Acuerdo sobre el tratamiento de datos, de acuerdo con el RGPD, entre B2Brouter Global S.L.(encargado del tratamiento) y el responsable del tratamiento

Acuerdo sobre el Tratamiento de datos, de acuerdo con el RGPD, entre el Encargado del tratamiento, B2Brouter Global S.L., y el Responsable del tratamiento.

___________________

Preámbulo

Este acuerdo establece las responsabilidades de las partes contratantes en relación con la protección de datos personales. Estas responsabilidades se derivan de todos los contratos presentes y futuros que impliquen el tratamiento de datos personales y tengan un contenido contractual similar, como la creación y transmisión de documentos o facturas electrónicas utilizando diversas redes, formatos y estándares. Los detalles específicos se definirán según la distribución o asignación de responsabilidades establecida.

Este acuerdo será aplicable a todas las actividades relacionadas con dichos contratos en los que los empleados del Contratista o sus encargados del tratamiento designados (en adelante, «Subcontratistas») gestionen datos personales del Cliente.

1. Objeto del Acuerdo

Este acuerdo constituye una parte integrante del contrato principal.

El Encargado tratará los datos personales en nombre del Responsable.

La finalidad del tratamiento de los datos personales se detalla en los contratos pertinentes. En esencia, el Encargado lleva a cabo las siguientes actividades:

• Alojamiento de infraestructuras informáticas
• Desarrollo e implementación de software
• Actividades de soporte y servicio para aplicaciones informáticas

Duración del tratamiento de datos:

El plazo de este Acuerdo estará regido por la duración del Contrato Principal, salvo que los términos de este Acuerdo impongan obligaciones más allá de dicho plazo.

Una vez finalizada la prestación de los servicios cubiertos por este contrato, si el Encargado ha almacenado datos personales, o cualquier otro documento y/o soporte proporcionado por cualquier medio, los devolverá, eliminará o entregará a un nuevo Encargado, a elección del Responsable, incluyendo cualquier copia existente. El Encargado emitirá un certificado de devolución o destrucción si así lo requiere el Responsable. La eliminación de los datos no procederá cuando su conservación sea requerida por una obligación legal, en cuyo caso el Encargado procederá a la custodia de los datos mediante su bloqueo y limitará su tratamiento en la medida en que puedan derivarse responsabilidades de su relación con el Responsable del tratamiento. El Encargado mantendrá el deber de secreto y confidencialidad de los datos incluso después de la finalización de la relación objeto de este contrato.

Categoría de datos:

• Personales: nombre, apellidos, dirección postal, número de teléfono.
• Datos laborales: departamento al que pertenece, número de personal.
• Registros de acceso
• Otros:

Categoría de interesados:

• Directivos, empleados ejecutivos
• Empleados, incluidos voluntarios, estudiantes, agentes, trabajadores temporales.
• Clientes y usuarios.
• Contactos comerciales
• Proveedores
• Contratistas y sus empleados.

Este Acuerdo regula las medidas que deben acordarse entre el Responsable y el Encargado, con el fin de proteger los datos personales de conformidad con el artículo 28 del RGPD.

Duración del tratamiento de datos:

La vigencia de este Acuerdo se regirá por la duración del Contrato Principal, salvo que los términos de este Acuerdo impongan obligaciones más allá de dicho plazo.

Una vez finalizada la prestación de los servicios cubiertos por este contrato, si el Encargado ha almacenado datos personales u otros documentos y/o soportes proporcionados por cualquier medio, deberá devolverlos, eliminarlos o entregarlos a un nuevo Encargado, según lo decida el Responsable, incluidas las copias existentes. El Encargado emitirá un certificado de devolución o destrucción si así lo solicita el Responsable. No se procederá a la eliminación de los datos cuando exista una obligación legal de conservarlos; en tal caso, el Encargado custodiará los datos mediante su bloqueo y limitará su tratamiento en la medida en que puedan derivarse responsabilidades de su relación con el Responsable. El Encargado mantendrá el deber de secreto y confidencialidad incluso después de la finalización de la relación objeto de este contrato.

