Código de Conduta de Privacidade de Dados da ExxonMobil

1.1 A ExxonMobil está comprometida em proteger os Dados Pessoais, incluindo:

i. O Processamento legal de Dados Pessoais confiados a ExxonMobil, e
ii. De forma consistente com as necessidades dos negócios, administrando adequadamente os riscos de privacidade associados ao Processamento de Dados Pessoais.

1.2 A ExxonMobil e seus funcionários deverão cumprir com o Código durante o Processamento de Dados Pessoais.

1.3 A ExxonMobil deverá supervisionar a conformidade com este Código e com os programas, ferramentas e procedimentos  para implementação do Código através de um órgão global de governança de proteção de dados.

1.4 A Afiliada ExxonMobil Petroleum & Chemical BV, com sede em Polderdijkweg, 2030 Antuérpia, Bélgica, participa da governança global de proteção de dados da ExxonMobil e tem um papel de liderança em relação à proteção de Dados Pessoais Europeus. Detalhes dessa função e direitos específicos em relação aos Dados Pessoais Europeus estão descritos na Seção 19.

1.5 O Código é composto pelas Regras Corporativas Compulsórias da ExxonMobil sob as Leis Europeias de Proteção de Dados.

2.1 A ExxonMobil irá aplicar o Código em cada país em que Processar Dados Pessoais. 

2.2 O Código terá aplicação aos Dados Pessoais de Indivíduos. Os Indivíduos incluem funcionários atuais e anteriores, candidatos a emprego, contratados, representantes de clientes e outros parceiros de negócios, e consumidores.

2.3 O Código não se aplica às Informações Anonimizadas ou outras informações que não sejam Dados Pessoais.

2.4 A ExxonMobil processa Dados Pessoais para fins comerciais, que incluem:

i.  administração de pessoal e operações de recursos humanos, como folha de pagamento e desenvolvimento de carreira de um Indivíduo,

ii.  verificação da conformidade de um Indivíduo com as políticas da empresa,

iii. segurança física e acesso de um Indivíduo a edifícios e instalações,

iv. gerenciamento de tecnologia da informação relacionado ao uso de sistemas da empresa por um Indivíduo,

v. gerenciamento de relacionamento com nossos clientes e outros parceiros de negócios, que inclui o Processamento de detalhes de contatos e dados transacionais para permitir a tomada de pedidos, entrega, faturamento e desenvolvimento de negócios,

iv. comunicação com agências governamentais para atender aos requisitos regulatórios,

v. comunicação com partes interessadas externas sobre assuntos relacionados às atividades de negócios da ExxonMobil.

3.1 Os Dados Pessoais serão Processados de maneira legal. 

3.2 Este Código define um padrão mínimo de proteção de privacidade de dados. Quando a lei regente exigir um nível mais alto de proteção dos Dados Pessoais do que o nível de proteção estabelecido no Código, a ExxonMobil aplicará esse nível mais alto de proteção. Por exemplo, quando o Processamento for permitido apenas com base em um ou mais motivos especificados por lei, a ExxonMobil atenderá a esses requisitos.

3.3 Quando a ExxonMobil tiver motivos para acreditar que uma lei esteja impedindo cumprimento do Código, a ExxonMobil tomará uma decisão responsável sobre as medidas a serem tomadas em consulta com o Escritório de Privacidade de Dados da ExxonMobil e também em consulta com uma autoridade competente de proteção de dados, se a ExxonMobil considerar necessário.

5.1 A ExxonMobil se compromete a processar Dados Pessoais relevantes para uma finalidade comercial legítima.

5.2 Os Dados Pessoais serão mantidos apenas pelo tempo necessário para atender aos propósitos para os quais são Processados ou, caso esse prazo for maior, para estar em conformidade com a lei aplicável ou para proteger interesses legítimos da empresa.

5.3 Quando exigido pela lei aplicável, a ExxonMobil tomará medidas para minimizar o Processamento de Dados Pessoais, incluindo a privacidade por projeto.

8.1 Com base em uma avaliação dos riscos envolvidos, a ExxonMobil aplicará medidas técnicas e organizacionais apropriadas para proteger os Dados Pessoais contra perda acidental ou ilegal, acesso e uso indevido, divulgação, alteração e destruição não autorizados.

8.2 No caso de uma violação de Dados Pessoais, a ExxonMobil  (i.) consultará o Escritório de Privacidade de Dados da ExxonMobil, que manterá um registro das violações de Dados Pessoais, e (ii.) informará os Indivíduos sobre a violação de acordo com a lei aplicável.

9.1 Quando exigido pela lei aplicável, a ExxonMobil responderá às solicitações dos Indivíduos para: (i.) saber quais categorias de Dados Pessoais relacionados a estes indivíduos a ExxonMobil está processando, (ii.) receber uma cópia de seus Dados Pessoais, (iii.) excluir, restringir, apagar ou interromper o Processamento dos dados pessoais do Indivíduo solicitante e (iv.) para Portabilidade de Dados.

9.2 Os Indivíduos podem solicitar à ExxonMobil a ratificação de Dados Pessoais imprecisos relacionados a estes, de acordo com a Seção 6.

9.3  Para exercer esses direitos ou levantar uma preocupação ou reclamação de que a ExxonMobil não está em conformidade com o Código, os Indivíduos podem entrar em contato com o Escritório de Privacidade de Dados da ExxonMobil para obter mais informações sobre o procedimento a ser aplicado para lidar com a reclamação:

Por e-mail para: data.privacy.office@exxonmobil.com
Ou por escrito para: Escritório de Privacidade de Dados da ExxonMobil, com cópia para o ExxonMobil Business Support Center Hungary Ltd. Váci út 81-85, Budapeste, H-1139, Hungria. 

Sempre que a ExxonMobil transferir Dados Pessoais entre Afiliadas, a ExxonMobil irá tratar e proteger os Dados Pessoais de acordo com este Código.

Além disso, as Afiliadas que processam Dados Pessoais em nome de outras Afiliadas, cumprirão todos e quaisquer acordos relevantes Intra-Afiliadas que incluam obrigações em relação ao processamento de Dados Pessoais. 

13.1 A ExxonMobil aplica programas para verificar regularmente sua implementação e conformidade com o Código.

13.2 Os programas de verificação de compliance incluem: 

i. Um programa de auditoria que inclui auditorias regulares a serem feitas pelo departamento de auditoria interna e acompanhamento de todas e quaisquer medidas corretivas necessárias, e supervisão do programa de auditoria e dos resultados da auditoria pelo Conselho de Administração da ExxonMobil 

ii. Uma organização de privacidade de dados com a seguinte consistência:

1.  Uma rede de contatos de privacidade designados, 

2. O Escritório de Privacidade de Dados da ExxonMobil, que realiza avaliações de impacto na privacidade com base em riscos, e responsável pelas tarefas atribuídas nas Seções 3.3, 8.2, 9.3, 17, 19.2.ix, 19.3 e 19.4.i do Código.

3. Um órgão global de governança de proteção de dados composto por gerentes sêniores da ExxonMobil, que supervisiona a conformidade com o Código e que também supervisiona as atividades do Escritório de Privacidade de Dados da ExxonMobil. 

14.1 ExxonMobil irá cooperar e considerar cuidadosamente o parecer das autoridades competentes de proteção de dados em relação às solicitações sobre a aplicação deste Código.

14.2 A ExxonMobil irá cumprir com as decisões formais e jurídicas das autoridades competentes de proteção de dados que sejam finais e não estejam sujeitas a recursos ou apelações adicionais.

14.3  Quando os Dados Pessoais forem transferidos entre as Afiliadas, estas devem cooperar e assistir, quando necessário, nas respostas de solicitações das autoridades competentes de proteção de dados.

15.1 O Código pode ser modificado pela ExxonMobil conforme necessário, por exemplo, para garantir a conformidade com as mudanças na lei aplicável ou refletir mudanças nos processos e organização interna.

15.2 A ExxonMobil comunicará alterações no Código à Autoridade de Proteção de Dados da Bélgica da seguinte maneira:

• Alterações Materiais no Código e no Acordo Intragrupo serão comunicadas sem demora injustificada; e
• A ExxonMobil comunicará anualmente as alterações à lista de Afiliadas vinculadas pelo Código e as Alterações Não Materiais ao Código e ao Acordo Intragrupo que envolverem Dados Pessoais Europeus.

15.3 A ExxonMobil disponibilizará o Código e as modificações feitas ao Código:

• Externamente, em Our privacy policies | ExxonMobil
• Mediante solicitação do Indivíduo, de acordo com a subseção 9.3,
• Internamente, na intranet da ExxonMobil.

“Afiliada” significa qualquer empresa ou sociedade que tiver adotado o Código, na qual a Exxon Mobil Corporation ou qualquer controladora da Exxon Mobil Corporation, no momento ou doravante, direta ou indiretamente, detiver ou controlar mais de 50% da participação acionária com direito a voto, ou detiver o direito de nomear seus diretores ou equivalentes funcionais, e qualquer sucessor de interesse desta empresa ou sociedade.

"Informações Anonimizadas" significam informações que foram tornadas anônimas.

“Portabilidade de Dados” significa o direito de obter os Dados Pessoais em um formato pronto para transmissão a terceiros de acordo com a lei aplicável.

“EEE” significa o Espaço Econômico Europeu, estabelecido sob o acordo do EEE de 1º de janeiro de 1994, que prevê a livre circulação de pessoas, bens, serviços e capitais no Mercado Único Europeu.

“Leis Europeias de Proteção de Dados” significa o Regulamento (UE) 2016/679 relativo à proteção de pessoas físicas no que diz respeito ao tratamento de dados pessoais e à livre circulação desses dados (Regulamento Geral de Proteção de Dados da UE) (conforme implementado na legislação nacional dos estados membros do EEE e do Reino Unido, e  conforme alteradas de tempos em tempos), ou a Lei Federal Suíça sobre Proteção de Dados.

“Dados Pessoais Europeus” significa Dados Pessoais que estejam sujeitos às Leis Europeias de Proteção de Dados.

“Região Europeia” significa os países do Espaço Econômico Europeu (EEE), Reino Unido e Suíça.

"Indivíduo" significa qualquer pessoa física identificada ou identificável cujas informações sejam processadas pela ExxonMobil ou em seu nome e interesse; uma pessoa física identificável é aquela que pode ser identificada, de forma direta ou indireta, particularmente por referência a um identificador como um nome, número de identificação, dados de localização, um identificador on-line ou a um ou mais fatores específicos de natureza física, fisiológica, ou identidade genética, mental, econômica, cultural ou social dessa pessoa física; os Indivíduos incluem os atuais de ex-funcionários, candidatos a emprego, contratados, representantes de clientes e outros parceiros de negócios e consumidores.

“Acordo Intragrupo” significa o acordo entre Afiliadas da ExxonMobil pelo qual as Afiliadas adotam o Código.

“Alterações Materiais” significam alterações ao Código com impacto adverso no padrão de proteção dos Dados Pessoais Europeus estabelecido sob o Código, ou que afetam significativamente o escopo ou a estrutura do Código com relação aos Dados Pessoais Europeus.

"Dados Pessoais" significa dados relacionados a um Indivíduo.

“Processo”, “Processado”, “Processos”, “Processamento” significa executar qualquer operação nos Dados Pessoais, seja através dos meios automatizados ou não, como acesso, coleta, armazenagem, gravação, organização, alteração, disseminação, divulgação, transferência, recuperação, destruição ou uso dos Dados Pessoais.

"Fonte Confiável" significa uma pessoa ou entidade autorizada a representar o Indivíduo, ou uma pessoa ou entidade que, conforme determinação da ExxonMobil, tenha aparente autoridade para representar o Indivíduo.

19.1 No que diz respeito aos Dados Pessoais Europeus, a ExxonMobil é responsável e cumprirá com todos os compromissos assumidos no Código e, quando as Leis Europeias mais rigorosas de Proteção de Dados impuserem um nível mais alto de proteção, a ExxonMobil aplicará esse nível mais alto de proteção.

19.2   Caso os Dados Pessoais Europeus sejam transferidos para Afiliadas fora da Região Europeia, a ExxonMobil concederá um nível de proteção aos Dados Pessoais Europeus que não prejudique o nível de proteção concedido pelas Leis Europeias de Proteção de Dados. A ExxonMobil procederá desta forma, mesmo que essa proteção não seja propiciada pela lei regente nos países das Afiliadas fora da Região Europeia em que os Dados Pessoais Europeus sejam recebidos.

           Isso significa, especificamente, em relação às práticas de privacidade de dados   descritas respectivamente nas Seções 3, 4, 5, 7, 8, 9 e 11, que a ExxonMobil:

i. Não irá processar Dados Pessoais Europeus que revelem origem racial ou étnica, opiniões políticas, crenças religiosas ou filosóficas, associação a sindicatos, saúde, vida sexual, orientação sexual, dados genéticos ou dados biométricos com o objetivo de identificar exclusivamente um Indivíduo, a menos que tal processamento seja permitido de acordo com o Artigo 9.2 do Regulamento Geral de Proteção de Dados da UE,

ii. Deverá realizar uma avaliação do impacto das operações de Processamento de alto risco, em conformidade com o Artigo 35 do Regulamento Geral da Proteção de Dados da UE, e caso os riscos permanecerem altos após a implementação das medidas atenuantes identificadas pela avaliação, consultará a autoridade competente em matéria de proteção de dados, em conformidade com o Artigo 36 do Regulamento Geral de Proteção de Dados da EU,

iii. Processará Dados Pessoais Europeus para fins comerciais específicos e legítimos,

iv. Processará Dados Pessoais Europeus que sejam adequados, relevantes e na extensão necessária em relação aos objetivos comerciais legítimos,

v. Aplicará privacidade por projeto (design) e privacidade como padrão, conforme apropriado,

vi. Manterá um registro das atividades de Processamento,

vii. Será transparente e dará notificação aos Indivíduos sobre o uso e a finalidade do tratamento de Dados Pessoais Europeus, em conformidade com os Artigos 13 e 14 do Regulamento Geral de Proteção de Dados da UE,

viii. Aplicará o mesmo nível de medidas de segurança para proteger os Dados Pessoais Europeus, conforme previsto nas Leis Europeias de Proteção de Dados,
ix. Em caso de violação dos Dados Pessoais Europeus:

1. Consultará o Escritório de Privacidade de Dados da ExxonMobil, que documentará a violação em um registro e disponibilizará a documentação relevante à autoridade competente de proteção de dados, mediante solicitação, e

2. Notificará sem demora injustificada a ExxonMobil Petroleum & Chemical BV que por sua vez, caso a violação tiver potencial de risco aos direitos e liberdades do Indivíduo, notificará a autoridade competente de proteção de dados sem demora injustificada e, quando possível, dentro de 72 horas após tomar conhecimento da violação, e

3. Informará os Indivíduos, sem demora injustificada, caso a violação tiver potencial para resultar em um alto risco para os direitos e liberdades do Indivíduo,

x. Responderá às solicitações e reclamações de Indivíduos em relação ao Processamento de Dados Pessoais Europeus, de acordo com a Seção 19.7,

xi. Permitirá que os Indivíduos se oponham a uma decisão baseada apenas no Processamento automatizado que produza efeitos jurídicos relativos ao Indivíduo ou que afete significativamente o Indivíduo de maneira semelhante, a menos que a decisão seja permitida nos termos do Artigo 22 do Regulamento Geral de Proteção de Dados da UE; e

xii. Transferirá os Dados Pessoais Europeus para terceiros fora da Região Europeia quando a proteção adequada for fornecida em conformidade com o Artigo 28.3 e os Artigos 45 a 48, ou com uma derrogação prevista no Artigo 49 do Regulamento Geral de Proteção de Dados da EU.

19.3 As autoridades competentes de proteção de dados na Região Europeia podem verificar a conformidade com o Código, inclusive realizando auditorias na ExxonMobil de acordo com os direitos de auditoria conferidos pelas leis aplicáveis.

As Afiliadas fora da Região Europeia deverão cooperar com a ExxonMobil Petroleum & Chemical BV, conforme necessário, para responder as solicitações das autoridades de proteção de dados da Região Europeia para fornecer resultados relevantes de auditoria em relação ao Código.

A ExxonMobil comunicará ao Escritório de Privacidade de Dados da ExxonMobil os resultados da auditoria em relação aos Dados Pessoais Europeus transferidos sob o Código para Afiliadas fora da Região Europeia.

A ExxonMobil obedecerá às recomendações da autoridade competente de proteção de dados da Região Europeia em relação aos Dados Pessoais Europeus, sujeito ao esgotamento de quaisquer recursos jurídicos quando considerado apropriado pela ExxonMobil.

19.4 O Indivíduo cujos Dados Pessoais Europeus sejam transferidos direta ou indiretamente para uma Afiliada fora da Região Europeia terá direitos de terceiras partes beneficiárias, e poderá exigir a aplicação das Seções 15.3 e 19.2.i., iii., iv., v., vii. , viii., ix.3, x., xi., xii., 19.3 a 19.8 do Código:

i. Contatando o Escritório de Privacidade de Dados da ExxonMobil de acordo com a subseção 9.3, ou

ii. Apresentando uma queixa junto a uma autoridade nacional de proteção de dados com jurisdição competente no país da Região Europeia onde (i.) o Indivíduo tem (a.) sua residência habitual, (b.) seu local de trabalho ou (ii.) onde ocorreu a alegada violação do Código, ou

iii. Instaurando um processo contra a Afiliada relevante estabelecida na Região Europeia perante um tribunal competente na Região Europeia, ou

iv. Instaurando um processo contra a ExxonMobil Petroleum & Chemical BV com sede em Polderdijkweg, 2030 Antuérpia, Bélgica, perante a Autoridade Belga de Proteção de Dados, perante os tribunais de Bruxelas ou outros tribunais competentes previstos no artigo 79(2) do Regulamento Geral de Proteção de Dados da UE.

