Nueva Filosofía de
Protección Multicapa en Ciberseguridad

CONTRATO DE ENCARGADO DE TRATAMIENTO EN NUESTROS SERVICIOS DE MANTENIMIENTO Y SOPORTE

El presente documento establece las condiciones bajo las cuales Interbel, en calidad de Encargado del Tratamiento, presta servicios de mantenimiento y soporte a sus clientes, quienes asumen el rol de Responsables del Tratamiento de los datos personales tratados en el marco de estos servicios.

Al contratar nuestros servicios, el Cliente acepta las disposiciones aquí descritas, las cuales han sido publicadas y comunicadas a través de nuestra página web. En caso de discrepancia, la versión más actualizada disponible en la web prevalecerá sobre cualquier otra.

PRIMERO: Se entienden por:

– Datos personales: toda información sobre una persona física identificada o identificable; se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.

– Interesado: es la persona física identificada o identificable.

 – Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.

– Responsable del Tratamiento o responsable: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento.

– Encargado del Tratamiento o encargado: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del Responsable de Tratamiento.

– Violación de la seguridad de los datos personales: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos.

SEGUNDO.- Que a los efectos del presente contrato, el Responsable del Tratamiento ha encomendado al Encargado del Tratamiento la prestación de los servicios de mantenimiento y/o soporte que ha aceptado en el presupuesto.

TERCERO.- Que para la correcta prestación de los servicios relacionados, el Responsable del Tratamiento pondrá a disposición del Encargado del Tratamiento datos de carácter personal automatizados y/o no automatizados que contienen datos personales.

CUARTO.- Que en cumplimiento de la normativa vigente en Protección de Datos de Carácter Personal, ambas partes acuerdan libremente regular el acceso y tratamiento de los datos de carácter personal mencionados, en base a las siguientes:

CLÁUSULAS

PRIMERA.- Objeto: el tratamiento de los datos de carácter personal que el Responsable de Tratamiento pone a disposición del Encargado del Tratamiento para que este pueda prestar los servicios identificados en el expositivo SEGUNDO.

Concreción de los tratamientos a realizar: Recogida, Registro, Estructuración Conservación   Extracción, Consulta,  Comunicación por transmisión, Interconexión, Cotejo, Supresión, Destrucción.  

SEGUNDA.- Duración: el plazo de vigencia del presente contrato se establece en virtud del acuerdo mercantil que se ha formalizado entre ambas partes.

TERCERA.- Finalidad del tratamiento: el acceso por parte del Encargado del Tratamiento a los datos de carácter personal que se encuentran en los sistemas de tratamiento del Responsable del Tratamiento, será única y exclusivamente para dar cumplimiento a las finalidades relacionadas en el expositivo SEGUNDO.

CUARTA.- El Encargado del Tratamiento podrá acceder a los datos personales de los colectivos de interesados establecidos a continuación:

Datos personales objeto del tratamiento: Nombre, Teléfono, Direcció,  Dirección IP, Datos profesionales o de empleo , Bases de Datos de los Clientes, Datos de los Servidores.

QUINTA.- Obligaciones y derechos del Responsable del Tratamiento: según lo establecido en la normativa vigente en Protección de Datos de Carácter Personal el Responsable del Tratamiento deberá:

• Aplicar medidas técnicas y organizativas apropiadas a fin de garantizar y poder demostrar que el tratamiento es conforme a la legislación vigente y aplicable.
• Adoptar las políticas en materia de protección de datos.
• Garantizar que el Delegado de Protección de Datos o, en su defecto el Responsable de Privacidad participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales
• Llevar un registro de actividades de tratamiento en caso de tratar datos personales que supongan un riesgo para los derechos y libertades del interesado y/o de manera no ocasional, o que implique el tratamiento de categorías especiales de datos y/o datos relativos a condenas e infracciones
• Poner a disposición de los interesados los aspectos esenciales del presente acuerdo
• Atender indistintamente los ejercicios de derecho establecidos en la normativa vigente en Protección de Datos de Carácter Personal y cumpliendo las estipulaciones que se indican en la cláusula SEPTIMA aunque dicho ejercicio se dirija ante el Encargado del Tratamiento
• Realizar una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el encargado, cuando el tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas. Así como realizar consultas previas a la Autoridad de Control, cuando proceda. Ejercer de forma diligente derecho de información frente al interesado, en el momento de la recogida delos datos.
• Entregar al encargado del tratamiento los datos a los que se refiere la cláusula CUARTA del presente contrato.
• Velar, de forma previa y durante todo el tratamiento, por el cumplimiento de la normativa aplicable y vigente en materia de protección de datos por parte del encargado del tratamiento.
• Supervisar el tratamiento por parte del encargado del tratamiento, incluida la realización de inspecciones y auditorías.