Categoría de datos:

• Personales: nombre, apellidos, dirección postal, número de teléfono.
• Datos laborales: departamento al que pertenece, número personal.
• Registros de acceso
• Otros:

Categoría de interesados:

• Directivos, empleados ejecutivos
• Empleados, incluidos voluntarios, estudiantes, agentes, trabajadores temporales.
• Clientes y usuarios.
• Contactos comerciales
• Proveedores
• Contratistas y sus empleados.

Este Acuerdo regula las medidas que deben acordarse entre el Responsable y el Encargado para proteger los datos personales conforme al artículo 28 del RGPD.

2. Derechos y obligaciones del Responsable

El RESPONSABLE garantiza que los datos facilitados al ENCARGADO han sido obtenidos lícitamente y que son adecuados, pertinentes y limitados a los fines del tratamiento.

El RESPONSABLE pondrá a disposición del ENCARGADO toda la información necesaria para la ejecución de los servicios objeto del encargo. El RESPONSABLE advierte al ENCARGADO que, si determina por cuenta propia los fines y medios del tratamiento, será considerado Responsable y deberá cumplir con lo dispuesto en la normativa aplicable vigente.

El Responsable deberá informar inmediatamente al Encargado si detecta errores o irregularidades en el tratamiento de datos personales realizado por éste en su nombre. Por su parte, el Encargado deberá informar sin demora al Responsable de cualquier corrección realizada o acción necesaria para subsanar dichos errores o irregularidades.

Si un interesado presenta una reclamación a una de las partes contratantes conforme al artículo 82 del RGPD en relación con el tratamiento de datos personales objeto de este Acuerdo, la parte afectada deberá notificarlo inmediatamente a la otra parte. Ambas partes se comprometen a cooperar entre sí en la defensa frente a dicha reclamación.

3. Obligaciones del Encargado

3.1. El Encargado tratará los datos personales por cuenta del Responsable, de conformidad con lo dispuesto en el Contrato y según lo especificado en este Acuerdo.

Sin embargo, si el Encargado determina los fines y medios del tratamiento de los datos personales, incumpliendo las instrucciones del Responsable, asumirá la figura de Responsable. En tal caso, será plenamente responsable de dicho tratamiento, con todas las obligaciones correspondientes previstas en el RGPD y demás leyes aplicables.

3.2. El Encargado sólo podrá tratar los datos personales de los interesados dentro del marco de las tareas especificadas en el Contrato y este Acuerdo, y conforme a las instrucciones documentadas del Responsable. Esto se aplicará salvo que exista una obligación legal que exija lo contrario, en cuyo caso, de conformidad con el artículo 28.3.a) del RGPD, el Encargado informará al Responsable, salvo que dicha comunicación esté prohibida por ley.

3.3. El Encargado organizará su estructura interna de modo que cumpla con los requisitos específicos de protección de datos en el ámbito de sus responsabilidades. Adoptará las medidas técnicas y organizativas necesarias para proteger adecuadamente los datos del Responsable, conforme al artículo 32 del RGPD.

Estas medidas incluirán garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios vinculados al tratamiento de los datos, incluso a largo plazo. También implementará medidas para restaurar la disponibilidad y el acceso a los datos personales tras un incidente físico o técnico. Además, establecerá procedimientos para revisar periódicamente la eficacia de dichas medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

Las medidas a implementar incluyen la seudonimización y cifrado de los datos personales cuando sea necesario para garantizar un nivel adecuado de seguridad. Las medidas técnicas y organizativas adoptadas por el Encargado, según lo descrito en el Anexo 1, han sido verificadas por el Responsable, quien confirma su carácter vinculante. El Responsable será responsable del cumplimiento de dichas medidas conforme a los requisitos específicos de protección de datos.

3.4. El Encargado garantizará la implementación de todas las medidas definidas en este Acuerdo para el tratamiento de los datos personales. Informará al Responsable sobre cualquier nueva tecnología conocida que pueda mejorar la protección de los datos personales.

3.5. El Encargado elaborará, actualizará y mantendrá un registro de todas las categorías de actividades de tratamiento realizadas por cuenta del Responsable, incluyendo las especificaciones exigidas por el artículo 30.2 del RGPD.

3.6. El Encargado apoyará al Responsable, conforme al artículo 28.3.e) del RGPD, en la medida de lo posible, mediante la implementación de medidas técnicas y organizativas apropiadas de protección. Esto facilitará al Responsable el cumplimiento de sus obligaciones de respuesta a los interesados según el Capítulo III del RGPD. Dicho apoyo podrá incluir, entre otros, proporcionar información y acceso a los interesados, rectificación o supresión de datos, limitación del tratamiento, garantía del derecho al olvido, facilitar la portabilidad de los datos y atender las objeciones al tratamiento.

El Encargado prestará apoyo al Responsable, de conformidad con el artículo 28.3.f) del RGPD, para garantizar el cumplimiento de los requisitos de seguridad establecidos en el artículo 32 del RGPD. También facilitará la gestión de las notificaciones de violaciones de seguridad de los datos personales conforme al artículo 33 del RGPD y, cuando sea necesario, la comunicación a los interesados conforme al artículo 34 del RGPD. Asimismo, proporcionará al Responsable, previa solicitud, los datos y documentos necesarios para tal fin.

El Encargado también asistirá, en virtud del artículo 28.3.f) del RGPD, en la elaboración de evaluaciones de impacto relativas a la protección de datos conforme al artículo 35 del RGPD y, cuando proceda, en consultas previas con las autoridades de control conforme al artículo 36 del RGPD. Proporcionará al Responsable los datos y documentos requeridos cuando éste lo solicite.

3.7. El Encargado designará un delegado de protección de datos y un punto de contacto para tratar las consultas del Responsable sobre cuestiones relativas a la protección de datos en el marco del Contrato y del presente Acuerdo. Cualquier cambio en la persona de contacto deberá notificarse sin demora al Responsable.

3.8. El Encargado no utilizará los datos personales para fines distintos de los establecidos por el Responsable, ni los conservará más allá del plazo legalmente establecido. No podrán crearse copias o duplicados de los datos sin el conocimiento y aprobación del Responsable.

3.9. El Encargado garantizará, conforme a las instrucciones escritas del Responsable, los derechos de los interesados, incluyendo la supresión (derecho al olvido), rectificación, portabilidad de los datos, limitación del tratamiento, oposición y acceso, y lo hará sin dilaciones indebidas.

3.10. El Encargado deberá notificar de inmediato al Responsable o a su Delegado de Protección de Datos los siguientes supuestos:

• Si las medidas de seguridad implementadas no cumplen con los requisitos establecidos en el presente Acuerdo.
• Si se producen alteraciones significativas en los procedimientos operativos.
• En caso de incumplimientos de las normas de protección de datos o de las disposiciones del presente Acuerdo, por parte del Encargado o de su personal.
• Ante cualquier sospecha de violación de la seguridad de los datos personales o irregularidad en el tratamiento.

El Encargado deberá adoptar las medidas de seguridad adecuadas, conforme a las instrucciones del Responsable, para minimizar los posibles efectos perjudiciales sobre los interesados.

Esto incluye garantizar el cumplimiento de las obligaciones del Responsable conforme a los artículos 33 y 34 del RGPD, relativas a la notificación de violaciones de datos a las autoridades de control y, cuando proceda, a los interesados. El Encargado se compromete a colaborar activamente con el Responsable para cumplir dichas obligaciones.

El Encargado notificará al Responsable cualquier violación de la seguridad de los datos personales mediante un correo electrónico a gdpr@b2brouter.net. La notificación incluirá, como mínimo, la siguiente información:

• Descripción de la violación: explicación de la naturaleza de la violación, incluyendo las categorías de datos afectados y el número aproximado de personas y registros comprometidos.
• Datos de contacto: nombre y datos de contacto de la persona que pueda proporcionar más información.
• Consecuencias probables: descripción de las posibles repercusiones de la infracción para los afectados.
• Medidas adoptadas: lista de acciones tomadas o previstas para remediar o mitigar los efectos de la violación.

Este proceso garantiza una comunicación clara y eficaz, permitiendo al Responsable cumplir con sus obligaciones legales en virtud del RGPD.

3.11. El Responsable tiene derecho a inspeccionar las medidas técnicas y organizativas que debe adoptar el Encargado, tal como se establece en la Cláusula 3.3, antes del inicio de cualquier tratamiento de datos. Además, podrá verificar dichas medidas periódicamente a intervalos regulares. Las inspecciones podrán realizarse directamente por el Responsable o mediante auditorías llevadas a cabo por un tercero designado en su nombre, con el fin de garantizar el cumplimiento de la normativa de protección de datos.

3.12. El Encargado informará de inmediato al Responsable en los siguientes casos:

• Actuaciones de la autoridad de control: conforme a los artículos 55 y siguientes y 31 del RGPD, así como cualquier investigación de la autoridad de control al Encargado, según lo dispuesto en los artículos 58.2 y 83 y siguientes del RGPD.
• Solicitudes de los interesados: relativas al ejercicio de sus derechos establecidos en el Capítulo III del RGPD, como los derechos de rectificación, supresión, limitación del tratamiento, acceso, portabilidad de datos y oposición. El Encargado deberá transmitir dichas solicitudes al Responsable sin demora y colaborar en su tramitación.

El Encargado no está autorizado, sin la instrucción previa y por escrito del Responsable, a facilitar información a los interesados o a terceros sobre el tratamiento de los datos personales, conforme al artículo 15 del RGPD.

3.13. Los datos personales utilizados con fines de prueba deberán conservarse de forma segura. Dichos datos no serán accesibles hasta que el Responsable indique al Encargado que proceda a su destrucción, eliminación o devolución. La eliminación o destrucción de los datos se confirmará por escrito al Responsable, indicando la fecha de la acción.

3.14. Al finalizar el presente Acuerdo, el Encargado devolverá al Responsable, o, a solicitud de este, eliminará de forma irreversible toda la información, documentación y datos proporcionados por el Responsable, incluyendo los datos personales y los resultados del trabajo generados en el marco del presente Acuerdo, siempre que no exista una obligación legal de conservar los datos conforme a la normativa de la UE o del Estado miembro (véase art. 28.3.g) del RGPD). El Encargado confirmará al Responsable, a más tardar 30 días después de la solicitud, la devolución, destrucción, eliminación y bloqueo de toda la información y registros. Lo mismo se aplicará a los subencargados.

3.14.1. El Encargado solo podrá subcontratar el tratamiento de datos a terceros con el consentimiento previo y por escrito del Responsable. Los subencargados designados por el Encargado estarán recogidos en el Anexo 2 del presente Acuerdo. Para los subencargados mencionados en dicho Anexo 2, la autorización se entenderá otorgada con la firma del presente Acuerdo. El Encargado notificará al Responsable cualquier modificación, inclusión o sustitución de un subencargado con antelación, dando oportunidad al Responsable para oponerse al cambio.

3.14.2. El Responsable garantizará que el subencargado sea cuidadosamente seleccionado en cuanto a la idoneidad de las medidas técnicas y organizativas que aplique. El Encargado se asegurará de que el contrato con el subencargado (en lo relativo al tratamiento de datos personales) contenga condiciones sustancialmente equivalentes y, en todo caso, no menos exigentes que las estipuladas en el presente Acuerdo.

3.14.3. La transferencia de datos solo será admisible una vez que el subencargado haya aplicado todos los requisitos establecidos en el artículo 28 del RGPD, incluyendo las medidas de seguridad descritas en el artículo 32 del RGPD.

3.14.4. En el contrato entre el Encargado y el subencargado deberán especificarse claramente los elementos señalados en el punto 1 de forma que las responsabilidades entre Encargado y subencargado queden claramente delimitadas. Este principio también se aplicará a la separación de responsabilidades entre distintos subencargados.

3.14.5. El Encargado informará al Responsable sobre los aspectos esenciales de los contratos celebrados con subencargados y sobre la implementación de las obligaciones de protección de datos incluidas en dichos contratos. Si fuera necesario, el contrato se entregará al Responsable para su revisión.

3.14.6. La subcontratación conforme a los términos de este Acuerdo no incluirá servicios auxiliares contratados por el Encargado a terceros para facilitar la ejecución del Acuerdo, tales como servicios de telecomunicaciones, limpieza, auditoría o destrucción de soportes. No obstante, para garantizar la protección y seguridad de los datos personales, el Encargado deberá:

• Suscribir acuerdos apropiados que cumplan con la legislación aplicable.
• Supervisar las actividades de los terceros que prestan servicios auxiliares para garantizar que cumplan con los estándares de protección de datos especificados en el presente Acuerdo.