19.5 Caso uma demanda ou reclamação válida for apresentada conforme o item 19.4. a ExxonMobil Petroleum & Chemical BV aceitará a responsabilidade por qualquer violação do Código por uma Afiliada estabelecida fora da Região Europeia e concorda em tomar as medidas necessárias para remediar esta violação e, quando apropriado, deverá pagar uma indenização por danos resultantes de tal violação, de acordo com uma decisão final de um tribunal, ou autoridade de supervisão, não sujeita a qualquer outro recurso.

19.6 Caso uma demanda, reclamação ou processo for instaurado sob o item 19.4, o Indivíduo não precisará provar uma violação real deste Código pela Afiliada fora da Região Europeia; será suficiente que o Indivíduo demonstre que sofreu danos e que tais danos provavelmente ocorreram como resultado de uma violação deste Código por uma Afiliada estabelecida fora da Região Europeia. O ônus da prova recai sobre a ExxonMobil Petroleum & Chemical BV que deverá demonstrar que a Afiliada estabelecida fora da Região Europeia não violou este Código. Caso a ExxonMobil Petroleum & Chemical BV puder provar que a Afiliada estabelecida fora da Região Europeia não é a responsável pela violação, a ExxonMobil Petroleum & Chemical BV poderá se eximir de qualquer responsabilidade.

19.7   A ExxonMobil responderá a reclamações relacionadas a Dados Pessoais Europeus sem demora injustificada e, em todos e quaisquer casos, dentro de um mês após o recebimento da solicitação ou reclamação, e esse prazo pode ser prorrogado por mais dois meses, caso necessário.

As demandas podem ser submetidas por um Indivíduo à ExxonMobil por e-mail ou por escrito, de acordo com a Seção 9.3 do Código.

Caso a ExxonMobil considerar justificada uma reclamação, esta deverá informar ao Indivíduo como remediará a questão que deu origem à reclamação. Caso a reclamação for rejeitada ou caso o Indivíduo não estiver satisfeito com a resposta da ExxonMobil, o Indivíduo pode apresentar uma reclamação ou iniciar um processo de acordo com as Seções 19.4.ii e 19.4.iii do Código. Além disso, caso a reclamação for relacionada ao Processamento de Dados Pessoais Europeus por Afiliadas estabelecidas fora da Região Europeia, o Indivíduo também poderá apresentar uma reclamação ou iniciar um processo de acordo com a Seção 19.4.iv.

19.8   No caso de um conflito entre o Código e um requisito legal em um país fora da Região Europeia, conforme descrito na Seção 3.3, a ExxonMobil notificará a autoridade competente de proteção de dados na Região Europeia caso tal requisito legal, incluindo uma solicitação juridicamente vinculativa para divulgação de Dados Pessoais Europeus por uma autoridade responsável pelo cumprimento das leis ou por um órgão de segurança estatal de um país fora da Região Europeia, apresentar potencial para provocar um efeito adverso nas garantias estabelecidas no Código em relação aos Dados Pessoais Europeus.

Caso a notificação à autoridade competente de proteção de dados na Região Europeia for proibida, a ExxonMobil envidará seus melhores esforços, de forma razoavelmente prática, para obter o direito de renunciar a essa proibição e documentará isso. Caso, apesar de seus esforços razoavelmente práticos a ExxonMobil não puder notificar a autoridade competente de proteção de dados da Região Europeia sobre as solicitações recebidas, esta fornecerá anualmente informações gerais sobre os pedidos.

A ExxonMobil adotará medidas para impedir qualquer transferência de Dados Pessoais Europeus para qualquer autoridade pública, que seja massiva desproporcional e indiscriminada, e de uma forma que esteja além do necessário em uma sociedade democrática.

19.9 As Afiliadas não transferirão Dados Pessoais Europeus sob o Código para outras Afiliadas, a menos que estas estejam vinculadas e obrigadas pelo Código.