Protección de datos

El presente anexo de protección de datos, en adelante “DPA”, establece las condiciones con respecto al tratamiento de datos personales que realiza VELOXX DIGITAL S.L., en adelante “VELOXX”, “el Encargado” y/o “el Encargado del Tratamiento” en nombre del Cliente y forma parte inseparable del Contrato Principal de servicios, Acuerdo de Confidencialidad o Propuesta de Servicios, en adelante el “Contrato”, establecido entre VELOXX y el Cliente identificado en cualquiera de ellos.

En el caso de conflicto entre este Anexo y el Contrato prevalecerá lo establecido en este DPA en relación al tratamiento de datos personales.

Ambas partes afirman que, para la prestación de los Servicios, es necesario el acceso a datos personales responsabilidad del Cliente y que ambas partes cumplirán con la Normativa de protección de datos que les sea aplicable.

Al objeto de dar cumplimiento a lo dispuesto en el Reglamento (UE) 2016/679, de 27 de Abril, (en adelante RGPD) o la Normativa de Protección de Datos que le sea aplicable a cualquiera de las partes, ambas partes están interesadas en suscribir este DPA, el cual formalizan de común acuerdo, sobre la base de las siguientes cláusulas:

1. DEFINICIONES

Los términos en mayúsculas que se utilizan, pero no se definen en este DPA o en la Normativa de protección de datos aplicable, tendrán el significado que se les asigna en el RGPD o en el Contrato:

1.1 DPA: Se refiere en todo momento a este Anexo de Protección de Datos;
1.2 RESPONSABLE O RESPONSABLE DEL TRATAMIENTO: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento;
1.3 ENCARGADO O ENCARGADO DEL TRATAMIENTO: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;
1.4 NORMATIVA DE PROTECCIÓN DE DATOS: Se refiere al RGPD y cualquier otra legislación Española o Europea vigente, junto con aquellas leyes válidas y aplicables en la jurisdicción correspondiente;
1.5 RGPD: Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos);
1.6 PARTES: lo son el Responsable y el Encargado del Tratamiento y se entenderá por parte a cualquiera de las dos partes.

2. OBJETO

2.1 El presente DPA tiene por objeto definir las condiciones conforme a las cuales el Encargado llevará a cabo, durante la prestación de los servicios, el tratamiento de los datos de carácter personal responsabilidad del Responsable, y que se corresponden con aquellos estrictamente necesarios para el correcto desempeño de los SERVICIOS contratados.
2.2 El tratamiento consistirá en los SERVICIOS contratados según el Acuerdo principal o propuesta de servicios.

3. ROLES Y RESPONSABILIDADES

3.1. El Cliente y Veloxx convienen que el Cliente es el Responsable del Tratamiento y que Veloxx es el Encargado del Tratamiento, excepto en aquellos casos en los que el Cliente actúe por cuenta de un tercero como encargado del tratamiento, en cuyo caso Veloxx actuará como sub-encargado del tratamiento. En ese caso, el Cliente será considerado Encargado del Tratamiento y el tercero que le ha autorizado para subcontratar a Veloxx será considerado Responsable del Tratamiento. Siendo el Cliente el que se obligue a cumplir con las responsabilidades que en este DPA se le asignan al Responsable.

4. TRATAMIENTOS E INFORMACIÓN PERSONAL

4.1 El tratamiento de los datos personales por parte del Encargado quedará circunscrito a lo que resulte necesario para llevar a cabo la prestación de Servicios indicados en el Contrato y se efectuará siempre en el marco de esta.

Los tratamientos de datos previstos son aquéllos directamente relacionados con el correcto desarrollo de los servicios y cuyas características se indican en el APENDICE I – DETALLE DE LOS TRATAMIENTOS que puede encontrarse en el siguiente link: Apendice I – Detalle de los tratamientos.

5. DURACIÓN

5.1 El presente DPA permanecerá vigente durante la prestación de los SERVICIOS mientras el Encargado deba procesar datos personales en nombre del Responsable y su duración estará vinculada al tiempo establecido en el Contrato.

5.2 Una vez cumplida la prestación objeto del Contrato, o bien en el supuesto de su resolución, los datos de carácter personal que pudieran permanecer en poder del Encargado—salvo que exista una norma jurídica que exija su conservación— deberán ser destruidos o devueltos (según se indique por el Cliente) al Responsable del Tratamiento o al Encargado de Tratamiento que El Responsable indique, al igual que cualquier soporte o documento en que conste algún dato de carácter personal objeto del tratamiento.

