• Denna policy gäller för CGI.com och alla auktoriserade underwebbplatser som uttryckligen antar, visar eller länkar tillbaka till denna Policy.
  • För information om CGI Federal data privacy information, se CGI Federal Data Privacy Policy.

Vi upprätthåller denna Integritetspolicy som beskriver våra integritetsprinciper, standarder och praxis och hur vi skyddar alla Personuppgifter som en del av vår verksamhet, oavsett om vi Behandlar Personuppgifter för våra egna syften eller för våra kunders behov.

Termer med stor bokstav definieras i Bilaga 1 till denna policy.

Principer

Som en global IT- och affärskonsultorganisation har CGI åtagit sig att upprätthålla skyddsnivåer för Personuppgifter som är i linje med bästa praxis, tillämplig dataskyddslagstiftning och CGI:s avtalsförpliktelser.

CGI samlar in och/eller använder Personuppgifter för sina egna behov.

CGI kan också hantera Personuppgifter för en kunds räkning och enligt instruktioner från en kund, inklusive de tekniska och organisatoriska åtgärder som krävs för att förhindra oavsiktlig eller olaglig förstörelse, förlust, ändring, utlämnande eller åtkomst till Personuppgifterna. Alla åtaganden avseende dessa ansvarsområden och åtgärder måste uttryckligen återspeglas i alla avtal som ingås mellan CGI och våra kunder.

CGI:s värdeerbjudande inkluderar dataskydd och förebyggande av datariskexponering. CGI vägleder och hjälper sina kunder med hur de ska hantera och skydda sina Personuppgifter för att uppfylla kraven på efterlevnad. Efter instruktioner från en kund kommer CGI att implementera effektiva säkerhetsåtgärder för att skydda Personuppgifterna och avvärja dataintrång.

Omfattning och efterlevnad

Denna Integritetspolicy utgör en integrerad del av CGI Management Foundation och är bindande för alla CGI:s juridiska personer och anställda (”CGI Partners”) oavsett var de befinner sig, samt för tredjepartsleverantörer som anlitas av CGI. I den utsträckning som tillåts enligt lag kan brott mot denna Integritetspolicy leda till administrativa och/eller disciplinära åtgärder från CGI:s sida (inklusive monetära sanktioner, avstängning eller uppsägning).

CGI Partners erkänner dessa krav och bekräftar årligen att de accepterar denna Integritetspolicy som en del av sitt åtagande att följa Code of Ethics. Utöver denna Integritetspolicy måste CGI Partners också följa andra tillämpliga skyldigheter avseende sekretess och integritet, inklusive de som anges i Tillämplig Dataskyddslagstiftning, deras anställningsavtal, CGI:s Management Foundation och/eller kundinstruktioner.

Tredjepartsleverantörer som Behandlar Personuppgifter för CGI:s räkning är skyldiga att genomföra lämpliga tekniska och organisatoriska åtgärder för att säkerställa efterlevnad av principerna och kraven i denna Integritetspolicy. När CGI Behandlar Personuppgifter för en kunds räkning måste eventuella avtalsenliga åtaganden eller andra skyldigheter som CGI har gentemot sin kund föras vidare till alla anlitade Tredjepartsleverantörer. Varje åtagande eller skyldighet måste uttryckligen återspeglas i avtal som ingås mellan CGI och Tredjepartsleverantörer.

Vilka kategorier av Personuppgifter Behandlar CGI inom ramen för sin verksamhet?

I enlighet med Tillämplig Dataskyddslagstiftning kan CGI och Tredjepartsleverantörer Behandla följande icke uttömmande lista över kategorier av Personuppgifter:

