Contrato de acceso a datos personales por cuenta de terceros

CONTRATO DE ACCESO A DATOS PERSONALES POR CUENTA DE TERCEROS

En ________, el ________

REUNIDOS

De una Parte, como parte RESPONSABLE DEL TRATAMIENTO:

Don ________, con DNI ________, y con domicilio en ________. Actúa en nombre y representación propia.

De una Parte, como ENCARGADO DEL TRATAMIENTO:

Don ________, con DNI ________, y con domicilio en ________. Actúa en nombre y representación propia.

EXPONEN

I.- Que la parte RESPONSABLE DEL TRATAMIENTO es responsable del tratamiento de los datos de carácter personal en el marco del ejercicio de las actividades y desarrollo de su objeto social.

II.- Que el ENCARGADO DEL TRATAMIENTO va a prestar los siguientes servicios a la parte RESPONSABLE DEL TRATAMIENTO, para cuyos fines necesita acceder a los datos:

________

III.- Que para la prestación del servicio es necesario que el ENCARGADO DEL TRATAMIENTO acceda y gestione los datos personales cuya titularidad es de la parte RESPONSABLE DEL TRATAMIENTO.

IV.- Que, de conformidad con el artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, es necesario que el tratamiento de datos por cuenta de terceros esté regulado de forma contractual, por lo que, de común acuerdo, formalizan el presente Contrato de acceso a datos personales por cuenta de terceros y lo someten a las siguientes

CLÁUSULAS

PRIMERA.- DEFINICIONES:

Para la mejor interpretación y comprensión de los términos y condiciones del presente Contrato, los términos que se relacionan a continuación tendrán el siguiente significado:

a) DATOS DE CARÁCTER PERSONAL: Cualquier información concerniente a personas físicas identificadas o identificables incluida en el Registro de Actividad de Tratamiento responsabilidad y titularidad del RESPONSABLE DEL TRATAMIENTO.

b) RESPONSABLE DEL TRATAMIENTO: Persona física o jurídica de naturaleza privada, titular de los datos personales.

c) ENCARGADO DEL TRATAMIENTO: Persona física o jurídica que, sólo o conjuntamente con otros, diseñe, implemente y trate datos personales por cuenta del RESPONSABLE DEL TRATAMIENTO.

SEGUNDA.- OBJETO:

El presente Contrato tiene por objeto habilitar al ENCARGADO DEL TRATAMIENTO para tratar, por cuenta de la parte RESPONSABLE DEL TRATAMIENTO, identificado como Don ________, los datos de carácter personal necesarios para prestar los Servicios contratados, así como regular la forma y condiciones en las que se llevará a cabo dicho tratamiento, siempre de conformidad con el RGPD.

Los datos de carácter personal serán proporcionados por la parte RESPONSABLE DEL TRATAMIENTO al ENCARGADO DEL TRATAMIENTO. En todo momento la parte RESPONSABLE DEL TRATAMIENTO conservará el derecho exclusivo de titularidad y uso del mismo, así como de todos sus procesos de actualización.

TERCERA.- FINALIDAD DEL TRATAMIENTO:

El ENCARGADO DEL TRATAMIENTO se limitará a las actuaciones que resulten necesarias para prestar el servicio contratado por la parte RESPONSABLE DEL TRATAMIENTO. Por tanto, el ENCARGADO DEL TRATAMIENTO tratará los datos personales facilitados por el RESPONSABLE DEL FICHERO, exclusivamente con las finalidades y los usos necesarios para el desarrollo de la prestación de los servicios detallados en el presente Contrato, no pudiendo usar la información de carácter personal a la que acceda para un fin distinto.

El ENCARGADO DEL TRATAMIENTO se compromete a realizar el tratamiento de los datos personales bajo las instrucciones que proporcione la parte RESPONSABLE DEL TRATAMIENTO dentro de la normativa que resulte aplicable bajo la legislación vigente.

CUARTA.- DATOS A LOS QUE SE PERMITE EL ACCESO:

Para la ejecución del objeto de este Contrato, la parte RESPONSABLE DEL TRATAMIENTO pone a disposición del ENCARGADO DE TRATAMIENTO, las siguientes categorías de interesados, así como a los siguientes tipos de datos:

________

QUINTA.- LUGAR DONDE EL ENCARGADO PRESTA SUS SERVICIOS:

La prestación de los servicios se realizará en los locales del ENCARGADO DEL TRATAMIENTO. Este deberá elaborar un documento de seguridad identificando el o los ficheros y su responsables, e incorporará las medidas de seguridad pertinentes.

