Acuerdo de encargo del tratamiento de datos personales

REUNIDOS

De una parte, HONESTING, marca comercial registrada de Aitor Serra Martín, empresario individual, NIF 20468095G, con domicilio profesional en Avda. Casalduch 21 7º 14, Castellón (España), cuya actividad es la prestación de servicios de alojamiento web, correo electrónico, registro y gestión de dominios, servidores y servicios tecnológicos relacionados, en adelante, EL ENCARGADO DEL TRATAMIENTO.

Datos identificativos del encargado:

• Titular: Aitor Serra Martín.
• NIF: 20468095G.
• Domicilio profesional: Avda. