Contrato de Prestación de Servicios

Certificagreen proyectos de ingenieria S.L., (en adelante Ganareseñas) con número de identificación fiscal ESB86762507, con sede en España.

Y el cliente que acepta el presente Contrato de Prestación de Servicios (Cliente), que interviene en calidad de tomador de servicios, así como el addendum al presente contrato de prestación de servicios, que hace referencia al nuevo reglamento europeo en materia de protección de datos (RGPD).

1.ª (Objeto)

1. Por el presente contrato y en los términos de su firma, Ganareseñas proveerá al Cliente servicios de comunicación digital y gestión de contactos a través de la plataforma Ganareseñas.

2.ª (Definiciones)

1. Las definiciones siguientes tienen, en virtud del presente contrato, el alcance que les es otorgado por los párrafos siguientes de esta cláusula:

a) Comunicación digital: servicios de envío de correo electrónico, notificaciones push, SMS y mensajes de voz;
b) Gestión de contactos: Servicios de tratamiento y manutención manual o automática de contactos para acciones de comunicación digital, incluyendo generación de datos estadísticos;
c) Plataforma Ganareseñas: infraestructura accesible vía Web por el Cliente a través de la cual Ganareseñas presta todos los servicios de comunicación digital y gestión de contactos;
d) Plan mensual de utilización: mensualidad para el envío de correo electrónico y de notificaciones Push App a través de la plataforma Ganareseñas. La mensualidad tiene inicio a partir de la fecha en que el Cliente efectúa el primer pago y caducará a los treinta días naturales, momento en el que el cliente podrá renovar o ampliar el servicio.
e) Saldo: valor pagado por el Cliente para cargar su cuenta en la plataforma Ganareseñas. El saldo no expira y se va gastando en relación a los mensajes enviados o servicios utilizados por el Cliente en la plataforma Ganareseñas.
f) Servicio extracontractual: servicios solicitados por el Cliente a Ganareseñas que sean de naturaleza diferente a los servicios incluidos en este contrato.

3.ª (Precios y pagos)

Los servicios de la plataforma Ganareseñas son prestados bien adhiriéndose a uno de los dos planes mensual de utilización (para envío de e-mails y notificaciones push app) o mediante la carga de saldo (para envíos de e-mails, notificaciones pus. El cliente podrá obtener información actualizada sobre el tarifario en vigor en cualquier momento en el sitio web de Ganareseñas. Los planes mensuales de utilización y la carga de saldo están distribuidos por niveles de servicio (presentados más abajo), que determinan el conjunto de funcionalidades y servicios disponibles.

1.1. Plan Suscriptores: este plan da derecho al cliente a subir una base de datos a la plataforma Ganareseñas de la cantidad contratada (10.000, 50.000, 100.000, 500.000, 750.000 o 1.000.000) Durante el plazo de un mes, el cliente tendrá derecho a enviar a esta base de datos una cantidad ilimitada de notificaciones push up y una cantidad de 2 e-mails semanales durante un mes. Los contactos de esta base de datos no podrán ser borrados y reemplazados por nuevos contactos.

1.2. Plan Servicio: este plan da derecho al cliente realizar la cantidad total de envíos del plan contratado (50.000, 100.000, 250.000, 500.000, 750.000 o 1.000.000) Por envíos se entiende el envío de e-mails y notificaciones push app. Durante el plazo de un mes, el cliente tendrá derecho a enviar a una cantidad ilimitada de suscriptores, la cantidad contratada de notificaciones push app y e-mails. El cliente podrá dar de alta todos los contactos o grupos que desee y, una vez agotado el límite de envíos, dentro del plazo de un mes, podrá adquirir créditos de ampliación a un coste reducido.

El plan mensual de utilización se aplica exclusivamente al envío de correo electrónico y notificaciones push. El envío de comunicaciones digitales a través de otros canales requiere siempre la carga de saldo.
Modalidades de pago:

El cliente puede realizar pagos desde la web Ganareseñas mediante dos modalidades: transferencia bancaria y tarjeta de crédito/débito.