5.3 Con independencia de lo indicado anteriormente, el Encargado podrá conservar los datos personales, debidamente bloqueados, en el caso de que pudieran derivarse responsabilidades administrativas o jurisdiccionales de su relación con el Responsable.

6. OBLIGACIONES DEL ENCARGADO DEL TRATAMIENTO

El Encargado del Tratamiento y todo su personal se obliga, de acuerdo con lo establecido en el Art. 28 del RGPD a:

6.1 Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, únicamente para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios.

6.2 Tratar los datos de acuerdo con las instrucciones del Responsable incluidas en este DPA o mediante cualquier comunicación que reciba del Responsable por escrito. Si el Encargado considera que alguna de las instrucciones infringe alguna de las disposiciones en materia de protección de datos, el Encargado informará inmediatamente al Responsable.

6.3 Llevar un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable, que contenga:

6.3.1 El nombre y los datos de contacto del Responsable por cuenta del cual actúa y, en su caso, del representante del Responsable o del Encargado y del Delegado de Protección de Datos.
6.3.2 Las categorías de tratamientos efectuados por cuenta del responsable.
6.3.3. En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de estos y, en su caso, la documentación de garantías adecuadas.
6.3.4 Una descripción general de las medidas técnicas y organizativas de seguridad apropiadas que esté aplicando, en particular las relativas a:

6.3.4.1 La seudonimización y el cifrado de datos personales, en su caso.
6.3.4.2 La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
6.3.4.3 La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.
6.3.4.4 El proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

6.4 No comunicar los datos personales a terceros, salvo que se cuente con la autorización expresa y por escrito del Responsable en los supuestos legalmente admisibles.

6.4.1 El Encargado puede comunicar los datos a otros Encargados del Tratamiento del mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación.
6.4.2 Si el Encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión, de los Estados miembros que le sea aplicable o según la Normativa de protección de datos que le sea aplicable, informará al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.
6.4.3 El Encargado del Tratamiento no realizará transferencias internacionales a un tercer país y/o a una organización internacional no establecidos en el Espacio Económico Europeo o el Territorio donde se preste el Servicio, excepto lo indicado en el párrafo anterior y en aquellos casos que sea preciso para la prestación del servicio. En este caso, el Encargado notificará al Responsable del Tratamiento y previa autorización del mismo, podrá realizar dichas transferencias siempre que se cumplan las garantías exigidas por la Normativa de protección de datos aplicables (Cláusulas Contractuales Tipo, Decisiones de adecuación, Normas Corporativas Vinculantes). Se entenderá que han sido autorizadas si el Responsable no manifiesta su disconformidad transcurrido el plazo indicado en la notificación.

6.5 Subcontratación: Se autoriza al Encargado a subcontratar ciertos tipos de tratamientos específicamente necesarios para proporcionar los servicios. Adicionalmente podrían subcontratarse parcialmente otros servicios auxiliares necesarios para el normal funcionamiento de los servicios del Encargado. A tal efecto, los subcontratistas autorizados por el Responsable del Tratamiento se especifican en el APENDICE II – Subencargados, que puede encontrarse en la siguiente link: Apendice II.

6.5.1 Si fuera necesario subcontratar algún nuevo subcontratista, este hecho se comunicará previamente al Responsable, con una antelación de 10 días hábiles y mediante los datos de contacto proporcionados, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el Responsable no manifiesta su oposición en el plazo establecido. En el caso de no aceptar dicha subcontratación, se valorará conjuntamente por ambas partes las causas de no aceptación y el Cliente podrá cancelar el Servicio sin ninguna penalización, siempre que exista una causa justificada de no aceptación.
6.5.2 El subcontratista, que también tendrá la condición de Encargado del Tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el Encargado del Tratamiento y las instrucciones que dicte el Responsable. Corresponde al Encargado inicial regular la nueva relación de forma que el nuevo Encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los mismos requisitos formales que este, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas.

6.6 Mantener el deber de secreto y confidencialidad respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto.

6.7 Garantizar que las personas autorizadas para tratar datos personales:

6.8 Mantener la documentación acreditativa del cumplimiento de la obligación establecida en el apartado anterior.

6.9 Ayudar al Responsable en la medida de lo posible y de acuerdo con los servicios prestados, cuando las personas afectadas ejerzan los derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento y portabilidad de datos.

