CONTRATO DE PROTECCIÓN DE DATOS PERSONALES: ENCARGADO DEL TRATAMIENTO

En Palma, a 13 de Marzo de 2020

De una parte, como responsable del tratamiento nombre de la empresa con CIF cif de la empresa y domicilio en dirección de la empresa; y actuando en su nombre y representación representante de la empresa con DNI dni del representante de la empresa.

De otra parte, como encargado de tratamiento PROCOM INFORMATICA GLOBAL4, S.L. con CIF B57038838 y domicilio en Pasaje Can Faxina 5 bajos, 07005, Palma, Illes Balears; y actuando en su nombre y representación Daniel Martín Nicolás con DNI 43088459Y.

Ambas partes se reconocen recíprocamente la capacidad legal necesaria para suscribir el presente contrato de prestación de servicios con acceso a datos personales y

MANIFIESTAN

1. Que ambas partes tratarán los datos personales objeto de este contrato, conforme a lo dispuesto en el Reglamento (UE) 2016/679, de 27 de abril de 2016 (GDPR), y la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).
2. Que el RESPONSABLE ha contratado, durante el tiempo especificado en el contrato de servicios correspondiente, los servicios del ENCARGADO enumerados a continuación y consistentes en:

☒ Consultoría tecnológica y/o investigación

☒ Asistencia telefónica

☐ Asistencia técnica presencial

☒ Asistencia técnica remota

☐ Configuración de copias de seguridad grabadas dispositivos de las instalaciones del responsable del tratamiento

☐ Configuración de copias de seguridad grabadas en instalaciones cloud de terceros

☐ Instalación y configuración de equipamiento informático hardware

☐ Servicio de alquiler de servidores o terminarles de trabajo alojados en instalaciones cloud de terceros

☐ Registro y mantenimiento de dominio en internet

☐ Servicios de correo electrónico asociados al dominio previamente contratado con depósito de transferencia alojado en instalaciones cloud de terceros

☐ Servicios de alojamiento de páginas web con depósito alojado en instalaciones cloud de terceros

☒ Instalación, y/o configuración, y/o carga de datos previos, en el software especializado adquirido previamente al encargado del tratamiento

☒ Formación en el software especializado adquirido previamente al encargado del tratamiento

3. Que para el cumplimiento de dichos servicios al ENCARGADO le resulta necesario el acceso y tratamiento de los datos personales responsabilidad del RESPONSABLE.

4. Que en cumplimiento de lo dispuesto en el artículo 28 del GDPR, el ENCARGADO ofrece suficientes garantías para implementar políticas técnicas y organizativas apropiadas para aplicar las medidas de seguridad que establece la normativa vigente y proteger los derechos de los interesados, por lo cual ambas partes convienen suscribir el presente contrato con sujeción a las siguientes

INSTRUCCIONES PARA EL TRATAMIENTO DE DATOS

1. Objeto, naturaleza y finalidad del encargo

Finalidad del encargo: prestación de los servicios contratados

Deber de informar el tratamiento al interesado: corresponderá exclusivamente al RESPONSABLE.

Ubicación del tratamiento: Podrá ser indistinta, en los locales del responsable del tratamiento, o en el local del encargado del tratamiento, en función del tipo de servicio contratado y realizado.

Se han detallado todas las prestaciones de servicio ofertadas por el encargado del tratamiento. Se estará a la prestación de servicios contratada en cada momento a la hora de tenerse en cuenta los tratamientos necesarios para la prestación de cada servicio. En cumplimiento con lo dispuesto en el artículo 28.3 del RGPD, el tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión Europea o de los Estados miembros, que vincule al encargado respecto del responsable. En este documento se establecen el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de interesados, y las obligaciones y derechos del responsable.

2. Tipo de datos personales y categoría de interesados

Categorías de datos:

Básicos: Datos que no correspondan a categorías Penales o Especiales, por ejemplo: nombre, dirección, email, teléfono, edad, sexo, firma, imagen, aficiones, patrimonio, datos bancarios, información académica, profesional, social, comercial, financiera, etc.

Penales: Datos relativos a la comisión de infracciones administrativas o penales, o los que puedan ofrecer una definición de características de personalidad, etc.