3.15. Cualquier transferencia de datos a un tercer país requerirá la autorización previa del Responsable y solo será permitida si se cumplen los requisitos establecidos en los artículos 44 y siguientes del RGPD.

3.16. Si los datos personales del Responsable en custodia del Encargado se vieran comprometidos debido a embargo, incautación, procedimiento concursal, bancarrota, insolvencia u otras actuaciones o medidas por parte de terceros, el Encargado lo notificará de inmediato al Responsable. Además, el Encargado informará sin demora a todas las partes involucradas que la soberanía y propiedad de los datos personales pertenece exclusivamente al Responsable, conforme al RGPD.

4. Confidencialidad e integridad

4.1. El Encargado garantizará que todas las personas autorizadas para tratar datos personales suscriban un compromiso escrito de confidencialidad antes de iniciar cualquier actividad, conforme al artículo 5.1.f) del RGPD. Asimismo, el Responsable se asegurará de que su personal esté debidamente informado sobre las obligaciones derivadas del presente Acuerdo, del RGPD y de otros requisitos relevantes en materia de protección de datos. También velará por que conozcan las instrucciones del Responsable. El Responsable supervisará el cumplimiento de la normativa de protección de datos y de los términos establecidos en este Acuerdo.

4.2. La obligación de confidencialidad e integridad seguirá vigente incluso tras la finalización de la relación laboral.

4.3. El Responsable estará obligado a respetar la confidencialidad de todos los secretos empresariales y medidas de protección de datos del Encargado que puedan ser conocidos durante la relación contractual.

5. Responsabilidad e indemnización

El Encargado será responsable frente al Responsable por cualquier daño o perjuicio causado por el tratamiento no autorizado o incorrecto de datos personales, ya sea en el contexto de relaciones contractuales o extracontractuales, de conformidad con el RGPD y demás normativa aplicable en materia de protección de datos. Esto incluye, en particular:

• Tratamientos de datos que se desvíen de las instrucciones del Responsable.
• Tratamientos defectuosos derivados del incumplimiento por parte del Encargado de sus obligaciones conforme al presente Acuerdo.

El Encargado se compromete a indemnizar al Responsable y a

exonerarlo de cualquier reclamación presentada por terceros en este contexto, de conformidad con el

artículo 82.3 del RGPD.

6. Duración del contrato

6.1. La duración del presente Acuerdo estará determinada por la vigencia del contrato principal, siempre que las disposiciones del presente Acuerdo no generen obligaciones que se extiendan más allá. Este Acuerdo podrá rescindirse mediante preaviso por escrito de tres meses a la otra parte.

6.2. En caso de que el Encargado incumpla las obligaciones definidas en el punto 3 del presente Acuerdo, o en caso de que no preste los servicios descritos en el punto 1, y si la solicitud o requerimiento correspondiente del Responsable no surte efecto durante un período de sesenta días, el Responsable tendrá derecho, sin perjuicio de otros derechos, a resolver el presente Acuerdo por escrito y sin necesidad de preaviso en cualquier momento.

6.3. Si la transmisión de datos personales se realiza exclusivamente con base en una decisión de adecuación conforme al art. 45 del RGPD, el Responsable se reserva el derecho de una eliminación extraordinaria si el efecto de dicha decisión de adecuación se ha suspendido, modificado o revocado conforme al artículo 45.3 párrafo 2 en relación con el párrafo 5 del RGPD.

7. Divisibilidad

Si alguna disposición del presente Acuerdo resultara total o parcialmente inválida, ello no afectará a la validez del resto del Acuerdo.

La disposición inválida será sustituida por una disposición válida legalmente permitida que refleje, en la mayor medida posible, la intención económica y el propósito de la disposición original.

8. Disposiciones generales

8.1. Cualquier modificación o adición al presente Acuerdo y a cualquiera de sus elementos constitutivos (incluidas las garantías otorgadas por el Encargado) deberá realizarse por escrito. Esto podrá hacerse en formato electrónico, siempre que se especifique claramente que se trata de un acuerdo escrito que modifica o complementa el presente Acuerdo. Esta disposición también se aplicará a la renuncia de los requisitos relativos a dicho formato.

