Kodeks postępowania ExxonMobil w zakresie ochrony danych

1.1 ExxonMobil zobowiązuje się do ochrony Danych Osobowych, w tym:

i. zgodnego z prawem przetwarzania powierzonych jej Danych Osobowych, oraz

ii. zgodnego z potrzebami biznesowymi i odpowiedniego zarządzania ryzykiem naruszenia prywatności w związku z Przetwarzaniem Danych Osobowych.

1.2 Firma ExxonMobil i jej pracownicy muszą przestrzegać Kodeksu podczas Przetwarzania danych osobowych. Kodeks stanowi część obowiązków w zakresie zgodności określonych w Polityce dotyczącej aktywów Spółki. Wszystkie polityki należy przeczytać i zrozumieć oraz przestrzegać ich w ramach zobowiązań umownych lub obowiązków pracowniczych. Nasza lista polityk jest dostępna na stronie Kodeks etyki | ExxonMobil

1.3 ExxonMobil nadzoruje zgodność z niniejszym Kodeksem oraz z programami, narzędziami i procedurami wdrażającymi Kodeks za pośrednictwem

i. sieci wyznaczonych osób kontaktowych w zakresie prywatności danych.

ii. Biuro Ochrony Danych ExxonMobil, w którego skład wchodzą specjaliści ds. prywatności danych i które zapewnia doradztwo w zakresie ograniczania opartych na ryzyku ocen wpływu na prywatność, przeprowadzanych przez linie biznesowe zgodnie z wewnętrznymi politykami ochrony danych, i odpowiada za zadania przypisane mu w sekcjach 3.3, 8.2, 9.3, 15.1 i 18.2.x Kodeksu.

iii. Inspektorzy Ochrony Danych w Spółkach Stowarzyszonych (o ile zostali wyznaczeni) monitorują zgodność z Europejskimi Przepisami o Ochronie Danych i Kodeksem, udzielają porad, przedkładają sprawozdania kierownictwu wyższego szczebla ExxonMobil i są osobami do kontaktu dla Osób Fizycznych i właściwych Organów nadzorczych; oraz

iv. globalna struktura korporacyjna złożona z kierowników wyższego szczebla ExxonMobil, którzy są odpowiedzialni za nadzorowanie działalności Biura Ochrony Danych ExxonMobil.

1.4 Petroleum & Chemical BV, Spółka Stowarzyszona ExxonMobil, z siedzibą pod adresem Polderdijkweg, 2030 Antwerpia, Belgia, uczestniczy w globalnym nadzorze nad ochroną danych przez ExxonMobil i odgrywa wiodącą rolę w zakresie ochrony Europejskich Danych Osobowych. Szczegóły tej roli i szczególne uprawnienia odnośnie do Europejskich Danych Osobowych zostały opisane w punkcie 18.

1.5 Kodeks stanowi Wiążące Reguły Korporacyjne ExxonMobil zgodnie z Europejskimi Przepisami o Ochronie Danych.

2.1 ExxonMobil będzie stosować Kodeks w każdym kraju, w którym Przetwarza Dane Osobowe.

2.2 Kodeks obowiązuje w odniesieniu do Danych Osobowych Osób Fizycznych. Osoby Fizyczne obejmują obecnych i byłych pracowników, kandydatów do pracy, podwykonawców, przedstawicieli klientów i innych partnerów biznesowych oraz konsumentów. Wszystkie Osoby Fizyczne mają dostęp do informacji o przestrzeganiu prywatności, która jest zgodna z Europejskimi Przepisami o Ochronie Danych, zawiera wykaz kategorii i rodzajów Danych Osobowych i jest dostępna na wewnętrznych i zewnętrznych stronach internetowych ExxonMobil. W stosownych przypadkach umowy podlegają obowiązkowi zachowania poufności i są dostępne wyłącznie dla stron umowy.

2.3 Kodeks nie ma zastosowania do Informacji zanonimizowanych ani innych informacji niebędących Danymi Osobowymi.

2.4 ExxonMobil Przetwarza Dane Osobowe do celów biznesowych, które obejmują:

i. administrowanie personelem i operacje związane z zasobami ludzkimi, na przykład listy płac i ścieżki kariery Osób Fizycznych, 

ii. weryfikację przestrzegania polityki i zasad dotyczących aktywów firmy przez Osoby Fizyczne,

iii. fizyczne bezpieczeństwo i dostęp Osób Fizycznych do budynków i terenu,

iv. zarządzanie technologią informatyczną dotyczącą użycia systemów firmowych  przez Osoby Fizyczne, obejmujące dostarczanie oprogramowania i sprzętu, kontrola dostępu, utrzymanie i aktualizacja zabezpieczeń informatycznych

v. zarządzanie relacjami z naszymi klientami i innymi partnerami biznesowymi, co obejmuje Przetwarzanie danych kontaktowych i danych transakcyjnych w celu przyjmowania zamówień, realizacji dostaw, wystawiania faktur i rozwoju działalności,

vi. komunikację z agencjami rządowymi w celu spełnienia wymogów regulacyjnych,

vii. komunikację z zewnętrznymi interesariuszami w kwestiach związanych z działalnością biznesową ExxonMobil.

3.1 Dane Osobowe będą Przetwarzane w sposób zgodny z prawem. 

3.2 Niniejszy Kodeks wyznacza minimalne standardy ochrony prywatności danych. Jeżeli obowiązujące przepisy wymagają wyższego poziomu ochrony Danych Osobowych niż poziom ochrony określony w Kodeksie, ExxonMobil zastosuje taki wyższy poziom ochrony.  Przykładowo, jeżeli Przetwarzanie jest dozwolone wyłącznie na podstawie jednej lub więcej podstaw określonych w prawie (punkt 18.2 iv i v) , ExxonMobil spełni takie wymogi.