  • Demografi & Privatlivsinformation (t.ex. ålder, kön, fysiska egenskaper, födelsedatum, hemadress, civilstånd, medlemskap, preferenser, intressen)
  • Plats, inloggning, trafik och spårning (t.ex. IP-adress, webbläsarens fingeravtryck, loggar)
  • Ekonomiska och finansiella uppgifter (t.ex. kontonummer, finansiell hälsa, aktier, skattestatus, lön, finansiella transaktioner)
  • Känsliga Personuppgifter (t.ex. personnummer, biometri, hälsoinformation)
  • Identitets- och kontaktinformation (t.ex. namn, e-postadress, telefonnummer, foto, nationalitet, ID- och passnummer)
  • Information om yrkesliv och affärsverksamhet (t.ex. arbetsgivare, avdelning, jobbtitel, anställningshistorik, framträdanden, intervjuer, examina och certifieringar, fakturerings- och leveransadress)

Dessa kategorier av Personuppgifter avser följande icke uttömmande lista över individer:

  • Anställningskandidater, praktikanter och studenter,
  • CGI Partners och tidigare anställda, och deras släktingar,
  • Kundernas anställda och tidigare anställda, och deras släktingar,
  • Klienters patienter, kunder eller medborgare,
  • Potentiella kunders anställda och kunder,
  • Besökare av CGI:s webbplatser,
  • Aktieägare,
  • Tredjepartsleverantörers anställda och frilansare.

Mer detaljerad information finns tillgänglig i de relevanta integritetsmeddelandena.

Med vem delar CGI dina Personuppgifter?

Som en del av sin verksamhet kan CGI komma att lämna ut Personuppgifter till CGI:s Legala enheter, kunder och prospekt, Tredjepartsleverantörer och/eller andra tredje parter (inklusive banker och finansiella rådgivare, externa rådgivare och revisorer), samt administrativa, rättsliga eller statliga myndigheter, statliga organ eller offentliga organ i enlighet med Tillämplig Dataskyddslagstiftning.

Hur skyddar CGI Behandlade Personuppgifter för sina egna behov?

CGI är ansvarigt för att skydda alla Personuppgifter som hanteras som en del av dess verksamhet.

Som ett resultat av detta följer CGI Partners följande grundläggande principer:

  • 01 Laglighet, korrekthet och öppenhet
    Personuppgifter Behandlas lagligt, rättvist och på ett transparent sätt i förhållande till individen, i enlighet med kraven i denna Integritetspolicy. CGI tillhandahåller detaljerad information om Behandlingen till relevanta individer, i ett lättförståeligt och tillgängligt format, genom integritetsmeddelanden.
  • 02 Ändamålsbegränsning
    All Behandling av Personuppgifter föregås av identifiering av det specifika syftet med sådan Behandling, vilket måste vara uttryckligt och legitimt och i linje med vad som rimligen kan förväntas av en individ.
  • 03 Uppgiftsminimering
    Personuppgifter samlas in och används endast i den utsträckning som krävs för att uppnå det syfte för vilket de Behandlas. Personuppgifter måste vara adekvata, relevanta och begränsade till vad som är absolut nödvändigt i förhållande till ett sådant syfte.
  • 04 Riktighet
    Insamlade Personuppgifter måste vara korrekta och uppdaterade. Rimliga åtgärder måste vidtas för att säkerställa att alla felaktiga Personuppgifter raderas eller korrigeras utan dröjsmål, inklusive genom självbetjäningsalternativ för individer. Lämpliga medel måste tillhandahållas för att individer ska kunna informera CGI om eventuella ändringar av deras Personuppgifter.
  • 05 Lagringsminimering
    Personuppgifter får inte lagras under längre tid än vad som är absolut nödvändigt för att uppnå det syfte för vilket de samlades in. Följaktligen måste CGI fastställa den nödvändiga datalagringsperioden i enlighet med CGI Records Retention Schedule och Tillämplig Dataskyddslagstiftning.
  • 06 Integritet och konfidentialitet
    Lämpliga tekniska och organisatoriska åtgärder, som föreskrivs i CGI:s Enterprise Security Management Framework (ESMF), måste implementeras för att skydda mot olaglig åtkomst och/eller Behandling av Personuppgifter.

På vilken rättslig grund Behandlar CGI Personuppgifter för sina egna behov?

Vanligtvis kan CGI Behandla Personuppgifter under följande omständigheter:

  • När CGI behöver uppfylla en rättslig förpliktelse.
  • När det är nödvändigt för att fullgöra ett avtal med en enskild person.
  • När CGI har ett berättigat intresse av att göra det som en del av sin verksamhet.

Det kan finnas vissa tillfällen då det blir nödvändigt för CGI att Behandla Personuppgifter för att skydda enskildas intressen eller med föregående samtycke från den enskilde.

Känsliga Personuppgifter som Behandlas för CGI:s egna behov

CGI kommer inte att Behandla Känsliga Personuppgifter om inte något av följande villkor är uppfyllt:

  1. Individen har gett sitt samtycke i förväg, eller
  2. Behandlingen är nödvändig för att CGI eller den enskilde ska kunna fullgöra sina skyldigheter och utöva sina särskilda rättigheter inom ramen för arbetsrätten, socialförsäkringslagstiftningen och lagstiftningen om socialt skydd, eller
  3. Om den enskilde inte kan ge sitt samtycke (t.ex. av medicinska skäl) är Behandlingen nödvändig för att skydda den enskildes eller någon annan persons vitala intressen, eller
  4. Behandlingen krävs i samband med förebyggande medicin eller medicinsk diagnos av hälso- och sjukvårdspersonal enligt Lokal Lagstiftning, eller
  5. Den enskilde har redan på ett uppenbart sätt offentliggjort de relevanta Känsliga Personuppgifterna, eller
  6. Behandlingen är nödvändig för att fastställa, göra gällande eller försvara rättsliga anspråk, såvida inte den enskilde har ett övervägande berättigat intresse av att se till att sådana Känsliga Personuppgifter inte behandlas, eller
  7. Behandlingen är uttryckligen tillåten enligt Lokal Lagstiftning.

Hur skyddar CGI kunders Personuppgifter?

När CGI Behandlar kunders Personuppgifter säkerställer CGI att Personuppgifterna Behandlas för kundens enda uttalade ändamål och enligt kundens skriftliga instruktioner, inklusive avseende varaktighet, som anges i de villkor som överenskommits mellan CGI och kunden.

Kunden förblir ensam ansvarig för att säkerställa att det finns en giltig rättslig grund för den Behandling som CGI utför och att de instruktioner som ges till CGI avseende Behandlingen överensstämmer med Tillämplig Dataskyddslagstiftning, inklusive den lagringstid som ska tillämpas. CGI kommer dock att omedelbart informera kunden om CGI anser att sådana instruktioner strider mot Tillämplig Dataskyddslagstiftning.

Om inte annat anges av kunden, kommer CGI att tillämpa (som ett minimum) CGI:s security baseline som föreskrivs i CGI:s Enterprise Security Management Framework (ESMF). Varje avvikelse från denna baslinje kräver relevanta riskgranskningar och godkännande av CGI:s integritets- och säkerhetsteam i enlighet med CGI:s Management Foundation.

CGI kommer, med förbehåll för finansiella, tekniska och organisatoriska villkor som skriftligen överenskommits, att tillhandahålla rimlig assistans till kunden för att stödja den i att fullgöra sina skyldigheter enligt Tillämplig Dataskyddslagstiftning.

Inbyggt dataskydd och dataskydd som standard

För att säkerställa att de principer som definieras i denna Integritetspolicy beaktas på ett effektivt sätt när CGI Behandlar Personuppgifter, kommer CGI att identifiera och adressera dataskyddsbegränsningar i början av varje nytt internt projekt eller kunderbjudande så att de principer som finns häri återspeglas i utformningen av projektet och implementeras på lämpligt sätt. CGI har därför implementerat granskningsprocesser för dataskydd och säkerhet, samt en Privacy by Design Code of Practice och flera ramverk (t.ex. Responsible Use of Data, Responsible Use of Artificial Intelligence and Responsible Use of Cloud Technology) som är tillämpliga på alla interna CGI-projekt och kunderbjudanden som involverar Behandling av Personuppgifter och som hjälper varje relevant CGI Partner att analysera och hantera dataskyddsrisker.

I enlighet med Tillämplig Dataskyddslagstiftning kommer CGI att genomföra en konsekvensbedömning av dataskydd för alla CGI:s interna projekt där behandlingen av Personuppgifter sannolikt kommer att leda till en hög risk för enskilda personers rättigheter och friheter och fastställa eventuella korrigerande åtgärder som ska genomföras för att säkerställa att riskerna minskas.

CGI:s integritetsorganisation granskar och godkänner integritetsaspekterna av förslag och/eller tjänster som utvecklats för kunder, liksom av alla CGI:s immateriella rättigheter eller nya interna projekt, enligt definitionen i CGI:s Management Foundation. Den CGI Partner som är ansvarig för lösningen, tjänsten och/eller projektet behåller bevis på överensstämmelse med CGI integritetsorganisationens godkännandekrav.

Vilka är individers rättigheter och hur kan de utövas?

Rättigheter för individer över deras Personuppgifter skiljer sig från ett land till ett annat. CGI agerar i enlighet med Tillämplig Dataskyddslagstiftning.

Beroende på jurisdiktion kan Tillämplig Dataskyddslagstiftning ge individer följande rättigheter:

  • Ha tillgång till sina Personuppgifter och information om hur de Behandlas,
  • Begära rättelse eller radering av eventuella felaktiga eller ofullständiga Personuppgifter som rör dem,
  • Återkalla samtycke eller invända på legitima grunder mot Behandlingen av deras Personuppgifter, såvida inte sådan Behandling är ålagd enligt lag,
  • Begära begränsningar av behandlingen om Personuppgifterna inte längre är korrekta eller nödvändiga, eller om Behandlingen är olaglig,
  • Inte bli föremål för ett beslut som enbart grundas på automatiserad behandling, inklusive profilering, som har rättsliga följder för dem eller på liknande sätt i betydande grad påverkar individerna,
  • Erhålla sina Personuppgifter i ett strukturerat, allmänt använt och maskinläsbart format, och
  • Utse en person som ska utöva deras rättigheter vid deras död eller oförmåga.

Individer som vill utöva dessa rättigheter och/eller få information om Behandlingen av deras Personuppgifter kan skicka en begäran enligt vad som anges i avsnittet ”Fråga och Regress” nedan.

När CGI Behandlar Personuppgifter för sina egna behov: CGI meddelar varje rättelse eller radering av Personuppgifter eller begränsning av Behandling som utförs i enlighet med Tillämplig Dataskyddslagstiftning till varje mottagare till vilken Personuppgifterna har lämnats ut, såvida inte detta visar sig omöjligt eller innebär en oproportionerlig ansträngning. CGI säkerställer att begäran hanteras utan onödigt dröjsmål i enlighet med CGI:s process för begäran om individuella rättigheter.

När CGI Behandlar kunders Personuppgifter: Om CGI tar emot ett klagomål eller en begäran från individer som vill utöva sina rättigheter, kommer CGI omedelbart att kommunicera all relevant information till kunden och uttryckligen ange för individen att det är kundens ansvar att hantera ett sådant klagomål eller begäran. CGI ansvarar endast för att hantera klagomål eller förfrågningar i enlighet med kundens instruktioner.

Hur hanterar CGI Personuppgiftsincidenter?

CGI har en mogen, standardbaserad process för hantering av säkerhetsincidenter som är utformad för att hantera alla faser av en säkerhetsincident, inklusive incidenter med integritetspåverkan. CGI Partners ansvarsområden är tydligt definierade på alla nivåer. Standarder för bedömning och prioritering av incidenter följs för att säkerställa lämpliga engagemangsnivåer och snabb lösning.

Incidentregister upprätthålls och rapporteras till CGI:s högsta ledning efter behov. Alla incidenter hanteras genom CGI:s 24x7 Global Security Operations Centre (SOC), där högutbildade, heltidsanställda incidenthanterare samordnar insatserna. CGI:s integritetsorganisation är omedelbart engagerad i incidenthanteringsprocessen närhelst Personuppgifter misstänks eller är kända för att vara inblandade.