3.1. Pago por transferencia bancaria

Cuando el CLIENTE seleccione la opción pago por transferencia, el sistema generará una proforma con número único. El CLIENTE tendrá que efectuar la transferencia a través de su banco indicando el número de proforma al que hace referencia el pago en un plazo máximo de 7 días. El saldo no se hace efectivo en la plataforma hasta 24 horas después de que el banco receptor notifique la recepción del pago.

El importe mínimo aceptado para el pago por transferencia es de 30€.

3.2. Pago seguro con tarjeta de crédito/débito

Ganareseñas proporciona un sistema de pago seguro con tarjeta, que consiste en la autentificación del titular de la tarjeta, garantizando que el cliente que está usando el número de tarjeta es realmente el titular de la misma. Esto se realiza mediante una clave secreta que el banco del cliente facilitará.

Para garantizar el pago seguro Ganareseñas ha establecido las siguientes medidas de seguridad:

– Importe mínimo de pago por operación: 30€

– Nº Máximo de operaciones diarias por tarjeta: 15

– Importe máximo diario: 1.500€

– Nº Máximo de operaciones diarias por IP: 3

– Importe máximo de operaciones diarias por IP: 2.000€

– Bloqueo automático del sistema cuando el país la IP es diferente del de la tarjeta.

Además, el sitio web utiliza técnicas de seguridad de la información generalmente aceptada en la industria, tales como firewalls, procedimientos de control de acceso y mecanismos criptográficos, todo ello con el objetivo de evitar el acceso no autorizado de datos. Para lograr estos fines, el usuario/cliente acepta que el prestador obtenga.

Ganareseñas sólo acepta tarjetas VISA Y MASTERCARD.

Los planes mensuales de utilización y las cargas de saldo son activadas después de la realización del pago.

Los planes mensuales de utilización son renovados automáticamente por Ganareseñas, haciéndose efectivo el cargo mensual por tarjeta en el momento en el que caduca el plan anterior. En cualquier momento, el CLIENTE puede cancelar la suscripción y, una vez finalizado el plazo de un mes, el cliente podrá contratar un plan inferior o superior.

Los planes mensuales de utilización han de ser renovados manualmente por el cliente. Una vez finalizado el plazo de un mes, el cliente podrá contratar de nuevo el servicio o contratar un plan inferior o superior. Cualquier cancelación del plan solo se ejecutará cuando haya terminado el período de validez del propio plan.
Todos los costes de acceso y conexión a la plataforma Ganareseñas por parte del Cliente serán asumidos por el Cliente.
Todos los servicios extracontractuales serán cobrados conforme al tarifario de Ganareseñas.
Todas las facturas serán emitidas por Ganareseñas al Cliente después de la recepción del pago correspondiente y podrán ser descargadas desle la propia cuenta de cliente

4.ª (Obligaciones de Ganareseñas)

Ganareseñas prestará al Cliente los siguientes servicios, para la ejecución de este contrato:
a) Servicios de comunicación digital y gestión de contactos a través de la plataforma Ganareseñas;
b) Asistencia, por correo electrónico o teléfono, durante el horario normal de apertura de Ganareseñas, sobre los servicios prestados.
Ganareseñas se obliga a:
a) Mantener los servicios y la plataforma Ganareseñas en conformidad a todas las leyes, normas y reglamentos internacionales, nacionales y locales, incluyendo, sin limitación, las que rigen las prácticas de la publicidad y el marketing;
b) Mantener la confidencialidad sobre toda la información relativa a los datos del Cliente a los que tenga acceso.
c) Ganareseñas tiene su sede principal en el territorio de la Unión Europea y se rige por el cumplimiento de las obligaciones europeas de protección de datos personales. Ganareseñas no almacena esos datos en lugares fuera de la jurisdicción de la UE y nunca llevará a cabo la venta, préstamo o cesión de información personal, listas de contactos, mensajes o cualquier otro dato del Cliente, con excepción de un mandato judicial. Tales datos sólo podrán ser transmitidos entre trabajadores de Ganareseñas en el estricto ámbito de sus funciones de gestión y administración del servicio.
d) Ganareseñas está obligado a notificar cualquier modificación en el tarifario de la plataforma Ganareseñas al Cliente.

5.ª (Obligaciones del Cliente)

Son obligaciones del Cliente, además de aquellas previstas en otras cláusulas del presente contrato y en el ámbito de su ejecución regular:
a) Enviar comunicaciones digitales a través de la plataforma Ganareseñas solamente a destinatarios que concediesen previa y explícitamente su autorización al Cliente para recibir dichas comunicaciones;
b) Cumplir rigurosamente el Libro Blanco de Buenas Prácticas en Mailing de la plataforma Ganareseñas, con la cual ya ha mostrado explícitamente su acuerdo al usar la plataforma. El cliente se obliga específicamente a no sobrepasar los siguientes límites:

MÉTRICAS	ACEPTABLE	EXPLICACIÓN
Hard bounces (recientes)	≤ 2%	En relación con el número de mensajes con bounce (rebote) durante los últimos 15 días.
Hard bounces (total)	≤ 10%	En relación con el total de contactos.
Bajas voluntarias	≤ 1.4%	Personas que hacen clic en el botón de baja del mensaje.
Contactos sospechosos	≤ 10%	Ej. bounces conocidos, direcciones de email del tipo role account, direcciones con sintaxis correcta pero inexistentes o que nunca se usan en suscripciones.
Quejas de spam	≤ 0.08%	Para más de 1000 mensajes entregados (sin embargo, el n.º de quejas diarias nunca puede ser mayor que 50).
Quejas en las aperturas	≤ 1.00%	En relación con el número de aperturas de los mensajes enviados en los últimos 5 días.
Spamtraps y quejas sin justificación del cliente	≤ 1	Un spamtrap es una dirección de email creada específicamente para identificar bases de datos ilegales.

c) Proveer informaciones verídicas y verificables al identificar su empresa mediante la plataforma Ganareseñas y ante los destinatarios de las comunicaciones digitales del Cliente;
d) No practicar, ni tan siquiera intentar, cualquier conducta que tenga como objetivo violar las normas y limitaciones de uso impuestas por la plataforma Ganareseñas, que infrinja el orden jurídico vigente o que vaya en detrimento, de alguna manera, de intereses o posiciones jurídicamente protegidas.
e) Responsabilizarse de la lectura de las comunicaciones regulares enviadas por correo electrónico por Ganareseñas o presentadas en la propia plataforma Ganareseñas respecto a novedades, recomendaciones, mantenimiento y otras modificaciones en la plataforma;
f) Mantener la confidencialidad sobre toda la información relativa a los datos internos de Ganareseñas a los que eventualmente pudiese tener acceso.
g) Comprometerse a no ejercer prácticas de spam, entendiendo como spam el envío de e-mails:

– a cualquier lista de contactos sin conocimiento ni consentimiento previo de esos contactos.

– a contactos que hayan manifestado su intención de darse de baja de la lista de contactos.

– únicamente destinados a la captación de contactos a cambio de ganancias.

– que no contengan un remitente válido e identificable.

– con asunto o contenido que presente información falsa, engañosa, discriminatoria, xenófoba, ilícita o que promocione ganancias en juegos de azar, venda sistemas piramidales o fomente malos tratos y abuso.

– y en definitiva, cualquier supuesto que bajo la legislación LOPD, LSSI (UE) o CAN SPAM (USA) pueda considerarse spam

6.ª (Uso de los remitentes SMS)

Todos los remitentes usados por el Cliente en el envío de SMS a través de la plataforma Ganareseñas deben existir, ser válidos e identificar claramente al remitente ante los destinatarios
Los remitentes alfanuméricos de telefonía móvil sólo pueden corresponder al nombre de la empresa del Cliente o a una marca registrada por el Cliente.
Los remitentes numéricos de teléfono sólo pueden ser números válidos en uso por el Cliente o por la empresa del Cliente.

7.ª (Confidencialidad)

A los efectos del cumplimiento de la normativa de protección de datos de carácter personal, Ganareseñas, como encargado de tratamiento, garantiza que únicamente realizará el tratamiento de datos personales conforme a las instrucciones del Cliente. Ganareseñas se compromete a guardar la máxima reserva y secreto sobre la información clasificada como confidencial. Se considerará información confidencial cualquier dato de carácter personal al que el Ganareseñas acceda en virtud de la referida prestación de servicios.
Ganareseñas no aplicará los datos para otros fines que no sean los necesarios para la correcta prestación del servicio. En el caso de que Ganareseñas destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del presente contrato, será considerado también responsable del tratamiento, respondiendo de las infracciones en que hubiera incurrido.
Ganareseñas se obliga a guardar secreto profesional respecto de los datos de carácter personal cuyo acceso se regula por el presente contrato, obligándose a no comunicarlos, ni siquiera para su conservación, a otras personas, obligación que subsistirá aún después de finalizar sus relaciones con el Cliente. Ganareseñas implantará las medidas técnicas y organizativas necesarias según lo dispuesto en la normativa de protección de datos, y que garanticen la seguridad e integridad de los datos de carácter personal y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural.
Se prohíbe a Ganareseñas incorporar los datos a los que pudiera tener acceso como consecuencia de la relación profesional que le une al Cliente a sus propios ficheros o soportes. Una vez cumplida la prestación contractual, y en el momento en que, en cumplimiento de las condiciones pactadas o legalmente previstas, finalice la relación entre ambas partes, los datos de carácter personal utilizados por Ganareseñas deberán ser destruidos o devueltos al responsable del mismo; el mismo destino habrá de darse a cualquier soporte o documentos en que conste algún dato de carácter personal objeto de tratamiento. No procederá la destrucción de los datos cuando exista una previsión legal que exija su conservación, en cuyo caso deberá procederse a la devolución de los mismos garantizando el Cliente dicha conservación. En todo caso, Ganareseñas conservará debidamente bloqueados los datos en tanto pudieran derivarse responsabilidades de su relación con el Cliente.

8.ª (Garantía y riesgo)

Los servicios de comunicación digital y gestión de contactos a través de la plataforma Ganareseñas, prestados por Ganareseñas, no presentan ninguna garantía de ausencia de fallos técnicos ni de capacidad de cumplimiento de determinado objetivo, sea cual fuere la circunstancia. Ganareseñas se compromete, aún con todo, a hacer todo lo posible para asistir al Cliente en la resolución de cualquier problema o dificultad detectada. Ganareseñas se compromete además en mantener una disponibilidad del servicio (uptime) del 98% (la disponibilidad media de Ganareseñas es del 99,5‰).
El Cliente asume toda la responsabilidad por la utilización de la plataforma Ganareseñas, adquiriendo la obligación de indemnizar a Ganareseñas por los daños resultantes de la utilización indebida de la plataforma, asumiendo también todos los gastos o responsabilidades que Ganareseñas tenga que soportar derivados de esa utilización.
El Cliente es completamente responsable de la naturaleza, tratamiento y legalidad de las bases de datos de destinatarios que utilice para acciones de comunicación digital a través de la plataforma Ganareseñas. En caso de queja o litigio presentado por cualquiera de los destinatarios de las acciones de comunicación digital de la Segunda Parte, Ganareseñas no podrá ser responsabilizado por tales acciones, sea cual fuere la circunstancia.
El Cliente tiene la obligación de mantener la confidencialidad en cuanto a los elementos correspondientes a su propia identificación (“nombre de usuario”) y código personal (“contraseña”) para el acceso a la plataforma Ganareseñas, no siendo Ganareseñas responsable de la utilización que terceros, con o sin autorización del Cliente, hagan de esos elementos. Ganareseñas tampoco se responsabilizará de guardar los datos de la cuenta del Cliente en la plataforma Ganareseñas si la cuenta fuese bloqueada o eliminada.

9.ª (Plazos y caducidad)

El presente contrato entra en vigor desde el momento en que el Cliente crea una cuenta en la plataforma Ganareseñas y continúa en vigor hasta que el Cliente finalice la utilización de los servicios Ganareseñas o en caso de que tales servicios sean revocados por incumplimiento o por mutuo acuerdo.

10.ª (Incumplimiento)

El incumplimiento injustificado de las obligaciones derivadas del presente contrato confiere a la contraparte, en los términos generales del Derecho aplicables, el derecho de la revocación unilateral del mismo.
El Cliente perderá automáticamente (a través del bloqueo de su cuenta), y sin aviso previo, el derecho y acceso a los servicios de Ganareseñas si se cumple alguna o varias de las siguientes condiciones, no siendo restituido cualquier montante pagado con anterioridad por la utilización de estos servicios:
a) Impago de las facturas emitidas por Ganareseñas en el periodo estipulado en este contrato;
b) Violación de la Política Anti-Spam de Ganareseñas;
c) Violación de cualquiera de las obligaciones del Cliente estipuladas en este contrato.
d) Registro de nueva cuenta Ganareseñas (con o sin pago correspondiente) después de haber violado en una cuenta Ganareseñas anterior cualquier de las obligaciones estipuladas en este contrato.
Si el Cliente ha contratado un plan mensual de utilización y no ha pagado las facturas emitidas por Ganareseñas en el periodo estipulado, la cuenta Ganareseñas del Cliente se convertirá automáticamente en cuenta sin plan y suspenderá cualquier envío programado o en curso en el caso de que no haya saldo suficiente en la cuenta para hacer el envío.
En el caso de litigio y si el Cliente reside en Unión Europea, podrá utilizar los servicios del Centro Europeo del Consumidor, cuyas políticas y recomendaciones Ganareseñas suscribe.

11.ª (Comunicaciones)

Las comunicaciones entre las partes, referentes a la ejecución del presente contrato, incluyendo la solicitud de servicios, serán realizadas a través de correo electrónico, fax o correo postal.
Ganareseñas enviará regularmente al Cliente mensajes sobre la plataforma Ganareseñas (nuevas funcionalidades, mantenimiento del servicio, notificaciones de pago, etc.) a través de uno o varios de los canales soportados. Ganareseñas podrá también enviar puntualmente a la Segunda Parte mensajes informativos sobre acciones de empresas o instituciones asociadas de Ganareseñas. El Cliente puede en cualquier momento anular la recepción de estos mensajes informativos clicando en el botón “Editar subscripción”.

12.ª (Foro)

En caso de cualquier conflicto o discrepancia que pueda surgir en relación con la interpretación y/o cumplimiento del presente Acuerdo, las partes se someten expresamente a los Juzgados y Tribunales de Madrid, con renuncia a su fuero propio, aplicándose la legislación española vigente.

ADDENDUM AL CONTRATO DE PRESTACIÓN DE SERVICIOS

Certificagreen proyectos de ingenieria S.L., (en adelante “Ganareseñas” o “Encargado del Tratamiento de Datos”) con número de identificación fiscal ESB86762597, con sede en Calle La Vía 57, 28019, Madrid, España.

Y de otra parte, el “Responsable del Tratamiento” o el ”Cliente”.

Las partes han acordado con anterioridad,

a) bien a través de un Contrato de Prestación de Servicios.
b) o bien a través de la Aceptación explícita de las Condiciones del Servicio en el momento del registro en alguna de las webs de Ganareseñas (www.Ganareseñasgateway.com y/o www.Ganareseñas.com), que Ganareseñas proveerá al Cliente una plataforma web o API de Integración para el envío masivo de comunicaciones por SMS, e-mail, notificaciones, web, notificaciones push o llamadas automáticas.

Por razones de proveer los servicios mencionados en el párrafo anterior, es necesario para Ganareseñas el procesamiento de ciertos datos de carácter personal en nombre del Cliente, que actuará como responsable del tratamiento de datos personales, según definición de la Ley aplicable en materia de Protección de datos;

Las partes acuerdan que aceptan este Addendum en materia de Protección de datos de acuerdo con el artículo 28 del Reglamento General de Protección de Datos de la Unión Europea, en los términos que siguen:

2.ª(Definiciones)

a) RGPD: REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 y relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos)
b) «datos personales»: toda información sobre una persona física identificada o identificable («el interesado»); se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona;
c) «tratamiento»: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción;
d) «responsable del tratamiento» o «responsable»: la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros;
e) «encargado del tratamiento» o «encargado»: la persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento;
f) «brecha de seguridad»: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos;

3ª (Objeto)

1.Por el presente contrato y en los términos de su firma, el Responsable de Tratamiento habilita a Net Real Solutions como Encargado del Tratamiento de datos de carácter personal para prestar el servicio que en adelante se especifica.

El tratamiento consistirá única y exclusivamente en la prestación de servicios de “Entrega de mensajes SMS, e-mail, notificaciones web y app y llamadas automáticas a través de la plataforma web propiedad de Ganareseñas o por integración con el servidor de Ganareseñas”

4.ª (Duración)

El presente acuerdo entrará en vigor a partir de la fecha de firma, por ambas partes, del presente contrato y será válido durante la prestación del servicio, por parte del Encargado de Tratamiento, objeto del contrato principal.

La obligación de confidencialidad del encargado persistirá incluso una vez finalizada la prestación del servicio descrito en el contrato principal.

Una vez finalice el presente contrato, el encargado del tratamiento debe devolver al responsable los datos personales, y suprimir cualquier copia que mantenga en su poder. No obstante, podrá mantener bloqueados los datos para atender posibles responsabilidades administrativas o jurisdiccionales.

5.ª (Obligaciones del encargado del tratamiento)

El encargado del tratamiento y todo su personal se obliga a:

a) Utilizar los datos personales a los que tenga acceso sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios.
b) Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento.

Si el encargado del tratamiento considera que alguna de las instrucciones infringe la RGPD o cualquier otra disposición en materia de protección de datos, el encargado informará inmediatamente al responsable.

c) Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable, que contenga:

– El nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado y, en su caso, del representante del responsable o del encargado y del delegado de protección de datos.

– Las categorías de tratamientos efectuados por cuenta de cada responsable.

– En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49 apartado 1, párrafo segundo del RGPD, la documentación de garantías adecuadas.

– Una descripción general de las medidas técnicas y organizativas de seguridad relativas a:

La seudonimización y el cifrado de datos personales.
La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

iii. La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.

El proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
d) No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles.

El encargado puede comunicar los datos a otros designados por el responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación.

Si el encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.

e) No subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios del encargado.

Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al responsable, con una antelación de un mes, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el responsable no manifiesta su oposición en el plazo establecido (un mes).

El subcontratista, que también tendrá la condición de encargado del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el encargado del tratamiento y las instrucciones que dicte el responsable. Corresponde al encargado inicial regular la nueva relación de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el caso de incumplimiento por parte del sub-encargado, el encargado inicial seguirá siendo plenamente responsable ante el responsable en lo referente al cumplimiento de las obligaciones.

f) Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice el contrato.
g) Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente.
h) Mantener a disposición del responsable la documentación acreditativa del cumplimiento de la obligación establecida en el apartado anterior.
i) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.
j) Asistir al responsable del tratamiento en la respuesta al ejercicio de los derechos de:

– Acceso, rectificación, supresión y oposición

– Limitación del tratamiento

– Portabilidad de datos

– A no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles)

El encargado de tratamiento debe resolver, por cuenta del responsable, y dentro del plazo establecido, las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de decisiones individualizadas automatizadas, en relación con los datos objeto del encargado

k) Corresponde al responsable facilitar el derecho de información en el momento de la recogida de los datos.
l) Notificación de violaciones de la seguridad de los datos

El encargado del tratamiento notificará al responsable del tratamiento, sin dilación indebida, y en cualquier caso antes del plazo máximo de 72 horas, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia.

No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.

Se facilitará, como mínimo, la información siguiente:

– Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, las categorías y el número aproximado de registros de datos personales afectados.

– El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información.

– Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.

– Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.

m) Poner disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen el responsable u otro auditor autorizado por él.
n) Implantar las medidas de seguridad recogidas en el ANEXO MEDIDAS DE SEGURIDAD.
o) En todo caso, deberá implantar las medidas de seguridad necesarias para:

– Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

– Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.

– Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento.

– Seudonimizar y cifrar los datos personales, en su caso.

p) Destino de los datos

Destruir los datos, una vez cumplida la prestación. Una vez destruidos, el encargado debe certificar su destrucción por escrito y debe entregar el certificado al responsable del tratamiento.

No obstante, el encargado puede conservar una copia, con los datos debidamente boqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación

6.ª (Obligaciones del Responsable del tratamiento)

Corresponde al responsable del tratamiento:

a) Enviar comunicaciones digitales a través de la plataforma web propiedad de Ganareseñas, o a través de integración con los servidores de Ganareseñas, solamente a destinatarios que concediesen previa y explícitamente su autorización para recibir dichas comunicaciones.
b) Entregar al encargado los datos a los que se refiere la cláusula 3 de este documento, con el objetivo de facilitar la prestación de los servicios a los que se refiere el contrato principal.
c) Realizar una evaluación del impacto, en caso de que sea necesario, en la protección de datos personales de las operaciones de tratamiento a realizar por el encargado.
d) Realizar las consultas previas que corresponda.
e) Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte del encargado.
f) Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.

7.ª (MEDIDAS DE SEGURIDAD)

MEDIDAS ORGANIZATIVAS

INFORMACIÓN QUE DEBERÁ SER CONOCIDA POR TODO EL PERSONAL CON ACCESO A DATOS PERSONALES

Todo el personal con acceso a los datos personales deberá tener conocimiento de sus obligaciones con relación a los tratamientos de datos personales y serán informados acerca de dichas obligaciones. La información mínima que será conocida por todo el personal será la siguiente:

– DEBER DE CONFIDENCIALIDAD Y SECRETO

– Se deberá evitar el acceso de personas no autorizadas a los datos personales, a tal fin se evitará: dejar los datos personales expuestos a terceros (pantallas electrónicas desatendidas, documentos en papel en zonas de acceso público, soportes con datos personales, etc.), esta consideración incluye las pantallas que se utilicen para la visualización de imágenes del sistema de videovigilancia. Cuando se ausente del puesto de trabajo, se procederá al bloqueo de la pantalla o al cierre de la sesión.

– Los documentos en papel y soportes electrónicos se almacenarán en lugar seguro (armarios o estancias de acceso restringido) durante las 24 horas del día.

– No se desecharán documentos o soportes electrónicos (cd, pen drives, discos duros, etc.) con datos personales sin garantizar su destrucción.

– No se comunicarán datos personales o cualquier información personal a terceros, se prestará atención especial en no divulgar datos personales protegidos durante las consultas telefónicas, correos electrónicos, etc.

– El deber de secreto y confidencialidad persiste incluso cuando finalice la relación laboral del trabajador con la empresa.

– DERECHOS DE LOS TITULARES DE LOS DATOS

Se informará a todos los trabajadores acerca del procedimiento para atender los derechos de los interesados, definiendo de forma clara los mecanismos por los que pueden ejercerse los derechos (medios electrónicos, referencia al Delegado de Protección de Datos si lo hubiera, dirección postal, etc.) teniendo en cuenta lo siguiente:

– Previa presentación de su documento nacional de identidad o pasaporte, los titulares de los datos personales (interesados) podrán ejercer sus derechos de acceso, rectificación, supresión, oposición y portabilidad. El responsable del tratamiento deberá dar respuesta a los interesados sin dilación indebida.

Para el derecho de acceso se facilitará a los interesados la lista de los datos personales de que disponga junto con la finalidad para la que han sido recogidos, la identidad de los destinatarios de los datos, los plazos de conservación, y la identidad del responsable ante el que pueden solicitar la rectificación supresión y oposición al tratamiento de los datos.

Para el derecho de rectificación se procederá a modificar los datos de los interesados que fueran inexactos o incompletos atendiendo a los fines del tratamiento.

Para el derecho de supresión se suprimirán los datos de los interesados cuando los interesados manifiesten su negativa u oposición al consentimiento para el tratamiento de sus datos y no exista deber legal que lo impida.

Para el derecho de portabilidad los interesados deberán comunicar su decisión e informar al responsable, en su caso, sobre la identidad del nuevo responsable al que facilitar sus datos personales.

El responsable del tratamiento deberá informar a todas las personas con acceso a los datos personales acerca de los términos de cumplimiento para atender los derechos de los interesados, la forma y el procedimiento en que se atenderán dichos derechos.

– VIOLACIONES DE SEGURIDAD DE DATOS DE CARÁCTER PERSONAL

– Cuando se produzcan violaciones de seguridad DE DATOS DE CARÁCTER PERSONAL, como, por ejemplo, el robo o acceso indebido a los datos personales se notificará a la Agencia Española de Protección de Datos en término de 72 horas acerca de dichas violaciones de seguridad, incluyendo toda la información necesaria para el esclarecimiento de los hechos que hubieran dado lugar al acceso indebido a los datos personales. La notificación se realizará por medios electrónicos a través de la sede electrónica de la Agencia Española de Protección de Datos en la dirección: https://sedeagpd.gob.es

MEDIDAS TÉCNICAS

IDENTIFICACIÓN

– Cuando el mismo ordenador o dispositivo se utilice para el tratamiento de datos personales y fines de uso personal se recomienda disponer de varios perfiles o usuarios distintos para cada una de las finalidades. Deben mantenerse separados los usos profesional y personal del ordenador.

– Se recomienda disponer de perfiles con derechos de administración para la instalación y configuración del sistema y usuarios sin privilegios o derechos de administración para el acceso a los datos personales. Esta medida evitará que en caso de ataque de ciberseguridad puedan obtenerse privilegios de acceso o modificar el sistema operativo.

– Se garantizará la existencia de contraseñas para el acceso a los datos personales almacenados en sistemas electrónicos. La contraseña tendrá al menos 8 caracteres, mezcla de números y letras.

– Cuando a los datos personales accedan distintas personas, para cada persona con acceso a los datos personales, se dispondrá de un usuario y contraseña específicos (identificación inequívoca).

– Se debe garantizar la confidencialidad de las contraseñas, evitando que queden expuestas a terceros. En ningún caso se compartirán las contraseñas ni se dejarán anotadas en lugar común y el acceso de personas distintas del usuario.

DEBER DE SALVAGUARDA

A continuación, se exponen las medidas técnicas mínimas para garantizar la salvaguarda de los datos personales:

– ACTUALIZACIÓN DE ORDENADORES Y DISPOSITIVOS: Los dispositivos y ordenadores utilizados para el almacenamiento y el tratamiento de los datos personales deberán mantenerse actualizados en la media posible.

– MALWARE: En los ordenadores y dispositivos donde se realice el tratamiento automatizado de los datos personales se dispondrá de un sistema de antivirus que garantice en la medida posible el robo y destrucción de la información y datos personales. El sistema de antivirus deberá ser actualizado de forma periódica.

– CORTAFUEGOS O FIREWALL: Para evitar accesos remotos indebidos a los datos personales se velará para garantizar la existencia de un firewall activado en aquellos ordenadores y dispositivos en los que se realice el almacenamiento y/o tratamiento de datos personales.

– CIFRADO DE DATOS: Cuando se precise realizar la extracción de datos personales fuera del recinto donde se realiza su tratamiento, ya sea por medios físicos o por medios electrónicos, se deberá valorar la posibilidad de utilizar un método de encriptación para garantizar la confidencialidad de los datos personales en caso de acceso indebido a la información.

– COPIA DE SEGURIDAD: Periódicamente se realizará una copia de seguridad en un segundo soporte distinto del que se utiliza para el trabajo diario. La copia se almacenará en lugar seguro, distinto de aquél en que esté ubicado el ordenador con los ficheros originales, con el fin de permitir la recuperación de los datos personales en caso de pérdida de la información.

Las medidas de seguridad serán revisadas de forma periódica, la revisión podrá realizarse por mecanismos automáticos (software o programas informáticos) o de forma manual. Considere que cualquier incidente de seguridad informática que le haya ocurrido a cualquier conocido le puede ocurrir a usted, y prevéngase contra el mismo.

Únete a Ganareñas y empieza a tener valoraciones positivas

¿Tienes dudas?