8.2. En caso de discrepancia o inconsistencia entre las condiciones de este Acuerdo y las del contrato principal, prevalecerán las condiciones establecidas en el presente Acuerdo.

8.3. El presente Acuerdo se regirá por la legislación europea. La jurisdicción exclusiva será Barcelona, España.

B2Brouter Global S.L.

Encargado del tratamiento Responsable del tratamiento de datos

Anexo 1: Medidas técnicas y organizativas / concepto de seguridad

Las siguientes medidas técnicas y organizativas (TOM) son acordadas entre el Responsable y el Encargado y se detallan en este caso concreto. Para más referencias, puede consultarse la lista de ejemplos.

1. Medidas para garantizar la confidencialidad (art. 32.1.b RGPD)

• Control de acceso físico

No se permite el acceso no autorizado a los sistemas de tratamiento de datos.

• Control de acceso lógico

No se permite el uso no autorizado del sistema.

Acceso a través de canales seguros y autenticados mediante clave pública/privada vía servidor bastión.

• Control de acceso a los datos

Prohibición de lectura, copia, modificación o eliminación no autorizada dentro del sistema.

• Control de separación

Tratamiento separado de datos recogidos para diferentes fines.

Los datos de los clientes están separados lógicamente.

• Eliminación de datos

Las unidades de disco o servidores en desuso se borran varias veces conforme a la política de borrado seguro.

2. Medidas para garantizar la integridad (art. 32.1.b RGPD)

• Control de transmisión

Prohibición de lectura, copia, modificación o eliminación no autorizada durante la transmisión o transporte electrónico.

La transmisión de datos se realiza a través de canales seguros cifrados.

Todo el personal está formado y obligado a garantizar el tratamiento de los datos personales conforme al estándar de protección de datos.

• Control de entrada

Determinación de si los datos personales han sido introducidos, modificados o eliminados en los sistemas de tratamiento, y por quién (por ejemplo, registro, gestión documental).

3. Medidas para garantizar la disponibilidad y resiliencia (art. 32.1.b RGPD)

• Control de disponibilidad

Protección contra daños accidentales o destrucción o pérdida mediante estrategias de copia de seguridad y recuperación.

Sistemas y datos distribuidos en diferentes centros de datos ubicados en distintos países de la Unión Europea (Alemania y Finlandia).

Plan de continuidad del negocio para actividades críticas y planes de recuperación ante desastres.

• No se procesan datos por cuenta del Responsable conforme al art. 28 RGPD sin instrucciones de este.
• Resiliencia

Los sistemas y servicios (por ejemplo, almacenamiento, acceso, capacidad de red, etc.) están diseñados para garantizar funcionamiento incluso en caso de altas cargas intermitentes o constantes.

Los sistemas y servicios están configurados en una arquitectura de alta disponibilidad y se monitorizan constantemente.

Todos los servidores disponen de discos duplicados en espejo.

Se emplean sistemas de seguridad como cortafuegos, antivirus, antispam y cifrado.

4. Medidas para la seudonimización de los datos personales

• Separación de datos maestros de clientes y datos de usuario de clientes.
• Los datos personales se seudonimizan cuando es necesario.

5. Medidas para restaurar rápidamente la disponibilidad de los datos personales tras un incidente físico o técnico

• Almacenamiento redundante de datos
• Infraestructura informática duplicada
• Centro de datos de respaldo

6. Procedimientos de revisión, evaluación y valoración periódica (art. 32.1.d y art. 25.1 RGPD)

• Gestión de privacidad
• Gestión de respuesta ante incidentes
• Protección de datos por defecto (art. 25.2 RGPD)
• Evaluación por el CISO, auditorías de seguridad informática
• Evaluación externa, auditorías, certificaciones ISO27001.

Anexo 2: Subencargados del tratamiento

Empresa designada	Ámbito del encargo	Lugar de tratamiento	Tipo de datos
INGENT SYSTEM SL	Externalización de actividades de programación e informática	Vilafranca del Penedès (España)	Datos relativos a cuentas de clientes (correos electrónicos, nombres, cuentas bancarias, etc.)
Hetzner Online GmbH	Externalización de servidores	Gunzenhausen (Alemania)	Sin acceso a datos personales