3.3 ExxonMobil, przy wsparciu Biura Ochrony Danych ExxonMobil oraz wyznaczonych Inspektorów Ochrony Danych (jeśli zostali powołani), monitoruje przepisy prawne globalnie, aby zapewnić zgodność z Kodeksem. Proces ten obejmuje również oceny opisane w sekcji 18.8 niniejszego Kodeksu. Jeżeli ExxonMobil ma powód przypuszczać, że dany przepis uniemożliwia jej zachowanie zgodności z Kodeksem, ExxonMobil podejmie odpowiedzialną decyzję dotyczącą przeprowadzanych działań w porozumieniu z Biurem Ochrony Danych ExxonMobil oraz Inspektorem Ochrony Danych (jeśli wymagane jest jego powołanie).Inspektor Ochrony Danych (jeśli powołanie jest wymagane) poinformuje i  skonsultuje się z właściwym Organem Nadzorczym zarówno w przypadkach, gdy obowiązujące przepisy prawa tego wymagają, jak i wtedy, gdy ExxonMobil uzna, że dane przepisy mogą mieć istotnie negatywny wpływ na gwarancje zapewniane przez Kodeks.

Jeżeli wymagają tego obowiązujące przepisy prawa, Dane Osobowe będą Przetwarzane do określonych i zgodnych z prawem celów i w każdym przypadku na podstawie prawnej Przetwarzania danych i nie będą dalej Przetwarzane w sposób niezgodny z takimi celami. Dalsze Przetwarzanie nie zostanie uznane za niezgodne na przykład, gdy następuje (i) za zgodą lub zatwierdzeniem Osoby Fizycznej, (ii) w sytuacjach awaryjnych, na przykład gdy zagrożone jest życie lub istotny interes Osoby Fizycznej lub (iii) w celu ustanowienia, dochodzenia lub obrony roszczeń prawnych.

5.1  ExxonMobil zobowiązuje się tylko do Przetwarzania Danych Osobowych wyłącznie w zakresie niezbędnym do realizacji uzasadnionych celów biznesowych, których przykłady zostały przedstawione w sekcji 2.4 powyżej. Tam, gdzie to możliwe, Dane Osobowe są usuwane, anonimizowane agregowane i/lub pseudonimizowane, aby zapewnić, że przetwarzane są wyłącznie dane osobowe w minimalnym zakresie, niezbędnym do realizacji danego celu, dla którego zostały zebrane.

5.2 Dane Osobowe będą przechowywane jedynie tak długo, jak jest to konieczne dla osiągnięcia celów, dla których są one Przetwarzane.

5.3 Jeżeli jest to wymagane na mocy obowiązujących przepisów prawa, ExxonMobil podejmie kroki w celu zminimalizowania Przetwarzania Danych Osobowych, w tym poprzez domyślną ochronę prywatności.

Biorąc pod uwagę cel Przetwarzania Danych Osobowych, ExxonMobil podejmie uzasadnione kroki, aby (i) zachować prawdziwość Danych Osobowych oraz (ii) aktualizować Dane Osobowe, jeżeli zostanie poinformowana przez Osobę Fizyczną lub Zaufane Źródło o zmianach w Danych Osobowych.

ExxonMobil przedstawi jasne powiadomienie o Przetwarzaniu Danych Osobowych, zgodne z wymogami prawa.

8.1 W oparciu o ocenę ryzyka ExxonMobil zastosuje odpowiednie środki techniczne i organizacyjne aby   zapewnić, że Dane Osobowe obywateli Europy są przetwarzane zgodnie z Przepisami o Ochronie Danych Osobowych oraz (ii) chronić Dane Osobowe przed naruszeniem ich bezpieczeństwa. Środki te wymieniono w harmonogramie bezpieczeństwa informacji opartym na uznanych międzynarodowych standardach bezpieczeństwa. 

8.2 W razie naruszenia Danych Osobowych ExxonMobil (i) skonsultuje się z Biurem Ochrony Danych ExxonMobil, które prowadzi rejestr naruszeń Danych Osobowych, (ii.) zgłosi je organowi regulacyjnemu i właściwemu organowi nadzorczemu (iii) poinformuje Osoby Fizyczne, których Dane dotyczą w każdym przypadku o naruszeniu zgodnie z obowiązującymi przepisami prawa. 

9.1 Jeżeli jest to wymagane na mocy obowiązujących przepisów, ExxonMobil odpowie na żądania Osób Fizycznych: (i) chcących dowiedzieć się, czy i jakie kategorie Danych Osobowych ich dotyczących są Przetwarzane przez ExxonMobil, (ii.) o otrzymanie kopii swoich Danych Osobowych, (iii) o usunięcie, ograniczenie, skasowanie lub zaprzestanie Przetwarzania Danych Osobowych Osoby Fizycznej wysuwającej żądania, (iv.) o ile jest to dozwolone przez obowiązujące prawo, o wycofanie zgody na Przetwarzanie oraz (iv) o Możliwość Przenoszenia Danych.

9.2 Osoby Fizyczne mogą zażądać od ExxonMobil sprostowania nieprawdziwych Danych Osobowych ich dotyczących, zgodnie z punktem 6

9.3 W celu realizacji swoich praw bądź aby wnieść skargę lub zażalenie dotyczące faktu, że ExxonMobil nie przestrzega Kodeksu, Osoby Fizyczne mogą skontaktować się z Biurem Ochrony Danych ExxonMobil, by uzyskać więcej informacji o procedurze, która zostanie zastosowana odnośnie do skargi: 

mailowo na adres: data.privacy.office@exxonmobil.com
lub pisemnie na adres: Data Privacy Office, c/o ExxonMobil Hungary Limited Liability Company, Registered seat: H-1134 Budapest, Dózsa György út 61-63, Budapest, H-1134, Hungary

Osoby Fizyczne mogą również kontaktować się z Inspektorami Ochrony Danych (o ile zostali wyznaczeni), korzystając z tych samych danych kontaktowych, ale wpisując w temacie wiadomości „DP Officer”.

„Za każdym razem, gdy ExxonMobil przekazuje Dane Osobowe pomiędzy Spółkami Stowarzyszonymi, zapewnia, że Dane te są objęte ochroną zgodnie z postanowieniami niniejszego Kodeksu.

Dane Osobowe będą Przekazywane stronom trzecim (w tym poza granice państw) wyłącznie wtedy, gdy podjęte zostały odpowiednie kroki zgodne z obowiązującymi przepisami prawa, aby właściwie chronić Dane Osobowe podczas ich Przekazywania.

ExxonMobil zobowiązuje się zapewnić obowiązkowe szkolenie w zakresie określonych w Kodeksie obowiązków dla pracowników i wykonawców mających dostęp do naszych systemów, którzy: (i) Przetwarzają Dane Osobowe lub (ii) uczestniczą w utrzymywaniu lub opracowywaniu narzędzi wykorzystywanych do przetwarzania Danych Osobowych. Szkolenie to jest przeprowadzane się na początku zatrudnienia lub wykonywania zadań w ExxonMobil, a następnie co 3 lata.

13.1 ExxonMobil stosuje programy w celu regularnej weryfikacji wdrażania i przestrzegania Kodeksu.

13.2 Programy weryfikacji zgodności obejmują:

i. program audytów, który obejmuje regularne audyty jednostek organizacyjnych i linii biznesowych ExxonMobil przeprowadzane przez wydział audytu wewnętrznego, monitorowanie wszelkich wymaganych działań naprawczych, a także nadzór nad programem audytów i wynikami audytów przez Zarząd Korporacji ExxonMobil.

ii. Członkom działu audytu wewnętrznego ExxonMobil gwarantuje się niezależność w wykonywaniu ich obowiązków, w tym w zakresie zakresu, procesu i częstotliwości audytów. Zapewnia to niezależność zarówno samego działu audytu wewnętrznego, jak i wyników audytów. Wyniki są przekazywane wyższemu kierownictwu jednostki lub linii biznesowej objętej audytem, Inspektorowi Ochrony Danych (jeśli dotyczy) oraz przedstawicielowi zarządu ExxonMobil Petroleum & Chemical BV, w celu zapewnienia wdrożenia zaleceń.

iii. Dział audytu wewnętrznego zapewni podjęcie działań następczych w związku z ustaleniami audytu. Nadzór nad działem i programem audytu wewnętrznego, w tym nad wszystkimi wynikami audytu wewnętrznego, sprawują członkowie Komitetu Audytu przy Zarządzie Spółki ExxonMobil. Zapewnia to rzeczywistą niezależność funkcji działu audytu.

iv. Dział audytu wewnętrznego realizuje również dodatkowy proces, w ramach którego jednostka organizacyjna lub linia biznesowa może wystąpić z wnioskiem o przeprowadzenie audytu.

14.1 ExxonMobil będzie współpracować z właściwymi Organami Ochrony Danych, odpowiadać na wnioski o informacje dotyczące przetwarzania danych zgodnie z niniejszym Kodeksem oraz uważnie rozważać ich zalecenia w odniesieniu do zapytań dotyczących stosowania niniejszego Kodeksu.

14.2 W ramach wykonywania obowiązków publicznych przez właściwy Organ Nadzorczy ExxonMobil będzie współpracować z Organami Nadzorczymi i stosować się do ich formalnych i zgodnych z prawem decyzji, które są ostateczne i nie podlegają dalszemu postępowaniu odwoławczemu.

14.3 Gdy Dane Osobowe Przekazywane są pomiędzy Spółkami Stowarzyszonymi, Spółki te będą współpracować i pomagać sobie nawzajem w razie potrzeby, aby odpowiedzieć na żądania właściwych Organów Nadzorczych.

15.1 Kodeks może być zmieniany przez ExxonMobil w razie potrzeby, na przykład aby zapewnić zgodność ze zmianami obowiązujących przepisów prawa bądź uwzględnić zmiany w wewnętrznej organizacji i procesach. Zmiany Kodeksu są rejestrowane i przechowywane przez Biuro Ochrony Danych oraz przekazywane wszystkim Spółkom Stowarzyszonym ExxonMobil (wyłącznie Istotne Zmiany).

15.2 ExxonMobil będzie informować właściwy Organ Nadzorczy o zmianach w Kodeksie w następujący sposób:

• Istotne Zmiany Kodeksu oraz Umowy Wewnątrzgrupowej będą przekazywane bez nieuzasadnionej zwłoki oraz
• ExxonMobil będzie corocznie przekazywać informacje o zmianach w Kodeksie i/lub wykazie Spółek Stowarzyszonych objętych Kodeksem, wraz z krótkim opisem tych zmian. W przypadku braku zmian w Kodeksie, informacja o ich braku również zostanie przekazana właściwemu Organowi Nadzorczemu w ramach corocznej komunikacji ExxonMobil.”.

15.3 ExxonMobil udostępni Kodeks oraz zmiany w Kodeksie:

• Zewnętrznie na naszej stronie internetowej tutaj;
• Na wniosek Osoby Fizycznej, zgodnie z podpunktem 9.3; oraz
• Wewnętrznie, w intranecie ExxonMobil. 

Kodeks obowiązuje od dnia podpisania Wewnętrznej Umowy Między Spółkami Stowarzyszonymi dotyczącej Wiążących Reguł Korporacyjnych.

Aby uzyskać więcej informacji o Kodeksie Postępowania, prosimy skontaktować się z Biurem Ochrony Danych ExxonMobil: data.privacy.office@exxonmobil.com.

18.1 W odniesieniu do Europejskich Danych Osobowych ExxonMobil ponosi odpowiedzialność za przestrzeganie wszystkich zobowiązań przyjętych w Kodeksie i będzie ich przestrzegać. W przypadkach, gdy surowsze Europejskie Przepisy o Ochronie Danych wymagają wyższego poziomu ochrony, ExxonMobil zastosuje ten wyższy poziom. ExxonMobil niezwłocznie poinformuje Podmiot Przekazujący Dane oraz ExxonMobil Petroleum & Chemical BV, jeśli nie będzie już w stanie przestrzegać Kodeksu – w tym w wyniku zmiany przepisów prawa w Kraju Docelowym lub w związku z Żądaniem Dostępu ze strony Organów Państwowych.

18.2 Jeżeli Europejskie Dane Osobowe przekazywane są Spółkom Stowarzyszonym poza Obszarem Europejskim, ExxonMobil zastosuje poziom ochrony Europejskich Danych Osobowych, który nie podważa poziomu ochrony przyznanego zgodnie z Europejskimi Przepisami o Ochronie Danych. ExxonMobil uczyni tak, nawet jeśli taka ochrona nie jest wymagana przez obowiązujące przepisy w krajach Spółek Stowarzyszonych poza Obszarem Europejskim, gdzie Europejskie Dane Osobowe są otrzymywane.

