Acuerdo de Tratamiento de Datos (DPA)

1. Definiciones

A los efectos de este Acuerdo, las siguientes expresiones tendrán los significados que se indican a continuación, salvo que el contexto exija otra cosa:

"Leyes de Protección de Datos Aplicables" significa el Reglamento General de Protección de Datos 2016/679 («RGPD») una vez que entre en vigor, así como cualquier ley, estatuto, declaración, decreto, directiva, disposición legislativa, orden, ordenanza, reglamento, norma u otro instrumento vinculante del Estado miembro del Responsable del Tratamiento que implemente el RGPD, la Directiva de Protección de Datos 95/46/CE y la Directiva de Privacidad Electrónica 2002/58/CE (en cada caso, en su versión modificada, consolidada, reformulada o sustituida periódicamente);

"Datos Personales del Cliente" significa los Datos Personales proporcionados por el Responsable del Tratamiento al Encargado del Tratamiento para su Tratamiento en nombre del Responsable del Tratamiento en virtud de las Condiciones de Servicio;

"Interesado" significa las personas físicas vivas que son objeto de los Datos Personales del Cliente;

"Cláusulas Tipo" significa las cláusulas contractuales tipo para la transferencia de Datos Personales a encargados del tratamiento establecidos en Terceros Países, establecidas en la Decisión de la Comisión de 5 de febrero de 2010 (C(2010) 593), modificada por la Decisión de Ejecución (UE) 2016/2297 de la Comisión, de 16 de diciembre de 2016;

"Datos Personales" y "Tratar", "Tratados" o "Tratamiento" tienen el significado que se les atribuye en el RGPD;

"Autoridad de Control" significa la autoridad de supervisión de protección de datos que tiene jurisdicción sobre el Tratamiento de Datos Personales por parte del Responsable del Tratamiento; y

"Terceros Países" significa todos los países que quedan fuera del ámbito de las leyes de protección de datos del Espacio Económico Europeo («EEE»), excluyendo los países que la Comisión Europea reconozca periódicamente como garantes de un nivel de protección adecuado para los Datos Personales.

2. Condiciones del Tratamiento

Este Acuerdo regula los términos en virtud de los cuales el Encargado del Tratamiento debe Tratar los Datos Personales del Cliente en nombre del Responsable del Tratamiento. En caso de conflicto o discrepancia entre los términos de las Condiciones de Servicio y este Acuerdo, prevalecerán los términos de este Acuerdo, en la medida en que exista dicho conflicto.