Especiales: Datos relativos al origen étnico o racial, opiniones políticas, convicciones religiosas o filosóficas, afiliación sindical, datos genéticos o biométricos que permitan la identificación unívoca de una persona, datos relativos a la salud o a la vida y orientación sexuales.

Tipo de datos personales a los que tendrá acceso el ENCARGADO: datos personales básicos, penales y especiales.

Operaciones de tratamiento autorizadas:

☒ Consultoría tecnológica y/o investigación (consultar, extraer, recoger, registrar, cotejar, modificar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☒ Asistencia telefónica (consultar, registrar, cotejar, comunicar)

☐ Asistencia técnica presencial (consultar, extraer, recoger, registrar, cotejar, modificar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☒ Asistencia técnica remota (consultar, extraer, recoger, registrar, cotejar, modificar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☐ Configuración de copias de seguridad grabadas dispositivos de las instalaciones del responsable del tratamiento (extraer, recoger, registrar, cotejar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☐ Configuración de copias de seguridad grabadas en instalaciones cloud de terceros (extraer, recoger, registrar, cotejar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☐ Instalación y configuración de equipamiento informático hardware (consultar, extraer, recoger, registrar, cotejar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☐ Servicio de alquiler de servidores o terminarles de trabajo alojados en instalaciones cloud de terceros (consultar, extraer, recoger, registrar, cotejar, modificar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☐ Registro y mantenimiento de dominio en internet (consultar, registrar, cotejar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☐ Servicios de correo electrónico asociados al dominio previamente contratado con depósito de transferencia alojado en instalaciones cloud de terceros (consultar, extraer, recoger, registrar, cotejar, modificar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☐ Servicios de alojamiento de páginas web con depósito alojado en instalaciones cloud de terceros (consultar, extraer, recoger, registrar, cotejar, modificar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☒ Instalación, y/o configuración, y/o carga de datos previos, en el software especializado adquirido previamente al encargado del tratamiento (consultar, extraer, recoger, registrar, cotejar, modificar, interconectar, limitar, comunicar, transmitir, suprimir, destruir)

☒ Formación en el software especializado adquirido previamente al encargado del tratamiento (consultar, registrar, cotejar, modificar, comunicar, transmitir, suprimir, destruir)

3. Obligaciones y derechos del RESPONSABLE

El RESPONSABLE garantiza que los datos facilitados al ENCARGADO se han obtenido lícitamente y que son adecuados, pertinentes y limitados a los fines del tratamiento.

El RESPONSABLE es quien debe informar a las personas interesadas en el servicio ofrecido por el ENCARGADO de tratamiento.
El RESPONSABLE pondrá a disposición del ENCARGADO cuanta información sea necesaria para ejecutar las prestaciones objeto del encargo.

El RESPONSABLE es quien debe hacerse cargo de disponer de copias de seguridad en perfectas condiciones de restauración. Cuando este servicio se esté prestando por parte del ENCARGADO y el ENCARGADO lo haya configurado de manera suficiente, será también el RESPONSABLE quien ejecute y valide la correcta realización de las copias de seguridad preparadas o previstas por el ENCARGADO del tratamiento al objeto de proteger los datos objeto de este contrato.

El RESPONSABLE advierte al ENCARGADO de que, si determina por su cuenta los fines y los medios del tratamiento, se considerará responsable del tratamiento y estará sujeto a cumplir las disposiciones de la normativa vigente aplicables como tal.

4. Obligaciones y derechos del ENCARGADO

El ENCARGADO se obliga a respetar todas las obligaciones que pudieran corresponderle como encargado del tratamiento conforme a lo dispuesto en la normativa vigente y cualquier otra disposición o regulación que le fuera igualmente aplicable.

El ENCARGADO no destinará, aplicará o utilizará los datos a los que tenga acceso para un fin distinto al encargo o para un fin que suponga el incumplimiento de este contrato.

El ENCARGADO pondrá a disposición del RESPONSABLE la información necesaria para demostrar el cumplimiento del contrato, permitiendo las inspecciones y consultas necesarias para evaluar el tratamiento.

5. Personal autorizado para realizar el tratamiento

El ENCARGADO garantiza que el personal autorizado para realizar el tratamiento se ha comprometido de forma expresa y por escrito a respetar la confidencialidad de los datos o que está sujeto a una obligación legal de confidencialidad de naturaleza estatutaria.

