Acuerdo de encargo de tratamiento

Partes:
‍

1. la sociedad de responsabilidad limitada AppyBee LTD (en adelante: «el Encargado del Tratamiento»),
2. la persona física o jurídica con la que el encargado del tratamiento ha formalizado un contrato de licencia para el uso de AppyBee (en adelante: «el Responsable del Tratamiento»).

considerando que:

1. El Encargado del Tratamiento tratará datos personales por cuenta del Responsable del Tratamiento en el marco de la ejecución del contrato de licencia vigente entre las partes relativo a AppyBee;
2. Las partes desean estipular en el presente acuerdo de encargo de tratamiento los acuerdos relativos al tratamiento de datos personales por parte del Encargado;

‍

Definiciones
‍

1. RGPD: el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679), incluida la ley de aplicación de dicho reglamento
2. Interesado: la persona a la que se refieren los Datos Personales, en el sentido del artículo 4, apartado 1, del RGPD.
3. Violación de la seguridad de los Datos Personales: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, en el sentido del artículo 4, apartado 12, del RGPD.
4. Contrato Principal: el contrato o contratos principales suscritos entre el Responsable del Tratamiento y el Encargado del Tratamiento, incluidos sus anexos, a los que se refiere este Acuerdo de Encargo de Tratamiento.
5. Empleados: personas que prestan servicios para el Responsable del Tratamiento o para el Encargado del Tratamiento, ya sea en plantilla o mediante contratación temporal.
6. Destinatario: la persona física o jurídica, autoridad pública, servicio u otro organismo, sea o no un tercero, al que se faciliten los Datos Personales.
7. Partes: el Responsable del Tratamiento y el Encargado del Tratamiento.
8. Datos Personales: toda información sobre una persona física identificada o identificable (el Interesado) que se trate en el marco del Contrato Principal en el sentido del artículo 4, apartado 1, del RGPD; se considera identificable a toda persona física cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona física.
9. Subencargado: otro encargado del tratamiento contratado por el Encargado del Tratamiento para tratar Datos Personales por cuenta de un Responsable del Tratamiento.
10. Encargado del Tratamiento: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate Datos Personales por cuenta del Responsable del Tratamiento en el sentido del artículo 4, apartado 8, del RGPD.
11. Tratar/Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre Datos Personales o conjuntos de Datos Personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción de datos en el sentido del artículo 4, apartado 2, del RGPD.
12. Responsable del Tratamiento: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y los medios del Tratamiento de Datos Personales en el sentido del artículo 4, apartado 7, del RGPD.
13. Acuerdo de Encargo de Tratamiento: el presente acuerdo de tratamiento de datos para formalizar los acuerdos en el sentido del artículo 28, apartado 3, del RGPD.

‍

Ámbito de aplicación

‍

1. Este Acuerdo de Encargo de Tratamiento regula el Tratamiento de Datos Personales por parte del Encargado por cuenta del Responsable del Tratamiento en el marco de la ejecución del Contrato Principal.
2. La naturaleza y los fines del Tratamiento, el tipo de Datos Personales, las categorías de Datos Personales, los Interesados y los Destinatarios se detallan en el Anexo 1.
3. El Encargado garantiza que cumple con los requisitos de la legislación y normativa aplicables en materia de Tratamiento de Datos Personales.

‍

Duración y rescisión

‍

1. El presente Acuerdo de Encargo de Tratamiento entrará en vigor en el momento en que se inicie el Contrato Principal, o en una fecha posterior acordada por las partes.
2. El Acuerdo de Encargo de Tratamiento finalizará en el momento en que finalice el Contrato Principal.
3. Ninguna de las Partes podrá rescindir anticipadamente este Acuerdo de Encargo de Tratamiento de forma independiente al Contrato Principal.
4. Las obligaciones que por su naturaleza deban continuar vigentes tras la rescisión del presente Acuerdo de Encargo de Tratamiento seguirán siendo aplicables tras su finalización. Entre estas disposiciones se incluyen las relativas a confidencialidad, responsabilidad, resolución de litigios y ley aplicable.