SEXTA.- DURACIÓN:

El presente Contrato de acceso a datos personales tiene una duración por tiempo indefinido, y únicamente podrá utilizarse para la consecución de la siguiente finalidad.

Una vez finalizada el plazo acordado o cuando se resuelva el Contrato, y siguiendo las instrucciones que la parte RESPONSABLE DEL TRATAMIENTO indique, el ENCARGADO DEL TRATAMIENTO se compromete a suprimir los datos personales objeto de tratamiento, procediendo a su destrucción o borrado; o en su caso, los devolverá a la parte RESPONSABLE DEL TRATAMIENTO, suprimiendo cualquier copia que esté en su poder. La cancelación de los datos personales deberá realizarse en un plazo máximo de: ________, desde la finalización del plazo establecido.

Asimismo, el ENCARGADO DEL TRATAMIENTO deberá cancelar los datos personales siempre que lo solicite algún interesado, o cuando la parte RESPONSABLE DEL TRATAMIENTO lo estime oportuno y así se lo haga saber.

SÉPTIMA.- OBLIGACIONES DEL ENCARGADO DEL TRATAMIENTO:

El ENCARGADO DEL TRATAMIENTO tendrá las siguientes obligaciones:

a) Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, exclusivamente con las finalidades y los usos necesarios para el desarrollo de la prestación de los servicios detallados en el presente Contrato. En ningún caso podrá utilizar los datos con otros fines;

b) Tratar los datos personales de acuerdo con las instrucciones de la parte RESPONSABLE DEL TRATAMIENTO.

Si el ENCARGADO DEL TRATAMIENTO considera que alguna de las instrucciones infringe el RGPD, o la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, el ENCARGADO DEL TRATAMIENTO informará inmediatamente a la parte RESPONSABLE DEL TRATAMIENTO;

c) A no comunicar los ficheros de datos de carácter personal, ni ningún dato procedente de los mismos, ni siquiera para su conservación, a persona física o jurídica distinta de la parte RESPONSABLE DEL TRATAMIENTO, salvo que sea requerido para ello por la autoridad judicial, o salvo que cuente con la autorización expresa de la parte RESPONSABLE DEL TRATAMIENTO;

d) A tener implantadas las medidas de seguridad a las que alude el artículo 28 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales. El ENCARGADO DEL TRATAMIENTO declara asimismo que dichas medidas de seguridad están recogidas en un Documento de Seguridad debidamente actualizado, a disposición de la parte RESPONSABLE DEL TRATAMIENTO;

e) A circular entre su personal para que procedan a su firma un documento en el cual se recojan todas las obligaciones derivadas de la firma del presente Contrato, informándoles de cuáles son sus funciones y obligaciones con respecto al tratamiento de dichos datos personales, que estará a disposición de la parte RESPONSABLE DEL TRATAMIENTO;

f) Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente Contrato, incluso después de que finalice su objeto;

g) Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales;

h) Cuando corresponda, de acuerdo con lo establecido en el artículo 31 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de la parte RESPONSABLE DEL TRATAMIENTO, que contenga:

- El nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado y, en su caso, del representante del responsable o del encargado y del DPD;

- Las categorías de tratamientos efectuados por cuenta de cada responsable;

- En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49 apartado 1, párrafo segundo del RGPD, la documentación de garantías adecuadas;

i) Atender y dar respuesta a las solicitudes de los derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de datos, así como a no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles);

j) Poner a disposición de la parte RESPONSABLE DEL TRATAMIENTO toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen la parte RESPONSABLE DEL TRATAMIENTO u otro auditor autorizado por él.

OCTAVA.- OBLIGACIONES DEL RESPONSABLE DEL FICHERO:

La parte RESPONSABLE DEL TRATAMIENTO tendrá las siguientes obligaciones:

a) Entregar al ENCARGADO DEL TRATAMIENTO o facilitar su acceso a los datos a los que se refiere la cláusula Cuarta de este Contrato y cualquier otro que pueda necesitar para la correcta prestación del Servicios;

b) Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales por parte del ENCARGADO DEL TRATAMIENTO;

c) Supervisar el tratamiento, incluida la realización de inspecciones y auditorías;

d) La parte RESPONSABLE DEL TRATAMIENTO declara expresamente que los datos de carácter personal, recogidos de los afectados y transmitidos al ENCARGADO DEL TRATAMIENTO, son adecuados, pertinentes y no excesivos en concordancia al ámbito y finalidades legitimas para los que han sido obtenidos.

NOVENA.- SUBCONTRATACIÓN:

El ENCARGADO DEL TRATAMIENTO puede subcontratar algún tratamiento sin necesidad de comunicarlo previamente y por escrito a la parte RESPONSABLE DEL TRATAMIENTO. Asimismo, podrá subcontratar todas aquellos servicios auxiliares necesarios para el normal funcionamiento de sus servicios. Concretamente, solo los siguientes servicios pueden ser objeto de subcontratación:

________

En todo caso, el subcontratista, que también tendrá la condición de ENCARGADO DEL TRATAMIENTO, está obligado igualmente a cumplir las obligaciones establecidas en este Contrato y las instrucciones que dicte la parte RESPONSABLE DEL TRATAMIENTO. Conforme el artículo 28.4 del RGPD, corresponde al ENCARGADO DEL TRATAMIENTO inicial, regular la nueva relación de forma que el nuevo encargado del tratamiento (o subencargado) quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad y resto de condiciones establecidas) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el caso de incumplimiento por parte del subencargado, el ENCARGADO DEL TRATAMIENTO inicial seguirá siendo plenamente responsable ante la parte RESPONSABLE DEL TRATAMIENTO en lo referente al cumplimiento de las obligaciones propias y del subencargado.

DÉCIMA.- NOTIFICACIONES DE VIOLACIONES DE SEGURIDAD:

El ENCARGADO DE TRATAMIENTO notificará a la parte RESPONSABLE DEL TRATAMIENTO, sin dilación indebida, y en cualquier caso, antes del siguiente plazo máximo: ________, las violaciones de la seguridad de los datos personales a su cargo de la que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia (ej. descripción de la naturaleza de la violación de la seguridad de los datos personales; nombre y datos de contacto del delegado de protección de datos; descripción de las posible consecuencias de la violación de la seguridad de los datos personales; descripción de las medidas adoptadas para poder remedio a la violación de seguridad). Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin demora. Esta comunicación se realizará de la siguiente forma:

________

No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.

DECIMOPRIMERA.- MEDIDAS DE SEGURIDAD:

El ENCARGADO DE TRATAMIENTO asume expresamente la obligación de implantar las medidas de seguridad correspondientes al nivel de seguridad de los datos cedidos, de acuerdo con lo estipulado en la LOPDGDD, a fin de impedir su alteración, pérdida, tratamiento o acceso no autorizado, de acuerdo con el estado de la tecnología, la naturaleza de los datos y los riesgos a que estén expuestos los mismos.

En todo caso, deberá implantar mecanismos para:

a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;

b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico;

c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento;

d) Seudonimizar y cifrar los datos personales, en su caso.

DECIMOSEGUNDA.- 855288588525888:

58 588882888 852 58858255858 82 8222522222 5 8522885 822 858 288825882228 282588288558 22 28 25282222 82225522 2 22 85 225252885 8822222, 22 52858822 822 28 25282222 2285522 52 25525282222. 58 588882888 852 58858255858 8255 82288525552 52822285882 528 25525282222 22 28 8582 52 852 5282822 828 55228 5 22558 28258855528, 828 822528852 2 828 5288882 828522882252 858 28282585882228 528 25282222 82225522, 528222582252 52 858 822558882228 22 852 5588255 828555852 2258225822222.

DECIMOTERCERA.- CONFIDENCIALIDAD:

Las Partes se comprometen a tomar todas las medidas necesarias para mantener en secreto y confidencialmente todas las informaciones que les hayan sido comunicadas como tal por la otra Parte durante la ejecución del Contrato, o que hayan conocido en el curso de su ejecución. La obligación de este artículo no se aplicará a:

a) toda aquella información que sea del dominio público,

b) toda aquella información de que las Partes dispusieren antes de haberle sido facilitada por la otra Parte; y

c) toda aquella información legalmente adquirida por las Partes de fuentes distintas a la otra Parte.

Las Partes se comprometen a utilizar estas informaciones únicamente para la ejecución del Contrato. Igualmente, se comprometen a no explotar, por cuenta propia o de un tercero, directa o indirectamente, toda o parte de estas informaciones.

DECIMOCUARTA.- EXTINCIÓN DEL CONTRATO:

El presente Contrato podrá ser resuelto por las siguientes causas:

a) el incumplimiento total o parcial por la otra Parte de alguna de las condiciones u obligaciones esenciales de este Contrato; o

b) por la terminación del plazo temporal acordado; o

c) las demás establecidas por la Ley.

De forma general, el incumplimiento por cualquiera de las Partes de las obligaciones que emanan para estas mismas del presente Contrato dará derecho a la Parte que sí hubiere cumplido las suyas a exigir el cumplimiento de la obligación o a promover la resolución del Contrato de acuerdo con lo dispuesto en el artículo 1124 del Código Civil.

La rescisión, resolución o extinción de la relación entre la parte RESPONSABLE DEL TRATAMIENTO y el ENCARGADO DEL TRATAMIENTO, obligará a este último a cancelar los datos de carácter personal facilitados por parte del RESPONSABLE DEL TRATAMIENTO. El ENCARGADO DEL TRATAMIENTO podrá conservar los datos estrictamente necesarios, y debidamente bloqueados, en tanto pudieran derivarse responsabilidades de su relación con la parte RESPONSABLE DEL TRATAMIENTO, y únicamente por el plazo de tiempo en que pudieran ejercitarse acciones legales. Una vez transcurrido este plazo, el ENCARGADO DEL TRATAMIENTO, destruirá la información que, en su caso, aún conservase, si se tratase de copias de documentos que ya obrasen en poder del RESPONSABLE DEL TRATAMIENTO, o bien devolverá estos documentos al RESPONSABLE DEL TRATAMIENTO, si fueran originales.

DECIMOQUINTA.- DOMICILIO PARA NOTIFICACIONES:

Para realizar cualquier notificación entre las Partes que tenga como origen el presente Contrato, éstas acuerdan que su domicilio a efectos de las mismas sean las direcciones indicadas al principio de este Contrato. Para que una notificación entre las Partes sea efectuada de forma válida, deberá realizarse por un medio fehaciente que deje constancia del momento en que ha sido enviada, a qué dirección ha sido enviada y el momento de su recepción por la otra Parte. Cuando se produjera un cambio en el domicilio a efectos de notificaciones, se deberá comunicar esta nueva información, lo más pronto posible, a la otra Parte y siguiendo el procedimiento aquí establecido.

DECIMOSEXTA.- LEGISLACIÓN APLICABLE Y JURISDICCIÓN:

Las Partes reconocen quedar obligadas por el presente Contrato así como sus correspondientes anexos, si los hubiere, y sus efectos jurídicos y se comprometen a su cumplimiento de buena fe.

Todo litigio relativo, especialmente, pero no solo, a la formación, validez, interpretación, firma, existencia, ejecución o terminación de este Contrato y, en general, a la relación establecida entre las Partes, será sometido a la legislación española, específicamente al Reglamento (UE) 2016/679, General de Protección de Datos y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos y garantía de los derechos digitales.

Las referencias aquí realizadas a cualquier norma legal o reglamentaria, o disposición de las mismas, deben entenderse realizadas a las normas o preceptos que puedan sustituirlas en el futuro.

En caso de controversia, diferencia, conflicto o reclamación en cuanto al Contrato, o en relación al o derivado del mismo, las Partes acuerdan que se someterán a la jurisdicción de los Juzgados y Tribunales competentes conforme a derecho.

Y en prueba de conformidad y aceptación de todo lo establecido, ambas Partes firman en el lugar y fecha señalados en el encabezamiento, a un solo efecto, todas las hojas de este Contrato en dos ejemplares, uno para cada Parte.

RESPONSABLE DEL TRATAMIENTO:

Fdo. Don ________.

ENCARGADO DEL TRATAMIENTO:

Fdo. Don ________.