Om CGI rimligen tror att en säkerhetsöverträdelse som leder till oavsiktlig eller olaglig förstörelse, förlust, ändring, obehörigt avslöjande av eller tillgång till Personuppgifter som överförts, lagrats eller på annat sätt Behandlats har inträffat, kommer CGI att tillhandahålla säkerhetsincidentmeddelande och statusuppdateringar till relevant Dataskyddsmyndighet, individer och/eller kunder (beroende på vad som är tillämpligt), i enlighet med Tillämplig Dataskyddslagstiftning, samt CGI:s Management Foundation.

På samma sätt, i händelse av att en Personuppgiftsincident identifieras av en Tredjepartsleverantör som anlitas av CGI, måste Tredjepartsleverantören informera CGI enligt vad som överenskommits i det relevanta avtalet och i enlighet med Tillämplig Dataskyddslagstiftning.

Kommunikation och utbildning

CGI främjar kontinuerligt en dataskyddskultur inom sin organisation. CGI implementerar ett årligt utbildningsprogram för dataskydd, som regelbundet uppdateras för att återspegla tekniska och lagstiftningsmässiga förändringar. Sådan utbildning är obligatorisk för alla CGI-partners, underleverantörer och frilansare. Alla CGI-ledare måste se till att de CGI Partners som rapporterar till dem genomgår utbildningen.

CGI Partners som rapporterar till dem genomgår utbildningen. Rollspecifika utbildningskurser anpassade till olika funktioner inom organisationen och säkerhetsutbildningar finns också tillgängliga på CGI:s utbildningsplattform.

Ytterligare information till CGI Partners kan också tillhandahållas via flera kanaler, inklusive riktade sekretessbriefingar, webbseminarier, individuella möten, nyhetsbrev, ”Know How”-sessioner, kampanjer för säkerhetsmedvetenhet och global årlig kommunikation om internationella dataskyddsdagen.

Dessa ger CGI Partners medvetenhet om de grundläggande principerna i denna Integritetspolicy och tillhörande bästa praxis för att skydda CGI och dess intressenter mot obehörig åtkomst och felaktig hantering av Personuppgifter.

Granskning

CGI integrerar i sitt affärsomfattande interna revisionsprogram en granskning av sin efterlevnad av denna Integritetspolicy. Det interna revisionsprogrammet definierar:

  • Ett schema enligt vilket revisioner kommer att utföras,
  • Den förväntade omfattningen av revisionen, och
  • Det team som ansvarar för revisionen.

Det affärsomfattande programmet för internrevision omfattar verifiering på leverans-, funktions- och företagsnivå. Revisionsprogrammen kan revideras på regelbunden basis. CGI kommer dock att utföra internrevisioner på regelbunden basis genom kvalificerade revisionsteam. Sådana program kommer att initieras av CGI:s relevanta revisionsavdelningar för varje nivå.

Resultaten av revisionen kommer att meddelas till CGI:s integritetsorganisation och resulterande åtgärder kommer att definieras och prioriteras, vilket gör det möjligt för CGI:s integritetsorganisation att fastställa ett schema för genomförandet av korrigerande och förebyggande åtgärder.

Behöriga dataskyddsmyndigheter, liksom kunder, kan begära tillgång till revisionsresultaten (i det senare fallet, med förbehåll för avtalsförpliktelser, enligt definitionen i ramverket för kontraktshantering). Sådan kommunikation är föremål för ett sekretessavtal och revisionsresultaten innehåller inte någon konfidentiell information om andra CGI-kunder eller CGI:s interna affärsområden. Offentliggörande av sådana resultat är föremål för godkännande av CGI:s integritetsorganisation och Legal Services.

Som en del av CGI:s ISO27701:2019-certifiering fungerar externa revisorer som är oberoende av CGI som en ytterligare linje för efterlevnad. De tillhandahåller tillsyn och försäkran om vår implementering av ISO27701:2019 i hela organisationen och genomför årliga revisioner. Resultaten av sådana revisioner behandlas som alla andra revisionsresultat, med eventuella rekommenderade korrigerande och förebyggande åtgärder som prioriteras inom alla affärsområden.

CGI:s integritetsorganisation

CGI har utsett en Chief Privacy Officer (”CPO”) och ett nätverk av Privacy Business Partners som också kan utses till dataskyddsombud, i enlighet med Tillämplig Dataskyddslagstiftning, och specialister på Records Management. CGI:s integritetsorganisation definieras ytterligare på integritetssidan på CGI:s intranät.

Register över Behandlingsaktiviteter

CGI upprätthåller ett register över Behandlingsaktiviteter som utförs som en del av dess verksamhet (the ”Data Processing Inventory”). CGI kommer att säkerställa att varje ny Behandling av Personuppgifter registreras i teh Data Processing Inventory med relevant information om sammanhanget för varje Behandling av Personuppgifter. CGI kommer att göra ett eller flera register över behandlingar tillgängliga för tillsynsmyndigheten på begäran.

Uppdateringar av Integritetspolicyn

Denna Integritetspolicy kan komma att ändras från tid till annan, vid behov, och CGI kommer att utfärda relevant kommunikation avseende sådana ändringar i god tid.

Frågor, förfrågningar och rättsmedel

Frågor och förfrågningar: Vid frågor relaterade till tolkningen eller tillämpningen av denna policy, eller förfrågningar relaterade till dina Personuppgifter som behandlas av CGI, vänligen

  • skicka ett e-postmeddelande till, privacy@cgi.com, eller
  • kontakta CGI:s Chief Privacy Officer i Paris - Carré Michelet, 10-12 Cours Michelet, 92800 Puteaux, Frankrike, eller
  • fylla i följande onlineformulär.

Oberoende regressmekanism: Om du tror att du har bevis för oegentligheter som kan skada CGI, CGI Partners, dess kunder eller aktieägare, bör du rapportera det genom att använda CGI:s etiska hotline.

CGI strävar efter att upprätthålla starka relationer med dataskyddsmyndigheter och samarbeta med dem i alla relevanta frågor, inklusive eventuella revisionsförfrågningar. CGI kommer också att noga överväga rekommendationer som utfärdats av behöriga dataskyddsmyndigheter i samband med behandling av personuppgifter som utförs av CGI som en del av dess verksamhet.

Om du har någon fråga eller begäran relaterad till dina Personuppgifter som inte hanteras av CGI i enlighet med Tillämplig Dataskyddslagstiftning eller behöver hjälp från någon behörig dataskyddsmyndighet, kan du lämna in ett klagomål eller kontakta den relevanta myndigheten. Nedan finns användbara resurser:

Överprövningsdomstol för dataskydd: Enligt EU:s och USA:s ramverk för dataskydd (EU-U.S. Data Privacy Framework, EU-U.S. DPF), som validerades av Europeiska kommissionen den 10 juli 2023, är dataskyddsöverdomstolen den andra nivån av en tvistlösningsmekanism i två nivåer som tillhandahåller granskning av kvalificerade klagomål från enskilda personer, inlämnade via lämpliga offentliga myndigheter i utsedda främmande länder eller regionala organisationer för ekonomisk integration, som hävdar vissa överträdelser av amerikansk lag om USA:s signalspaningsverksamhet.

Policy ägare

CGI:s Chief Privacy Officer

Godkännande

CGI Executive Management Committee

Datum för ikraftträdande

1 januari 2025

 

Bilaga 1
Ordlista

I denna Integritetspolicy används följande termer med tillhörande definitioner:

Termer Definitioner
Tillämplig Dataskyddslagstiftning

Alla lagar som är tillämpliga på Behandlingen av Personuppgifter, inklusive, utan begränsning och i tillämpliga fall:

(i) den europeiska dataskyddsförordningen 2016/679 (den allmänna dataskyddsförordningen, ”GDPR”) avseende behandling av personuppgifter,

(ii) all tillämplig Lokal Lagstiftning.
BCR Binding Corporate Rules som beskrivs i Bilaga 2 ”Överföring av Personuppgifter”.
Bearbetning, Behandling eller Bearbetad Varje åtgärd eller uppsättning åtgärder som utförs på Personuppgifter, oavsett om det sker automatiserat eller inte, såsom insamling, registrering, organisering, strukturering, lagring, anpassning, ändring, hämtning, konsultation (inklusive fjärråtkomst), användning, utlämnande genom överföring, spridning eller annat tillgängliggörande, justering eller kombination, begränsning, radering eller förstöring.
CGI Partner(s) Anställd(a) hos CGI:s Legala Enheter.
CGI:s juridiska enheter Alla juridiska enheter som direkt eller indirekt kontrolleras av CGI Inc, med undantag för CGI Federal Inc och dess dotterbolag.
CPO Chief Privacy Officer som beskrivs i avsnittet ”CGI:s integritetsorganisation”.
DPF Data Privacy Framework som beskrivs i Bilaga 2 ”Överföring av Personuppgifter”.
Känsliga Personuppgifter Särskilda kategorier av Personuppgifter som avslöjar ras eller etniskt ursprung, politiska åsikter, religiös eller filosofisk övertygelse eller medlemskap i fackförening, och Behandling av genetiska uppgifter, biometriska uppgifter i syfte att entydigt identifiera en fysisk person, uppgifter om hälsa och uppgifter om en fysisk persons sexualliv eller sexuella läggning samt brottsregister.
Lokal lagstiftning Alla lagar som är tillämpliga i de geografiska områden där CGI är verksamt, inklusive men inte begränsat till: dataskydd, säkerhet, arbetsrätt, industrisektorer och konsumentlagstiftning.
Personuppgiftsansvarig Varje enhet som bestämmer ändamålen och medlen för behandling av Personuppgifter. Kunden är Personuppgiftsansvarig när CGI Behandlar Personuppgifter för kundens räkning inom ramen för ett kundprojekt. CGI kan agera som Personuppgiftsansvarig när CGI för sina egna behov implementerar en ny intern lösning som behandlar Personuppgifter.
Personuppgiftsbiträde Varje enhet som agerar på uppdrag av och enligt instruktioner från en Personuppgiftsansvarig. CGI är ett Personuppgiftsbiträde när de behandlar Personuppgifter för sina kunders räkning.
Personuppgifter All information som rör en individ som kan identifieras, direkt eller indirekt, i synnerhet genom hänvisning till en identifierare såsom ett namn, identifikationsnummer, platsdata, online-identifierare eller en eller flera faktorer som är specifika för den fysiska personens fysiska, fysiologiska, genetiska, mentala, ekonomiska, kulturella eller sociala identitet. Personuppgifter inkluderar Känsliga Personuppgifter.
Tredjepartsleverantör Tredje part som anlitas av CGI eller som tillhandahåller varor och/eller tjänster till CGI, inklusive leverantörer, entreprenörer, underleverantörer och frilansare.
Överföring Skicka Personuppgifter till en annan CGI-juridisk enhet eller annan part eller göra Personuppgifterna tillgängliga för den, där den andra CGI-juridiska enheten eller parten inte är belägen i samma land, provins eller geografiska område, enligt vad som beskrivs i Bilaga 2. “Överföring av Personuppgifter”.

 

Bilaga 2
Överföring av Personuppgifter

All Överföring av Personuppgifter måste ske i enlighet med Tillämplig Dataskyddslagstiftning och bestämmelserna i denna Bilaga 2.

1) ÖVERFÖRING INOM CGI

En juridisk person inom CGI som är involverad i en överföring måste säkerställa att lämpliga tekniska och organisatoriska åtgärder som står i proportion till riskerna med behandlingen genomförs i enlighet med denna Integritetspolicy och CGI:s säkerhetspolicyer, processer och standarder. Dessa lämpliga tekniska och organisatoriska åtgärder måste avtalas och anges i ett personuppgiftsbiträdesavtal eller motsvarande.

(I) BINDANDE FÖRETAGSREGLER

CGI får endast Överföra Personuppgifter för personer inom EU i enlighet med Tillämplig Dataskyddslagstiftning och CGI:s bindande företagsregler (”BCR”), godkända av den franska dataskyddsmyndigheten den 22 juli 2021, med eventuella ändringar. BCR är tillämpliga på alla CGI:s juridiska enheter som anges i BCR och varje deltagande CGI:s juridiska enhet är ansvarig för att visa sin efterlevnad av BCR. Alla CGI Partners är bundna av BCR.

För att lära dig mer om våra BCR, vänligen konsultera CGI:s intranät, dess offentliga webbplats och Europeiska dataskyddsstyrelsens register.

(II) EU-US DATA PRIVACY FRAMEWORK (DPF), DEN BRITTISKA UTVIDGNINGEN OCH SWISS-US DPF

I enlighet med det godkännande som beviljats av det amerikanska handelsdepartementet är följande CGI-juridiska enheter självcertifierade enligt EU-US Data Privacy Frameworks (”DPF”), UK Extension och Swiss-US DPF:

  • CGI Technologies and Solutions Inc.
  • CGI Information Systems and Management Consultants (New York) Inc.
  • CGI Group Holdings USA Inc.
  • Accounts Receivable Automated Solutions Inc.

Dessa DPF ger de ovan nämnda CGI-juridiska enheterna tillförlitliga mekanismer för överföring av personuppgifter till USA från Europeiska unionen, Storbritannien och Schweiz samtidigt som de säkerställer dataskydd som överensstämmer med EU:s, Storbritanniens och Schweiz tillämpliga dataskyddslagstiftning.

CGI följer EU-U.S. Data Privacy Framework (EU-U.S. DPF) och UK Extension to the EU-U.S. DPF, och Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF) som fastställts av U.S. Department of Commerce. CGI har intygat till det amerikanska handelsdepartementet att de följer EU-U.S. Data Privacy Framework Principles (EU-U.S. DPF Principles) med avseende på behandling av personuppgifter som erhållits från Europeiska unionen och Storbritannien i enlighet med EU-U.S. DPF och UK Extension to the EU-U.S. DPF. CGI har certifierat till USA:s handelsdepartement att de följer Swiss-U.S. Data Privacy Framework Principles (Swiss-U.S. DPF Principles) med avseende på behandling av personuppgifter som erhållits från Schweiz med stöd av Swiss-U.S. DPF. Om det finns någon konflikt mellan villkoren i denna integritets och principerna i EU-U.S. DPF och/eller principerna i Swiss-U.S. DPF, kommer principerna att ha företräde.

För mer information om Data Privacy Framework (DPF)-programmet och för att se vår certifiering, besök www.dataprivacyframework.gov/.

Federal Trade Commission har jurisdiktion över CGI:s efterlevnad av EU-U.S. Data Privacy Framework (EU-U.S. DPF) och UK Extension to the EU-U.S. DPF, och Swiss-U.S. Data Privacy Framework (Swiss-U.S. DPF).

I samband med en vidareöverföring är CGI ansvarig för behandlingen av Personuppgifter som CGI tar emot enligt DPF-principerna och därefter överför till en Tredjepartsleverantör som agerar som ombud för CGI:s räkning. CGI förblir ansvarigt enligt DPF-principerna om en Tredjepartsleverantör som anlitats av CGI behandlar sådana Personuppgifter på ett sätt som inte är förenligt med DPF-principerna, såvida inte CGI visar att CGI inte är ansvarigt för den händelse som orsakat skadan.

Individer kan, under vissa förutsättningar, åberopa bindande skiljedom för klagomål avseende efterlevnad av DPF som inte har lösts genom någon av de andra DPF-mekanismerna som beskrivs i DPF BILAGA I.

2) ÖVERFÖRING TILL TREDJE PART

På regelbunden basis genomför CGI due diligence och tredjepartsbedömningar av integritets- och säkerhetsrisker med tredjepartsleverantörer som anlitas av CGI, för att fastställa deras företagskapacitet och mognad med avseende på säkerhet och dataskydd.

När CGI anlitar Tredjepartsleverantörer för att behandla Personuppgifter, säkerställer CGI att sådana Tredjepartsleverantörer tillhandahåller en adekvat skyddsnivå för de Personuppgifter de behandlar enligt Tillämplig Dataskyddslagstiftning.

 

Ladda ner integritetspolicy (PDF)

Download Data Privacy Policy (PDF)