RGPD

O Kelio e o RGPD

Garanta a conformidade com o RGPD com o software Kelio!

Implementar uma solução de software de gestão de Recursos Humanos ou de controlo de acessos significa usar e processar dados pessoais. As empresas na União Europeia devem, portanto, cumprir os requisitos do RGPD – o Regulamento Geral de Proteção de Dados.

O regulamento RGPD a respeito dos softwares de RH e controlo de acessos

Qualquer empresa na União Europeia que processe dados pessoais dos seus funcionários está sujeita às disposições do RGPD, tendo de garantir:

a segurança dos dados pessoais recolhidos
a conformidade com a legislação de dados pessoais
a implementação de uma abordagem de gestão responsável em relação a estes dados (incluindo um procedimento de alerta de violação de dados)
a nomeação de uma única pessoa de contacto

O software Kelio e o cumprimento do RGPD

A utilização de softwares de Recursos Humanos ou de controlo de acessos não garante, por si só, a conformidade com o RGPD, mas é muito importante para a correta gestão de dados pessoais. Com o software Kelio é possível:

redefinir uma estrutura para processamento de dados pessoais
centralizar o alojamento e proteger melhor os dados (sistema seguro, direitos de acesso, etc.)
responder com mais rapidez e facilidade aos pedidos de exercício de direitos

Os softwares Kelio de gestão de assiduidade, gestão de RH e controlo de acessos foram projetados para ajudar as empresas a cumprir o RGPD, definindo uma estrutura para processamento e proteção de dados pessoais dos funcionários.

Privacidade desde a conceção

Art.º 25.1

Tendo em conta as técnicas mais avançadas, os custos da sua aplicação, e a natureza, o âmbito, o contexto e as finalidades do tratamento dos dados, bem como os riscos decorrentes do tratamento para os direitos e liberdades das pessoas singulares, cuja probabilidade e gravidade podem ser variáveis, o responsável pelo tratamento aplica, tanto no momento de definição dos meios de tratamento como no momento do próprio tratamento, as medidas técnicas e organizativas adequadas, como a pseudonimização, destinadas a aplicar com eficácia os princípios da proteção de dados, tais como a minimização, e a incluir as garantias necessárias no tratamento, de uma forma que este cumpra os requisitos do presente regulamento e proteja os direitos dos titulares dos dados.

Campos obrigatórios de inserção de dados restritos aos campos essenciais para o processamento do contrato de um funcionário. Para cumprir o direito de consentimento (opt-in) e para evitar a introdução de dados opcionais sem o consentimento dos titulares dos dados, a configuração dos perfis de utilizador do Kelio pode proibir a introdução de dados opcionais.

Gestão ultra-precisa dos direitos dos utilizadores, permitindo a atribuição de direitos altamente personalizados e a comunicação de dados relevantes apenas a pessoas autorizadas (atribuição de direitos por perfil, por indivíduo, por motivo, por campo de dados, etc.). Por padrão, o software oferece direitos de acesso restritos. O Kelio permite que você conceda aos funcionários individuais acesso somente à visualização ou edição dos seus documentos de RH, por exemplo.

Privacidade por defeito

Art.º 25.2

O responsável pelo tratamento aplica medidas técnicas e organizativas para assegurar que, por defeito, só sejam tratados os dados pessoais que forem necessários para cada finalidade específica do tratamento. Essa obrigação aplica-se à quantidade de dados pessoais recolhidos, à extensão do seu tratamento, ao seu prazo de conservação e à sua acessibilidade. Em especial, essas medidas asseguram que, por defeito, os dados pessoais não sejam disponibilizados sem intervenção humana a um número indeterminado de pessoas singulares.

Alta segurança de dados no software Kelio: seja em modo de licença (criptografia de dados, auditorias regulares de segurança, autenticação necessária, etc.) ou em modo SaaS (alojamento altamente seguro com certificação ISAE3402 e ISO27001, firewalls extremamente seguros, redundância de backup, etc.).

Segurança física dos seus edifícios com o Kelio Controlo de Acessos, promovendo a proteção dos dados pessoais: cartões de acesso perdidos desativados, direitos de acesso autorizados alinhados com os horários de trabalho dos colaboradores, monitorização de eventos de acesso em caso de incidente, etc.

Exercício de direitos relacionados com dados pessoais

Art.º 12

Os titulares que comunicaram os seus dados (funcionários, clientes) têm certos direitos em relação aos mesmos. Podem aceder, retificar, solicitar a eliminação dos seus dados, etc. A empresa deve garantir que é capaz de respeitar estes direitos a qualquer momento e para todas as atividades de tratamento e isto no prazo máximo de um mês.