Oznacza to w szczególności odnośnie do praktyki w zakresie prywatności danych opisanej odpowiednio w Punktach 3, 4, 5, 7, 8, 9 i 11, że ExxonMobil: 

i. nie będzie Przetwarzać Europejskich Danych Osobowych ujawniających pochodzenie rasowe lub etniczne, opinie polityczne, przekonania religijne lub filozoficzne, członkostwo w związkach zawodowych, stan zdrowia, życie seksualne, orientację seksualną, dane genetyczne lub biometryczne do celów jednoznacznej identyfikacji Osoby Fizycznej, chyba że takie Przetwarzanie jest dopuszczone zgodnie z Europejskimi Przepisami o Ochronie Danych,

ii. nie będzie Przetwarzać Europejskich Danych Osobowych dotyczących wyroków skazujących i przestępstw w sposób inny niż zgodny z Europejskimi Przepisami o Ochronie Danych,

iii. będzie przeprowadzać ocenę skutków dla Ochrony Danych w przypadku operacji Przetwarzania wysokiego ryzyka, zgodnie z Europejskimi Przepisami o Ochronie Danych. Jeżeli po wdrożeniu środków zaradczych zalecanych przez Inspektorów Ochrony Danych oraz po konsultacji z prawnikiem ds. prywatności ryzyko nadal pozostaje wysokie, należy skonsultować się z właściwym Organem Nadzorczym, zgodnie z Europejskimi Przepisami o Ochronie Danych.

iv. Będzie Przetwarzać Europejskie Dane Osobowe w konkretnych i uzasadnionych celach biznesowych i zgodnie z obowiązującą podstawą prawną, w szczególności 
(w stosownych przypadkach):

• gdy Przetwarzanie jest niezbędne do celów wynikających z uzasadnionych interesów ExxonMobil lub strony trzeciej, z wyjątkiem sytuacji, w których interesy te są nadrzędne wobec interesów lub podstawowych praw i wolności danej Osoby Fizycznej; 

• gdy Osoba Fizyczna wyraziła zgodę na przetwarzanie jej danych osobowych w co najmniej jednym lub kilku określonych celach;

• gdy Przetwarzanie jest niezbędne do wykonania umowy, której stroną jest Osoba Fizyczna lub w celu podjęcia kroków na żądanie Osoby Fizycznej przed zawarciem umowy;

• gdy Przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego wynikającego z Europejskich Przepisów o Ochronie Danych, którym podlega ExxonMobil, lub jest w inny sposób wyraźnie dozwolone na mocy

• Europejskich Przepisów o Ochronie Danych, którym podlega ExxonMobil; lub

• w wyjątkowych okolicznościach, gdy Przetwarzanie jest niezbędne w celu ochrony żywotnych interesów danej Osoby Fizycznej lub innej osoby. 

v. Będzie Przetwarzać Europejskie Dane Osobowe, sklasyfikowane jako dane osobowe specjalnej kategorii zgodnie z Europejskimi Przepisami o Ochronie Danych, w konkretnych i uzasadnionych celach biznesowych i zgodnie z obowiązującą podstawą prawną, w szczególności (w stosownych przypadkach):

• gdy Osoba Fizyczna wyraziła wyraźną zgodę na Przetwarzanie jej Danych Osobowych w co najmniej jednym lub kilku określonych celach;

• gdy Przetwarzanie jest niezbędne do wypełniania obowiązków i wykonywania określonych praw ExxonMobil lub Osoby Fizycznej w obszarze zatrudnienia, zabezpieczenia społecznego i ochrony socjalnej w zakresie, w jakim jest to dozwolone; lub

• gdy Przetwarzanie jest niezbędne do celów medycyny prewencyjnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnostyki medycznej, zapewnienia opieki zdrowotnej lub społecznej, leczenia lub zarządzania systemami i usługami opieki zdrowotnej bądź społecznej, na co zezwalają Europejskie Przepisy o Ochronie Danych.

vi. Będzie Przetwarzać Europejskie Dane Osobowe, które są odpowiednie, istotne i ograniczone do tego, co niezbędne, w stosunku do zgodnych z prawem celów biznesowych,

vii. Będzie stosować domyślną ochronę prywatności i ochronę prywatności w fazie projektowania, jeżeli dotyczy,

viii. Będzie prowadzić cyfrowy, pisemny rejestr czynności Przetwarzania, który na żądanie zostanie udostępnione właściwemu Organowi Nadzorczemu.

ix. Zapewni Osobom Fizycznym, których dane dotyczą, informację i przejrzystość w zakresie celu i sposobu Przetwarzania Europejskich Danych Osobowych, w tym odniesienie do niniejszego Kodeksu, zgodnie z Europejskimi Przepisami o Ochronie Danych.

x. Będzie stosować ten sam poziom środków zabezpieczających w celu ochrony Europejskich Danych Osobowych, jaki określono w Europejskich Przepisach o Ochronie Danych,

xi. W przypadku naruszenia Europejskich Danych Osobowych:

1. skonsultuje się z Biurem Ochrony Danych ExxonMobil oraz Inspektorem Ochrony Danych, którzy udzielą wsparcia w celu oceny ryzyka i udokumentują naruszenie w rejestrze oraz na żądanie udostępnią odpowiednią dokumentację właściwemu Organowi Nadzorczemu, oraz

2. zgłosi naruszenie ochrony danych osobowych do właściwego Organu Nadzorczego bez zbędnej zwłoki, a jeśli to możliwe – nie później niż w ciągu 72 godzin od momentu stwierdzenia naruszenia, chyba że jest mało prawdopodobne, aby naruszenie to skutkowało ryzykiem naruszenia praw lub wolności Osób Fizycznych,

3. poinformuje ExxonMobil Petroleum & Chemical BV, oraz

4. poinformuje Osoby Fizyczne, których dane dotyczą, jeżeli naruszenie może skutkować wysokim ryzykiem naruszenia ich praw lub wolności, oraz