6.10 En el caso de que Veloxx recibiese una solicitud dirigida al Cliente, redirigirá dicha solicitud al dato de contacto proporcionado por el Cliente.

6.11 Derecho a la información: Si fuera preciso, y así se estableciese en el Contrato el Encargado deberá informar a los interesados de los tratamientos que se llevarán a cabo en el momento de recabar los datos personales. El Responsable indicará los textos informativos y junto con el Encargado establecerán el formato más adecuado para informar a los interesados antes de recabar los datos.

6.12 Notificación de violaciones de la seguridad de los datos

6.12.1 El Encargado del Tratamiento notificará al Responsable del Tratamiento, sin dilación indebida y en cualquier caso antes del plazo máximo de 48 horas, a través de la dirección de correo electrónico que el Responsable haya proporcionado o si no han sido proporcionada, mediante los canales que el Encargado considere adecuados (otra dirección de correo electrónico, en persona o mediante llamada telefónica), las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia.
6.12.2 La notificación de un incidente de Seguridad no implica el reconocimiento de haber cometido ninguna infracción, responsabilidad, falta de diligencia o incumplimiento por parte del Encargado.
6.12.3 No será necesaria esta notificación cuando la violación de seguridad no entrañe un riesgo para los derechos y libertades de los interesados.
6.12.4 Se facilitará, como mínimo, la información siguiente (Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida):

a)Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.
b)Datos de la persona de contacto para obtener más información.
c)Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales. Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

6.13 El Responsable, en su condición de Responsable del Tratamiento, podrá efectuar, previa solicitud a El Encargado la realización de los controles y auditorías que estime oportunos para comprobar el correcto cumplimiento por parte de El Encargado del presente DPA. El Encargado ya realiza sus propios controles y auditorias, cuyos resultados podrá facilitar al Responsable, previa solicitud, para demostrar el cumplimiento de sus obligaciones. En el caso de precisar controles adicionales, se evaluarán los controles propuestos y si estos supusieran un coste adicional, estos serán asumidos por el Responsable.

6.14 Proporcionar la ayuda necesaria al Responsable en relación con las Evaluaciones de Impacto o consultas previas que deba realizar mediante la aportación de aquella documentación relacionada con la seguridad de los datos con la que cuente el Encargado.

6.15 Implantar las medidas de seguridad técnicas y organizativas necesarias para garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento. Entre ellas, las siguientes:

6.15.1 Se observarán y adoptarán las medidas de índole técnica y organizativas necesarias, que garanticen la seguridad de los datos de carácter personal y eviten su alteración, pérdida, sustracción, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural. De acuerdo con lo anterior, se deberán implementar las medidas de seguridad indicadas en el APENDICE III – MEDIDAS DE SEGURIDAD que puede encontrarse en la siguiente link: Apendice III.

7. OBLIGACIONES DEL RESPONSABLE DEL TRATAMIENTO

7.1 Corresponde al Responsable del Tratamiento:

7.1.1 Asegurarse de que todos los tratamientos de datos que realice el Encargado cuentan con una base legitimadora válida para poder realizarlos de acuerdo con la Normativa de protección de datos. En el caso que la base legal sea el consentimiento del interesado, el Responsable del Tratamiento obtendrá el consentimiento libre, especifico, informado e inequívoco de acuerdo con el art 7 del RGPD. Siendo directamente responsable en caso de incumplimiento a este respecto.
7.1.2 Dar acceso al Encargado a los datos necesarios para que pueda prestar el servicio, siempre que sea estrictamente necesario
7.1.3 Realizar una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el Encargado, si fuera necesario.
7.1.4 Realizar las consultas previas que corresponda, en su caso.
7.1.5 Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte del Encargado.
7.1.6 Supervisar el tratamiento, incluida en su caso, la realización de inspecciones y auditorías según las condiciones acordadas en el punto 6.12.

8. ACCESO AL SISTEMA DEL RESPONSABLE DEL TRATAMIENTO POR PARTE DEL ENCARGADO DEL TRATAMIENTO

En el caso de que el Encargado precise acceso a los sistemas del Responsable para la prestación de los servicios:

8.1 El Encargado asume la obligación de asegurar el cumplimiento por parte de sus empleados de las obligaciones recogidas en este DPA, responsabilizándose el Encargado en todo caso de supervisar dicho cumplimiento.