SEXTA.- Obligaciones y derechos del Encargado del Tratamiento: según lo establecido en la normativa vigente en Protección de Datos de Carácter Personal, el Encargado del Tratamiento y todo su personal deberá:

• Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios.
• Tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable, inclusive con respecto a las transferencias de datos personales a un tercer país o una organización internacional, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al encargado; en tal caso, el encargado informará al responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. Si el encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, el Encargado del Tratamiento informará inmediatamente al Responsable del Tratamiento.
• Garantizar que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria, así como se hayan comprometido al cumplimiento estricto de las medidas de seguridad previstas para la provisión del servicio previsto en el OBJETO del presente contrato.
• Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.
• Tomar todas las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo del tratamiento. En todo caso, deberá implantar mecanismos para:

– Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

– Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico. Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento. Seudonimizar y cifrar los datos personales, en su caso. 

-No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del Responsable del Tratamiento, en los supuestos legalmente admisibles. El Encargado del Tratamiento puede comunicar los datos a otros encargados del tratamiento del mismo Responsable del Tratamiento, de acuerdo con las instrucciones del Responsable del Tratamiento. En este caso, el Responsable del Tratamiento identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación. Si el encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.

-Respetar las condiciones para recurrir a otro Encargado del Tratamiento, según lo establecido en la normativa vigente y aplicable en Protección de Datos de Carácter Personal. El Encargado del Tratamiento no podrá subcontratar ninguna de las prestaciones que formen parte del objeto del presente contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios del Encargado del Tratamiento. Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al Responsable del Tratamiento, con una antelación de 15 días hábiles, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el responsable no manifiesta su oposición en el plazo establecido. El subcontratista, que también tendrá la condición de Encargado del Tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el Encargado del Tratamiento y las instrucciones que dicte el responsable. Corresponde al Encargado del Tratamiento inicial regular la nueva relación contractual de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad), previstas en la cláusula SEXTA del presente contrato, y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el caso de incumplimiento por parte del sub encargado, el Encargado del Tratamiento inicial seguirá siendo plenamente responsable ante el responsable del Tratamiento en lo referente al cumplimiento de las obligaciones.

-Dar apoyo al Responsable del Tratamiento en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda. Así como en la realización de las consultas previas a la autoridad de control, cuando proceda.

– Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente artículo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable.

 -Asistir al Responsable del Tratamiento en cuanto a la detección de violaciones de seguridad de los datos, el Encargado del Tratamiento, notificará al Responsable del Tratamiento, sin dilación indebida, con un plazo máximo de 24 Horas a través de                                                                   , las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.

-Tratar los datos personales puestos a disposición del Encargado de Tratamiento de manera que garantice que el personal a su cargo sigue con las instrucciones del Responsable de Tratamiento

-Garantizar que el Delegado de Protección de Datos o, en su defecto el Responsable de Privacidad participe de forma adecuada y en tiempo oportuno en todas las cuestiones relativas a la protección de datos personales.

-Llevar un registro, en caso de tratar datos personales que supongan un riesgo para los derechos y libertades del interesado o de manera no ocasional, o que implique el tratamiento de categorías especiales de datos y/o datos relativos a condenas e infracciones, de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable.  Asistir al Responsable del Tratamiento en cuanto al ejercicio de derechos del interesado y cumpliendo las estipulaciones que se indican en la cláusula SÉPTIMA. Cuando las personas afectadas ejerzan cualquiera de estos derechos frente al Encargado del Tratamiento, relativos a los tratamientos previstos en el objeto del presente contrato, éste debe comunicarlo por correo electrónico a la dirección La comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción de la solicitud, juntamente, en su caso, con otras informaciones que puedan ser relevantes para resolver la solicitud.

SÉPTIMA.- Ejercicio de derechos por parte del interesado: 1. Acceso, rectificación, supresión (“Derecho al olvido”) y oposición, 2. Limitación del tratamiento, 3. Portabilidad de datos, 4. A no ser objeto de decisiones individualizadas automatizadas): si el interesado dirige alguna solicitud o ejerce alguno de los derechos establecidos en la normativa vigente y aplicable en Protección de Datos de Carácter Personal, el Responsable de Tratamiento, y con el diligente soporte del Encargado de Tratamiento, deberá facilitarle la información sobre las actuaciones solicitadas y realizadas, sin demora y, a más tardar, en el plazo de un mes a partir de la recepción de la solicitud, el cual podrá prorrogarse un máximo de otros dos meses en caso necesario, teniendo en cuenta la complejidad de la solicitud y el número de las solicitudes. En el mismo sentido, pero en el caso de que el Responsable del Tratamiento y/o el Encargado del Tratamiento no dé curso a la solicitud del interesado, le informará sin demora, y a más tardar al mes de la recepción de la solicitud, de las razones por las que no ha actuado y de la posibilidad de presentar una reclamación ante una Autoridad de Control y de interponer recurso judicial. La respuesta a la solicitud al ejercicio de derecho se realizará en el mismo formato que haya utilizado el interesado, a menos que solicite que se proceda de otro modo.

OCTAVA.- Transferencia Internacional de Datos: las Transferencias Internacionales de Datos personales sólo podrán realizarse si se cumplen con las exigencias recogidas por la Agencia Española de Protección de Datos, o cualesquiera otra normativa nacional o comunitaria que las regulen. En el caso de que se realicen o se tenga previsto realizar alguna Transferencia Internacional de Datos se deberá regular este tipo de tratamiento de forma independiente al presente contrato de prestación de servicios, el cual será vinculante entre las partes desde el momento de su firma. Dicha regulación se referenciará como Anexo y se adjuntará al presente contrato. En el caso de que el Encargado del Tratamiento decidiera realizar Transferencias Internacionales de Datos, sin el beneplácito del Responsable del Tratamiento, será considerado también Responsable del Tratamiento, respondiendo personalmente de las infracciones en las que hubiese incurrido.

NOVENA.- Violación de seguridad de los datos: tanto en cuanto exista una instrucción de la autoridad de control, un desarrollo legislativo nacional que regule estas comunicaciones o un acto delegado, en caso de violación de la seguridad de los datos personales, el Responsable del Tratamiento y/o el Encargado de Tratamiento la notificará a la Autoridad de Control competente sin dilación indebida y, de ser posible, a más tardar 72 horas después de que haya tenido constancia de ella, a menos que sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.

DÉCIMA.- Protección de datos: Ambas partes cumplirán en todo momento con lo establecido en Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, General de Protección de Datos, en el tratamiento tanto de los datos personales contenidos en el presente contrato como de aquellos que sean necesarios con motivo de la gestión del mismo, mostrando especial diligencia en el cumplimiento de lo recogido en los artículos 5 y 32 del citado Reglamento. Para cuantos datos personales puedan surgir de la firma del presente contrato o de la relación regulada en él, que estén amparados por el RGPD, las partes se comprometen a cumplir con las obligaciones y derechos regulados en la citada normativa, así como en las demás normativas vigentes y aplicables en materia de protección de datos de carácter personal. Le informamos que los datos serán tratados con la finalidad de atender los compromisos derivados del contrato suscrito entre ambas partes. La base que legitima el tratamiento de los datos es la ejecución del contrato. Sus datos podrán ser cedidos a las entidades bancarias necesarias para realizar la facturación de dicho servicio y a la administración pública en los casos previstos por la ley Los datos personales serán conservados durante el plazo estrictamente necesario para cumplir con la finalidad del contrato, salvo obligación legal. El ejercicio de los derechos de acceso, rectificación, supresión, oposición, portabilidad y limitación del tratamiento de los datos puede interponerse en la dirección indicada por el Responsable del Tratamiento en el encabezamiento. En cualquier situación, ambas partes tienen derecho a presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

UNDÉCIMA.- Rescisión, resolución y extinción: la rescisión, resolución o extinción de la relación contractual de prestación de servicios entre el Responsable del Tratamiento y el Encargado del Tratamiento, obligará a este último a la devolución de los soportes y de todos los datos contenidos en los mismos, entregados por parte del Responsable del Tratamiento al Encargado del Tratamiento para la adecuada prestación del servicio, así como todos aquellos datos personales y soportes generados durante la prestación del servicio, serán devueltos al Responsable del Tratamiento en un plazo máximo de 60 días hábiles a contar desde la recisión del contrato mercantil entre las partes. Esta información será devuelta en el formato en el cual se encuentre en el momento de la resolución del contrato, exceptuando cuando por motivos de volumen requiera un esfuerzo extraordinario por parte del Encargado del Tratamiento, esta situación requerirá un acuerdo entre Responsable del Tratamiento y Encargado del tratamiento a fin de consensuar el formato en el cual se devolverá a información. En todo caso ésta se devolverá en las oficinas del Responsable del tratamiento notificadas como sede social. La rescisión o extinción de la relación contractual de prestación de servicios obligará a Encargado de Tratamiento a conservar los datos de carácter personal facilitados por el primero, siempre que exista la obligación legal de conservación. Una vez transcurrido el plazo establecido para cubrir las responsabilidades legales, los datos de carácter personal deberán ser destruidos, al igual que cualquier soporte o documento en que conste algún dato de carácter personal.