Privacy Notice Regarding the Collection and Processing of Privacy Information in the context of whistleblowing alerts and the use of the platform Convercent (“Privacy Notice”)
In the context of whistleblowing alerts and the use of the platform Convercent, Milliman, Inc. and its affiliates (hereafter “Milliman” or “we”) may collect Personal Information related to you or to individuals named in a whistleblowing alert. In this Privacy Notice, “Personal Information” refers to any information that could lead to the identification of a natural person. A natural person can be identified directly through a name or an identification number. However, a natural person can also be identified indirectly through location data, an online identifier, or through one or more factors specific to that person's physical, physiological, genetic, mental, economic, cultural, or social identity.
This Privacy Notice is compliant with applicable data protection laws, including the:
- General Data Protection Regulation (Regulation (EU) 2016/679), the “GDPR”
- UK Data Protection Act 2018
- Manx Data Protection Act 2018
- Swiss Federal Data Protection Act
- Protection of Privacy Law 5741-1981 and the regulations promulgated under it (Israël)
- DIFC Data Protection Law No. 5 of 2020 (UAE)
- Protection of Personal Information Act, or “POPIA” (South Africa)
- law on Protection of Personal Information No. 6698 (Turkey)
- Personal Data Protection Law or “PDPL”, together with the Personal Data Protection Interim Regulations or “PDPIR” (Saudi-Arabia)
hereafter “Applicable Data Protection Laws”.
“You” and “your” refer to the whistleblower reporting wrongdoing (or “Informant”).
The conditions provided for in this Privacy Notice also apply to individuals named in an alert.
I. PURPOSE OF THE COLLECTION OF PERSONAL INFORMATION
The purpose of the collection of Personal Information is:
- the analysis of your claim,
- to conduct investigations, and
- the compliance with applicable laws and regulations (including the European Whistleblower Directive (EU) 2019/1937) and its local laws of application.
II. LEGAL GROUND FOR THE PROCESSING OF PERSONAL INFORMATION
Milliman relies on Article 6 c) GDPR (compliance with a legal obligation), Article 6 f) GDPR (legitimate interests pursued by Milliman) and equivalent provisions in Applicable Data Protection Laws.
III. WHO IS RESPONSIBLE FOR COLLECTING YOUR PERSONAL INFORMATION?
When collecting, using, storing, and transferring your Personal Information, Milliman, Inc. and its affiliates are acting in their capacity as “Data Controller” (or equivalent terms under the various Applicable Data Protection Laws). This means that Milliman, alone, determines the purposes and means of the processing of your Personal Information and that Milliman is responsible for the Processing of your Personal Information.
Milliman uses the cloud-based ethics and compliance platform “Convercent Inc. by One Trust”, whose registered office is at 3858 Walnut Street, Suite #255, Denver CO 80205, (hereafter “Convercent”). Convercent is a software-as-a-service platform (SaaS Platform), which allows Informants to report (anonymously or not) wrongdoing in writing through its web portal.
Convercent is Milliman’s Data Processor (or equivalent terms under the various Applicable Data Protection Laws). It means that Convercent acts upon Milliman’s instructions and on its behalf. Convercent and Milliman are bound by a Data Processing Agreement.
IV. WHO HAS ACCESS TO YOUR PERSONAL INFORMATION?
You have the option to report wrongdoing, through Convercent’s web portal, anonymously or not. The authorized recipients having access to the Personal Information depend on the reporting action you have chosen:
- Non-anonymous reporting action
When you start a non-anonymous reporting action, depending on the relevant workplace , your complaint will be handled by a designated “case owner”, i.e., either (i) by Milliman’s Head of Legal EMEA, who is responsible for the Milliman offices in the EEA, Switzerland, the Isle of Man and the UK, or (ii) by Milliman’s HR Business Partner responsible for the region in which the workplace is located (e.g. the Employment lawyer and HR Generalist or any other person assuming the functions of HR European Business Partner/Officer).
Your identity will not be disclosed to third parties, except (i) as provided for in section VII and (ii) to the judicial authorities, upon your consent, if the analysis of the reporting action confirms the suspicions of a crime, an offense, or a serious violation. If Milliman does not have your consent, Milliman will not disclose your identity, unless required by law. To analyse the merits of a case, Milliman can inform others of the facts on a need-to-know basis but the identity of the whistleblower will remain strictly confidential. For the sake of clarity, the correspondence with external attorneys is not subject to the conditions of this Privacy Notice.
- Anonymous reporting action
Two possibilities are offered to the whistleblower: he/she can decide to remain anonymous to Milliman but not Convercent or to be completely anonymous to both Milliman and Convercent. In both cases, Convercent will send an automatic email alert to Milliman’s regional “case owner” to inform them of the case.
V. WHAT PERSONAL INFORMATION DOES MILLIMAN AND CONVERCENT COLLECT?
The Personal Information that Milliman collects about you or about other individuals depend on the reporting action you have chosen:
(i) Non-anonymous reporting action
When you make a non-anonymous reporting action, or where you have consented to give your identity following an anonymous reporting action, Convercent’s web portal may collect the following data:
- your identity details and contact information;
- employment identifiers (location ID and name, department ID and name);
- your email used for the alert;
- the location and the date when the issue occurred;
- the identity of the people identified in the reporting action;
- the facts under scrutiny;
- the necessary items gathered in order to investigate the action;
- the reports of investigation;
- the reporting action’s follow-up;
- information about witnesses.
The processed data may include sensitive data (or special category of personal data) within the meaning of Applicable Data Protection Laws, such as the reference to individuals’ race or ethnic origin, political opinion, religious or philosophical belief, trade union membership, health, sex life, sexual orientation or criminal convictions or offenses.
At the request of the case owner, the Informant shall provide any document that may support the claim. Any conversation may be transcribed into a durable and retrievable form, based on the consent of the Informant. The conversation will be subject to verification, correction and approval by the Informant. In the event of an arranged meeting, based on the consent of the Informant, a complete and accurate record of the meeting may be kept in a durable and retrievable form. The record of the meeting shall be subject to verification, correction and approval by the Informant.
(ii) Anonymous reporting action
You will have the possibility to share your Personal Information (the same data as listed in (i) above) with only Convercent or neither Convercent nor Milliman.
Convercent and Milliman, Inc. have agreed that Convercent must not provide Milliman with any information from which the identity of an anonymous whistleblower may be determined. Milliman will not use any monitoring or tracing of internet access, or other means to try to identify which person provided a particular message.
VI. HOW AND HOW LONG ARE YOUR PERSONAL INFORMATION STORED?
Milliman and Convercent maintain accurate data and, where necessary, keep the data up to date; every reasonable step is taken to ensure that Personal Information that is inaccurate, irrelevant, and not limited to what is strictly necessary, considering its processing purposes, is erased or rectified without delay. For instance, if a whistleblower reports that a colleague has defrauded Milliman, if, within the statement, the whistleblower also discloses information about that colleague’s health situation, this information, to the extent it is irrelevant to the reported wrongdoing, will, where possible, not be retained.
Once the case is analyzed, and no action is taken, Milliman will destroy the Personal Information within two months after the case is closed. If a disciplinary or judicial procedure is initiated, the data will be retained until the end of the procedure. Personal Information outside the scope of the procedure will be destroyed. You will be informed about the date of the closing, to the extent permitted by law.
VII. TRANSFER TO THIRD PARTIES
Convercent uses the cloud provider Microsoft Azure. When using the Convercent web portal, your Personal Information is stored in the cloud in Ireland, or the Netherlands. As part of the services provided by Convercent’s administrative and IT staff working in the USA (Denver), your Personal Information may be accessed by these employees in Denver, subject to strict security measures (use of a Jump Box and a VPN tunnel). The transfer is covered by appropriate contractual guarantees to protect your Personal Information in accordance with Applicable Data Protection Laws.
VIII. SECURITY MEASURES
Milliman has reviewed and vetted Convercent’s IT security. Convercent has data protection and data security measures and processes in place in its software and hardware, in its IT security program, and in its standard operating procedures (“Privacy by Design”). Convercent also secured the following certifications: ISO27001, HI TRUST, SOC2 and NIST.
IX. YOUR RIGHTS
At any point while Milliman and/or Convercent is in possession of your Personal Information, you have the following rights:
Right to access your Personal Information – you may ask us to confirm what information we hold about you at any time.
Right to ask for rectification – you have a right to correct inaccurate or incomplete Personal Information.
Right to object to the Processing of your Personal Information – you have the right to object to the Processing of your Personal Information, where Milliman does so for its legitimate interest, unless 1) Milliman can demonstrate compelling legitimate grounds for the Processing, which override your interests and rights, or 2) Milliman has a lawful basis to process your Personal Information.
Right to be forgotten – you have the right to request that Milliman erase your Personal Information in certain circumstances: i.e., where the data are no longer necessary for the purpose for which Milliman originally collected and/or processed them (i.e., after the 2-month retention period once the case is closed); the data has been processed unlawfully, or because you have a legitimate interest overriding Milliman’s legitimate grounds.
Right to restriction of Processing – in specific circumstances you have the right to restrict the Processing: 1) inaccuracy of your Personal Information, 2) unlawfulness of the Processing of your Personal Information, and 3) Milliman no longer needs the Personal Information (i.e., after the 2-month retention period once the case is closed) and you need the Information for the establishment, exercise or defense of legal claims (in order for you to exercise this right, Milliman will ensure that you will be duly informed of the case’s closing date);
These rights will not apply in cases of prevention, investigation, detection or prosecution of criminal offenses, to the extent supported by applicable national laws.
If Milliman refuses your request, Milliman will provide you with the reason for refusal. The request must be addressed to Milliman at the following address: [email protected]. A response will be given to you at the latest one month after the date of receipt of the request.
X. DATA PROTECTION OFFICER
For any questions regarding this Privacy Notice, you can contact Milliman’s Data Protection Officer at [email protected].
XI. CLAIM WITH THE SUPERVISORY AUTHORITY
You have the right to lodge a complaint with your local Supervisory Authority according to Applicable Data Protection Laws.
- the previous or current place of employment where the position, internship at Milliman (as an employee, former employee, contractor or trainee, whether paid or unpaid) or on behalf of Milliman (as an employee of Milliman's suppliers or contractors) is/was performed
- the place of employment applied for with Milliman (for applicants)
- the previous or current place of employment at which a person is related to Milliman as a member of the administrative, management or supervisory body, as a non-executive member, a volunteer, or a self-employed person
Declaração de Privacidade referente à coleta e processamento de informações de privacidade no contexto de alertas de denúncia e o uso da plataforma Convercent ("Declaração de Privacidade")
No contexto de alertas de denúncia e do uso da plataforma Convercent, Milliman, Inc. e suas afiliadas (doravante "Milliman" ou "nós") podem coletar Informações Pessoais relacionadas a você ou a indivíduos nomeados em um alerta de denúncia. Nesta Declaração de Privacidade, "Informações Pessoais" refere-se a qualquer informação que possa levar à identificação de uma pessoa física. Uma pessoa física pode ser identificada diretamente através de um nome ou de um número de identificação. Entretanto, uma pessoa física também pode ser identificada indiretamente através de dados de localização, um identificador on-line ou através de um ou mais fatores específicos da identidade física, fisiológica, genética, mental, econômica, cultural ou social dessa pessoa.
Esta Declaração de Privacidade está em conformidade com as leis de proteção de dados aplicáveis, incluindo as leis de proteção de dados:
- Regulamento Geral de Proteção de Dados (Regulamento (UE) 2016/679), o "GDPR
- Lei de Proteção de Dados do Reino Unido de 2018
- Manx Data Protection Act 2018
- Lei federal suíça de proteção de dados
- Proteção da Lei de Privacidade 5741-1981 e os regulamentos promulgados sob ela (Israël)
- DIFC Lei de Proteção de Dados Nº 5 de 2020 (EAU)
- Lei de Proteção de Informações Pessoais, ou "POPIA" (África do Sul)
- Lei de Proteção de Informações Pessoais No. 6698 (Turquia)
- Lei de Proteção de Dados Pessoais ou "PDPL", juntamente com o Regulamento Interino de Proteção de Dados Pessoais ou "PDPIR" (Saudi-Arabia)
doravante "Leis de proteção de dados aplicáveis".
"Você" e "seu" se referem ao denunciante que relata condutas irregulares (ou "Informante").
As condições previstas nesta Declaração de Privacidade também se aplicam aos indivíduos indicados em um alerta.
I. OBJETIVO DA COLETA DE INFORMAÇÕES PESSOAIS
A finalidade da coleta de informações pessoais é:
- a análise de sua notificação de incidente,
- para conduzir investigações, e
- o cumprimento das leis e regulamentos aplicáveis (incluindo a Diretiva Européia sobre Denúncias (EU) 2019/1937) e suas leis locais de aplicação.
II. FUNDAMENTO LEGAL PARA O PROCESSAMENTO DE INFORMAÇÕES PESSOAIS
Milliman se baseia no Artigo 6 c) GDPR (cumprimento de uma obrigação legal), Artigo 6 f) GDPR (interesses legítimos perseguidos por Milliman) e disposições equivalentes nas Leis Aplicáveis de Proteção de Dados.
III. QUEM É RESPONSÁVEL PELA COLETA DE SUAS INFORMAÇÕES PESSOAIS?
Ao coletar, usar, armazenar e transferir suas informações pessoais, Milliman, Inc. e suas afiliadas estão agindo na qualidade de "Controlador de Dados" (ou termos equivalentes sob as várias Leis de Proteção de Dados Aplicáveis). Isto significa que Milliman, sozinho, determina os propósitos e meios de processamento de seus Dados Pessoais e que Milliman é responsável pelo Processamento de seus Dados Pessoais.
Convercent é o Processador de Dados de Milliman (ou termos equivalentes sob as várias Leis de Proteção de Dados Aplicáveis). Isso significa que a Convercent age sob as instruções de Milliman e em seu nome. Convercent e Milliman estão vinculados por um Acordo de Processamento de Dados.
IV. QUEM TEM ACESSO ÀS SUAS INFORMAÇÕES PESSOAIS ?
Você tem a opção de denunciar condutas irregulares, através do portal da Convercent, de forma anônima ou não. Os destinatários autorizados que têm acesso às Informações Pessoais dependem da ação de denúncia que você tiver escolhido:
- Ação de denúncia não anônima
Quando você inicia uma ação de denúncia não anônima, dependendo do local de trabalho relevante, sua reclamação será tratada por um "proprietário do caso" designado, ou seja, (i) pelo Chefe da EMEA Legal de Milliman, que é responsável pelos escritórios de Milliman na EEA, Suíça, Ilha de Man e Reino Unido, ou (ii) pelo Parceiro de Negócios de RH de Milliman responsável pela região na qual o local de trabalho está localizado (por exemplo, o Advogado em Direito do Trabalho e « HR Generalist »ou qualquer outra pessoa assumindo as funções de « European HR Business Partner/Officer »).
Sua identidade não será revelada a terceiros, exceto (i) como previsto na seção VII e (ii) às autoridades judiciais, mediante seu consentimento, se a análise da ação de denúncia confirmar as suspeitas de um crime, de uma ofensa ou de uma violação grave. Se Milliman não tiver seu consentimento, Milliman não revelará sua identidade, a menos que exigido por lei. Para analisar os méritos de um caso, Milliman pode informar os outros sobre os fatos com base na necessidade de conhecimento, mas a identidade do denunciante permanecerá estritamente confidencial. Para fins de clareza, a correspondência com advogados externos não está sujeita às condições desta Declaração de Privacidade.
- Ação de denúncia anônima
Duas possibilidades são oferecidas ao denunciante: ele pode decidir permanecer anônimo para Milliman mas não Convercent ou ser completamente anônimo tanto para Milliman quanto para Convercent. Em ambos os casos, a Convercent enviará um alerta automático por e-mail ao "proprietário do caso" regional do Milliman para informá-lo sobre o caso.
V. QUE INFORMAÇÕES PESSOAIS MILIMAN E CONVERCENTES COLETAM?
As informações pessoais que Milliman coleta sobre você ou sobre outros indivíduos dependem da ação de comunicação que você escolheu:
(i) Ação de denúncia não anônima
Quando você faz uma ação de denúncia não anônima, ou quando você consentiu em dar sua identidade após uma ação de denúncia anônima, o portal da Convercent pode coletar os seguintes dados:
- seus dados de identidade e informações de contato;
- identificadores de emprego (ID e nome do local, ID e nome do departamento);
- seu e-mail usado para o alerta;
- o local e a data em que a questão ocorreu;
- a identidade das pessoas identificadas na denúncia;
- os fatos sob escrutínio;
- os itens necessários reunidos a fim de investigar a ação;
- os relatórios de investigação;
- o acompanhamento da ação de relatório;
- informações sobre testemunhas.
Os dados processados podem incluir dados sensíveis (ou categorias especiais de dados pessoais) dentro do significado das Leis de Proteção de Dados Aplicáveis, tais como a referência à raça ou origem étnica dos indivíduos, opinião política, crença religiosa ou filosófica, filiação sindical, saúde, vida sexual, orientação sexual ou condenações ou ofensas criminais.
A pedido do proprietário do caso, o informante deverá fornecer qualquer documento que possa sustentar a reclamação. Qualquer conversa poderá ser transcrita em uma forma durável e recuperável, com base no consentimento do Informante. A conversa será sujeita à verificação, correção e aprovação do Informante. No caso de uma reunião marcada, com base no consentimento do Informante, um registro completo e preciso da reunião poderá ser mantido em um formulário durável e recuperável. O registro da reunião estará sujeito à verificação, correção e aprovação do Informante.
(ii) Ação de denúncia anônima
Você terá a possibilidade de compartilhar suas Informações Pessoais (os mesmos dados listados em (i) acima) apenas com Convercent ou nem Convercent nem Milliman.
Convercent e Milliman, Inc. concordaram que a Convercent não deve fornecer a Milliman nenhuma informação a partir da qual a identidade de um denunciante anônimo possa ser determinada. Milliman não utilizará nenhum monitoramento ou rastreamento do acesso à Internet, ou outros meios para tentar identificar qual pessoa forneceu uma determinada mensagem.
VI. COMO E POR QUANTO TEMPO SUAS INFORMAÇÕES PESSOAIS SÃO ARMAZENADAS?
Milliman e Convercent mantêm dados precisos e, quando necessário, mantêm os dados atualizados; cada passo razoável é tomado para assegurar que as Informações Pessoais que são imprecisas, irrelevantes e não limitadas ao estritamente necessário, considerando seus propósitos de processamento, sejam apagadas ou retificadas sem demora. Por exemplo, se um denunciante denunciar que um colega defraudou Milliman, se, dentro da declaração, o denunciante também revelar informações sobre a situação de saúde desse colega, estas informações, na medida em que sejam irrelevantes para o delito denunciado, não serão, quando possível, retidas.
Uma vez que o caso for analisado e nenhuma ação for tomada, Milliman destruirá as Informações Pessoais dentro de dois meses após o encerramento do caso. Se um procedimento disciplinar ou judicial for iniciado, os dados serão retidos até o final do procedimento. As Informações Pessoais fora do escopo do procedimento serão destruídas. Você será informado sobre a data do encerramento, na medida do permitido por lei.
VII. TRANSFERÊNCIA PARA TERCEIROS
Convercent usa o fornecedor de nuvens Microsoft Azure. Ao utilizar o portal da Convercent, suas informações pessoais são armazenadas na nuvem na Irlanda, ou na Holanda. Como parte dos serviços prestados pelo pessoal administrativo e de TI da Convercent que trabalha nos EUA (Denver), suas Informações Pessoais podem ser acessadas por esses funcionários em Denver, sujeito a medidas rigorosas de segurança (uso de um Jump Box e de um túnel VPN). A transferência é coberta por garantias contratuais apropriadas para proteger suas Informações Pessoais de acordo com as Leis de Proteção de Dados Aplicáveis.
VIII. MEDIDAS DE SEGURANÇA
Milliman revisou e vetou a segurança de TI da Convercent. A Convercent tem medidas e processos de proteção e segurança de dados em seu software e hardware, em seu programa de segurança de TI e em seus procedimentos operacionais padrão ("Privacy by Design"). A Convercent também obteve as seguintes certificações: ISO27001, HI TRUST, SOC2 e NIST.
IX. SEUS DIREITOS
A qualquer momento enquanto Milliman e/ou Convercent estiver na posse de suas informações pessoais, você tem os seguintes direitos:
Direito de acesso às suas informações pessoais - você pode nos pedir para confirmar quais informações temos a seu respeito a qualquer momento.
Direito de pedir retificação - você tem o direito de corrigir informações pessoais imprecisas ou incompletas.
Direito de objeção ao Processamento de suas Informações Pessoais - você tem o direito de objeção ao Processamento de suas Informações Pessoais, onde Milliman o faz por seu legítimo interesse, a menos que 1) Milliman possa demonstrar bases legítimas e convincentes para o Processamento, que se sobreponham a seus interesses e direitos, ou 2) Milliman tenha uma base legal para processar suas Informações Pessoais.
Direito a ser esquecido - você tem o direito de solicitar que Milliman apague seus dados pessoais em certas circunstâncias: isto é, quando os dados não são mais necessários para o propósito para o qual Milliman originalmente os coletou e/ou processou (isto é, após o período de retenção de 2 meses uma vez que o caso seja encerrado); os dados foram processados ilegalmente, ou porque você tem um interesse legítimo que prevalece sobre os fundamentos legítimos de Milliman.
Direito à restrição do Processamento - em circunstâncias específicas, você tem o direito de restringir o Processamento: 1) inexatidão de seus Dados Pessoais, 2) ilegalidade do Processamento de seus Dados Pessoais, e 3) Milliman não precisa mais dos Dados Pessoais (isto é, após o período de retenção de 2 meses uma vez encerrado o caso) e você precisa dos Dados para o estabelecimento, exercício ou defesa de reclamações legais (para que você possa exercer este direito, Milliman assegurará que você será devidamente informado sobre a data de encerramento do caso);
Estes direitos não se aplicarão em casos de prevenção, investigação, detecção ou acusação de delitos criminais, na medida em que apoiados pelas leis nacionais aplicáveis.
Caso Milliman recuse seu pedido, Milliman lhe fornecerá o motivo da recusa. O pedido deve ser endereçado ao Milliman no seguinte endereço: [email protected]. Uma resposta será dada a você no máximo um mês após a data de recebimento do pedido.
X. RESPONSÁVEL PELA PROTEÇÃO DE DADOS
Para qualquer pergunta sobre esta Declaração de Privacidade, você pode entrar em contato com o Encarregado de Proteção de Dados de Milliman em [email protected].
XI. RECLAMAÇÃO JUNTO À AUTORIDADE FISCALIZADORA
Você tem o direito de apresentar uma reclamação à sua Autoridade Supervisora local de acordo com as Leis de Proteção de Dados Aplicáveis.
1"local de trabalho" entendido como:
- o local de trabalho anterior ou atual onde o cargo, estágio no Milliman (como empregado, ex-empregado, empreiteiro ou estagiário, remunerado ou não) ou em nome do Milliman (como empregado de fornecedores ou empreiteiros do Milliman) é/foram realizado)
- o local de trabalho solicitado com Milliman (para candidatos)
- o local de trabalho anterior ou atual no qual uma pessoa está relacionada a Milliman como membro do órgão de administração, administração ou supervisão, como membro não executivo, como voluntário ou como autônomo