Direito de acesso (artigo 15.º) / retificação (artigo 16.º): com o Kelio, pode atribuir direitos aos colaboradores, permitindo-lhes aceder livremente aos seus dados pessoais e/ou o direito de modificar a sua ficha de colaborador com total autonomia.

Direito ao esquecimento (artigo 17.º): a eliminação dos dados e de todos os vestígios técnicos pode ser realizada no software Kelio. Isto pode ser realizado por um administrador do Kelio, a pedido de um indivíduo com prova de identidade. No RH, este direito é restringido pelas obrigações legais relativas à retenção e eliminação de documentos. O Kelio inclui uma função de compensação automática personalizável, para desencadear a eliminação de dados assim que o período de retenção relevante expirar.

Portabilidade de dados (artigo 20.º): a comunicação e exportação de dados em formatos padrão (PDF, Excel, CSV) é oferecida pelo Kelio, permitindo a extração de dados por administradores de software.

Apoio na produção da documentação mínima exigida

O RGPD introduz a noção de responsabilidade da empresa. Esta tem o dever de ser proativa em relação à proteção de dados e de o demonstrar através dos requisitos mínimos de documentação.

Fornecimento de um template pré-preenchido de registo de tratamento de dados para utilização no Kelio, para facilitar o cumprimento do requisito mínimo de documentação estabelecido no RGPD (artigo 30.º).

A resposta da Infocontrol e da Kelio ao RGPD

As empresas e organizações (o “Responsável pelo Tratamento”) mantêm total responsabilidade pela gestão e proteção dos dados pessoais, quer a atividade de tratamento seja realizada internamente ou subcontratada a terceiros.

A empresa é um “Processador de Dados” dos seus clientes no âmbito dos serviços que presta ao nível do alojamento em modo SaaS, integração de software e suporte/manutenção. Para além das medidas de segurança existentes já em vigor (segurança de software, vigilância de instalações, backups, auditorias regulares de segurança, etc.), implementámos medidas adicionais com vista a aumentar a sua adesão aos requisitos expressos pelo RGPD.

Nomeação de um encarregado da proteção de dados (EPD), nos termos do artigo 37.º, e de um comité diretivo para a proteção de dados. O nosso EPD é o ponto de contacto especializado em proteção de dados pessoais, responsável pela manutenção da privacidade e pela correta aplicação das regras estabelecidas no RGPD. Esta pessoa estabelece e supervisiona a Política de Gestão de Dados Pessoais na empresa. Para todas as informações: geral@infocontrol.pt
Sensibilização das pessoas das equipas comerciais e técnicas relativamente aos requisitos de confidencialidade e gestão de dados pessoais

Detalhes específicos para profissionais que processam dados de Recursos Humanos

Além da gestão de dados no Kelio, outras medidas técnicas e organizacionais não devem ser esquecidas:

Sensibilização: os membros da sua equipa que trabalham regularmente com os softwares de RH ou de controlo de acessos e que processam dados pessoais devem estar cientes dos requisitos do RGPD e estar familiarizados com os mecanismos em vigor relativos à segurança de dados pessoais. Isto é especialmente relevante quando os dados pessoais relativos ao pessoal são sensíveis, tais como controlos biométricos (impressões digitais), filiações sindicais ou dados médicos (artigo 9.º).
Exclusão: uma organização não pode reter dados irrelevantes ou desnecessários e deve, portanto, eliminar os direitos de qualquer funcionário que saia da empresa para que não mantenham os mesmos direitos de acesso. Isto também se aplica a um funcionário que muda de departamento ou cargo: os seus direitos anteriores têm de ser excluídos e criados novos direitos relevantes para a sua nova função.
Compensação automática: cada tipo de dado e documento possui um prazo de validade de retenção. A organização deve garantir que a compensação automática é configurada no término de cada período de retenção para diferentes tipos de informação. Isso reduz o risco de violação do regulamento.
Nomeação de um EPD: isto é recomendado em todos os casos, mas só é obrigatório em certos casos, conforme detalhado no Artigo 37, especialmente para organizações da administração pública que gerem dados sensíveis ou quando a atividade principal exige a monitorização regular e sistemática de grandes quantidades de titulares de dados (por exemplo, hospitais, etc.).
Notificação de violações de dados: em caso de violação de dados (dados roubados, alterados, destruídos ou perdidos involuntariamente), a organização deve avaliar a importância dessa violação e o seu impacto antes de notificar a sua autoridade de supervisão, quando relevante.