Codice di condotta per la protezione dei dati di ExxonMobil

1.1 ExxonMobil si impegna a proteggere i Dati Personali come segue:

i. liceità del Trattamento dei Dati Personali ad essa affidati e

ii. coerentemente con le esigenze aziendali, opportuna gestione dei rischi della privacy associati al Trattamento dei Dati Personali.

1.2 ExxonMobil e i suoi dipendenti sono tenuti al rispetto del Codice durante il Trattamento dei Dati Personali. Il Codice fa parte degli obblighi di conformità stabiliti nella Politica delle risorse aziendali. Tutte le politiche devono essere lette, comprese e rispettate come parte degli obblighi contrattuali e/o di lavoro di un dipendente. Il nostro elenco di politiche è disponibile nella parte relativa a Codice Etico | ExxonMobil.

1.3 ExxonMobil vigila sull'osservanza del presente Codice e dei programmi, degli strumenti e delle procedure di attuazione del Codice attraverso

i. una rete di contatti designati per la privacy. 

ii. il Data Privacy Office di ExxonMobil, composto da professionisti della protezione dei dati, fornisce consulenza sulla mitigazione delle valutazioni dell'impatto sulla privacy basate sul rischio eseguite dalle linee aziendali in conformità con le politiche interne sulla protezione dei dati ed è responsabile dei compiti assegnatigli nelle sezioni 3.3, 8.2, 9.3, 15.1 e 18.2.x del Codice.

iii. I Data Protection Officer per le Affiliate (ove nominati) monitorano la conformità  del Codice alle Leggi applicabili in materia di  dei dati, forniscono consulenza, riferiscono e dove necessario, escalano agli alti dirigenti di ExxonMobil, inlcuso al Consiglio di Amministrazione ed al General Cunsel Europeo e sono un punto di contatto per gli Interessati e le SA (Autorità di vigilanza) competenti; e 

iv. una struttura aziendale globale composta da alti dirigenti di ExxonMobil responsabili della supervisione delle attività del Data Privacy Office di ExxonMobil.

1.4 L'Affiliata ExxonMobil Petroleum & Chemical BV, con sede legale in Polderdijkweg, 2030 Anversa, Belgio, partecipa alla governance globale in materia di protezione dei dati e ha un ruolo guida per quanto riguarda la protezione dei Dati Personali europei. I dettagli di questo ruolo e i diritti specifici in relazione ai Dati Personali europei sono descritti nella Sezione 18.

1.5 Il Codice è redatto in conformità con le Binding Corporate Rules (ovvero le Norme vincolanti d'impresa) adottate da ExxonMobil e approvate dall’Autorità di protezione dei dati e riflettono i principi stabiliti nelle stesse, , ai sensi delle Leggi europee sulla protezione dei dati.

2.1 ExxonMobil applicherà il Codice in tutti i Paesi in cui tratta i Dati Personali.

2.2 Il Codice si applicherà al trattamento dei Dati Personali degli Interessati. Per Interessati si intendono i dipendenti attuali e passati, i candidati a posti di lavoro, i contrattori, i rappresentanti di clienti e altri partner commerciali e i consumatori. Tutti gli Interessati hanno accesso alle informative sulla privacy conformi alla Legge europea sulla protezione dei dati che elencano le categorie e i tipi di Dati Personali e sono disponibili sui siti Web interni ed esterni di ExxonMobil. Ove pertinente, i contratti sono soggetti a obblighi di riservatezza e sono disponibili solo alle parti contrattuali.

2.3 Il Codice non si applica alle Informazioni Anonimizzate o ad altre informazioni che non sono Dati Personali.

2.4 ExxonMobil tratta i Dati Personali per finalità aziendali, tra cui:

i. l'amministrazione del personale e le attività di gestione delle risorse umane, come le retribuzioni e lo sviluppo professionale di un Interessato,

ii. la verifica della conformità di un Interessato alle policy e alle risorse aziendali

iii. la sicurezza fisica e l'accesso di un Interessato a edifici e locali,

iv. la gestione della tecnologia dell'informazione relativa all'utilizzo dei sistemi aziendali da parte di un Interessato, che include la fornitura di software e hardware, i controlli di accesso, nonché il mantenimento e l'aggiornamento delle misure di sicurezza informatica.

v. la gestione dei rapporti con i nostri clienti e altri partner commerciali, che comprende il trattamento dei dati di contatto e dei dati relativi alle transazioni per permettere l'accettazione degli ordini, la consegna, la fatturazione e lo sviluppo dell'attività commerciale,

vi. la comunicazione con le autorità pubbliche per adempiere alle prescrizioni normative,

vii. la comunicazione con gli stakeholder esterni su questioni relative alle attività commerciali di ExxonMobil. 

3.1 I Dati Personali saranno trattati in modo lecito.

3.2 Il Codice stabilisce uno standard minimo di protezione dei dati. Laddove la legge applicabile richieda un livello di protezione dei Dati Personali superiore rispetto al livello di protezione stabilito nel Codice, ExxonMobil applicherà tale livello di protezione superiore.  Ad esempio, quando il Trattamento è giustificato solo da una o più basi giuridiche, (vedi sezioni 18.2iv e v) ExxonMobil soddisferà tali requisiti.

