Este Acuerdo de Tratamiento de Datos (“DPA”) es un adendum al Acuerdo entre la Empresa y el Cliente, que describe las funciones respectivas de las partes en el tratamiento y el control de los Datos Personales que el Cliente proporciona a la Empresa como parte del Servicio de Suscripción. Cualquier término con mayúsculas que no se defina aquí tendrá el significado que se le atribuye en el Acuerdo. Este DPA se terminará automáticamente con la terminación o expiración del Acuerdo. Nada en este DPA afectará la aplicación de la ley aplicable y la jurisdicción bajo el Acuerdo, que se aplica a todos los reclamos presentados en virtud del Acuerdo y de este DPA.
1. DEFINICIONES
“Afiliado”significa cualquier entidad legal que controle una parte, que controle a una parte o que esté bajo su control común. Para los fines de esta definición, “control” significa más del 50% de participación en una entidad.
“Acuerdo”significa el acuerdo entre la Empresa y el Cliente para la prestación del Servicio de Suscripción”.
“Empresa”significa la entidad jurídica de la Empresa identificada en el Formulario de Pedido y/o SOW correspondiente.
“Grupo de empresas” significa Dilicheck S.L. y sus filiales.
“Cliente” significa la entidad jurídica del cliente identificada en el Formulario de Pedido y/o SOW correspondiente.
“Legislación sobre protección de datos”’ se entenderá por “cualquier ley, reglamento, directiva o guía aplicable que regule la protección, el tratamiento, el almacenamiento, la transmisión o la seguridad de los datos personales, la privacidad o los derechos de los interesados en cualquier jurisdicción en la que las partes operen o presten servicios. Esto incluye, pero no se limita a, el Reglamento General de Protección de Datos (UE) 2016/679 (”RGPD de la UE”), y cualquier otra ley o reglamento aplicable de protección de datos o privacidad de naturaleza similar en cualquier jurisdicción en la que los Datos Personales sean tratados en virtud del presente Acuerdo, y cualquier otra ley o reglamento vigente o futuro de naturaleza similar (todos ellos, en su versión enmendada, actualizada o reeditada de vez en cuando).
“Titular de datos”significa cualquier persona física que pueda ser identificada, directa o indirectamente, mediante el uso de datos personales, incluyendo, pero no limitándose a, personas como clientes, empleados, usuarios, contratistas o cualquier otra persona identificable.”.
“Datos personales”Se entiende por “información” cualquier información, en cualquier forma, relativa a una persona física identificada o identificable. Una persona identificable es aquella que puede ser identificada, directa o indirectamente, por referencia a uno o más factores, incluidos, pero no limitados a, un nombre, un número de identificación, datos de ubicación, un identificador en línea o factores específicos de su identidad física, fisiológica, genética, mental, económica, cultural o social.
“Procesando”significa cualquier operación o conjunto de operaciones que se realicen con datos personales o conjuntos de datos personales, ya sea por medios automatizados o no, tales como la recopilación, registro, organización, estructuración, almacenamiento, adaptación o modificación, recuperación, consulta, uso, divulgación por transmisión, difusión o cualquier otra forma de puesta a disposición, alineación o combinación, restricción, borrado o destrucción.
“Cláusulas contractuales estándar” significa las cláusulas contractuales estándar para la transferencia de datos de los controladores del Espacio Económico Europeo a los procesadores establecidos fuera del Espacio Económico Europeo, emitidas por la Comisión Europea en vigor en la fecha de esta DPA, según lo dispuesto en http s://eure-lex.europa.eu/legale-contenido/EN/TXT/PDF/?uri=CELX:32021 D 0914
“País tercero”significa cualquier país que no tenga un sistema que garantice una protección adecuada”.
2. ÁMBITO DE APLICACIÓN DE LA DPA
Con respecto a cualquier Información Personal proporcionada por el Cliente a la Empresa como parte del Acuerdo, la Empresa actúa como Procesador y el Cliente actúa como Controlador.
3. TRATAMIENTO DE DATOS PERSONALES
- En la medida en que la Compañía actúa como Procesador en nombre del Cliente, para los fines del Acuerdo:
- El tipo de Datos Personales y las categorías de Titulares de Datos son: nombre y apellidos, dirección de correo electrónico, número de teléfono, dirección postal (de correo postal); y
- La naturaleza y el propósito del procesamiento son permitir a la Empresa ofrecer servicios de Representante de la UE de conformidad con el artículo 27 del RGPD, incluyendo la gestión y facilitación de las solicitudes de los sujetos de datos, y la duración del procesamiento será el plazo del acuerdo.
- La Empresa deberá cumplir con sus obligaciones en virtud de la Legislación de Protección de Datos y, en particular:
- procesar los Datos Personales solo en la medida necesaria para los fines especificados en el presente documento y, cuando corresponda, de conformidad con las instrucciones escritas del Cliente;
- implementar medidas técnicas y organizativas adecuadas de conformidad con la legislación de protección de datos para garantizar un nivel de seguridad adecuado a los riesgos que plantea dicho tratamiento;
- procesar cualquier dato personal en un país tercero mediante otra entidad del Grupo de Empresas o subcontratistas únicamente de conformidad con los términos de las Cláusulas Contractuales Estándar;
- garantizar que todos los empleados o otras personas autorizadas para procesar los Datos Personales estén sujetos a obligaciones de confidencialidad adecuadas;
- No contratar a ningún tercero para que lleve a cabo sus obligaciones de tratamiento de datos conforme a este acuerdo sin obtener el consentimiento previo por escrito del Cliente, y con el fin de este subapartado (v), las partes acuerdan que la Compañía puede contratar a su socio de alojamiento para que lleve a cabo sus obligaciones de tratamiento de datos de conformidad con el Acuerdo y una entidad del Grupo de la Compañía también puede llevar a cabo obligaciones de tratamiento de datos de conformidad con el subapartado (ii) anterior;
- notificar al Cliente, tan pronto como resulte razonablemente factible, sobre cualquier solicitud de información o reclamación recibida de los Titulares de Datos sin responder a dicha solicitud (a menos que haya recibido autorización para hacerlo por parte del Cliente o conforme a la legislación aplicable), y ayudar al Cliente mediante medidas técnicas y organizativas, en la medida de lo razonablemente posible, para el cumplimiento de las obligaciones del Cliente con respecto a dichas solicitudes y reclamaciones;
- a petición del Cliente y teniendo en cuenta la naturaleza del tratamiento y la información disponible para la Empresa, ayudar al Cliente a garantizar el cumplimiento de sus obligaciones en virtud de la Legislación de Protección de Datos (en su caso) con respecto a: (a) la implementación de medidas técnicas y organizativas adecuadas; (b) cuando corresponda, notificar las violaciones de datos personales a la autoridad supervisora pertinente y/o comunicarlas al Titular de los Datos de acuerdo con la Legislación de Protección de Datos aplicable; y (c) cuando sea necesario, realizar y/o revisar y, en su caso, consultar con la autoridad supervisora pertinente con respecto a las evaluaciones de impacto en protección de datos;
- a petición del Cliente, poner a su disposición toda la información necesaria para demostrar el cumplimiento de la Compañía con lo dispuesto en este apartado 3; y
- en el momento de la terminación o expiración del Acuerdo, destruya todos los Datos Personales y elimine todas las copias existentes de dichos Datos Personales, salvo en los casos exigidos por la ley aplicable.
4. OBLIGACIONES DEL CLIENTE
El Cliente confirma que tiene la autoridad necesaria (en caso de ser requerida) de todos los sujetos de datos relevantes para que la Compañía pueda utilizar y procesar dichos Datos Personales de acuerdo con el Contrato. El Cliente deberá cumplir con todas las leyes aplicables en materia de protección de datos, incluyendo: (i) proporcionar todos los avisos y divulgaciones apropiados a todos los sujetos de datos sobre la recopilación, el uso, el procesamiento y la transferencia de Datos Personales por parte de la Compañía, la Compañía y cualquier tercero que actúe en nombre del Cliente; (ii) obtener todos los derechos necesarios y los consentimientos exigibles de los sujetos de datos para permitir que la Compañía procese Datos Personales con fines de cumplir con las obligaciones de la Compañía, o según lo permitido de otro modo en virtud del Contrato; y (iii) obtener expresos consentimientos de los sujetos de datos y cumplir con todas las leyes aplicables en materia de protección de datos, si la Compañía recopila o transfiere cualquier categoría especial de datos personales. El Cliente reconoce que los Servicios de Suscripción de la Empresa no están diseñados para recopilar ni procesar ninguna categoría especial de datos personales.
5. TRANSFERENCIA INTERNACIONAL DE DATOS
- Las partes reconocen que la prestación de los Servicios puede implicar la transmisión de Datos Personales desde el Espacio Económico Europeo (“EEE”) a jurisdicciones situadas fuera del EEE que no ofrecen un nivel adecuado de protección de datos en el sentido de la legislación aplicable en materia de protección de datos (“Países Terceros”). El Procesador garantizará que dichas transferencias se realicen de conformidad con la legislación aplicable en materia de protección de datos y estén sujetas a las salvaguardias adecuadas diseñadas para garantizar que los Datos Personales permanezcan protegidos a un nivel sustancialmente equivalente al exigido en virtud del RGPD.
- Transferencias de procesador a controlador
En la medida en que el Procesador transfiera Datos Personales al Controlador en un Tercer País en relación con los Servicios:
a) las partes acuerdan que dichas transferencias estarán regidas por las Cláusulas contractuales estándar (Decisión de Ejecución de la Comisión (UE) 2021/914);
(b) las partes acuerdan expresamente que se aplicará el módulo 4 (Procesador a Controlador) de las Cláusulas contractuales estándar;
(c) El Procesador actuará como exportador de datos y el Controlador como importador de datos, conforme a las Cláusulas contractuales estándar;
(d) Las Cláusulas contractuales estándar se incorporan a este DPA por referencia y se detallan íntegramente en el Anexo IV, formando parte integrante del presente Acuerdo.
- Transferencias a subprocesadores
Cuando el Procesador contrate a Subprocesadores ubicados en Países Terceros:
a) El Procesador garantizará que dichas transferencias estén sujetas a salvaguardias adecuadas de conformidad con la legislación de protección de datos;
(b) Cuando corresponda, estas salvaguardias incluirán la aplicación de las Cláusulas contractuales estándar, incluido el módulo 3 (Entre procesador y procesador), entre el procesador y el subprocesador correspondiente;
(c) El Procesador impondrá a todos los Subprocesadores obligaciones contractuales que no sean menos protectivas que las establecidas en este DPA;
(d) El Procesador seguirá siendo plenamente responsable ante el Controlador por el cumplimiento de las obligaciones de sus Subprocesadores.
- Evaluaciones adicionales de los efectos de los salvaguardias y la transferencia
El Procesador deberá:
a) implemente medidas técnicas y organizativas adecuadas para proteger los Datos Personales durante la transferencia y el procesamiento posterior, incluyendo, cuando corresponda, medidas como la encriptación en tránsito; controles de acceso; medidas de minimización de datos;
(b) evaluar, caso por caso, cuando sea necesario, si las leyes y prácticas del tercer país pueden afectar a la eficacia de las salvaguardas implementadas, incluidos los Cláusulas contractuales estándar;
(c) De acuerdo con una solicitud razonable, proporcionar al Controlador la información necesaria razonablemente para demostrar el cumplimiento de esta Cláusula, incluidos los aspectos relevantes de cualquier evaluación del impacto de la transferencia.
- Cambios en el marco legal
Si (a) las Cláusulas contractuales estándar se invalidan, modifican o sustituyen; o (b) una autoridad supervisora competente o un tribunal determine que las salvaguardias invocadas ya no son adecuadas, las partes cooperarán de buena fe para implementar mecanismos alternativos de transferencia o medidas complementarias necesarias para garantizar el cumplimiento de la Legislación de protección de datos; y si no se puede implementar ningún mecanismo de este tipo, el Controlador podrá suspender o terminar las transferencias afectadas sin penalización alguna.