El ENCARGADO tomará medidas para garantizar que cualquier persona que actúe bajo su autoridad y tenga acceso a datos personales solo pueda tratarlos siguiendo las instrucciones del RESPONSABLE o esté obligada a ello en virtud de la legislación vigente.

El ENCARGADO garantiza que el personal autorizado para realizar el tratamiento ha recibido la formación necesaria para asegurar que no se pondrá en riesgo la protección de datos personales.

6. Medidas de seguridad

El ENCARGADO manifiesta estar al corriente en lo que concierne a las obligaciones derivadas de la normativa de protección de datos, especialmente en lo que se refiere a la implantación de las medidas de seguridad para las diferentes categorías de datos y de tratamiento establecidas en el artículo 32 del GDPR.

El ENCARGADO garantiza que se implementarán adecuadamente dichas medidas de seguridad por parte del ENCARGADO, su personal y en sus instalaciones. Además ayudará al RESPONSABLE a cumplir las obligaciones establecidas en los artículos del 32 al 36 del GDPR, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del ENCARGADO.

El RESPONSABLE realizará un análisis de los posibles riesgos derivados del tratamiento para determinar las medidas de seguridad apropiadas para garantizar la seguridad de la información tratada y los derechos de los interesados y, si determinara que existen riesgos, trasladará al ENCARGADO un informe con la evaluación de impacto para que proceda a la implementación de medidas adecuadas para evitarlos o mitigarlos.

El ENCARGADO, por su parte, deberá analizar los posibles riesgos y otras circunstancias que puedan incidir en la seguridad que le sean atribuibles, debiendo informar, si los hubiere, al RESPONSABLE para evaluar su impacto.

De todas formas, el ENCARGADO garantiza que en los tratamientos de datos efectuados en la prestación de sus servicios, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, implementará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo que entrañe el tratamiento, que en su caso incluya, entre otros:

Seudonimización y cifrado de datos personales.

Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

Restaurar la disponibilidad y el acceso a datos de forma rápida en caso de incidente físico o técnico.

Procedimientos de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

7. Violación de la seguridad

Las violaciones de seguridad de que tenga conocimiento el ENCARGADO deberán notificarse, sin dilación indebida y en un máximo de 72 horas, al RESPONSABLE a la dirección de correo electrónico que el RESPONSABLE haya indicado a tal efecto, para su conocimiento y aplicación de medidas para remediar y mitigar los efectos ocasionados. No será necesaria la notificación cuando sea improbable que comporte un riesgo para los derechos y las libertades de las personas físicas.

La notificación de una violación de seguridad deberá contener, como mínimo, la siguiente información si se dispone de ella:

Descripción de la naturaleza de la violación.

Categorías y el número aproximado de interesados afectados.

Categorías y el número aproximado de registros de datos afectados.

Posibles consecuencias.

Medidas adoptadas o propuestas para remediar o mitigar los efectos.

Datos de contacto donde pueda obtenerse más información (DPO, responsable de seguridad, etc.).

8. Comunicación de los datos a terceros

En función de los servicios contratados se notifica sobre la comunicación que podría ser de aplicación. Si no es imprescindible para el desarrollo o resultado del servicio entonces no se hará comunicación alguna.

☒ Consultoría tecnológica y/o investigación: al fabricante o proveedor de primer nivel

☒ Asistencia telefónica: al fabricante o proveedor de primer nivel

☐ Asistencia técnica presencial: al fabricante o proveedor de primer nivel

☒ Asistencia técnica remota: al fabricante o proveedor de primer nivel

☐ Configuración de copias de seguridad grabadas dispositivos de las instalaciones del responsable del tratamiento: ninguna comunicación

☐ Configuración de copias de seguridad grabadas en instalaciones cloud de terceros: al fabricante o proveedor de primer nivel

☐ Instalación y configuración de equipamiento informático hardware: ninguna comunicación

☐ Servicio de alquiler de servidores o terminarles de trabajo alojados en instalaciones cloud de terceros: al fabricante o proveedor de primer nivel

☐ Registro y mantenimiento de dominio en internet: al fabricante o proveedor de primer nivel

☐ Servicios de correo electrónico asociados al dominio previamente contratado con depósito de transferencia alojado en instalaciones cloud de terceros: al fabricante o proveedor de primer nivel

