INFORMATION OF PERSONAL DATA PROCESSING PROVIDED BY DELOITTE¹ TO THE EMPLOYEES²

 

I. Introduction

Deloitte is committed to protecting the personal data of its employees and complying with its obligations under the applicable law on the protection of personal data.

Throughout the employment relationship, Deloitte processes the personal data of its employees as controller³, in accordance with Regulation (EU) 2016/679 on the protection of natural persons with regard to the processing of personal data and on the free movement of such data, and repealing Directive 95/46/EC (General Data Protection Regulation) ("GDPR").

The purpose of this information note is to provide you with information on the categories of personal data that Deloitte collects throughout the employment relationship, the purposes that it uses such data for in the course of its business, including the purposes that the Deloitte information systems are used for, and the compliance with the internal policies of the DTTL member entities and their subsidiaries and affiliates, the period that this data is retained for, the entities the personal data are transferred to, the rights you have in relation to your data, and how you can exercise them, as well as other relevant aspects set out hereinafter.

II. Data Subjects

This document is mainly intended for Deloitte employees (i.e., persons in a legal employment relationship, resulting from the conclusion and performance of an individual employment agreement).

Furthermore, the categories of data subjects, within the meaning of this information note, may include relatives of employees, their proxies, and legal and/or conventional representatives, persons indicated by the employees as contacts for emergency situations, as well as other persons indicated or mentioned in the documents submitted by the data subjects for the purpose of concluding and executing the employment relationship.

III. Types of Personal Data Subject to Processing

The categories of personal data processed by Deloitte are:

a) Identification data: First name and surname, date and place of birth, nationality and citizenship, series and number of identity document/passport, personal identification number/tax identification number/other sole identification number, other data mentioned in the identity documents (e.g., identity card and/or passport date of issue and date of expiry), signature and photo in identity documents.

b) Contact details: e-mail address, telephone number, physical residence/home address.

c) Emergency contact information: name and contact details of a family member or other person indicated by you as an emergency contact.

d) Information on professional status and experience: information on the studies completed, professional experience, occupation/profession, positions held, nature of activity, name of the employer/employers, data mentioned in the CV submitted by you for employment, documents certifying the length of service.

e) Professional references: information from your former employers regarding the professional activities performed by you and the duration of your employment, based on the references you have submitted to us, or that we have obtained through direct communication with them, in compliance with the applicable legal requirements.

f) Information on the position: description of the current position, job title, hierarchy, type of individual employment agreement (e.g., full-time/part-time), employment conditions, eligibility for retirement, records on promotions, information regarding the hierarchical superior(s).

g) Data resulting from the performance of the employment relationship: number assigned to the access card, work telephone number, motor vehicle registration number, data recorded on the driving license, business e-mail address, list of calls.

h) Data on professional training: training courses (e-learnings), professional development courses, participations in various training programs/conferences.

i) Access data to Deloitte systems and apps: information necessary to access Deloitte systems and apps, such as ID, passwords and access rights.

j) Signature and image (photo/video).

k) Data submitted/reported to the General Register of Employees (REVISAL) and the Territorial Labor Inspectorate in order to fulfill legal obligations.

l) Data recorded in the documents kept in the personnel file⁴.

m) Personal information: marital status or personal data regarding the family, such as the number of children or other dependents, the gender and age of children, the certificate/attestation certifying the affiliation of the employee to a legal religious cult, other than the Christian cult (if applicable).

n) Information on dependents: if applicable, we may collect data of your family members or other dependents for the purpose of making the applicable deductions under the Fiscal Code or granting benefits, as the case may be.

o) Financial information: basic salary, bonuses applicable to the basic salary (if applicable), benefits, type of remuneration, date of entry into force of the current compensation, salary reviews, bank details, records of working time (including records of leaves and other absences), payment data.

p) Medical/health information: in order for us to adapt to a disability or an illness, provide benefits and comply with legal requirements regarding health and safety at work;

q) The data included in the sheets and documents on health and safety at work and in the area of emergency situations (e.g., training and testing sheets), which may include: data on the use of the car provided by the Company, the results of training tests, the data on the route and the duration of travel to/from the workplace.

r) Special categories of personal data on the health status, i.e., the data included in the occupational medicine sheet, the sheet on health and safety at work; the medical certificates submitted at the time of employment and/or during the performance of the employment relationship, the data mentioned in the documents related to medical leaves;

s) Job descriptions and professional performance evaluation sheets.

t) Data resulting following the video recording (image) in Deloitte sites, made within the limits imposed by the applicable law in the field of security and protection.

u) Data on your legal situation and the administrative or judicial proceedings that you are involved in, to the extent such are related to the professional activity carried out within Deloitte and/or may influence the conditions for the performance of the individual employment agreement and the payment of salary rights (e.g., enforcement, other legal proceedings, labor or other disputes), including: official information regarding garnishments and/or other salary withholdings, seizures, fraudulent/potentially fraudulent activities, disciplinary procedures and sanctions, official communications of public authorities related to charges, professional prohibitions and/or convictions (strictly in the cases permitted by law).

v) Furthermore, as a result of the COVID-19 pandemic, Deloitte processes the data included in the vaccination certificates/attestations for the purpose of granting to Employees the paid days off, as laid down in Law No. 221/2021 supplementing Law No. 55/2020 on some measures to prevent and combat the effects of the 19-COVID pandemic. Such processing shall be carried out in line with the principles related to the processing of personal data, in particular the principle of storage limitation and the principle of minimizing the data processed.

w) In addition, in order to comply with the relevant legal provisions, where appropriate, as adopted by the competent authorities, provided that these provisions continue to be applicable, Deloitte may process the certificates certifying the vaccination of Employees against the SARS-CoV-2 virus and/or the medical certificate certifying that the person concerned has passed through the COVID-19 disease within a certain period (for example, EU Digital Covid Certificate), pursuant to the regulatory acts in force.

x) Employees' body temperature measured by means of smart temperature detection cameras in order to check whether the body temperature exceeds a certain limit (i.e., 37.3 degrees Celsius or any other value set following the recommendations and/or instructions issued by the competent authorities and/or under internal policies adopted across Deloitte and/or on the basis of the relevant law), which may be likely to indicate the infection with the SARS-CoV-2 virus. Deloitte does not process the results of the body temperature measurement.

IV. Sources of Collection of Such Personal Data

The personal data referred to above are mainly obtained directly from you, by means of the documents provided for employment or during employment. However, there is a series of personal data that Deloitte obtains from external sources, such as:

• information mentioned in the professional profile available on LinkedIN, E-Jobs, Best Jobs, HIPO platforms etc.;
• information provided by other employees who recommend you for a position with Deloitte;
• information obtained from former employers or, in certain cases, from contractual partners of Deloitte that you have submitted your data to, in view of concluding an individual employment agreement with Deloitte (e.g., specialized web sites or companies providing recruitment services);
• information obtained from persons authorized to communicate with Deloitte on your behalf (e.g., legal or conventional representatives, lawyers etc.), if applicable;
• public authorities and institutions or other persons or entities performing a public interest service (e.g., bailiffs, notaries public).

V. The Purposes for which Deloitte Processes Personal Data and the Legal Basis for the Processing

The purposes for which we process your personal data mainly refer to the specific activities of the human resources department, including:

 

No.	Purpose of Processing	Legal Basis
1.	Recruitment and selection of staff, including verification and assessment of the professional and personal skills of selected candidates	Performance of certain activities in view of concluding the individual employment agreement - Art. 6 par. 1 let. b) of the GDPR  Deloitte's legitimate interest in recruiting new employees and filling vacancies – Art. 6 par. 1 let. f) of the GDPR
2.	Verification of the fulfillment of the legal conditions, in case of occupying certain positions and exercising a regulated profession/activity for which the law imposes specific requirements (e.g., no prohibitions, existence of certain professional certifications etc.)	Legal Obligation – Art. 6 par. 1 let. c) of the GDPR
3.	Conclusion of the individual employment agreement	Conclusion and performance of the individual contract – Art. 6 par. 1 let. b) of the GDPR
4.	Staff management activity, namely: payroll, payslip administration, granting of benefits, as such are laid down in the individual employment agreement or in internal policies and procedures (e.g., subscription to private medical services), administration of annual leaves and timekeeping, planning roles and duties (job descriptions), planning the workload and the amount of work, setting performance targets and monitoring their fulfilment, performance assessment, providing references	Performance of the individual employment agreement – Art. 6 par. 1 let. b) of the GDPR
5.	Performance of activities related to occupational medicine, health and safety at work and emergency situations, contacting the persons indicated by you for emergency situations	Performance of the individual employment agreement – Art. 6 par. 1 let. b) of the GDPR  Fulfilment of obligations and exercise of Deloitte and employee specific rights, in the field of employment and social security and social protection – Art. 9 par. 2 let. b) of the GDPR
6.	Making tax deductions and other tax reports	Legal Obligation - Art. 6 par. 1 let. c) of the GDPR
7.	Accounting and Audit	Legal Obligation – Art. 6 par. 1 let. c) of the GDPR
8.	Business management and planning. For security reasons, in order to ensure the quality of services, protect Deloitte's economic, commercial and financial interests and, in particular, ensure compliance with confidentiality rules or statistical purposes by monitoring Deloitte systems and related data	Deloitte’s legitimate interest in effectively managing its business – Art. 6 par. 1 let. f) of the GDPR
9.	Carrying out professional performance assessments, managing professional performance and determining the professional performance requirements	Performance of the individual employment agreement – Art. 6 par. 1 let. b) of the GDPR
10.	Performance of disciplinary investigations	Deloitte’s legitimate interest in defending its legal rights or, as applicable, in exercising its legal obligations as such are laid down by the Labor Code – Art. 6 par. 1 let. f) of the GDPR or, as applicable, Art. 6 par. 1 let. c) of the GDPR
11.	Education, training and development	Deloitte’s legitimate interest in ensuring that the workforce is well prepared for the tasks it performs – Art. 6 par. 1 let. f) of the GDPR or, as applicable, the performance of the individual employment agreement – Art. 6 par. 1 let. b) of the GDPR
12.	Termination of the employment relationship	Performance of the individual employment agreement or, as applicable, fulfilment of legal obligations – Art. 6 par. 1 let. b) of the GDPR or, as applicable, Art. 6 par. 1 let. c) of the GDPR
13.	Handling of potential disputes that Deloitte may be involved in, including accidents at work	Deloitte’s legitimate interest in protecting its legal rights – Art. 6 par. 1 let. f) of the GDPR  Fulfilment of obligations and exercise of Company and employee specific rights, in the field of employment and social security and social protection – Art. 9 par. 2 let. b) of the GDPR
14.	Ascertaining the work capacity	Fulfilment of obligations and exercise of Deloitte and employee specific rights, in the field of employment and social security and social protection – Art. 9 par. 2 let. b) of the GDPR
15.	Medical leave management	Fulfilment of obligations and exercise of Deloitte and employee specific rights, in the field of employment and social security and social protection – Art. 9 par. 2 let. b) of the GDPR
16.	Ensuring the physical security of the premises where Deloitte conducts its business	Deloitte’s legitimate interest in protecting ensuring the physical security of its assets and in protecting its legal rights – Art. 6 par. 1 let. f) of the GDPR
17.	Provision of services to Deloitte clients	Performance of the individual employment agreement – Art. 6 par. 1 let. b) of the GDPR
18.	Performance of internal and external controls, as well as for the cooperation with professional organizations, if applicable	Deloitte’s legitimate interest in defending its legal rights or, as applicable, in exercising its legal obligations – Art. 6 par. 1 let. f) of the GDPR or, as applicable, Art. 6 par. 1 let. c) of the GDPR
19.	Granting employees the right to paid days off if they opt for vaccination against the COVID-19 disease, in compliance with the provisions of Law No. 221/2021 supplementing Law No. 55/2020 on some measures to prevent and combat the effects of the COVID-19 pandemic	Legal Obligation - Art. 6 par. 1 let. c) of the GDPR
20.	The processing of the Employee's special data (i.e., body temperature, vaccination certificate and/or certificate certifying the passage through the COVID-19 disease) by Deloitte, where appropriate, and provided that the legal provisions continue to be applicable, is necessary for the fulfillment of its obligations and the exercise of its specific rights of Deloitte acting as the Controller, reasons of major public interest, reasons of public interest in the field of public health, reasons in conjunction with the need of Deloitte to comply with the legal obligations, as well as (i) the legal provisions requiring Deloitte to grant for the benefit of the Employee paid days off, as laid down by the law, as a result of the fact that the Employee has opted for vaccination against the COVID-19 disease, (ii) the legal provisions allowing the access of people to certain events only on the basis of the presentation of the vaccination certificate against the SARS-CoV-2 virus, or the medical certificate certifying that the individual has passed through the COVID-19 disease in a certain period, as laid down by the law, and (iii) the legal provisions governing the epidemiological triage and the measurement of body temperature as regulated by the specific law. The processing of personal data performed by Deloitte complies with the principles of processing governed by the GDPR, such as (i) legality, fairness and transparency, (ii) limitation depending on purpose, (iii) data minimization, (iv) accuracy, (v) limitation of storage, (vi) integrity and confidentiality (vii) liability.	Legal obligation and public interest in the field of public health – Art. 6 par. 1 let. c) of the GDPR and Art. 9 par. 2 let. i) of the GDPR
21.	Archiving, fulfillment of legal obligations, defense in case of dispute or litigation	Deloitte’s legitimate interest in defending its legal rights or, as applicable, in exercising its legal obligations – Art. 6 par. 1 let. f) of the GDPR or, as applicable, Art. 6 par. 1 let. c) of the GDPR
22.	Marketing, social media and/or promotional activities/campaigns, as appropriate	Consent of the data subject – Art. part. 1 let. a) of the GDPR The Employee has the right to withdraw his/her consent at any time, as detailed in Section XI below. In order to withdraw the consent, the following e-mail address shall be used: ceroprivacy@deloitte.com. Once Deloitte has received the notification of withdrawal of consent, it shall no longer process the personal data for the purpose/ purposes that the Employee has initially expressed his/her consent for, unless Deloitte justifies a legitimate interest or a legal basis for the processing.

1.

Recruitment and selection of staff, including verification and assessment of the professional and personal skills of selected candidates

Performance of certain activities in view of concluding the individual employment agreement - Art. 6 par. 1 let. b) of the GDPR

Deloitte's legitimate interest in recruiting new employees and filling vacancies – Art. 6 par. 1 let. f) of the GDPR

2.

Verification of the fulfillment of the legal conditions, in case of occupying certain positions and exercising a regulated profession/activity for which the law imposes specific requirements (e.g., no prohibitions, existence of certain professional certifications etc.)

Legal Obligation – Art. 6 par. 1 let. c) of the GDPR

3.

Conclusion of the individual employment agreement

Conclusion and performance of the individual contract – Art. 6 par. 1 let. b) of the GDPR

4.

Staff management activity, namely: payroll, payslip administration, granting of benefits, as such are laid down in the individual employment agreement or in internal policies and procedures (e.g., subscription to private medical services), administration of annual leaves and timekeeping, planning roles and duties (job descriptions), planning the workload and the amount of work, setting performance targets and monitoring their fulfilment, performance assessment, providing references

Performance of the individual employment agreement – Art. 6 par. 1 let. b) of the GDPR

5.

Performance of activities related to occupational medicine, health and safety at work and emergency situations, contacting the persons indicated by you for emergency situations

Performance of the individual employment agreement – Art. 6 par. 1 let. b) of the GDPR

Fulfilment of obligations and exercise of Deloitte and employee specific rights, in the field of employment and social security and social protection – Art. 9 par. 2 let. b) of the GDPR

6.

Making tax deductions and other tax reports

Legal Obligation - Art. 6 par. 1 let. c) of the GDPR

7.

Accounting and Audit

Legal Obligation – Art. 6 par. 1 let. c) of the GDPR

8.

Business management and planning. For security reasons, in order to ensure the quality of services, protect Deloitte's economic, commercial and financial interests and, in particular, ensure compliance with confidentiality rules or statistical purposes by monitoring Deloitte systems and related data

Deloitte’s legitimate interest in effectively managing its business – Art. 6 par. 1 let. f) of the GDPR

9.

Carrying out professional performance assessments, managing professional performance and determining the professional performance requirements

Performance of the individual employment agreement – Art. 6 par. 1 let. b) of the GDPR

10.

Performance of disciplinary investigations

Deloitte’s legitimate interest in defending its legal rights or, as applicable, in exercising its legal obligations as such are laid down by the Labor Code – Art. 6 par. 1 let. f) of the GDPR or, as applicable, Art. 6 par. 1 let. c) of the GDPR

11.

Education, training and development

Deloitte’s legitimate interest in ensuring that the workforce is well prepared for the tasks it performs – Art. 6 par. 1 let. f) of the GDPR or, as applicable, the performance of the individual employment agreement – Art. 6 par. 1 let. b) of the GDPR

12.

Termination of the employment relationship

Performance of the individual employment agreement or, as applicable, fulfilment of legal obligations – Art. 6 par. 1 let. b) of the GDPR or, as applicable, Art. 6 par. 1 let. c) of the GDPR

13.

Handling of potential disputes that Deloitte may be involved in, including accidents at work

Deloitte’s legitimate interest in protecting its legal rights – Art. 6 par. 1 let. f) of the GDPR

Fulfilment of obligations and exercise of Company and employee specific rights, in the field of employment and social security and social protection – Art. 9 par. 2 let. b) of the GDPR

14.

Ascertaining the work capacity

Fulfilment of obligations and exercise of Deloitte and employee specific rights, in the field of employment and social security and social protection – Art. 9 par. 2 let. b) of the GDPR

15.

Medical leave management

Fulfilment of obligations and exercise of Deloitte and employee specific rights, in the field of employment and social security and social protection – Art. 9 par. 2 let. b) of the GDPR

16.

Ensuring the physical security of the premises where Deloitte conducts its business

Deloitte’s legitimate interest in protecting ensuring the physical security of its assets and in protecting its legal rights – Art. 6 par. 1 let. f) of the GDPR

17.

Provision of services to Deloitte clients

Performance of the individual employment agreement – Art. 6 par. 1 let. b) of the GDPR

18.

Performance of internal and external controls, as well as for the cooperation with professional organizations, if applicable

Deloitte’s legitimate interest in defending its legal rights or, as applicable, in exercising its legal obligations – Art. 6 par. 1 let. f) of the GDPR or, as applicable, Art. 6 par. 1 let. c) of the GDPR

19.

Granting employees the right to paid days off if they opt for vaccination against the COVID-19 disease, in compliance with the provisions of Law No. 221/2021 supplementing Law No. 55/2020 on some measures to prevent and combat the effects of the COVID-19 pandemic

Legal Obligation - Art. 6 par. 1 let. c) of the GDPR

20.

The processing of the Employee's special data (i.e., body temperature, vaccination certificate and/or certificate certifying the passage through the COVID-19 disease) by Deloitte, where appropriate, and provided that the legal provisions continue to be applicable, is necessary for the fulfillment of its obligations and the exercise of its specific rights of Deloitte acting as the Controller, reasons of major public interest, reasons of public interest in the field of public health, reasons in conjunction with the need of Deloitte to comply with the legal obligations, as well as (i) the legal provisions requiring Deloitte to grant for the benefit of the Employee paid days off, as laid down by the law, as a result of the fact that the Employee has opted for vaccination against the COVID-19 disease, (ii) the legal provisions allowing the access of people to certain events only on the basis of the presentation of the vaccination certificate against the SARS-CoV-2 virus, or the medical certificate certifying that the individual has passed through the COVID-19 disease in a certain period, as laid down by the law, and (iii) the legal provisions governing the epidemiological triage and the measurement of body temperature as regulated by the specific law. The processing of personal data performed by Deloitte complies with the principles of processing governed by the GDPR, such as (i) legality, fairness and transparency, (ii) limitation depending on purpose, (iii) data minimization, (iv) accuracy, (v) limitation of storage, (vi) integrity and confidentiality (vii) liability.

Legal obligation and public interest in the field of public health – Art. 6 par. 1 let. c) of the GDPR and Art. 9 par. 2 let. i) of the GDPR

21.

Archiving, fulfillment of legal obligations, defense in case of dispute or litigation

Deloitte’s legitimate interest in defending its legal rights or, as applicable, in exercising its legal obligations – Art. 6 par. 1 let. f) of the GDPR or, as applicable, Art. 6 par. 1 let. c) of the GDPR

22.

Marketing, social media and/or promotional activities/campaigns, as appropriate

Consent of the data subject – Art. part. 1 let. a) of the GDPR

The Employee has the right to withdraw his/her consent at any time, as detailed in Section XI below. In order to withdraw the consent, the following e-mail address shall be used: ceroprivacy@deloitte.com. Once Deloitte has received the notification of withdrawal of consent, it shall no longer process the personal data for the purpose/ purposes that the Employee has initially expressed his/her consent for, unless Deloitte justifies a legitimate interest or a legal basis for the processing.

 

VI. How is⁵ Personal Data Processed

Your personal data will be processed and stored on secure media, both on paper and electronically, as well as in the IT systems and apps used across Deloitte (including e-mail).

VII. Recipients⁶ of Personal Data

The main categories of recipients that we may transmit your personal data to are:

• other companies in the group that Deloitte is part of;
• Deloitte contract partners (i.e., IT service providers, human resources and staff management service providers, third-party providers of benefits, such as meal voucher/coupon providers, healthcare providers, insurance providers including medical and travel insurance, transport service providers, archiving service providers, courier service providers, training/professional qualification providers, audit service providers, financial and banking institutions in Romania, Deloitte clients), for the purpose of conducting Deloitte’s current business, granting the benefits set under the individual employment agreement, the performance of the individual employment agreement;
• competent institutions and/or public authorities with a supervisory and control role (e.g., Territorial Labor Inspectorates, National Health Insurance House and County Health Insurance Houses, Inspectorate for Emergency Situations, National Administration of Public Finances, police, courts of law, professional organizations etc.) – if requested to Deloitte based on a mandate, or for the enforcement of a national or European law, we may communicate your data without the need to inform you;
• other entities requesting your personal data where there is a legal basis, or a legitimate interest in doing so (e.g., bailiffs, judicial liquidators, notaries public, lawyers, credit institutions, etc.).

The list of Deloitte authorized persons within Deloitte CE is published and accessible here:

https://resources.deloitte.com/sites/centraleurope/CE%20Policies/1600%20Security/1611%20Data%20Processors%20-%20Regional/1611.01%20List%20of%20Employee%20Personal%20Data%20Processors.pdf

The list of local suppliers in term of the benefits granted to Employees is published and accessible here:

https://resources.deloitte.com/sites/centraleurope/CE%20Policies/1600%20Security/1612%20Data%20Processors%20-%20Local/1612.09%20List%20of%20Suppliers%20-%20Romania.pdf

VIII. Personal Data Storage Period

In order to achieve the above-mentioned purposes, personal data will be processed by Deloitte throughout the employment relationship, unless the law imposes a shorter storage period (e.g., regarding the duration of storage for the recordings of the video surveillance system).

After the termination of the employment relationship, this personal data will continue to be stored in order to comply with the minimum archiving deadlines laid down by the law for various categories of documents, mainly:

• 5 years for the data on the record of working time, calculated from the end of the fiscal year in relation to which these documents are drawn up;
• 10 years for financial-accounting documents or, as applicable, 5 years for similar documents (e.g., travel/delegation order, activity reports);
• 50 years for payroll documents. Starting with January 1, 2023, the payroll for which the employer has an informative statement regarding the withholding tax, by income beneficiaries, according to the legal provisions or for which the employer has the legal obligation to submit the statement on the obligations to pay social contributions, income tax and nominal record of insured persons, at the National Agency for Fiscal Administration, shall be kept for 5 years;
• 75 years for the personal files of Employees;
• Personal data obtained through video surveillance systems will not be kept for a period longer than 30 days, unless otherwise laid down by the applicable law, or in duly justified cases, where personal data must be stored for longer periods;
• Data on the administrative or judicial proceedings that you are involved in, to the extent they are related to the professional activity carried out within Deloitte and/or may influence the conditions for the performance of the individual employment agreement and the payment of salary rights – for a period equal to the limitation period laid down by the applicable law, in order to ensure our establishment, exercise or defense of legal claims; based on the formal requests submitted by public authorities, this term may be extended in compliance with the deadlines indicated.
• Disciplinary sanctions shall be written off by operation of law within 12 months from their enforcement, according to the provisions of the Labor Code.
• For the purpose of granting paid days off, as required by the relevant applicable law, Deloitte shall store vaccination certificates for a period of 1 year;
• The above-mentioned certificates shall be stored by Deloitte only for the period necessary for the access of Employees to certain events that the access is allowed for, pursuant to the legal provisions, only based on these documents;
• With regard to the personal data processed by means of smart body temperature detection cameras, Deloitte shall not process such data by means of storage or in any other way, as referred to above under point III.

IX. Transfer of Personal Data Abroad

You are informed that Deloitte may provide its personal data for the purposes specified above to Deloitte CE and DTTL member firms and their subsidiaries and affiliates during employment, even in countries outside the EU territory, which do not always ensure the same level of protection in compliance with the EU law. Such transfers to non-EU countries, either to processors (as indicated in the list above) or to other controllers are based on the Standard Contractual Clauses approved by the EU. In specific situations such as, for example, mobility program or cross-border cooperation, the Employee's personal data may be transferred to the recipient outside the EU, and the latter shall have the responsibility to comply with the local law when processing personal data.

X. Personal Data of the Spouse or Child or Close Relatives

Deloitte processes the personal data of the Employees’ spouse or child or close relatives for the following purposes: granting deductions or exemptions from taxes or duties, granting the leaves laid down by the law for marriage or childbirth or death, independence checks and/or for professional or regulatory reasons.

In addition, Deloitte processes the personal data of your spouse or your children or close relatives so that they may enjoy the benefits that Deloitte offers to family members, e.g., medical insurance, Christmas or Easter gifts/parties, or any other benefits.

With regard to this category of data subjects, you understand that you have the obligation to notify them of the content of this information note, and to ensure that you have the right to provide Deloitte with their personal data.

XI. Your Rights in Relation to the Processing of Personal Data

You may exercise the following rights at any time in relation to the processing activities of your personal data, within the limits and in compliance with the conditions laid down by the applicable law in the field of personal data protection:

• the right to information;
• the right of access to your personal data;
• the right to data rectification;
• the right to object to the processing of your personal data;
• the right to restriction of personal data processing;
• the right to erasure of personal data;
• the right to personal data portability;
• the right to withdraw your consent (if your personal data is processed under this legal basis);
• the right to lodge a complaint - if you consider that your personal data is processed incorrectly/failing to comply with the legal requirements, you may lodge a complaint with the National Supervisory Authority for Personal Data Processing, at the address: 28-30 Gheorghe Magheru Blvd., District 1, zip 010336, Bucharest, Romania, telephone: +40318059211; e-mail: anspdcp@dataprotection.ro or the web page: http://www.dataprotection.ro/ or you may address to the competent courts of law.

If you submit your request electronically, Deloitte will also provide the information in electronic format, if this is possible, or in another format requested by you.

In order to exercise any of the rights listed above, you may contact Deloitte, with a written, dated and signed request using the e-mail address ceroprivacy@deloitte.com, to the attention of the In-House Legal Department, and the company shall get back to you with an answer within one month, or, if the request requires a more complex analysis, this deadline may be extended by a further two months, in which case we will inform you accordingly, including the reasons for the extension. To the extent it deems it necessary, Deloitte may request supporting documents to be able to honor the requests.

XII. Your Obligations as a Deloitte Employee

You have the obligation to keep any personal data you have provided to Deloitte up to date, and to inform us of any material changes thereto.

XIII. Internet Traffic, Telephone and E-mail Monitoring

In order to improve the security, to ensure service quality or for statistical purposes, (i) internet traffic, (ii) the use of Deloitte telephones, and (iii) the use of Deloitte's e-mail address is systematically monitored and audited by the company, in compliance with the applicable legal and regulatory provisions, according to the local ICT policies.

 

 

¹ Deloitte refers to one or more of Deloitte Touche Tohmatsu Limited, a UK limited liability company (“DTTL”), its global network of member firms, and their related entities. Deloitte Central Europe (“Deloitte CE”) refers to a regional organization of entities organized under the umbrella of Deloitte Central Europe Holdings Limited, a DTTL member firm. DTTL and each member firm are legally separate and independent entities.

In Romania, the services are provided or supported by Deloitte Audit SRL, Deloitte Accounting SRL, Deloitte Tax SRL, Deloitte Consultanta SRL, Deloitte Fiscal Representative SRL, Deloitte Tehnologie SRL, Deloitte Support Services SRL and Deloitte Shared Services SRL. Deloitte is one of the leading professional services companies on the Romanian market providing services in cooperation with Reff & Associates. For more details about our global network of member firms, please visit the following link: https://www2.deloitte.com/ro/ro/pages/about-deloitte/articles/about-deloitte.html.

 

² Version updated in 2022.

³ Deloitte Audit S.R.L., with registered office in Bucharest, The Mark Building, 84-98 and 100-102 Calea Griviței, 9th floor, District 1, Romania, registered with the Bucharest Trade Register under no. J40/6775/1995, sole registration code 7756924;

Deloitte Accounting S.R.L., with registered office in Bucharest, The Mark Building, 84-98 and 100-102 Calea Griviței, Office No. 1, West Wing, 10th floor, District 1, Romania, registered with the Bucharest Trade Register under no. J40/11879/2012, sole registration code 30787453;

https://www2.deloitte.com/ro/ro/pages/about-deloitte/articles/about-deloitte.html., with registered office in Bucharest, The Mark Building, 84-98 and 100-102 Calea Griviței, 6th, 10th and 14th floor, District 1, Romania, registered with the Bucharest Trade Register under no. J40/8360/1992, sole registration code 2626460;

Deloitte Fiscal Representative S.R.L., with registered office in Bucharest, The Mark Building, 84-98 and 100-102 Calea Griviței, Office No. 1, North Wing, District 1, Romania, registered with the Bucharest Trade Register under no. J40/13992/2011, sole registration code 29376985;

Deloitte Tax S.R.L., with registered office in Bucharest, The Mark Building, 84-98 and 100-102 Calea Griviței, 11th and 12th floor, District 1, Romania, registered with the Bucharest Trade Register under no. J40/23343/2007, sole registration code 22915705;

Reff & Associates SCA, with professional headquarters in Bucharest, The Mark Building, 84-98 and 100-102 Calea Griviței, 13th floor, District 1, Romania;

Deloitte Shared Services S.R.L., with registered office in Bucharest, Oregon Park, Building C, 46D- 46E-48 Pipera Rd., 3rd, 4th and 5th floor, District 2, Romania, registered with the Bucharest Trade Register under no. J40/11370/2018, sole registration code 39721916;

Deloitte Support Services S.R.L., with registered office in Bucharest, Oregon Park, Building C, 46D- 46E-48 Pipera Rd., 2nd and 4th floor, District 2, Romania, registered with the Bucharest Trade Register under no. J40/17047/2016, sole registration code 36880860;

Deloitte Tehnologie S.R.L., with registered office in Bucharest, Oregon Park, Building B, 46D-46E-48 Pipera Rd., 2nd, 3rd and 6th floor, District 2, Romania, registered with the Bucharest Trade Register under no. J40/6464/2016, sole registration code 36035670.

⁴ Including as minimum: the documents necessary for employment, the individual employment agreement and its addenda, the documents related to the amendment, suspension and termination of the individual employment agreement (e.g., medical leaves), study documents and qualification certificates, as well as any other documents certifying the legality and accuracy of the REVISAL fill-in. This data includes: the data mentioned in the documents submitted by the employee for employment, the data included in the identity documents and in the driving license, the data included in the occupational medicine sheet, the data entered in the individual employment agreement and the addenda thereto, the data included in the documents related to the amendment, suspension and termination of the individual employment agreement, the data included in the study documents and certificates regarding the professional qualification, data on the positions held within Deloitte, according to the COR [Classification of Occupations in Romania] classification, the date of conclusion of the individual employment agreement and the employment commencement date, data on the type and term of the individual employment agreement, the duration of the working hours, information on the gross basic monthly salary, allowances, bonuses, as well as other additions stipulated in the individual employment agreement, the request regarding the contribution period, including the number and duration of the medical leaves granted during the period of performance of the employment relationship.

⁵ Processing of personal data means performing sets of operations such as: collection, recording, organization, structuring, storage, modification/update, retrieval, consultation, use, transmission, alignment, authorized disclosure, combination, restriction, erasure, destruction, archiving of personal data etc.

⁶ When we process your personal data, it may be necessary to disclose your personal data to other recipients. In some cases, laid down by the law, the communication of your personal data is a legal obligation.

Deloitte may transmit your personal data to other persons or entities in order to achieve the processing purposes referred to above, and this is necessary: to take steps to execute or conclude a contract between you and the company (e.g., the individual employment agreement), to honor your requests, to fulfill our legal obligations, as well as for the achievement of legitimate professional and operational interests permitted by law.

INFORMAȚII CU PRIVIRE LA PRELUCRAREA DE CATRE DELOITTE¹ A DATELOR CU CARACTER PERSONAL ALE SALARIAȚILOR²

I. Introducere

Deloitte se angajează să protejeze datele cu caracter personal ale salariaților săi și să respecte obligațiile ce îi revin în temeiul legislației aplicabile privind protecția datelor cu caracter personal.

Pe parcursul raportului de muncă, Deloitte prelucrează datele cu caracter personal ale salariaților săi în calitate de operator³ , conform Regulamentului (UE) 2016/679 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor) („GDPR”).

Scopul prezentei note de informare este de a vă oferi informații privind categoriile de date cu caracter personal pe care Deloitte le colectează pe parcursul relației de muncă, scopurile pentru care utilizează aceste date în cadrul activității sale, inclusiv scopurile pentru care sunt utilizare sistemele de informații ale Deloitte și conformitatea cu politicile interne ale entităților membre DTTL și ale filialelor și afiliaților acestora, perioada pentru care sunt păstrate aceste date, entitățile către care sunt transmise datele cu caracter personal, drepturile pe care le aveți în legătură cu datele dumneavoastră și cum le puteți exercita, precum și alte aspecte relevante prevăzute în cele ce urmează.

II. Persoanele vizate

Acest document este adresat, în principal, salariaților Deloitte (i.e., persoanele aflate într-un raport juridic de muncă, rezultat în urma încheierii și executării unui contract individual de muncă).

De asemenea, categoriile de persoane vizate, în sensul prezentei note de informare, pot include rude ale salariaților, mandatarii și reprezentanții legali și/sau convenționali ai acestora, persoane indicate de salariați ca persoane de contact pentru situații de urgență, precum și alte persoane indicate sau menționate în documentele depuse de persoanele vizate în vederea încheierii și executării relației de muncă.

III. Tipurile de date cu caracter personal ce fac obiectul prelucrării

Categoriile de date cu caracter personal prelucrate de către Deloitte sunt:

a) Date de identificare: Nume și prenume, data și locul nașterii, naționalitatea și cetățenia, seria și numărul actului de identitate/pașaportului, codul numeric personal/codul de identificare fiscală/alt număr unic de identificare, alte date menționate în actele de identitate (e.g. data emiterii și data expirării cardului de identitate și/sau pașaportului), semnătura și fotografia din documentele de identitate.

b) Date de contact: adresa e-mail, numărul de telefon, adresă fizică de reședință/domiciliu.

c) Informații de contact în caz de urgență: numele și detaliile de contact ale unui membru al familiei sau ale altei persoane indicate de dumneavoastră ca persoană de contact în caz de urgență.

d) Informații privind statutul și experiența profesională: informații cu privire la studiile efectuate, experiența profesională, ocupația/profesia, funcțiile deținute, natura activității, numele angajatorului/angajatorilor, datele menționate în CV-ul depus de dumneavoastră în vederea angajării, documente ce atestă vechimea în muncă.

e) Referințe profesionale: informații de la foștii dumneavoastră angajatori cu privire la activitățile profesionale îndeplinite de dumneavoastră și durata angajării, în baza referințelor pe care ni le-ați prezentat sau pe care le-am obținut prin comunicare directă cu aceștia, cu respectarea cerințelor legale aplicabile.

f) Informații privind funcția: descrierea funcției curente, titlul postului, ierarhizarea, tipul contractului individual de muncă (e.g., norma întreagă/timp parțial), condițiile de angajare, eligibilitatea la pensionare, evidențe privind promovările, informații privind superiorul/superiorii ierarhic(i).

g) Date rezultate ca urmare a prestării relației de muncă: numărul alocat cartelei de acces, număr telefon de serviciu, număr înmatriculare autovehicul, date înscrise în permisul de conducere, adresa e-mail profesională, lista convorbirilor.

h) Date privind formarea profesională: cursurile de instruire (e-learnings), cursurile de dezvoltare profesională, certificări, participări la diverse programe de instruire/conferințe.

i) Date de acces la sistemele și aplicațiile Deloitte: informații necesare pentru a accesa sistemele și aplicațiile Deloitte, cum ar fi ID-ul, parolele și drepturile de acces.

j) Semnătura și imaginea (foto/video).

k) Datele transmise/raportate către Registrul General de Evidență a Salariaților (REVISAL) și Inspectoratul Teritorial de Muncă în vederea îndeplinirii obligațiilor legale.

l) Datele înscrise în documentele păstrate în dosarul de personal⁴ .

m) Informații personale: starea civilă sau date cu caracter personal referitoare la familie, cum ar fi numărul de copii sau al altor persoane aflate în îngrijire, sexul și vârsta copiilor, certificatul/adeverința ce atestă apartenența salariatului la un cult religios legal, altul decât cultul creștin (dacă este cazul).

n) Informații privind persoane aflate în întreținere: dacă este cazul, putem colecta date ale membrilor familiei dumneavoastră sau ale altor persoane aflate în întreținerea dumneavoastră în scopul efectuării deducerilor aplicabile conform Codului fiscal ori acordare beneficii, după caz.

o) Informații financiare: salariul de bază, bonusurile aplicabile la salariul de bază (dacă este cazul), beneficii, tip de remunerare, data intrării în vigoare a compensației curente, revizuiri salariale, detalii bancare, evidențe privind timpul de lucru (inclusiv evidența concediilor și a altor absențe), date privind plățile.

p) Informații medicale/despre starea de sănătate: pentru a ne adapta unei dizabilități sau unei boli, pentru a oferi beneficii și pentru a ne conforma cu cerințele legale privind sănătatea și securitatea în muncă;

q) Datele cuprinse în fișele și documentele privind sănătatea și securitatea muncii și în domeniul situațiilor de urgență (e.g., fișe de instructaj și testare), ce pot include: date privind utilizarea autoturismului pus la dispoziție de către Societate, rezultatele testelor de instruire, datele privind traseul și durata de deplasare la/de la locul de muncă.

r) Categorii speciale de date cu caracter personal privind starea de sănătate, respectiv datele cuprinse în fișa de medicina muncii, fișa privind sănătatea și securitatea în muncă; adeverințele medicale prezentate la momentul angajării și/sau pe parcursul derulării raporturilor de muncă, datele menționate în documentele aferente concediilor medicale;

s) Fișele de post și fișele de evaluare a performanțelor profesionale.

t) Date rezultate în urma înregistrării video (imaginea) în locațiile Deloitte, realizate în limitele impuse de legislația aplicabilă în domeniul pazei și protecției.

u) Date privind situația dumneavoastră juridică și procedurile administrative sau judiciare în care sunteți implicat, în măsura în care acestea sunt legate de activitatea profesională desfășurată în cadrul Deloitte și/sau pot influența condițiile de executare a contractului individual de muncă și plata drepturilor salariale (e.g. executare silită, alte proceduri judiciare, litigii de muncă sau de altă natură), inclusiv: informații oficiale referitoare la popriri și/sau alte rețineri salariale, sechestre, activități frauduloase/potențial frauduloase, proceduri și sancțiuni disciplinare, comunicări oficiale ale autorităților publice referitoare la acuzații, interdicții profesionale și/sau condamnări (strict în cazurile permise de lege).

v) De asemenea, ca urmare a pandemiei de COVID-19, Deloitte prelucrează datele incluse în cuprinsul certificatelor/adeverințelor de vaccinare în scopul acordării către Salariați a zilelor libere plătite, astfel cum este prevăzut în Legea nr. 221/2021 pentru completarea Legii nr. 55/2020 privind unele măsuri pentru prevenirea şi combaterea efectelor pandemiei de COVID-19. Această prelucrare se face în concordanță cu principiile legate de prelucrarea datelor cu caracter personal, în special cu principiul limitării legate de stocare și principiul limitării la minimum a datelor prelucrate.

w) În plus, în scopul respectării, a dispozițiilor legale relevante, acolo unde este cazul, astfel cum sunt acestea adoptate de autoritățile competente, cu condiția ca aceste dispoziții să aibă în continuare aplicabilitate, Deloitte poate prelucra certificatele ce atestă vaccinarea Salariaților împotriva virusului SARS-CoV-2 și/sau certificatul medical ce atestă faptul că persoana în cauză a trecut prin boala COVID-19 într-o anumită perioadă (spre exemplu, Certificatul Digital European Covid), potrivit actelor normative în vigoare.

x) Temperatura corporală a Salariaților măsurată prin intermediul camerelor inteligente de detecție a temperaturii cu scopul de a verifica dacă temperatura corporală depășește o anumită limită (i.e., 37,3 grade Celsius sau orice altă valoare stabilită în urma recomandărilor și/sau instrucțiunilor emise de autoritățile competente și/sau prin intermediul politicilor interne adoptate la nivelul Deloitte și/sau în baza legislației relevante), care poate fi de natură a indica infecția cu virusul SARS-CoV-2. Deloitte nu prelucrează rezultatele măsurării temperaturii corporale.

IV. Sursele colectării acestor date cu caracter personal

Datele cu caracter personal menționate mai sus sunt obținute, în principal, în mod direct, din partea dumneavoastră, prin intermediul documentelor furnizate pentru angajare sau pe parcursul angajării.

Însă, există o serie de date cu caracter personal pe care Deloitte le obține din surse externe, precum:

• informațiile menționate în cadrul profilului profesional disponibil pe platformele LinkedIN, E-Jobs, Best Jobs, HIPO etc.
• informații furnizate de alți salariați care vă recomandă pentru un post în cadrul Deloitte.
• informații obținute din partea foștilor angajatori sau, în anumite cazuri, de la parteneri contractuali ai Deloitte către care ați transmis datele dumneavoastră, în vederea încheierii unui contract individual de muncă cu Deloitte (e.g. site-uri de specialitate sau companii care prestează servicii de recrutare);
• informații obținute din partea persoanelor autorizate să comunice cu Deloitte în numele dumneavoastră (e.g., reprezentați legali sau convenționali, avocați etc.), dacă este cazul;
• autorități și instituții publice sau alte persoane sau entități care desfășoară un serviciu de interes public (e.g., executorii judecătorești, notarii publici).

V. Scopurile pentru care Deloitte prelucrează datele cu caracter personal și temeiul juridic al prelucrării

Scopurile în care prelucrăm datele dumneavoastră cu caracter personal se referă în principal la activitățile specifice departamentului de resurse umane, care includ:

Nr.	Scopul prelucrării	Temeiul juridic
1.	Recrutarea și selecția personalului, inclusiv verificarea și evaluarea   competentelor profesionale și personale ale candidaților selectați	Desfășurarea unor activități în vederea încheierii contractului   individual de muncă - Art. 6 alin. 1 lit. b) din GDPR     Interesul legitim al Deloitte de a recruta noi angajați și de a ocupa   posturi libere – Art. 6 alin. 1 lit. f) din GDPR
2.	Verificarea îndeplinirii condițiilor legale, în cazul ocupării anumitor   poziții și exercitării unei profesii/activități reglementate pentru care   legislația impune cerințe specifice (e.g. lipsa unor interdicții, existența   anumitor certificări profesionale etc.)	Obligația legală – Art. 6 alin. 1 lit. c) din GDPR
3.	Încheierea contractului individual de muncă	Încheierea și executarea contractului individual – Art. 6 alin. 1 lit. b)   din GDPR
4.	Activitatea de administrare a personalului, respectiv: salarizare,   administrarea statelor de plată, acordarea beneficiilor, astfel cum acestea   sunt prevăzute în contractul individual de muncă sau în politicile și   procedurilor interne (de e.g., abonament servicii medicale private),   administrarea concediilor de odihnă și gestionarea pontajului, planificarea   rolurilor și atribuțiilor (fișe de post), planificarea gradului de încărcare   și volumul muncii, stabilirea obiectivelor de performanță și monitorizarea   îndeplinirii acestora, evaluarea performanțelor, furnizarea de referințe	Executarea contractului individual de muncă – Art. 6 alin. 1 lit. b) din   GDPR
5.	Derularea activităților de medicina muncii, sănătate și securitate în   muncă și situații de urgență, contactarea persoanelor indicate de dumneavoastră   pentru situații de urgență	Executarea contractului individual de muncă – Art. 6 alin. 1 lit. b) din   GDPR     Îndeplinirea obligațiilor și exercitarea drepturilor specifice ale Deloitte   și ale salariatului în domeniul ocupării forței de muncă și al securității   sociale și protecției sociale – art. 9 alin. 2) lit. b) din GDPR
6.	Efectuarea de deduceri fiscale și alte raportări fiscale	Obligație legală - Art. 6 alin. 1 lit. c) din GDPR
7.	Contabilitate și audit	Obligație legală – Art. 6 alin. 1 lit. c) din GDPR
8.	Managementul și planificarea afacerii. Din motive de securitate, pentru   asigurarea calității serviciilor, protecția intereselor economice, comerciale   și financiare ale Deloitte și, în particular, pentru asigurarea conformității   cu regulile de confidențialitate sau scopuri statistice, prin intermediul   monitorizării sistemelor Deloitte și ale datelor conexe	Interesul legitim al Deloitte de a-și gestiona eficient activitatea –   Art. 6 alin. 1 lit. f) din GDPR
9.	Efectuarea de evaluări a performanței profesionale, gestionarea   performanței profesionale și determinarea cerințelor de performanță   profesională	Executarea contractului individual de muncă - Art. 6 alin. 1 lit. b) din   GDPR
10.	Efectuarea de cercetări disciplinare	Interesul legitim al Deloitte de a își apăra drepturile legale sau după   caz, de a își exercita obligațiile legale astfel cum acestea sunt prevăzute   de Codul Muncii – art. 6 alin. 1 lit. f) din GDPR, sau după caz, art. 6 alin   1 lit. c) din GDPR
11.	Educație, formare și dezvoltare	Interesul legitim al Deloitte de a se asigura că forța de muncă este bine   pregătită pentru sarcinile pe care le îndeplinește - Art. 6 alin. 1 lit. f)   din GDPR sau, după caz, executarea contractului individual de muncă - Art. 6   alin. 1 lit. b) din GDPR
12.	Încetarea raportului de muncă	Executarea contractului individual de muncă sau, după caz, îndeplinirea   obligațiilor legale – Art. 6 alin. 1 lit. b) din GDPR sau, după caz, art. 6   alin. 1 lit. c) din GDPR
13.	Gestionarea potențialelor litigii în care Deloitte poate fi implicată,   inclusiv accidentele de muncă	Interesul legitim al Deloitte de a își proteja drepturile legale - Art. 6   alin. 1 lit. f) din GDPR     Îndeplinirea obligațiilor și exercitarea drepturilor specifice ale   Societății și ale angajatului în domeniul ocupării forței de muncă și al   securității sociale și protecției sociale – art. 9 alin. 2) lit. b) din GDPR
14.	Constatarea capacitații de muncă	Îndeplinirea obligațiilor și exercitarea drepturilor specifice ale Deloitte   și ale salariatului în domeniul ocupării forței de muncă și al securității   sociale și protecției sociale – art. 9 alin. 2) lit. b) din GDPR
15.	Gestionarea concediului medical	Îndeplinirea obligațiilor și exercitarea drepturilor specifice ale Deloitte   și ale salariatului în domeniul ocupării forței de muncă și al securității   sociale și protecției sociale – art. 9 alin. 2) lit. b) din GDPR
16.	Asigurarea securității fizice a spațiilor în care Deloitte își desfășoară   activitatea	Interesul legitim al Deloitte de a asigura securitatea fizică a activelor   sale și de a-și proteja drepturile legale – Art. 6 alin. 1) lit. f) din GDPR
17.	Prestarea serviciilor către clienții Deloitte	Executarea contractului individual de muncă - Art. 6 alin. 1 lit. b) din   GDPR
18.	Desfășurarea de controale interne și externe, cât și pentru cooperarea cu   organizațiile profesionale, dacă este cazul	Interesul legitim al Deloitte de a își apăra drepturile legale sau după   caz, de Obligație legală - Art. 6 alin. 1 lit. c) din GDPR a își exercita   obligațiile legale – art. 6 alin. 1 lit. f) din GDPR, sau după caz, art. 6   alin 1 lit. c) din GDPR
19.	Acordarea dreptului salariaților la zile libere plătite în cazul în care   aceștia optează pentru vaccinarea împotriva bolii COVID-19, în conformitate   cu dispozițiile Legii nr. nr. 221/2021 pentru completarea Legii nr. 55/2020   privind unele măsuri pentru prevenirea şi combaterea efectelor pandemiei de   COVID-19	Obligație legală - Art. 6 alin. 1 lit. c) din GDPR
20.	Prelucrarea datelor speciale ale Salariatului   (i.e., temperatura corporală, certificatul de vaccinare și/sau certificatul   ce atestă trecerea prin boala COVID-19) de către Deloitte, acolo unde este   cazul și cu condiția ca dispozițiile legale să aibă în continuare   aplicabilitate, este necesară pentru îndeplinirea obligațiilor și exercitarea   drepturilor specifice ale Deloitte care îi revin în calitate de Operator,   motive de interes public major, motive de interes public în domeniul   sănătății publice, motive care se coroborează cu necesitatea Deloitte de a se conforma cu   obligațiile legale, precum (i) dispozițiile legale ce impun Deloitte   acordarea în beneficiul Salariatului de zile libere plătite, astfel cum   prevede legea, ca urmare a faptului că Salariatul a optat pentru vaccinarea   împotriva bolii COVID-19, (ii) dispozițiile legale ce permit accesul   persoanelor la anumite evenimente numai în baza prezentării certificatului de   vaccinare împotriva virusului SARS-CoV-2 ori certificatului medical ce atestă   faptul că individul a trecut prin boala COVID-19 într-o anumită perioadă   astfel cum este prevăzută în legislație și (iii) dispozițiile legale   care reglementează triajul epidemiologic și măsurarea temperaturii corporale   astfel cum acestea sunt reglementate în legislația specifică. Prelucrarea   datelor cu caracter personal realizată de Deloitte este conformă cu   principiile de prelucrare reglementate de GDPR, cum ar fi (i)   legalitatea, echitatea și transparența, (ii) limitarea în funcție de   scop, (iii) reducerea la minimum a datelor, (iv) exactitatea, (v)   limitarea stocării, (vi) integritatea și confidențialitatea (vii)   responsabilitatea.	Obligație legală și interes   public în domeniul sănătății publice – Art. 6 alin. 1 lit. c) din GDPR și   Art. 9 alin. 2 lit. i) din GDPR
21.	Arhivare, îndeplinirea obligațiilor legale, apărare în caz de dispută ori   litigiu	Interesul legitim al Deloitte de a își apăra drepturile legale sau după   caz, de a își exercita obligațiile legale – art. 6 alin. 1 lit. f) din GDPR,   sau după caz, art. 6 alin 1 lit. c) din GDPR
22.	Activități de marketing, social media și/sau activități/campanii de promovare,   după cum este cazul	Consimțământul persoanei vizate – Art. alin. 1 lit. a) din GDPR     Salariatul are dreptul de a-și retrage consimțământul în orice moment,   astfel cum este detaliat în cadrul secțiunii XI de mai jos. În vederea   retragerii consimțimântului, următoarea adresă de e-mail va fi utilizată:   ceroprivacy@deloitte.com. Odată ce Deloitte a recepționat notificarea de   retragere a consimțământului, aceasta nu va mai prelucra datele cu caracter   personal pentru scopurile/scopurile pentru care inițial Salariatul și-a   exprimat consimțământul, exceptând cazurile în care Deloitte justifică un   temei legitim ori o bază legală pentru prelucrare.

 

VI. Modul de prelucrare⁵ al datelor cu caracter personal

Datele dumneavoastră cu caracter personal vor fi prelucrate și stocate în medii sigure, atât pe suport hârtie, cât și electronic, precum și în sistemele și aplicațiile IT utilizate la nivelul Deloitte (inclusiv e-mail).

VII. Destinatarii⁶ datelor cu caracter personal
Principalele categorii de destinatari către care putem transmite datele dumneavoastră cu caracter personal sunt:

• alte societăți din grupul din care face parte Deloitte;
• parteneri contractuali ai Deloitte (respectiv, furnizori de servicii IT, furnizori de servicii de resurse umane și administrare personal, furnizori de beneficii terți, precum furnizori de bonuri/tichete de masă, furnizori de servicii medicale, furnizori de asigurări, inclusiv asigurări medicale și de călătorie, furnizori de servicii de transport, furnizori servicii arhivare, furnizori servicii curierat, furnizori servicii de training/calificare profesională, furnizori de servicii de audit, instituții financiar bancare din România, clienți ai Deloitte), în scopul desfășurării activității curente a Deloitte, acordării beneficiilor stabilite prin intermediul contractului individual de muncă, executării contractului individual de muncă;
• instituții și/sau autorități publice abilitate cu rol de supraveghere și control (e.g., Inspectoratele Teritoriale de Muncă, Casa Națională de Asigurări de Sănătate și Casele Județene de Asigurări de Sănătate, Inspectoratul pentru Situații de Urgență, Administrația Națională a Finanțelor Publice, poliție, instanțele de judecată, organizații profesionale etc.) – dacă este solicitat Deloitte în baza unui mandat, sau pentru aplicarea unei legi naționale sau europene, putem comunica datele dumneavoastră, fără a mai fi nevoie să vă informăm;
• alte entități care solicită datele dumneavoastră cu caracter personal și exista un temei legal sau un interes legitim în acest sens (de e.g., executori judecătorești, lichidatori judiciari, notari publici, avocați, instituții de credit etc.);

Lista persoanelor împuternicite ale Deloitte din cadrul Deloitte CE este publicată și accesibilă aici:

https://resources.deloitte.com/sites/centraleurope/CE%20Policies/1600%20Security/1611%20Data%20Processors%20-%20Regional/1611.01%20List%20of%20Employee%20Personal%20Data%20Processors.pdf

Lista furnizorilor locali în materie de beneficii acordate Salariaților este publicată și accesibilă aici:

https://resources.deloitte.com/sites/centraleurope/CE%20Policies/1600%20Security/1612%20Data%20Processors%20-%20Local/1612.09%20List%20of%20Suppliers%20-%20Romania.pdf

VIII. Perioada de stocare a datelor cu caracter personal

În vederea realizării scopurilor sus-menționate, datele cu caracter personal vor fi prelucrate de către Deloitte pe tot parcursul relației de muncă, cu excepția cazurilor în care legislația impune un termen mai mic de stocare (e.g., în ce privește durata de stocare a înregistrărilor sistemului de supraveghere video).

După finalizarea relației de muncă, aceste date cu caracter personal vor continua să fie stocate în vederea conformării cu termenele minime de arhivare prevăzute de lege pentru diverse categorii de documente, în principal:

• 5 ani pentru datele privind evidența timpului de muncă, calculați de la finalul anului fiscal înlegătură cu care acestea sunt întocmite aceste documente;
• 10 ani pentru documente financiar-contabile sau, după caz, 5 ani pentru documente similare (e.g., ordin de deplasare/delegație, rapoarte de activitate);
• 50 de ani pentru ștatele de salarii. Începând cu data de 1 ianuarie 2023, statele de salarii pentru care angajatorul are o declarație informativă privind impozitul reținut la sursă, pe beneficiari de venit, conform prevederilor legale sau pentru care angajatorul are obligația legală de a depune declarația privind obligațiile de plată a contribuțiilor sociale, impozitului pe venit şi evidența nominală a persoanelor asigurate, la Agenţia Naţională de Administrare Fiscală, se păstrează timp de 5 ani.
• 75 de ani pentru dosarele personale ale Salariaților;
• Datele cu caracter personal obținute prin intermediul sistemelor de monitorizare video nu vor fi păstrate pentru o perioadă mai mare de 30 de zile, cu excepția cazului în care legislația aplicabilă prevede altfel sau în cazurilor temeinic justificate în care datele cu caracter personal trebuie stocate pe perioade mai lungi.
• Datele privind procedurile administrative sau judiciare în care sunteți implicat, în măsura în care acestea sunt legate de activitatea profesională desfășurată în cadrul Deloitte și/sau pot influența condițiile de executare a contractului individual de muncă și plata a drepturilor salariale – pentru o perioadă egală cu termenul de prescripție prevăzut de legislația aplicabilă, pentru a ne putea asigura constatarea, exercitarea sau apărarea unor drepturi în instanță; pe baza solicitărilor oficiale adresate de autorități publice, acest termen poate fi prelungit conform termenelor indicate.
• Sancțiunile disciplinare se radiază de drept în termen de 12 luni de la aplicare, conform dispozițiilor Codului Muncii.
• În scopul acordării zilelor libere plătite, astfel cum prevede legislația aplicabilă relevantă, Deloitte stochează certificatele de vaccinare pentru o perioadă de 1 an;
• Certificatele menționate mai sus vor fi stocate de Deloitte numai pe perioada necesară accesului Salariaților la anumite evenimente în legătură cu care accesul este permis, potrivit dispozițiilor legale, numai în baza acestor documente;
• În ceea ce privește datele cu caracter personal prelucrate prin intermediul camerelor inteligente de detecție a temperaturii corporale, Deloitte nu prelucrează astfel de date prin intermediul stocării sau în orice alt mod, astfel cum este menționat mai sus în cadrul punctului III.

IX. Transferul datelor cu caracter personal în străinătate

Sunteți informat că Deloitte poate furniza datele cu caracter personal ale acestuia în scopurile specificate mai sus firmelor membre Deloitte CE și DTTL și filialelor și afiliatelor acestora pe durata angajării, chiar și în țări din afara teritoriului UE care nu asigură întotdeauna același nivel de protecție în conformitate cu legislația UE. Astfel de transferuri către țări din afara UE, fie către persoane împuternicite (așa cum este indicat în lista de mai sus), fie către alți operatori se bazează pe Clauzele contractuale standard aprobate de UE. În situații specifice cum ar fi, de exemplu, programul de mobilitate sau cooperarea transfrontalieră, datele cu caracter personal ale Salariatului pot fi transferate destinatarului în afara UE și este responsabilitatea acestuia să respecte legislația locală atunci când prelucrează datele cu caracter personal.

X. Datele cu caracter personal ale soțului/soției sau ale copilului sau ale rudelor apropiate

Deloitte prelucrează datele cu caracter personal ale soțului/soției sau ale copilului sau ale rudelor apropiate ale Salariaților pentru următoarele scopuri: acordare de deduceri sau scutiri de taxe sau impozite, acordare de concedii prevăzute de lege pentru căsătorie sau pentru naștere copil ori deces, verificări de independență și/sau din motive profesionale sau de reglementare.

În plus, Deloitte prelucrează datele cu caracter personal ale soțului/soției sau ale copiilor sau ale rudelor apropiate ale dumneavoastră pentru ca aceștia să se poată bucura de beneficiile pe care Deloitte le oferă membrilor de familie, e.g. asigurări medicale, cadouri/petreceri de Crăciun sau Paște sau orice alt fel beneficii.

Cu privire la această categorie de persoane vizate, înțelegeți că aveți obligația de a le aduce la cunoștință conținutul acestei note de informare și de a vă asigura că aveți dreptul de a furniza Deloitte datele cu caracter personal ale acestora.

XI. Drepturile dumneavoastră în raport de prelucrarea datelor cu caracter personal

Vă puteți exercita în orice moment următoarele drepturi în legătură cu activitățile de prelucrare a datelor dumneavoastră cu caracter personal, în limitele și cu respectarea condițiilor prevăzute de legislația aplicabilă în domeniul protecției datelor cu caracter personal:

• dreptul la informare;
• dreptul de acces la datele dumneavoastră cu caracter personal;
• dreptul la rectificarea datelor;
• dreptul de a vă opune prelucrării datelor cu caracter personal;
• dreptul la restricționarea prelucrării datelor cu caracter personal;
• dreptul la ștergerea datelor cu caracter personal;
• dreptul la portabilitatea datelor cu caracter personal;
• dreptul de a vă retragere a consimțământul (în cazul în care datele dumneavoastră cu caracter personal sunt prelucrate în baza acestui temei);
• dreptul de a depune o plângere - în cazul în care considerați că datele dumneavoastră cu caracter personal sunt prelucrate incorect/cu nerespectarea cerințele legale, puteți depune o plângere la Autoritatea Naţională de Supraveghere a Prelucrării Datelor cu Caracter Personal, la adresa: Bd. G-ral Gheorghe Magheru 28-30, sector 1, cod poștal 010336, București, Romania, telefon: +40318059211; email: anspdcp@dataprotection.ro sau pe pagina web: http://www.dataprotection.ro/ sau vă puteți adresa instanțelor competente.

În cazul în care adresați solicitarea în format electronic, Deloitte va furniza informațiile tot în format electronic, dacă acest lucru este posibil, sau într-un alt format solicitat de dumneavoastră.

Pentru exercitarea oricăruia dintre drepturilor listate mai sus, vă puteți adresa către Deloitte cu o cerere scrisă, datată și semnată, utilizând adresa de e-mail ceroprivacy@deloitte.com, în atenția Departamentului In-House Legal, urmând ca societatea să revină cu un răspuns către dumneavoastră în termen de o lună, sau, în cazul în care solicitarea necesită o analiză mai complexă, acest termen poate fi prelungit cu încă două luni, caz în care vă vom informa în mod corespunzător, inclusiv cu privire la motivele prelungirii. În măsura în care consideră necesar, Deloitte poate solicita documente justificative pentru a putea da curs solicitărilor.

XII. Obligațiile dumneavoastră, în calitate de salariat al Deloitte

Aveți obligația de a menține actualizate orice date cu caracter personal pe care le-ați furnizat Deloitte și să ne informați despre orice modificare semnificativă a acestora.

XIII. Monitorizare trafic internet, telefon și e-mail

În vederea îmbunătățirii securității, pentru asigurarea calității serviciului sau pentru scopuri statistice (i) traficul de internet, (ii) utilizarea telefoanelor Deloitte și (iii) utilizarea adresei de e-mail Deloitte sunt sistematic monitorizate și auditate de către societate, cu respectarea dispozițiilor legale și de reglementare aplicabile, în conformitate cu politicile ICT locale.

 

 

^1. Deloitte se referă la una sau mai multe dintre entitățile Deloitte Touche Tohmatsu Limited, o societate cu răspundere limitată din Marea Britanie (“DTTL”), rețeaua sa de firme membre si entitățile asociate acestora. Deloitte Central Europe (“Deloitte CE”) se referă la organizația regională de entități organizate sub umbrela Deloitte Central Europe Holdings Limited, firmă membră a DTTL. DTTL și fiecare firmă membră sunt entități separate din punct de vedere juridic și sunt independente.

În România, serviciile sunt prestate sau susținute de către Deloitte Audit SRL, Deloitte Accounting SRL, Deloitte Tax SRL, Deloitte Consultanta SRL, Deloitte Fiscal Representative SRL, Deloitte Tehnologie SRL, Deloitte Support Services SRL și Deloitte Shared Services SRL. Deloitte este una dintre cele mai mari companii de servicii profesionale de pe piața din România și furnizează servicii în cooperare cu Reff & Asociații SCA. Pentru mai multe detalii despre rețeaua noastră globală de firme membre vă rugăm accesați următorul link: https://www2.deloitte.com/ro/ro/pages/about-deloitte/articles/about-deloitte.html.

². Versiune actualizată în 2022.

³. Deloitte Audit S.R.L., având sediul social în București, Clădirea The Mark Building, Calea Griviței, nr. 84-98 și 100-102, etaj 9, Sector 1, România, înregistrată la Registrul Comerțului București sub nr. J40/6775/1995, cod unic de înregistrare 7756924;
Deloitte Accounting S.R.L., având sediul social în București, Clădirea The Mark Building, Calea Griviței, nr. 84-98 și 100-102, Biroul nr. 1, Aripa de Vest, etaj 10, Sector 1, România, înregistrată la Registrul Comerțului București sub nr. J40/11879/2012, cod unic de înregistrare 30787453;
Deloitte Consultanta S.R.L., având sediul social în București, Clădirea The Mark Building, Calea Griviței, nr. 84-98 și 100-102, etaj 6, 10 și 14, Sector 1, România, înregistrată la Registrul Comerțului București sub nr. J40/8360/1992, cod unic de înregistrare 2626460;
Deloitte Fiscal Representative S.R.L., având sediul social în București, Clădirea The Mark Building, Calea Griviței, nr. 84-98 și 100-102, Biroul nr. 1, Aripa de Nord, Sector 1, România, înregistrată la Registrul Comerțului București sub nr. J40/13992/2011, cod unic de înregistrare 29376985;
Deloitte Tax S.R.L., având sediul social în București, Clădirea The Mark Building, Calea Griviței, nr. 84-98 și 100-102, etaj 11 și 12, Sector 1, România, înregistrată la Registrul Comerțului București sub nr. J40/23343/2007, cod unic de înregistrare 22915705;
Reff & Asociatii SCA, având sediul profesional în București, Clădirea The Mark, Calea Griviței, nr. 84-98 și 100-102, etaj 13, Sector 1, România;
Deloitte Shared Services S.R.L., având sediul social în București, Oregon Park, Clădirea C, șos. Pipera, nr. 46D-46E-48, etaj 3, 4 și 5, Sector 2, România, înregistrată la Registrul Comerțului București sub nr. J40/11370/2018, cod unic de înregistrare 39721916;
Deloitte Support Services S.R.L., având sediul social în București, Oregon Park, Clădirea C, șos. Pipera, nr. 46D-46E-48, etaj 2 și 4, Sector 2, România, înregistrată la Registrul Comerțului București sub nr. J40/17047/2016, cod unic de înregistrare 36880860;
Deloitte Tehnologie S.R.L., având sediul social în București, Oregon Park, Clădirea B, șos. Pipera, nr. 46D-46E-48, etaj 2, 3 și 6, Sector 2, România, înregistrată la Registrul Comerțului București sub nr. J40/6464/2016, cod unic de înregistrare 36035670.

⁴. Care cuprinde cel puțin: actele necesare angajării, contractul individual de muncă și actele adiționale, actele referitoare la modificarea, suspendarea și încetarea contractului individual de muncă (e.g., concediile medicale), actele de studii și certificatele de calificare, precum și orice alte documente care certifică legalitatea și corectitudinea completării în REVISAL. Aceste date includ: datele menționate în documentele depuse de salariat în vederea angajării, datele cuprinse în actele de identitate și în permisul de conducere, datele cuprinse în fișa de medicina muncii, datele înscrise în contractul individual de muncă și actele adiționale la acesta, datele cuprinse în actele referitoare la modificarea, suspendarea și încetarea contractului individual de muncă, datele cuprinse în actele de studii și certificatele privind calificarea profesională, date privind funcțiile deținute în cadrul Deloitte, conform clasificării COR, data încheierii contractului individual de muncă și data începerii activității, date privind tipul și durata contractului individual de muncă, durata timpului de muncă, informații privind salariul de bază lunar brut, indemnizațiile, sporurile, precum și alte adaosuri prevăzute în contractul individual de muncă, cererea de încetare a contractului individual de muncă și decizia de încetare a acestuia, precum și data și temeiul legal al încetării, datele din adeverința de vechime și adeverința privind stagiul de cotizare, inclusiv numărul și durata concediilor medicale acordate în perioada derulării raporturilor de muncă.

⁵ Prelucrarea datelor cu caracter personal înseamnă efectuarea unor seturi de operațiuni precum: colectarea, înregistrarea, organizarea, structurarea, stocarea, modificarea/actualizarea, extragerea, consultarea, utilizarea, transmiterea, alinierea, divulgarea autorizata, combinarea, restricționarea, ștergerea, distrugerea, arhivarea datelor cu caracter personal etc.

⁶ Atunci când prelucrăm datele dumneavoastră cu caracter personal, poate fi necesară dezvăluirea datelor dumneavoastră cu caracter personal către alți destinatari. În unele cazuri, prevăzute de lege, comunicarea datelor dumneavoastră cu caracter personal reprezintă o obligație legală.
Deloitte poate transmite datele dumneavoastră cu caracter personale către alte persoane sau entități pentru a realiza scopurile de prelucrare menționate mai sus, iar acest lucru este necesar: pentru a face demersuri în vederea executării sau încheierii unui contract între dumneavoastră și societate (e.g., contractul individual de muncă), pentru a soluționa solicitările dumneavoastră, pentru a îndeplini obligațiile legale ce ne revin, precum și pentru realizarea unor interese legitime profesionale și operaționale permise de lege.