- Prioridad de las salvaguardas
En caso de cualquier conflicto entre este DPA y las Cláusulas contractuales estándar, las Cláusulas contractuales estándar prevalecerán en la medida necesaria para garantizar el cumplimiento de la legislación aplicable en materia de protección de datos.
6. SUBPROCESSADOR
- El Cliente acepta que la Compañía pueda contratar a subprocesadores externos (conjuntamente, “Subprocesadores”), así como a las entidades del Grupo de la Compañía, para procesar los Datos Personales en nombre de la Compañía. Los actuales Subprocesadores de la Compañía se enumeran en este documento y se actualizarán periódicamente. La Compañía hará todos los esfuerzos razonables para notificar al Cliente cualquier cambio importante en sus Subprocesadores, dándole así a este la oportunidad de plantear cualquier objeción razonable a dichos cambios. Si el Cliente puede demostrar razonablemente que la designación de un nuevo Subprocesador tendrá un efecto negativo material en la capacidad de la Compañía para cumplir con la legislación aplicable en materia de protección de datos, deberá notificarlo por escrito a la Compañía dentro de diez (10) días hábiles a partir de esa fecha, indicando los motivos razonables de su objeción al uso de un nuevo Subprocesador.
- Tras recibir la objeción por escrito del Cliente a un cambio material en los subprocesadores de la Compañía, el Cliente y la Compañía trabajarán juntos sin demora indebida para recomendar un acuerdo alternativo. Si se cumplen todas las siguientes condiciones: a) no se encuentra un acuerdo alternativo mutuamente aceptable y razonable; b) el Cliente tiene derecho a la terminación de acuerdo con la legislación aplicable en materia de protección de datos, y c) el Cliente haya notificado por escrito a la Compañía con prontitud de conformidad con esta sección, el Cliente solo podrá terminar el acuerdo con respecto a aquellos servicios que la Compañía no puede proporcionar sin el uso del nuevo subprocesador. A menos que lo prohíba la legislación aplicable en materia de protección de datos, en caso de una terminación anticipada por parte del Cliente, la Compañía podrá retener o exigir el pago de los servicios hasta el final del periodo contractual actual del acuerdo para los servicios terminados.
- La Compañía impondrá términos similares de protección de datos a dicho subprocesador y seguirá siendo responsable de cualquier incumplimiento del DPA causado por dicho subprocesador en la medida en que dicho incumplimiento sea causado por cualquier acto u omisión negligente de la Compañía.
7. AUDITORÍA
A petición escrita y previa notificación razonable (no inferior a treinta días), la Compañía pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en este Acuerdo de Protección de Datos y para permitir y contribuir a auditorías razonables de sus instalaciones de procesamiento, incluidas las inspecciones, realizadas por el Cliente, por otro auditor independiente mandado por el Cliente o por una autoridad supervisora. El Cliente podrá realizar una auditoría o inspección de las actividades de procesamiento de la Compañía cada doce (12) meses, mediante un cuestionario seguido de una llamada de seguimiento según sea necesario, salvo que la legislación aplicable en materia de protección de datos exija lo contrario o en caso de una confirmación de una infracción de datos personales que afecte a los datos personales del Cliente. La Compañía acepta que las autoridades de supervisión tienen derecho a realizar una auditoría de las instalaciones de procesamiento de la Compañía en el mismo ámbito y bajo las mismas condiciones que la autoridad de supervisión aplicaría a una auditoría de un Controlador de Datos de conformidad con las legislaciones aplicables en materia de protección de datos. La Compañía informará prontamente al Cliente de la existencia de la legislación aplicable a la Compañía o de cualquier Subprocesador aprobado que impida la realización de una auditoría de conformidad con el presente apartado. En tal caso, el Cliente tendrá derecho a suspender la transferencia de cualquier dato personal.
8. RESPONSABILIDAD
La responsabilidad de cada Parte con arreglo a este DPA estará sujeta a las limitaciones y exclusiones establecidas en los Términos Generales de Suscripción y Servicios o en acuerdos similares ejecutados entre las Partes.
9. Ley aplicable
Esta DPA estará regida por las leyes especificadas en los Términos de suscripción y servicios – Condiciones estándar o cualquier acuerdo similar ejecutado entre las partes.