8.2 El Encargado del Tratamiento mantendrá actualizada la relación nominal de todos aquellos empleados que accedan a los sistemas del Responsable.

8.3 El Responsable permitirá el acceso del Encargado a sus sistemas de información si fuera necesario para la prestación del servicio. Este acceso estará condicionado al uso leal, legal y responsable de los mismos. Así mismo, sólo podrán ser utilizados para la prestación de los servicios contratados por el Responsable, quedando prohibido el uso de los mismos con fines personales o privados. El Responsable se reserva el derecho de monitorizar los sistemas para controlar el buen uso y la seguridad de los mismos. En el caso de resolución o suspensión de la relación contractual el Responsable podrá suspender o cancelar el acceso a los sistemas sin previo aviso.

8.4 El Encargado se compromete a cumplir con todas aquellas políticas o procedimientos que el Responsable haya implantado y comunicado al Encargado en relación a los sistemas de información o la protección de datos personales, así como cualquier otra que afecte a la prestación de los servicios.

9. RESPONSABILIDAD

9.1 El Encargado será considerado Responsable en el caso de que destine los datos a otra finalidad, los comunique o los utilice incumpliendo el presente DPA. En estos casos, El Encargado responderá de las infracciones en que hubiera incurrido personalmente.

9.2 Las partes mantendrán indemne a la otra parte en el caso de incumplimiento de las leyes de protección de datos aplicables o las obligaciones contraídas en virtud del presente DPA. Así mismo, las partes indemnizarán a la otra parte por los daños y perjuicios causados derivados de dicho incumplimiento.

10. GENERAL

10.1 El presente DPA entrará en vigor a partir de la fecha establecida en el Contrato con el Cliente.

10.2 Cuando el Cliente renueve o contrate un Servicio se le aplicarán las condiciones establecidas en el DPA que esté vigente en ese momento. Veloxx informará de cualquier cambio o modificación previamente a que sean aplicables y se entenderá que el Cliente ha aceptado dichas modificaciones si continua con el Servicio a partir de la fecha de aplicación. La jurisdicción aplicable a este DPA, será la establecida en el Contrato.

10.3 La jurisdicción aplicable a este DPA, será la establecida en el Contrato.La jurisdicción aplicable a este DPA, será la establecida en el Contrato.

11. DEBER DE INFORMACIÓN

Las partes se informan recíprocamente respecto a los datos personales de los firmantes incluidos en el Contrato y los datos personales de los empleados encargados de llevar a cabo el tratamiento o que intervienen en la relación necesaria para la prestación del servicio, de conformidad con lo dispuesto en el RGPD de lo que sigue:

Que las personas firmantes del Contrato son los representantes de ambas partes a los efectos de aquél, quedando sus respectivos datos de contacto señalados en el mismo.
Que el tratamiento de los citados datos tiene como base legítima de tratamiento la ejecución del Contrato al que se refiere este DPA, por lo que su no aportación podría dar lugar a la imposibilidad de desarrollar el mismo.
Que los datos serán tratados a los efectos dispuestos en el Contrato, a fin de su correcta realización y/o control de cumplimiento.
Que no están previstas transferencias internacionales de los mismos, adoptándose las medidas necesarias en caso contrario, de conformidad con el RGPD.
Los datos se conservarán mientras se mantenga le relación contractual y no se solicite su supresión. En cualquier caso, se mantendrán en cumplimiento de los plazos legales de prescripción que le resulten de aplicación.
Que cualquiera de los interesados podrá ejercitar sus derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de datos y oposición de conformidad con la Normativa de protección de datos aplicable pudiendo dirigir una comunicación a la otra parte por escrito a los domicilios sociales identificados al inicio del Contrato, acompañando a la solicitud de que se trate una copia del documento nacional de identidad o documento identificativo equivalente del solicitante (NIE, pasaporte, etc.). Que, en caso de considerar vulnerados sus derechos, no habiendo sido debidamente atendidos por la parte que corresponda, el interesado podrá presentar una reclamación frente a la misma ante la Agencia Española de Protección de Datos Personales (AEPD). En el caso de VELOXX DIGITAL S.L., le recomendamos contactar antes con el DPD: dpo@futurespace.es
Ambas partes se comprometen a informar a los interesados de lo pactado en esta cláusula.