3. Obligaciones del Encargado del Tratamiento

1. El Encargado del Tratamiento únicamente Tratará los Datos Personales del Cliente en nombre del Responsable del Tratamiento y de conformidad con los fines de la prestación de los Servicios. Si el Encargado del Tratamiento no puede garantizar dicho cumplimiento por cualquier motivo (incluido el caso de que la instrucción infrinja las Leyes de Protección de Datos Aplicables), se compromete a informar al Responsable del Tratamiento de su incapacidad para cumplirla tan pronto como sea razonablemente posible.
2. El Encargado del Tratamiento garantizará que su personal autorizado para Tratar los Datos Personales del Cliente se haya comprometido a mantener la confidencialidad o esté sujeto a una obligación legal adecuada de confidencialidad.
3. El Encargado del Tratamiento implementará y mantendrá vigentes, durante la duración de este Acuerdo, las medidas técnicas y organizativas de seguridad específicas exigidas por el RGPD.
4. El Encargado del Tratamiento notificará sin demora al Responsable del Tratamiento en cuanto reciba una solicitud de un particular que desee ejercer cualquiera de sus derechos en virtud de las Leyes de Protección de Datos Aplicables. Teniendo en cuenta la naturaleza del tratamiento, el Encargado del Tratamiento, a expensas del Responsable del Tratamiento, prestará asistencia a este mediante medidas técnicas y organizativas adecuadas, para el cumplimiento de la obligación del Responsable del Tratamiento de responder a las solicitudes de los Interesados de ejercer sus derechos en virtud del Capítulo III del RGPD (incluidos el derecho a la transparencia y la información, el derecho de acceso del interesado, el derecho de rectificación y supresión, el derecho a la limitación del tratamiento, el derecho a la portabilidad de los datos y el derecho de oposición al tratamiento). El Encargado del Tratamiento atenderá las solicitudes del Responsable del Tratamiento de modificar, corregir, bloquear, transferir o eliminar cualquiera de los Datos Personales del Cliente en la medida necesaria para permitir que el Responsable del Tratamiento cumpla con sus responsabilidades como responsable del tratamiento.
5. Teniendo en cuenta la naturaleza del Tratamiento en virtud de las Condiciones de Servicio y la información disponible para el Encargado del Tratamiento, este último, en la medida de lo posible y a expensas del Responsable del Tratamiento, asistirá a este último en el cumplimiento de sus obligaciones en virtud de los artículos 32 a 36 del RGPD y de cualquier otra Ley de Protección de Datos Aplicable en relación con la seguridad, las notificaciones de violaciones de seguridad, las evaluaciones de impacto y las consultas con las autoridades de control o reguladoras. El Encargado del Tratamiento cumplirá con los requisitos de notificación de violaciones de seguridad del RGPD.
6. Una vez finalizado el Tratamiento de los Datos Personales por parte del Encargado del Tratamiento (con sujeción a la política de conservación de datos de clientes del Encargado del Tratamiento) y a petición del Responsable del Tratamiento, el Encargado del Tratamiento deberá (i) eliminar todos los Datos Personales del Cliente; o (ii) devolver todos los Datos Personales del Cliente al Responsable del Tratamiento y eliminar las copias existentes, a menos que la legislación aplicable exija el almacenamiento de los Datos Personales del Cliente.
7. El Encargado del Tratamiento, previa solicitud por escrito del Responsable del Tratamiento, le proporcionará periódicamente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en este Acuerdo.
8. El Responsable del Tratamiento reconoce y acepta que el Encargado del Tratamiento puede Tratar, o designar a un afiliado o a un subcontratista externo para que Trate, los Datos Personales del Responsable del Tratamiento en un Tercer País, siempre que garantice que dicho Tratamiento se realiza de conformidad con los requisitos de las Leyes de Protección de Datos Aplicables. El Responsable del Tratamiento otorga por la presente su consentimiento al acceso del Encargado del Tratamiento a los Datos Personales del Cliente desde los Estados Unidos, en la medida en que sea necesario para que el Encargado del Tratamiento preste los Servicios.
9. Cuando el Encargado del Tratamiento trate, acceda y/o almacene Datos Personales del Cliente en cualquier Tercer País, el Encargado del Tratamiento cumplirá con las obligaciones del importador de datos establecidas en las Cláusulas Tipo, que quedan incorporadas y forman parte de este Acuerdo. Los detalles del tratamiento establecidos en los apartados a) a d) de la primera página de este Acuerdo se aplicarán a los efectos del Apéndice 1 de las Cláusulas Tipo, y los términos de la Política de Seguridad se aplicarán a los efectos del Apéndice 2 de las Cláusulas Tipo. El Responsable del Tratamiento otorga por la presente al Encargado del Tratamiento un mandato para ejecutar las Cláusulas Tipo, en nombre y representación del Responsable del Tratamiento, con cualquier subcontratista pertinente (incluidos los afiliados) que designe.
10. El Responsable del Tratamiento reconoce y acepta que el Encargado del Tratamiento se basa exclusivamente en las instrucciones del Responsable del Tratamiento en cuanto a la medida en que el Encargado del Tratamiento está autorizado a acceder, usar y tratar los Datos Personales del Cliente. En consecuencia, el Encargado del Tratamiento no será responsable de ninguna reclamación presentada por el Responsable del Tratamiento o por un interesado que se derive de cualquier acción u omisión del Encargado del Tratamiento, en la medida en que dicha acción u omisión resulte de las instrucciones del Responsable del Tratamiento.

4. Obligaciones del Responsable del Tratamiento

1. El Responsable del Tratamiento garantiza que ha cumplido y continúa cumpliendo con las Leyes de Protección de Datos Aplicables, en particular que ha obtenido los consentimientos necesarios o ha realizado las notificaciones necesarias y que, por lo demás, cuenta con una base legítima para divulgar los datos al Encargado del Tratamiento y permitir el Tratamiento de los Datos Personales del Cliente por parte del Encargado del Tratamiento, según lo establecido en este Acuerdo y previsto en las Condiciones de Servicio.
2. El Responsable del Tratamiento acepta indemnizar y mantener indemne al Encargado del Tratamiento, a petición de este, frente a todas las reclamaciones, responsabilidades, costes, gastos, pérdidas o daños (incluidas las pérdidas indirectas, la pérdida de beneficios y la pérdida de reputación, así como todos los intereses, sanciones y costes y gastos legales y profesionales) en que incurra el Encargado del Tratamiento derivados directa o indirectamente de un incumplimiento de esta Cláusula 4 o de cualquier Ley de Protección de Datos Aplicable.

5. Subcontratación

1. El Responsable del Tratamiento otorga por la presente su consentimiento para que el Encargado del Tratamiento utilice a los Subcontratistas incluidos en la lista de subencargados externos disponible previa solicitud. Si el Encargado del Tratamiento designa a un nuevo Subcontratista para Tratar los Datos Personales del Cliente, actualizará dicha lista. En caso de que el Responsable del Tratamiento se oponga a la designación, su único recurso será rescindir los servicios prestados por el Encargado del Tratamiento. Si el Responsable del Tratamiento no se opone, el Encargado del Tratamiento podrá proceder con la designación. El Encargado del Tratamiento garantiza que dispone de un acuerdo por escrito con todos los Subcontratistas que contiene obligaciones para el Subcontratista que no son menos gravosas para el Subcontratista pertinente que las obligaciones del Encargado del Tratamiento en virtud de este Acuerdo.

6. Resolución

1. La resolución de este Acuerdo se regirá por las Condiciones de Servicio, mutatis mutandis.

7. Ley y Jurisdicción

1. Este Acuerdo y cualquier disputa o reclamación (incluidas las disputas o reclamaciones no contractuales) que surja de él o en relación con él, con su objeto o con su formación, se regirá e interpretará en todos los aspectos de conformidad con las leyes de la jurisdicción especificada en las Condiciones de Servicio.