alterado periodicamente, ou a Lei Federal Suíça de Proteção de Dados e todas as leis ou regulamentos nacionais correspondentes ou equivalentes, conforme atualizados, modificados ou substituídos, conforme aplicável ao Tratamento realizado pela ExxonMobil.

“País de Destino” significa país fora da Região Europeia para o qual os Dados Pessoais são transferidos e que não possui decisão de adequação vigente da Comissão Europeia.

“Portabilidade de Dados” significa o direito de obter os Dados Pessoais em formato adequado para transmissão a terceiros, conforme legislação aplicável.

“Região Europeia” significa os países do Espaço Econômico Europeu (EEE), Reino Unido e Suíça.

“Solicitação de Acesso Governamental” significa: (i) o recebimento de solicitação legalmente vinculativa de divulgação de Dados Pessoais Europeus por autoridade pública do País de Destino; ou (ii) a ciência de acesso direto por autoridades públicas a tais Dados Pessoais Europeus em país fora da Região Europeia.

“Titular de Dados” significa qualquer pessoa natural identificada ou identificável cujas informações sejam Tratadas pela ExxonMobil ou em seu nome; uma pessoa natural é identificável quando pode ser identificada, direta ou indiretamente, especialmente por referência a um identificador como nome, número de identificação, dados de localização, identificador online ou a um ou mais fatores específicos à identidade física, fisiológica, genética, mental, econômica, cultural ou social dessa pessoa. Titulares de Dados incluem empregados atuais e antigos, candidatos a emprego, contratados, representantes de clientes e outros parceiros comerciais, e consumidores.

“Transferência”, “Transferências” e “Transferido” significam uma única transferência ou um conjunto de transferências de Dados Pessoais, conforme aplicável, incluindo a primeira transferência e quaisquer transferências subsequentes dentro do mesmo País de Destino ou para outro País de Destino.

“Tratar”, “Tratado”, “Trata”, “Tratamento” significam qualquer operação realizada sobre Dados Pessoais, com ou sem meios automatizados, como acesso, coleta, armazenamento, registro, organização, alteração, disseminação, divulgação, transferência, recuperação, destruição ou qualquer outra forma de uso de Dados Pessoais.

“Violação de Dados Pessoais” significa violação de segurança que resulte em destruição, perda, alteração, acesso não autorizado ou divulgação acidental ou ilícita de Dados Pessoais.

As Afiliadas estão listadas por país e incluem número de registro. O endereço de cada país e os dados de contato do Encarregado de Proteção de Dados, quando exigido, são disponibilizados como parte do aviso de privacidade por país ou na página de contato disponível em: Nossas políticas de privacidade | ExxonMobil.