3.3 ExxonMobil, con il supporto del Data Privacy Office di ExxonMobil e dei Data Protection Officer (ove nominati), monitora costantemente le normative a livello globale per garantire la conformità al Codice. Questo processo include le Valutazioni previste nella sezione 18.8 del presente Codice. Qualora ExxonMobil abbia motivo di ritenere che una legge le impedisca di attenersi al Codice, adotterà una decisione responsabile in merito alle azioni da intraprendere in consultazione con il Data Privacy Office ExxonMobil e il Data Protection Officer (ove necessario da nominare).

I Data Protection Officer (ove la normativa applicabile ne richieda la nomina) informeranno e consulteranno l’Autorità di Controllo competente sia nei casi in cui la Legge Applicabile richieda che tale Autorità venga informata, sia nei casi in cui ExxonMobil ritenga che tale legge possa avere un impatto negativo sostanziale sulle garanzie previste dal Codice.

Laddove richiesto dalla legge applicabile, i Dati Personali saranno trattati per finalità determinate e legittime, ciascuna delle quali basata su una valida base giuridica di trattamento, e non saranno ulteriormente trattati in modo incompatibile con tali finalità. L'ulteriore trattamento non sarà considerato incompatibile ad esempio quando (i.) avviene con il consenso o l'autorizzazione dell'Interessato, (ii.) si verifica in una situazione di emergenza come nel caso in cui sono in gioco la vita o gli interessi vitali dell'Interessato o (iii.) è finalizzato a promuovere e ad esercitare un'azione giudiziaria o a difendersi in giudizio.

5.1 ExxonMobil si impegna a trattare solo Dati Personali pertinenti alla legittima finalità di business, come illustrato negli esempi riportati nella sezione 2.4 sopra. Ove possibile, i Dati Personali sono cancellati, aggregati e/o pseudonimizzati per garantire che siano trattati solo i dati minimi necessari rispetto alla finalità per cui sono stati raccolti5.2 I Dati Personali saranno conservati per il tempo strettamente necessario al conseguimento delle finalità per le quali sono trattati.

5.2 Laddove richiesto dalla legge applicabile, ExxonMobil adotterà misure per ridurre al minimo il trattamento dei Dati Personali, anche attraverso la "privacy by design".

ExxonMobil, tenuto conto delle finalità per le quali i Dati Personali vengono trattati, adotterà misure ragionevoli per (i) mantenere i Dati Personali esatti e (ii) aggiornare i Dati Personali, se informata dall'Interessato o da una Fonte Attendibile di modifiche intervenute agli stessi.

ExxonMobil predisporrà un'informativa sul trattamento dei Dati Personali, in linea con i requisiti legali.

8.1 Sulla base di una valutazione dei rischi coinvolti, ExxonMobil metterà in atto misure tecniche e organizzative adeguate per (i) garantire che i Dati Personali europei siano elaborati in conformità con la Legge in materia di protezione dei dati e (ii) proteggere i Dati Personali da violazioni degli stessi. Tali misure sono elencate in un programma di sicurezza delle informazioni basato su standard di sicurezza riconosciuti a livello internazionale.

8.2 In caso di violazione dei Dati Personali, ExxonMobil (i.) si consulterà con il Data Privacy Office che conserva un registro delle violazioni dei Dati Personali e (ii.) segnalerà a un ente di regolamentazione e a una SA competente ove richiesto e (iii) informerà gli Interessati dell'avvenuta violazione ai sensi della legge applicabile. 

9.1 ExxonMobil risponderà, ove richiesto dalla legge applicabile, alle richieste degli Interessati: (i) di sapere se e quali categorie di Dati Personali che li riguardano sono oggetto di Trattamento da parte di ExxonMobil, (ii) di ricevere una copia dei propri Dati Personali, (iii) di eliminare, limitare, cancellare o interrompere il trattamento dei Dati Personali dell’Interessato richiedente e (iv) laddove consentito dalla Legge applicabile, revocare il consenso al Trattamento e (v.) di esercitare il diritto alla portabilità dei dati.

9.2 Gli Interessati possono chiedere a ExxonMobil di rettificare i Dati Personali inesatti che li riguardano, ai sensi della Sezione 6.

9.3 Per esercitare tali diritti, esprimere dubbi o presentare reclami sull'inosservanza del Codice da parte di ExxonMobil, gli Interessati possono rivolgersi al Data Privacy Office di ExxonMobil per ottenere maggiori informazioni sulla procedura da seguire per la gestione del reclamo:

Via e-mail all'indirizzo: data.privacy.office@exxonmobil.com
Oppure per posta ordinaria all'indirizzo: Data Privacy Office, c/o ExxonMobil Hungary Limited Liability Company, Registered seat: H-1134 Budapest, Dózsa György út 61-63, Budapest, H-1134, Hungary

Gli Interessati possono anche contattare i Data Protection Officer (ove nominati) utilizzando gli stessi dettagli di contatto ma con "DP Officer" come oggetto dell'e-mail.

Ogniqualvolta ExxonMobil trasferisca Dati Personali tra Affiliate, , garantirà che tali dati beneficino delle tutele previste dal presente Codice.

I Dati Personali saranno trasferiti a terzi (compresi i trasferimenti oltre i confini nazionali) solo se sono state adottate misure adeguate, conformi alle leggi applicabili, per l'idonea protezione dei Dati Personali durante il trasferimento.

ExxonMobil si impegna a fornire una formazione obbligatoria in relazione agli obblighi previsti dal Codice, ai dipendenti e agli appaltatori che hanno accesso ai nostri sistemi e che: (i) trattano i Dati Personali o (ii) sono coinvolti nella manutenzione o nello sviluppo degli strumenti utilizzati per il trattamento dei Dati Personali. Questa formazione si terrà all'inizio del rapporto di lavoro  e/o degli incarichi presso ExxonMobil e poi ogni 3 anni.

La formazione continua è supportata dal Data Privacy Office ed è disponibile nei sistemi di formazione esistenti di ExxonMobil.

13.1 ExxonMobil attua programmi di verifica periodica dell'applicazione e del rispetto del Codice.

13.2 I programmi di verifica della conformità comprendono:

i) un programma di audit che prevede verifiche periodiche delle unità e delle linee di business di ExxonMobil da parte della funzione di internal audit e il monitoraggio delle eventuali misure correttive necessarie, nonché la supervisione del programma di audit e dei risultati delle verifiche da parte del Consiglio di Amministrazione di ExxonMobil.

ii)Ai membri della funzione di internal audit di ExxonMobil è garantita l'indipendenza nello svolgimento dei loro compiti, inclusi ambito, processo e frequenza. Ciò garantisce l'indipendenza della funzione di internal audit e dei risultati delle verifiche. I risultati vengono comunicati alla direzione senior dell’unità o della linea di business oggetto dell’audit, al Data Protection Officer (ove applicabile) e a un rappresentante del Consiglio di Amministrazione di ExxonMobil Petroleum & Chemical BV, al fine di garantire l’attuazione delle raccomandazioni.

La funzione di internal audit garantirà il monitoraggio dei risultati delle verifiche. La supervisione della funzione di internal audit e del programma e di tutti i risultati dell'internal audit è svolta dai membri del Comitato di controllo del Consiglio di amministrazione di ExxonMobil Corporation. In tal modo si garantisce la vera indipendenza delle funzioni del dipartimento di audit. iv)Un processo aggiuntivo prevede che un’unità o una linea di business possa richiedere un audit, che sarà effettuato dalla funzione di internal audit.

14.1 ExxonMobil collaborerà, risponderà alle richieste di informazioni relative al trattamento secondo il  Codice e prenderà in attenta considerazione il parere delle SA competenti in relazione alle richieste relative all'applicazione del Codice, e risponderà alle richieste di informazioni relative al trattamento effettuato ai sensi del Codice.

14.2 Nell'esecuzione dei propri doveri pubblici da parte di una SA competente, ExxonMobil collaborerà e rispetterà le decisioni formali e legittime delle SA competenti, che sono definitive e inappellabili.

14.3 Quando i Dati Personali vengono trasferiti tra Affiliate, le stesse si presteranno reciproca collaborazione e assistenza, ove necessario, per rispondere alle richieste delle SA competenti

15.1 Il Codice può essere modificato da ExxonMobil secondo necessità, ad esempio per garantirne la conformità alle modifiche legislative applicabili o per riflettere le variazioni intervenute nell'organizzazione e nelle procedure interne. Le modifiche al codice vengono registrate e archiviate dal Data Privacy Office e notificate a tutte le affiliate ExxonMobil (solo modifiche sostanziali).

15.2 ExxonMobil informerà la SA competente in ordine alle modifiche apportate al Codice come segue:

• comunicazione senza indebito ritardo delle modifiche sostanziali apportate al Codice e all'Accordo Infragruppo; e
• comunicazione con periodicità annuale delle modifiche apportate al Codice e/o all'elenco delle Affiliate vincolate dal Codice, includendo una breve descrizione delle modifiche. Qualora non vi siano state modifiche al Codice, tale circostanza sarà comunque comunicata all’Autorità di Controllo competente nell’ambito della comunicazione annuale di ExxonMobil.

15.3 ExxonMobil renderà disponibili il Codice e le relative modifiche: 

• Esternamente sul proprio sito web;
• Su richiesta dell’Interessato, ai sensi del punto 9.3; e
• Internamente, sulla rete Intranet di ExxonMobil

Il Codice entra in vigore a partire dalla data della firma delle Binding Corporate Rules Inter-Affiliate Agreement.

Per ulteriori informazioni sul Codice di Condotta, si prega di contattare il Data Privacy Office di ExxonMobil: data.privacy.office@exxonmobil.com.

18.1 Per quanto riguarda i Dati Personali europei, ExxonMobil sarà responsabile e rispetterà tutti gli impegni assunti nel Codice e laddove le Leggi europee sulla protezione dei dati impongano un livello di protezione superiore, ExxonMobil applicherà tale livello di protezione superiore.ExxonMobil informerà tempestivamente l’Esportatore dei Dati e ExxonMobil Petroleum & Chemical BV qualora non fosse più in grado di rispettare il Codice, anche a seguito di un cambiamento legislativo in un Paese di destinazione o di una richiesta di accesso da parte del governo.

18.2 Nel caso in cui i Dati Personali europei vengano trasferiti ad Affiliate al di fuori dell'Area europea, ExxonMobil garantirà un livello di protezione dei Dati personali europei che non pregiudichi il livello di protezione garantito dalle Leggi europee sulla protezione dei dati. ExxonMobil provvederà in tal senso, anche se tale protezione non è prevista dalla legge applicabile nei paesi delle Affiliate al di fuori dell'Area europea in cui vengono ricevuti i Dati Personali europei.

Ciò significa, in particolare in relazione alle pratiche di riservatezza dei dati descritte rispettivamente nelle Sezioni 3, 4, 5, 7, 8, 9 e 11, che ExxonMobil:

i. non tratterà Dati Personali europei che rivelino l'origine razziale o etnica, le opinioni politiche, le convinzioni religiose o filosofiche, l'appartenenza sindacale, la salute, la vita sessuale, l'orientamento sessuale, i dati genetici o biometrici al fine di identificare in modo univoco un individuo, a meno che tale trattamento non sia consentito ai sensi delle Leggi europee sulla protezione dei dati, 

ii. non tratterà Dati Personali europei relativi a condanne penali e reati se non in conformità alle Leggi europee sulla protezione dei dati,

iii. effettuerà una valutazione dell'impatto delle operazioni di trattamento a rischio elevato, in conformità alle Leggi europee sulla protezione dei dati e, se i rischi rimangono elevati dopo l'attuazione delle misure di attenuazione come raccomandato dai Data Protection Officer (ove nominati) e consigliato dal consulente per la privacy su base valutativa, consulterà la SA competente, secondo le Leggi europee sulla protezione dei dati,

iv. tratterà Dati Personali europei per finalità commerciali determinate e legittime e in conformità a una valida base giuridica, nello specifico (ove applicabile):

• quando il Trattamento è necessario per finalità di interesse legittimo di ExxonMobil o di una terza parte, salvo nei casi in cui tali interessi siano superati dagli interessi o dai diritti e dalle libertà fondamentali dell'Interessato;

• quando l’Interessato ha espresso il consenso al trattamento dei propri Dati Personali per una o più specifiche finalità.

• quando il Trattamento è necessario per l'esecuzione di un contratto di cui l'Interessato è parte o per adottare misure su richiesta dell'Interessato prima di stipulare un contratto;

• quando il trattamento è necessario per ottemperare a un obbligo legale a cui ExxonMobil è soggetta; o

• in circostanze eccezionali, quando il trattamento è necessario per salvaguardare gli interessi vitali dell'Interessato o di un'altra persona fisica.

v. tratterà Dati Personali europei classificati come dati personali di categoria speciale ai sensi delle Leggi europee sulla protezione dei dati per finalità commerciali determinate e legittime e in conformità a una valida base giuridica, nello specifico (ove applicabile):

• quando l’Interessato ha espresso il consenso esplicito al trattamento dei propri Dati Personali per una o più specifiche finalità.

• quando il Trattamento è necessario ai fini dell'adempimento degli obblighi e dell'esercizio di specifici diritti di ExxonMobil o dell'Interessato in materia di diritto del lavoro e della sicurezza sociale e protezione sociale nella misura in cui è autorizzato; o

• quando il Trattamento sia necessario ai fini della medicina preventiva o del lavoro, per la valutazione della capacità lavorativa del dipendente, la diagnosi medica, la fornitura di assistenza o trattamento sanitario o sociale o la gestione dei sistemi e servizi sanitari o di assistenza sociale, come consentito dalle Leggi europee sulla protezione dei dati.

vi. tratterà Dati Personali europei che siano adeguati, pertinenti e non eccedenti rispetto alle finalità commerciali legittime,

vii. applicherà i principi della "privacy by design" e della "privacy by default" secondo opportunità, 

viii. terrà un registro digitale e scritto delle attività di Trattamento, che sarà messo a disposizione di un’Autorità di controllo competente su richiesta.

ix. informerà gli Interessati sull'uso e la finalità del Trattamento dei Dati Personali europei, che includerà un riferimento al presente Codice, in conformità con le Leggi europee sulla protezione dei dati.

x. applicherà lo stesso livello di misure di sicurezza per proteggere i Dati Personali europei previsto dalle Leggi europee sulla protezione dei dati, 

xi. in caso di violazione dei Dati Personali europei, ExxonMobil dovrà:

1. consulterà il Data Privacy Office di ExxonMobil e il Data Protection Officer (ove nominato) che supporteranno la valutazione del rischio e documenteranno la violazione in un registro interno e, su richiesta, metteranno la relativa documentazione a disposizione della SA competente e

2. notificare la violazione dei Dati Personali all’Autorità di controllo competente senza ingiustificato ritardo e, ove possibile, non oltre 72 ore da quando ne è venuta a conoscenza, a meno che la violazione non sia improbabile che comporti un rischio per i diritti e le libertà delle persone fisiche.

3. informare senza ingiustificato ritardo ExxonMobil Petroleum & Chemical BV, e

4. informerà senza indebito ritardo gli Interessati se la violazione è suscettibile di comportare un rischio elevato per i diritti e le libertà della persone fisiche, e

5. qualora una violazione dei Dati Personali europei derivi dalle azioni di un responsabile del trattamento ExxonMobil, invierà a questo una notifica senza indebito ritardo.

xii. risponderà alle richieste e ai reclami degli Interessati in relazione al Trattamento dei Dati Personali europei ai sensi della Sezione 18.7,

xiii. consentirà agli Interessati di opporsi al Trattamento dei propri Dati Personali o a una decisione basata unicamente sul trattamento automatizzato che produca effetti giuridici che li riguardano o che incida in modo analogo significativamente sulla sua persona, a meno che la decisione non sia consentita dalle Leggi europee sulla protezione dei dati,

xiv. trasferirà i Dati Personali europei a terzi al di fuori dell’Area europea in conformità con le Leggi europee sulla protezione dei dati, europee sulla protezione dei dati, e

xv. xix. stipulerà contratti con responsabili del trattamento che rispettino le Leggi europee sulla protezione dei dati.

xvi. Nominerà Responsabili della Protezione dei Dati (Data Protection Officers) nell’Area europea per monitorare specificamente la conformità alle Leggi europee sulla protezione dei dati. In conformità con tali Leggi, i Responsabili della Protezione dei Dati possono richiedere un audit a supporto delle loro responsabilità di monitoraggio della conformità.

18.3 Le SA competenti nell'Area europea possono verificare la conformità al Codice, anche effettuando audit presso ExxonMobil in virtù dei diritti di audit conferiti dalle leggi europee in materia di protezione dei dati. I risultati degli audit relativi a tutti i Dati Personali vengono comunicati come descritto nella Sezione 13.2. Ogni controversia relativa all'esercizio della supervisione del rispetto del presente Codice sarà risolta dai tribunali del Paese della/e SA competente/i, in conformità con le Leggi europee sulla protezione dei dati. ExxonMobil accetta di sottoporsi alla giurisdizione applicabile.

Tutte le Affiliate collaboreranno all’occorrenza con ExxonMobil Petroleum & Chemical BV per rispondere alle richieste delle Autorità di controllo competenti di fornire i pertinenti risultati degli audit e delle ispezioni, inclusi audit in loco, in relazione al Codice.

ExxonMobil si atterrà al parere della SA competente nell’Area europea, in merito ai Dati Personali europei, fermo restando l'esaurimento dei rimedi giuridici, ove ritenuti opportuni da ExxonMobil.

18.4 L'Interessato i cui Dati Personali europei siano trasferiti ad un'Affiliata al di fuori dell'Area europea acquisisce diritti di terza parte beneficiaria e può far valere direttamente le Sezioni 15.3 e 18.2.i., iii., iv., v., vii., viii., ix.3, x., xi., xii., 18.3 to 18.8 del Codice attraverso uno dei seguenti:

i. contattando il Data Privacy Office di ExxonMobil ai sensi del punto 9.3, o

ii. presentando un reclamo presso una SA competente nel luogo in cui l'Interessato ha la propria residenza abituale, la sede di lavoro o dove si è verificata la presunta violazione del Codice, o

iii. promuovendo un'azione contro l'Affiliata pertinente stabilita nell'Area europea, dinanzi a un tribunale competente nell'Area europea, o  iv. promuovendo un'azione contro ExxonMobil Petroleum & Chemical BV con sede legale a Polderdijkweg, 2030 Anversa, Belgio dinanzi all’Autorità belga per la Protezione dei Dati (Autorité de Protection des Données) o ai tribunali di Bruxelles o altri tribunali competenti, ove consentito dalla Legge europea sulla protezione dei dati.

18.5 In caso di valido reclamo o ricorso giurisdizionale promosso ai sensi del punto 18.4, ExxonMobil Petroleum & Chemical BV si assume la responsabilità di qualsiasi violazione del Codice commessa da un'Affiliata stabilita al di fuori dell'Area europea e si impegna a intraprendere le azioni necessarie per porre rimedio alla violazione e, se del caso, a risarcire i danni derivanti da tale violazione secondo la decisione definitiva pronunciata dall'autorità giudiziaria o dalla SA competente, non soggetta ad ulteriore ricorso in appello.

18.6 In caso di reclamo, ricorso giurisdizionale o procedimento proposto ai sensi del punto 18.4, l'Interessato non è tenuto a dimostrare la violazione effettiva del Codice da parte dell'Affiliata al di fuori dell'Area europea; è sufficiente che l'Interessato dimostri di aver subito un danno e che tale danno si sia verificato presumibilmente a seguito dell'avvenuta violazione del Codice da parte di un'Affiliata stabilita al di fuori dell'Area europea. L'onere della prova ricade quindi su ExxonMobil Petroleum & Chemical BV, ossia spetta a quest'ultima dimostrare che l'Affiliata stabilita al di fuori dell'Area europea non abbia violato il Codice. Se ExxonMobil Petroleum & Chemical BV è in grado di dimostrare che l'Affiliata stabilita al di fuori della Regione europea non è responsabile della violazione, ExxonMobil Petroleum & Chemical BV può ritenersi esonerata da ogni responsabilità.

18.7 ExxonMobil risponderà alle richieste e ai reclami degli Interessati relativi al Trattamento di Dati Personali europei senza indebito ritardo e comunque entro il termine di un mese dal ricevimento della richiesta o del reclamo, prorogabile di ulteriori due mesi ove necessario e consentito dalle Leggi europee sulla protezione dei dati e comunicato per iscritto all'Interessato. Il Data Privacy Office di ExxonMobil e i Data Protection Officer (ove nominati) forniscono un punto di riferimento per i dipendenti di ExxonMobil responsabili della risposta a tali richieste o reclami.

L'Interessato può presentare reclamo a ExxonMobil via e-mail o per iscritto ai sensi della Sezione 9.3 del Codice.  ExxonMobil riconosce le richieste e i reclami presentati direttamente dagli Interessati o tramite un rappresentante di un ente, organizzazione o associazione senza scopo di lucro per conto degli Interessati, ove consentito dalle Leggi europee sulla protezione dei dati.

ExxonMobil, se ritiene il reclamo giustificato, informerà l'Interessato sulle modalità con cui porrà rimedio alla criticità che ha dato origine al reclamo. Se il reclamo viene respinto o se l'Interessato non è soddisfatto della risposta di ExxonMobil, quest'ultimo può proporre reclamo o avviare un procedimento ai sensi delle Sezioni 18.4.ii e 18.4.iii del Codice. Inoltre, se il reclamo verte sul trattamento dei Dati Personali europei da parte di Affiliate stabilite al di fuori dell'Area europea, l'Interessato può anche proporre reclamo o avviare un procedimento ai sensi della Sezione 18.4.iv.

18.8 ExxonMobil intraprende e documenta valutazioni (Assessments) per determinare se un trasferimento di Dati Personali europei a un Importatore di dati situato al di fuori dell’Area europea, effettuato in conformità al Codice, sia adeguatamente protetto dal Codice e se, in base ai risultati della valutazione, debbano essere implementate misure supplementari.

Tali valutazioni vengono costantemente aggiornate per riflettere eventuali modifiche legislative che potrebbero influenzare la determinazione del rischio, incluse le attività di monitoraggio da parte degli Esportatori dei dati sugli sviluppi nel Paese di destinazione, in collaborazione con gli Importatori dei dati ove opportuno.

Conformemente alla Sezione 18.1, ExxonMobil informerà tempestivamente l’Esportatore dei dati e ExxonMobil Petroleum & Chemical BV qualora non fosse più in grado di rispettare il Codice a seguito di modifiche legislative.

Le Affiliate vengono informate degli esiti delle valutazioni dall’Ufficio Privacy, inclusa l’eventuale sospensione o interruzione dei trasferimenti. L’implementazione delle misure supplementari viene documentata insieme alla valutazione.

Il processo di valutazione esamina tutti gli aspetti del trasferimento, compresa la verifica del fatto che le leggi e le prassi locali nel Paese di destinazione:

• rispettino l’essenza dei diritti e delle libertà fondamentali;

• eccedano quanto è necessario e proporzionato in una società democratica per giustificare il rischio di divulgazione o autorizzazione all’accesso ai Dati Personali europei;

• richiedano la divulgazione dei Dati Personali europei o prevedano misure che autorizzino l’accesso da parte delle autorità pubbliche,

tali da avere un effetto sostanzialmente negativo sulle garanzie e sugli impegni previsti dal Codice, conformemente alla Sezione 18.1, un Affiliato informerà l’Esportatore dei Dati e ExxonMobil Petroleum & Chemical BV.

Qualora una valutazione determini che le leggi e le prassi locali abbiano un effetto negativo sostanziale, ExxonMobil, in coordinamento con ExxonMobil Petroleum & Chemical BV, l’Ufficio Privacy e i Responsabili della Protezione dei Dati, esaminerà le misure di sicurezza contrattuali, tecniche e organizzative esistenti e deciderà se integrarle per ridurre tale rischio.

Il processo di valutazione e di implementazione delle misure supplementari si applica anche ai trasferimenti esistenti notificati come influenzati da leggi e misure locali da parte dell’Importatore dei dati. Tali trasferimenti vengono immediatamente sospesi su indicazione di ExxonMobil e, se richiesto dalle Autorità competenti, fino all’individuazione di misure supplementari.

Qualora non sia possibile identificare misure supplementari, oppure le misure identificate non forniscano la protezione necessaria per consentire al Codice di tutelare il trasferimento di Dati Personali europei, oppure un trasferimento sospeso non venga ripristinato entro un mese dalla sospensione (o entro un periodo prolungato per esigenze di continuità operativa), i trasferimenti esistenti veQuando non possono essere identificate misure supplementari o dove sono identificate, ma non possono fornire la protezione necessaria per consentire al Codice di proteggere il Trasferimento dei Dati Personali Europei, o quando un trasferimento sospeso non viene ripristinato entro un mese da tale sospensione, o se la sospensione è prorogata per motivi di continuità operativa, il periodo di sospensione esteso, i trasferimenti esistenti vengono interrotti e nuovi trasferimenti non sono permessi.

Tutti i Dati Personali europei che sarebbero stati trasferiti, incluse eventuali copie, vengono restituiti o distrutti, a discrezione dell’Esportatore dei dati, salvo che una legge locale non lo proibisca. In tal caso, i Dati Personali europei rimarranno presso l’Importatore dei dati, che continuerà a rispettare il Codice. Qualora l’Esportatore opti per la cancellazione, l’Importatore dovrà fornire prova, ove richiesto, dell’avvenuta cancellazione definitiva di tutti i Dati Personali europei.

Tutte le valutazioni vengono messe a disposizione dell’Autorità di controllo competente su richiesta.

18.9 Qualora un Importatore di dati riceva o venga a conoscenza di una richiesta di accesso governativa, dovrà darne pronta notifica all'Esportatore di dati e all’Interessato i cui Dati Personali europei sono oggetto di tale richiesta.

Qualora sia parzialmente o completamente vietato effettuare tali notifiche, l’Importatore dei Dati si adopererà al massimo per ottenere una deroga a tale divieto e documenterà i propri sforzi, inclusa la richiesta originale di accesso da parte del governo, al fine di poterli dimostrare su richiesta dell’Esportatore dei Dati e per tutto il periodo in cui il trasferimento dei Dati Personali oggetto della richiesta governativa sia protetto dal Codice. Tutte le richieste di accesso da parte del governo e la documentazione interna saranno conservate conformemente alle linee guida di ExxonMobil in materia di gestione dei documenti.

ExxonMobil valuterà la legittimità di una richiesta di accesso governativa per la divulgazione come sopra descritto – in particolare, se rientra nei poteri conferiti all'autorità pubblica richiedente – e contesterà la richiesta di accesso governativa se, dopo un'attenta valutazione, concluderà che vi sono ragionevoli motivi per ritenere che tale richiesta governativa sia illegale ai sensi delle leggi del paese di destinazione, degli obblighi applicabili ai sensi del diritto internazionale e/o dei principi di cortesia internazionale. ExxonMobil condividerà questa valutazione con l’Esportatore dei dati. ExxonMobil perseguirà, alle stesse condizioni, ogni possibilità di ricorso. Nel caso di contestazione di una richiesta di accesso governativa, ExxonMobil richiederà misure provvisorie al fine di sospendere gli effetti della richiesta, fino a quando l'autorità giudiziaria competente non avrà deciso nel merito.

ExxonMobil documenterà la sua valutazione legale e qualsiasi contestazione alla richiesta di accesso governativa per la divulgazione e, nella misura consentita dalle leggi del paese di destinazione, e su richiesta, metterà la documentazione a disposizione della SA competente. ExxonMobil non divulgherà i Dati Personali richiesti fino a quando non sarà tenuta a farlo ai sensi delle norme procedurali applicabili e fornirà la quantità minima di informazioni consentita al momento della risposta, sulla base di una ragionevole interpretazione della richiesta.

ExxonMobil adotterà misure volte a prevenire i trasferimenti di Dati Personali europei ad autorità pubbliche (cosi come ogni accesso diretto da queste autorità a Dati Personali Trasferiti secondo il Codice) in misura massiccia, sproporzionata e indiscriminata e tale da eccedere quanto necessario in una società democratica, nonché l'eventuale accesso diretto da parte di tali autorità ai Dati Personali trasferiti ai sensi del Codice.

L'Importatore di dati fornirà annualmente all'Esportatore di dati informazioni generali sulle richieste di accesso governative e  a intervalli regolari, includendo quante più informazioni pertinenti possibili sulle richieste ricevute (in particolare, numero di richieste, tipo di dati richiesti, autorità richiedente/i, se le richieste di accesso governative sono state contestate e l'esito di tali contestazioni).

18.10 Le Affiliate non trasferiranno Dati Personali europei previsti dal Codice ad altre Affiliate, a meno che queste ultime non siano a loro volta vincolate dal Codice.

18.11 Qualora un Importatore di dati non sia più tenuto a rispettare il presente Codice, può essere autorizzato a conservare, restituire o cancellare i Dati Personali ricevuti ai sensi del presente Codice dall'Esportatore di dati. Se l'Esportatore e l'Importatore dei dati concordano che i dati possano essere conservati dall'Importatore dei dati, questi accetta di mantenerne la protezione in conformità alla Legge europea sulla protezione dei dati.

“Affiliata” indica una società o una partnership, in cui Exxon Mobil Corporation o una controllante di Exxon Mobil Corporation ora o in futuro possieda o controlli, direttamente o indirettamente, oltre il 50 percento delle azioni o delle quote aventi diritto di voto di nomina dei propri amministratori o funzionari equivalenti e un qualsiasi avente causa negli interessi di tale società o partnership che ha adottato il Codice attraverso la firma di un contratto interaffiliate.

“Informazioni anonimizzate" indica informazioni che non si riferiscono a una persona fisica identificata o identificabile, oppure dati personali resi anonimi in modo tale che l’individuo non sia, o non sia più, identificabile.

“Leggi applicabili” indica:

(i) in relazione ai Dati Personali europei, le Leggi europee sulla protezione dei dati; e/o

(ii) in relazione a qualsiasi altro Dato Personale, le leggi e i regolamenti nazionali, federali, statali e locali applicabili relativi alla protezione dei dati, alla privacy e alla sicurezza dei Dati Personali, come di volta in volta aggiornati, modificati o sostituiti e nella misura in cui siano applicabili al trattamento effettuato da ExxonMobil.

“Valutazioni” indica una revisione legale di:

(i) le circostanze specifiche dei Trasferimenti;

(ii) le leggi e le prassi del Paese di Destinazione rilevanti per uno specifico Trasferimento, incluse quelle che richiedono la divulgazione o l’accesso, nonché quelle che possono imporre limitazioni o offrire garanzie; e

(iii) eventuali misure contrattuali, tecniche o organizzative pertinenti ed esistenti, adottate per integrare le tutele previste dal Codice.

“SA competenti” indicano le autorità per la protezione dei dati del SEE competenti per l’Esportatore di dati ai sensi del presente Codice.

“Esportatore di dati” indica l'Affiliata nell’Area europea che trasferisce Dati Personali europei fuori dall’Area europea a un Importatore di dati.

“Importatore di dati” indica l’Affiliata che riceve Dati Personali europei trasferiti fuori dall’Area europea da un Esportatore di dati.

“Portabilità dei Dati" indica il diritto di ottenere i Dati Personali in un formato pronto per la trasmissione a terzi, ai sensi della legge applicabile.

“Paese di Destinazione” indica un paese al di fuori della Regione europea verso cui i Dati Personali vengono trasferiti e che non dispone di una decisione di adeguatezza attualmente in vigore da parte della Commissione europea.

“SEE" indica lo Spazio Economico Europeo, istituito dall'accordo SEE del 1° gennaio 1994, che prevede la libera circolazione di persone, merci, servizi e capitali all'interno del mercato unico europeo. 

“Leggi europee sulla protezione dei dati" indica il Regolamento (UE) 2016/679 relativo alla protezione delle persone fisiche con riguardo al trattamento dei dati personali, nonché alla libera circolazione di tali dati (Regolamento generale sulla protezione dei dati dell'UE) (come recepito dalla legislazione nazionale degli Stati membri del SEE e dal Regno Unito e modificato di volta in volta) o la Legge federale svizzera sulla protezione dei dati e tutte le leggi o i regolamenti corrispondenti o equivalenti degli stati membri SEE e nazionali, di volta in volta aggiornati, modificati o sostituiti, come applicabile al trattamento effettuato da ExxonMobil.

"Dati Personali europei" indica i Dati Personali che sono o sono stati soggetti alle Leggi europee sulla protezione dei dati.

"Area europea" indica i paesi dello Spazio Economico Europeo (SEE), il Regno Unito e la Svizzera.

“Richiesta di accesso governativa” indica (i) una richiesta giuridicamente vincolante di divulgazione di Dati Personali europei da parte di un'autorità di poliziadel Paese di Destinazione, o (ii) essere a conoscenza dell'accesso diretto delle autorità pubbliche a tali dati personali europei in un paese al di fuori della Regione Europea.

"Interessato" indica ogni persona fisica identificata o identificabile le cui informazioni vengono trattate da o per conto di ExxonMobil; si considera identificabile la persona fisica che può essere identificata, direttamente o indirettamente, con particolare riferimento a un identificativo come il nome, un numero di identificazione, dati relativi all’ubicazione, un identificativo online o a uno o più elementi caratteristici della sua identità fisica, fisiologica, genetica, psichica, economica, culturale o sociale; gli Interessati comprendono i dipendenti attuali e passati, i candidati a posti di lavoro, gli appaltatori, i rappresentanti di clienti e altri partner commerciali e i consumatori.

"Accordo Infragruppo" indica l'accordo interaffiliate di ExxonMobil con il quale le Affiliate adottano il Codice e sono ad esso vincolate.

"Modifiche sostanziali" indica le modifiche al Codice che hanno un impatto negativo sullo standard di protezione dei Dati Personali europei previsto dal Codice o che influiscono in modo significativo sull'ambito di applicazioneo sulla struttura del Codice rispetto ai Dati Personali europei. 

"Dati Personali" indica i dati relativi a un Interessato.

“Violazione dei dati personali” indica una violazione della sicurezza che comporta la distruzione, la perdita, l'alterazione accidentale o illegale, l’accesso non autorizzato o la divulgazione dei Dati personali.

"Trattamento" indica l'esecuzione di qualsiasi operazione compiuta con o senza l’ausilio di processi automatizzati e applicata a dati personali, come l’accesso, la raccolta, la registrazione, l’organizzazione, l’alterazione, la distribuzione, la diffusioneil traasferimento, il recupero, la distruzione  o di Dati Personali. un qualsiasi altro uso.

“Trasferimento”, “Trasferimenti” e “Trasferito” indicano un singolo trasferimento o un insieme di trasferimenti di Dati Personali, a seconda dei casi, e sia un primo trasferimento che eventuali trasferimenti successivi di Dati Personal nell’ambito dello stesse Paese di Destinazione o verso un’altro Paese di Destinazione.

"Fonte Attendibile" indica una persona fisica o giuridica autorizzata a rappresentare l'Interessato o una persona fisica o giuridica che, a giudizio di ExxonMobil, abbia l'autorità apparente di rappresentare l'Interessato.

Le Affiliate sono elencate per paese e includono il numero di registrazione.

L’indirizzo di ciascun paese e i dettagli di contatto del Data Protection Officer, ove richiesto, sono forniti come parte dell’informativa sulla privacy del paese o della pagina Contattaci disponibile su Le nostre politiche sulla privacy | ExxonMobil