5. w przypadku gdy naruszenie Europejskich Danych Osobowych wynika z działań podmiotu przetwarzającego ExxonMobil, bez zbędnej zwłoki poinformuje administratora ExxonMobil.

xii. Będzie odpowiadać na żądania i skargi Osób Fizycznych dotyczące Przetwarzania Europejskich Danych Osobowych zgodnie z punktem 18.7,

xiii. Umożliwi Osobom Fizycznym wniesienie sprzeciwu wobec Przetwarzania ich Danych Osobowych lub decyzji opartej wyłącznie na automatycznym Przetwarzaniu, która powoduje skutki prawne dotyczące Osoby Fizycznej lub w podobnie znaczący sposób wpływa na Osobę Fizyczną, chyba że decyzja jest dopuszczona zgodnie z Europejskimi Przepisami o Ochronie Danych,

xiv. Będzie przekazywać Europejskie Dane Osobowe stronom trzecim poza Europejski Obszar wyłącznie zgodnie z Europejskimi Przepisami o Ochronie Danych.

xv. Będzie zawierać z podmiotami przetwarzającymi dane umowy, które są zgodne z Europejskimi Przepisami o Ochronie Danych.

xvi. Powoła Inspektorów Ochrony Danych w Regionie Europejskim w celu monitorowania zgodności z Europejskimi Przepisami o Ochronie Danych. Zgodnie z tymi przepisami, Inspektorzy Ochrony Danych mogą występować z wnioskiem o przeprowadzenie audytu w celu realizacji swoich obowiązków w zakresie monitorowania zgodności.

18.3 Właściwe Organy Nadzorcze na Obszarze Europejskim mogą weryfikować zgodność z Kodeksem, w tym poprzez przeprowadzenie audytów ExxonMobil zgodnie z uprawnieniami do przeprowadzenia audytu nadanymi na mocy Europejskich Przepisów o Ochronie Danych.  Wyniki audytu w odniesieniu do wszystkich Danych Osobowych są przekazywane w sposób opisany w punkcie 13.2 a na żądanie również udostępniane właściwemu Organowi Nadzorczemu.. Wszelkie spory związane ze sprawowaniem nadzoru nad przestrzeganiem niniejszego Kodeksu będą rozstrzygane przez sądy kraju, w którym znajduje się właściwy Organ Nadzorczy, zgodnie z Europejskimi Przepisami o Ochronie Danych.

Wszystkie Spółki Stowarzyszone będą współpracować z ExxonMobil Petroleum & Chemical BV w zakresie niezbędnym do udzielenia odpowiedzi na żądania właściwych Organów Nadzorczych, dotyczące udostępnienia odpowiednich wyników audytów i kontroli, w tym audytów na miejscu, w związku z niniejszym Kodeksem.

ExxonMobil będzie przestrzegać zaleceń właściwych Organów Nadzorczych w Obszarze Europejskim odnośnie do Europejskich Danych Osobowych, z zastrzeżeniem wyczerpania wszelkich środków prawnych uznanych za stosowne przez ExxonMobil.

18.4 Osoba Fizyczna, której Europejskie Dane Osobowe przekazywane są Spółce Stowarzyszonej poza Obszarem Europejskim, czerpie z tego prawa beneficjenta będącego osobą trzecią i może bezpośrednio dochodzić zapisów w punktach 15.3 i 18.2.i., iii., iv., v., vii., viii., ix.3, x., xi., xii., 18.3 do 18.8 Kodeksu z wykorzystaniem któregokolwiek z poniższych:

i. skontaktowanie się z Biurem Ochrony Danych ExxonMobil zgodnie z podpunktem 9.3, lub

ii. złożenie skargi do właściwego Organu Nadzorczego w państwie, w którym osoba, której dane dotyczą, ma miejsce zwykłego pobytu, miejsce pracy lub w którym doszło do domniemanego naruszenia Kodeksu, lub

iii. wszczęcie postępowania przeciwko odpowiedniej Spółce Stowarzyszone z siedzibą w Regionie Europejskim przed właściwym sądem w Regionie Europejskim, lub

iv. wszczęcie postępowania przeciwko ExxonMobil Petroleum & Chemical BV z siedzibą pod adresem Polderdijkweg, 2030 Antwerpia, Belgia przed Belgijskim Organem Ochrony Danych () lub sądami w Brukseli bądź innymi właściwymi sądami, o ile zezwalają na to Europejskie Przepisy o Ochronie Danych.

18.5 W przypadku wniesienia uzasadnionego roszczenia lub skargi zgodnie z 18.4 ExxonMobil Petroleum & Chemical BV przyjmuje odpowiedzialność za wszelkie naruszenia Kodeksu przez Spółkę Stowarzyszoną mającą siedzibę poza Obszarem Europejskim i zgadza się podjąć niezbędne działania w celu naprawienia skutków naruszenia oraz, w stosownych przypadkach, wypłacić odszkodowanie za szkody wynikające z takiego naruszenia, zgodnie z ostateczną decyzją sądu lub właściwego Organu Nadzorczego niepodlegającą dalszemu postępowaniu odwoławczemu.

18.6 Jeżeli roszczenie, skarga lub wniosek o postępowanie zostaną wniesione zgodnie z 18.4, Osoba Fizyczna nie musi udowodnić faktycznego naruszenia niniejszego Kodeksu przez Spółkę Stowarzyszoną spoza Obszaru Europejskiego; wystarczy, że Osoba Fizyczna wykaże, że doznała szkody i że taka szkoda wystąpiła prawdopodobnie w wyniku naruszenia niniejszego Kodeksu przez Spółkę Stowarzyszoną z siedzibą poza Obszarem Europejskim. Ciężar dowodu spoczywa wtedy na ExxonMobil Petroleum & Chemical BV, aby wykazać, że Spółka Stowarzyszona ustanowiona poza Obszarem Europejskim nie naruszyła Kodeksu. Jeżeli ExxonMobil Petroleum & Chemical BV zdoła udowodnić, że Spółka Stowarzyszona z siedzibą poza Obszarem Europejskim nie odpowiada za naruszenie, ExxonMobil Petroleum & Chemical BV może zwolnić się z wszelkiej odpowiedzialności.

18.7 ExxonMobil będzie odpowiadać na wnioski lub skargi dotyczące Przetwarzania Europejskich Danych Osobowych bez nieuzasadnionej zwłoki i każdorazowo w ciągu miesiąca od otrzymania żądania lub skargi, co może zostać w razie potrzeby przedłużone o kolejne dwa miesiące, jeśli jest to konieczne i dozwolone na mocy Europejskich Przepisów o Ochronie Danych, o czym dana Osoba Fizyczna zostanie powiadomiona na piśmie. Biuro Ochrony Danych ExxonMobil i Inspektorzy Ochrony Danych stanowią punkt kontaktowy dla pracowników ExxonMobil odpowiedzialnych za udzielanie odpowiedzi na wszelkie takie wnioski lub skargi.

Osoba Fizyczna może wnieść skargę do ExxonMobil pocztą elektroniczną (e-mailem) lub na piśmie zgodnie z punktem 9.3 Kodeksu.  ExxonMobil uznaje wnioski i skargi składane bezpośrednio przez Osoby Fizyczne lub za pośrednictwem przedstawiciela organizacji non-profit, stowarzyszenia lub innego podmiotu działającego w ich imieniu, o ile jest to dozwolone przez Europejskie Przepisy o Ochronie Danych.

Jeżeli ExxonMobil uzna skargę za uzasadnioną, poinformuje Osobę Fizyczną o tym, w jaki sposób naprawi sprawę, która stała się przyczyną skargi. Jeżeli skarga zostanie odrzucona lub Osoba Fizyczna nie jest usatysfakcjonowana odpowiedzią ExxonMobil, Osoba Fizyczna może wnieść skargę lub wszcząć postępowanie zgodnie z punktem 18.4.ii i 18.4.iii Kodeksu. Co więcej, jeżeli skarga dotyczy Przetwarzania Europejskich Danych Osobowych przez Spółki Stowarzyszone z siedzibą poza Obszarem Europejskim, Osoba Fizyczna może również wnieść skargę lub wszcząć postępowanie zgodnie z punktem 18.4.iv.

18.8 ExxonMobil przeprowadza i dokumentuje Oceny, aby ustalić, czy Transfer Europejskich Danych Osobowych do Podmiotu Otrzymującego Dane znajdującego się poza Europejskim Obszarem, oparty na Kodeksie, jest odpowiednio chroniony zgodnie z Kodeksem oraz czy w wyniku ustaleń z Oceny należy wdrożyć środki uzupełniające. Oceny te są aktualizowane, aby odzwierciedlać wszelkie zmiany w przepisach prawa, które mogą wpłynąć na ocenę ryzyka, co obejmuje monitorowanie przez podmioty przekazujące dane sytuacji prawnej w Kraju Docelowym we współpracy z podmiotami odbierającymi dane, jeśli jest to właściwe. Zgodnie z sekcją 18.1, ExxonMobil niezwłocznie poinformuje Podmiot Przekazujący Dane oraz ExxonMobil Petroleum & Chemical BV, jeśli w wyniku zmian w prawie nie będzie już w stanie przestrzegać Kodeksu. Spółki Stowarzyszone są informowane o wynikach Ocen przez Biuro Ochrony Danych Osobowych, w tym o ewentualnym zawieszeniu lub zakończeniu takich Transferów. Wdrożenie środków uzupełniających jest dokumentowane wraz z Oceną.

Proces Oceny obejmuje wszystkie aspekty Transferu, w tym ustalenie, czy lokalne przepisy i praktyki w Kraju Docelowym:

- szanują istotę podstawowych praw i wolności,

- nie wykraczają poza to, co jest konieczne i proporcjonalne w demokratycznym społeczeństwie w celu ochrony przed ryzykiem ujawnienia lub umożliwienia dostępu do Europejskich Danych Osobowych,

- wymagają ujawnienia Europejskich Danych Osobowych lub przewidują środki umożliwiające dostęp organom publicznym, w stopniu, który ma istotny negatywny wpływ na gwarancje i zobowiązania wynikające z Kodeksu.

Zgodnie z sekcją 18.1, Spółka Stowarzyszona poinformuje Podmiot Przekazujący Dane | i ExxonMobil Petroleum & Chemical BV:

Jeśli Ocena wykaże, że lokalne przepisy i praktyki mają taki istotny negatywny wpływ, ExxonMobil – we współpracy z ExxonMobil Petroleum & Chemical BV, Biurem Ochrony Danych Osobowych oraz Inspektorami Ochrony Danych – przeanalizuje istniejące środki umowne, techniczne i organizacyjne w zakresie bezpieczeństwa i zdecyduje, czy należy je uzupełnić w celu ograniczenia ryzyka. Proces Oceny i wdrażania środków uzupełniających dotyczy również istniejących Transferów, które zostały zgłoszone jako objęte wpływem lokalnych przepisów i praktyk przez podmiot odbierający dane. Takie Transfery są natychmiast zawieszane na polecenie ExxonMobil i – jeśli tak zdecydują właściwe Organy Nadzorcze – do czasu zidentyfikowania środków uzupełniających.

Jeśli nie można zidentyfikować środków uzupełniających lub jeśli zidentyfikowane środki nie zapewniają odpowiedniego poziomu ochrony umożliwiającego stosowanie Kodeksu do Transferu Europejskich Danych Osobowych, albo jeśli zawieszony Transfer nie zostanie przywrócony w ciągu 1 miesiąca od zawieszenia (lub jeśli zawieszenie zostanie przedłużone ze względu na ciągłość działania), istniejące Transfery są przerywane, a nowe nie są dozwolone. Wszystkie Europejskie Dane Osobowe, które miały zostać przetransferowane, w tym wszystkie ich kopie, są zwracane lub niszczone – według wyboru podmiotu odbierającego dane – chyba, że lokalne prawo tego zabrania. W takim przypadku Europejskie Dane Osobowe pozostają u podmiotu przekazującego dane, który nadal przestrzega Kodeksu. Jeśli podmiot odbierający dane wybierze usunięcie, podmiot przekazujący dane dostarczy – na żądanie – dowód trwałego usunięcia wszystkich takich Europejskich Danych Osobowych.

Wszystkie Oceny są udostępniane właściwym Organom Nadzorczym na żądanie.

18.9 W przypadku gdy Podmiot Przekazujący dane otrzyma lub zostanie ponformowany o Rządowym Wniosku o Dostęp, niezwłocznie powiadomi o tym Podmiot Otrzymujący dane oraz Osobę Fizyczną, której Europejskie Dane Osobowe są przedmiotem Rządowego Wniosku o Dostęp.

Jeśli całkowicie lub częściowo obowiązuje zakaz przekazywania takich informacji, Podmiot Otrzymujący dane podejmie wszelkie możliwe starania, aby uzyskać uchylenie takiego zakazu, 
i udokumentuje te starania – w tym oryginalne Żądanie Dostępu – aby móc je wykazać na żądanie Podmiotu Przekazującego Dane, tak długo jak Transfer Danych Osobowych objętych Żądaniem Dostępu pozostaje chroniony przez Kodeks. Wszystkie Żądania Dostępu ze strony organów rządowych oraz dokumentacja wewnętrzna będą przechowywane zgodnie z wytycznymi ExxonMobil dotyczącymi zarządzania dokumentacją.

ExxonMobil oceni legalność Żądania Dostępu ze strony organu rządowego i o ujawnienie w sposób opisany powyżej – w szczególności to, czy mieści się on w zakresie uprawnień przyznanych wnioskującemu organowi publicznemu – i zaskarży Żądanie Dostępu ze strony organu rządowego, jeżeli po dokładnej ocenie stwierdzi, że istnieją uzasadnione podstawy, aby uznać, że Żądanie Dostępu ze strony organu rządowego jest niezgodne z prawem zgodnie z krajem przeznaczenia, obowiązującymi zobowiązaniami wynikającymi z prawa międzynarodowego lub zasad wzajemnego poszanowania praw międzynarodowych. ExxonMobil udostępni tę ocenę Podmiotowi Przekazującemu Dane. ExxonMobil, na tych samych warunkach, będzie poszukiwać możliwości odwołania. Kwestionując Żądanie Dostępu ze strony organu rządowego, ExxonMobil będzie ubiegać się o zastosowanie środków tymczasowych w celu zawieszenia skutków Rządowego Wniosku o Dostęp do czasu podjęcia przez właściwy organ sądowy decyzji co do jego zasadności. ExxonMobil udokumentuje swoją ocenę prawną i wszelkie zakwestionowanie Rządowego Wniosku o Dostęp i o ujawnienie oraz, w zakresie dozwolonym przez prawo kraju przeznaczenia, udostępni dokumentację właściwemu Organowi Nadzorczemu na żądanie. ExxonMobil nie ujawni żądanych Danych Osobowych, dopóki nie będzie to wymagane zgodnie z obowiązującymi przepisami proceduralnymi, i dostarczy minimalną ilość informacji dozwoloną podczas udzielania odpowiedzi, w oparciu o rozsądną interpretację żądania.

ExxonMobil podejmie środki w celu zapobieżenia wszelkim transferom Europejskich Danych Osobowych do jakichkolwiek organów publicznych (a także bezpośredniemu dostępowi takich organów do Danych Osobowych Przekazywanych na mocy Kodeksu), które są masowe, nieproporcjonalne i bezkrytyczne w sposób, który wykraczałby poza elementy niezbędne w demokratycznym społeczeństwie.

Podmiot Otrzymujący dane będzie co roku oraz w regularnych odstępach czasu przekazywał podmiotowi przekazującemu dane ogólne informacje dotyczące Rządowych Wniosków o Dostęp ze strony organów rządowych, zawierające możliwie jak najwięcej istotnych danych na temat otrzymanych żądań (w szczególności: liczby żądań, rodzaju żądanych danych, organu lub organów wnioskujących, informacji o ewentualnym zakwestionowaniu żądań oraz wynikach takich działań).

18.10 Zgodnie z Kodeksem Spółki Stowarzyszone nie będą Przekazywać Europejskich Danych Osobowych innym Spółkom Stowarzyszonym, o ile te ostatnie nie są związane Kodeksem.

18.11 W przypadku gdy Podmiot Otrzymujący dane nie jest już zobowiązany do przestrzegania niniejszego Kodeksu, może uzyskać zgodę na przechowywanie, zwrot lub usunięcie Danych Osobowych otrzymanych na mocy niniejszego Kodeksu przez Podmiot Przekazujący dane. Jeśli podmiot przekazujący dane i podmiot Otrzymujący  dane zgodzą się, że dane mogą być przechowywane przez podmiot odbierający dane, ów podmiot odbierający dane zgadza się, że utrzyma ochronę zgodnie z Europejskimi Przepisami o Ochronie Danych.

„Spółka Stowarzyszona” oznacza każdą spółkę lub spółkę osobową, która przyjęła Kodeks poprzez podpisanie umowy między spółkami powiązanymi (inter affiliate agreement) i w której Exxon Mobil Corporation lub jakakolwiek spółka nadrzędna Exxon Mobil Corporation obecnie lub w przyszłości, bezpośrednio lub pośrednio, posiada lub kontroluje ponad 50% udziałów uprawniających do głosowania lub mianowania członków zarządu lub ich odpowiedników, a także każdego następcę prawnego takiej spółki lub spółki osobowej.

„Zanonimizowane Informacje” oznaczają informacje, które nie dotyczą zidentyfikowanej ani możliwej do zidentyfikowania osoby fizycznej lub dane osobowe, które zostały zanonimizowane w taki sposób, że osoba, której dotyczą, nie jest lub nie może być już zidentyfikowana.

„Obowiązujące Przepisy Prawa” oznaczają: (i) w odniesieniu do Europejskich Danych Osobowych – Europejskie przepisy o ochronie danych osobowych oraz/lub (ii) w odniesieniu do innych Danych Osobowych – obowiązujące krajowe, federalne, stanowe i lokalne przepisy prawa oraz regulacje dotyczące ochrony danych, prywatności i bezpieczeństwa Danych Osobowych, które mogą być aktualizowane, zmieniane lub zastępowane, i które mają zastosowanie do przetwarzania realizowanego przez ExxonMobil.

„Oceny” oznaczają analizę prawną obejmującą: (i) konkretne okoliczności Transferów, (ii) przepisy prawa i praktyki obowiązujące w Kraju Docelowym, istotne dla danego Transferu – w tym te, które wymagają ujawnienia danych lub umożliwiają dostęp, jak również te, które mogą wprowadzać ograniczenia lub oferować zabezpieczenia, oraz (iii) wszelkie istotne i istniejące środki umowne, techniczne lub organizacyjne mające na celu uzupełnienie ochrony zapewnianej przez Kodeks.

„Właściwy Organ Nadzorczy” oznacza Europejski Organ Nadzorczy ds. ochrony danych osobowych właściwy dla Podmiotu Przekazującego Dane zgodnie z niniejszym Kodeksem.

„Podmiot Przekazujący Dane ” oznacza Spółkę Stowarzyszoną zlokalizowaną w Europejskim Regionie, która przekazuje Europejskie Dane Osobowe poza ten region do Podmiotu Otrzymującego Dane.

„Podmiot Otrzymujący Dane” oznacza Spółkę Stowarzyszoną, która otrzymuje Europejskie Dane Osobowe przekazywane z Europejskiego Regionu przez Podmiot Przekazujący Dane.

„Przenoszalność Danych” oznacza prawo do uzyskania Danych Osobowych w formacie umożliwiającym ich przekazanie osobie trzeciej, zgodnie z obowiązującym prawem.

„Kraj Docelowy” oznacza kraj spoza Europejskiego Regionu, do którego przekazywane są Dane Osobowe i który nie posiada aktualnej decyzji Komisji Europejskiej o odpowiednim poziomie ochrony.

„EOG” oznacza Europejski Obszar Gospodarczy, ustanowiony na mocy porozumienia EOG z dnia 1 stycznia 1994 r., który zapewnia swobodny przepływ osób, towarów, usług i kapitału w ramach jednolitego rynku europejskiego.

„Europejskie Przepisy o Ochronie Danych” oznaczają Rozporządzenie (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych oraz w sprawie swobodnego przepływu takich danych (ogólne rozporządzenie o ochronie danych – RODO) (wraz z implementacją do prawa krajowego państw członkowskich EOG i Wielkiej Brytanii oraz z późniejszymi zmianami), a także Szwajcarską Federalną Ustawę o Ochronie Danych oraz wszelkie odpowiadające lub równoważne przepisy krajowe państw członkowskich EOG, które mogą być aktualizowane, modyfikowane lub zastępowane, w zakresie mającym zastosowanie do przetwarzania realizowanego przez ExxonMobil.

„Europejskie Dane Osobowe” oznaczają Dane Osobowe, które podlegają lub podlegały Europejskim Przepisom o Ochronie Danych.

„Europejski Region” oznacza kraje należące do Europejskiego Obszaru Gospodarczego (EOG), Wielką Brytanię oraz Szwajcarię.

„Żądanie Dostępu ze strony organu rządowego” oznacza (i) otrzymanie prawnie wiążącego żądania ujawnienia Europejskich Danych Osobowych przez organ publiczny w Kraju Docelowym, lub (ii) uzyskanie informacji o bezpośrednim dostępie organów publicznych do takich Europejskich Danych Osobowych w kraju spoza Europejskiego Obszaru.

„Osoba fizyczna” oznacza każdą zidentyfikowaną lub możliwą do zidentyfikowania osobę fizyczną, której dane są przetwarzane przez ExxonMobil lub w jej imieniu; osobą możliwą do zidentyfikowania jest osoba, którą można zidentyfikować bezpośrednio lub pośrednio, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź więcej czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość tej osoby fizycznej. Do Osób Fizycznych zaliczają się obecni i byli pracownicy, kandydaci do pracy, wykonawcy, przedstawiciele klientów i innych partnerów biznesowych oraz konsumenci.

„Umowa wewnątrzgrupowa” oznacza umowę zawartą pomiędzy podmiotami stowarzyszonymi  ExxonMobil, na mocy której przyjmują one i są zobowiązane do przestrzegania Kodeksu.

„Istotne zmiany” oznaczają zmiany w Kodeksie, które mają negatywny wpływ na standard ochrony Europejskich Danych Osobowych zapewniany przez Kodeks lub które znacząco wpływają na zakres lub strukturę Kodeksu w odniesieniu do Europejskich Danych Osobowych.

„Dane Osobowe” oznaczają dane dotyczące Osoby.

„Naruszenie Danych Osobowych” oznacza naruszenie bezpieczeństwa prowadzące do przypadkowego lub niezgodnego z prawem zniszczenia, utraty, zmiany, nieuprawnionego dostępu do lub ujawnienia Danych Osobowych.

„Przetwarzać”, „Przetwarzane”, „Przetwarza”, „Przetwarzanie” oznacza wykonywanie jakiejkolwiek operacji na Danych Osobowych, niezależnie od tego, czy odbywa się to w sposób zautomatyzowany, czy nie, takich jak: dostęp, zbieranie, przechowywanie, rejestrowanie, organizowanie, modyfikowanie, rozpowszechnianie, ujawnianie, przekazywanie, pobieranie, usuwanie lub inne wykorzystywanie Danych Osobowych.

„Przekazanie”, „Przekazania”, „Przekazane” oznacza pojedyncze przekazanie lub zestaw przekazań Danych Osobowych, w tym zarówno pierwsze przekazanie, jak i dalsze przekazania Danych Osobowych w ramach tego samego Kraju Docelowego lub do innego Kraju Docelowego.

„Zaufane Źródło” oznacza osobę lub podmiot upoważniony do reprezentowania Osoby, lub osobę bądź podmiot, który – według uznania ExxonMobil – posiada widoczne uprawnienie do reprezentowania tej Osoby.

Spółki Stowarzyszone są wymienione według krajów i zawierają numer rejestracyjny.

Adres każdego kraju oraz dane kontaktowe Inspektora Ochrony Danych, jeśli jest to wymagane, są podane w polityce prywatności danego kraju lub na stronie kontaktowej dostępnej pod adresem Nasze polityki prywatności | ExxonMobil.