‍

Tratamiento

‍

1. El Encargado Tratará los Datos Personales únicamente por cuenta y según las instrucciones por escrito del Responsable del Tratamiento, salvo disposiciones legales en contrario que le sean aplicables. El Encargado no Tratará los Datos Personales durante más tiempo ni de forma más amplia de lo necesario para la ejecución del Contrato Principal.
2. Si, a criterio del Encargado, una instrucción a la que se refiere el apartado anterior infringe una disposición legal sobre protección de datos, informará al Responsable del Tratamiento antes del Tratamiento, salvo que una disposición legal prohíba dicha notificación.
3. Si el Encargado debiera facilitar Datos Personales por mandato legal, informará de inmediato al Responsable del Tratamiento y, en la medida de lo posible, antes de proceder a la entrega.
4. El Encargado se asegurará de que únicamente sus Empleados tengan acceso a los Datos Personales, salvo en caso de subcontratación con Subencargados conforme a lo dispuesto en el artículo 11 del presente acuerdo. El Encargado limitará el acceso a los Empleados que lo necesiten para su trabajo, limitándose a los Datos Personales estrictamente precisos. Además, el Encargado se asegurará de que los Empleados con acceso hayan recibido instrucciones completas y correctas sobre el tratamiento de Datos Personales y conozcan sus responsabilidades y obligaciones legales.
5. El Responsable del Tratamiento tiene la obligación legal de cumplir la normativa vigente sobre privacidad. En concreto, debe determinar si existe una base jurídica válida para el Tratamiento de los Datos Personales. El Encargado se asegurará de cumplir la normativa aplicable a su condición sobre el Tratamiento de Datos Personales y los acuerdos suscritos en este documento.
6. El Tratamiento se lleva a cabo bajo la responsabilidad del Responsable del Tratamiento. El Encargado no tiene control sobre los fines y medios del Tratamiento y no toma decisiones sobre el uso de los Datos Personales, el plazo de conservación de los datos tratados para el Responsable del Tratamiento ni su cesión a terceros. El Responsable del Tratamiento debe asegurarse de haber definido con claridad los fines y medios del Tratamiento.
7. En caso de devoluciones de cargos, AppyBee se reserva el derecho de cobrar gastos de devolución. Estos gastos ascienden a 19 € sin IVA por devolución. Dicho importe se deducirá del saldo actual del Licenciatario o bien se remitirá una factura con un enlace de pago. La primera devolución es gratuita.

‍

Seguridad

‍

1. El Encargado del Tratamiento ha adoptado las medidas de seguridad mencionadas en el Anexo 2 adjunto a este Contrato de Tratamiento. Al adoptar dichas medidas de seguridad, se han tenido en cuenta los riesgos a mitigar, el estado de la técnica y los costes de su aplicación. Estas medidas de seguridad incluyen, en cualquier caso:
   1. la capacidad de garantizar de forma permanente la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento;
   ‍
   1. la capacidad de restablecer la disponibilidad y el acceso a los Datos Personales de forma rápida en caso de incidente físico o técnico;
   2. un procedimiento para verificar, evaluar y valorar regularmente la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del Tratamiento.
2. El Responsable del Tratamiento se ha informado debidamente sobre las medidas de seguridad adoptadas por el Encargado del Tratamiento y considera que estas medidas ofrecen un nivel de seguridad adecuado a la naturaleza de los Datos Personales y al alcance, contexto, fines y riesgos del Tratamiento.
3. Las partes reconocen que garantizar un nivel de seguridad adecuado puede exigir la adopción continuada de medidas de seguridad adicionales. El Encargado del Tratamiento garantiza un nivel de seguridad adaptado al riesgo actual e informará al Responsable del Tratamiento si alguna de las medidas de seguridad cambia de forma sustancial.
4. El Encargado del Tratamiento ofrece garantías suficientes para la aplicación de las medidas de seguridad técnicas y organizativas con respecto a los Tratamientos a realizar. Si el Responsable del Tratamiento desea inspeccionar el cumplimiento de las medidas de seguridad por parte del Encargado del Tratamiento, podrá solicitarlo al Encargado del Tratamiento. Ambas partes acordarán conjuntamente los términos. Los costes de dicha inspección correrán a cargo del Responsable del Tratamiento, quien facilitará al Encargado del Tratamiento una copia del informe de inspección.
5. Salvo autorización expresa, previa y por escrito del Responsable del Tratamiento, el Encargado del Tratamiento no tratará ni permitirá que terceros traten Datos Personales en países fuera de la Unión Europea («UE»).