☐ Servicios de alojamiento de páginas web con depósito alojado en instalaciones cloud de terceros: al fabricante o proveedor de primer nivel

☒ Instalación, y/o configuración, y/o carga de datos previos, en el software especializado adquirido previamente al encargado del tratamiento: al fabricante o proveedor de primer nivel

☒ Formación en el software especializado adquirido previamente al encargado del tratamiento: ninguna comunicación

Salvo las indicadas, el ENCARGADO no podrá comunicar los datos a terceros destinatarios, salvo que hubiera obtenido una autorización previa y por escrito del RESPONSABLE; la cual, de existir, se anexará al presente contrato.
La transmisión de datos a autoridades públicas en el ejercicio de sus funciones públicas no son consideradas comunicaciones de datos, por lo que no se precisará la autorización del RESPONSABLE si dichas transmisiones son necesarias para alcanzar la finalidad del encargo.

9. Transferencias internacionales de datos

El ENCARGADO no podrá realizar transferencias de datos a terceros países u organizaciones internacionales no establecidos en la UE, salvo que hubiera obtenido una autorización previa y por escrito del RESPONSABLE; la cual, de existir, se anexará al presente contrato.

10. Subcontratación del tratamiento de datos

El ENCARGADO no podrá subcontratar a un tercero la realización de ningún tratamiento de datos que le hubiera encomendado el RESPONSABLE, salvo los servicios expresamente previstos en este contrato. En caso de otros supuestos de subcontratación, será necesario que el RESPONSABLE lo autorice de manera previa y por escrito, y quede constancia anexando la autorización al presente contrato.

11. Derechos de los interesados

El ENCARGADO creará, siempre que sea posible y teniendo cuenta la naturaleza del tratamiento, las condiciones técnicas y organizativas necesarias para asistir al RESPONSABLE en su obligación de responder a las solicitudes de los derechos del interesado.

En caso de que el ENCARGADO reciba una solicitud para el ejercicio de estos derechos, debe comunicarlo al RESPONSABLE de forma inmediata y, en ningún caso, más allá del día laborable siguiente al de la recepción de la solicitud, adjuntando otras informaciones que puedan ser relevantes para resolverla.

12. Responsabilidad

Conforme al artículo 82 del GDPR, el RESPONSABLE responderá de los daños y perjuicios causados en cualquier operación de tratamiento en que participe y no cumpla lo dispuesto en el GDPR, y el ENCARGADO únicamente responderá de los daños y perjuicios causados por el tratamiento cuando no haya cumplido con las obligaciones del GDPR dirigidas específicamente al ENCARGADO o haya actuado al margen o en contra de las instrucciones legales del RESPONSABLE. Del mismo modo, el ENCARGADO estará exento de responsabilidad si demuestra que no es en modo alguno responsable del hecho que haya causado los daños y perjuicios.

13. Fin de la prestación de servicio

Una vez finalice la prestación de servicios objeto del contrato indicado en el párrafo dos del punto primero, si el ENCARGADO hubiera almacenado datos personales, deberá devolverlos o suprimirlos a elección del RESPONSABLE, incluidas las copias existentes. Si el RESPONSABLE no indica lo contrario esta acción se realizará en el mismo momento en que el RESPONSABLE haya comunicado su intención efectiva de desistimiento del contrato. El ENCARGADO deberá emitir un certificado de devolución o destrucción si así lo exigiera el RESPONSABLE.
No procederá la supresión de datos cuando se requiera su conservación por una obligación legal, en cuyo caso el ENCARGADO procederá a la custodia de los mismos bloqueando los datos y limitando su tratamiento en tanto que pudieran derivarse responsabilidades de su relación con el RESPONSABLE.

El ENCARGADO mantendrá el deber de secreto y confidencialidad de los datos incluso después de finalizar la relación objeto del citado contrato.

Y para que conste a los efectos oportunos, en prueba de conformidad de las partes, firman el presente contrato, por duplicado, en el lugar y la fecha indicados en el encabezamiento.

nombre de la empresa nif de la empresa nombre del representante de la empresa nif del representante de la empresa	Procom Informática Global4, S.L. B57038838 Daniel Martín Nicolás 43088459Y
Firma:	Firma: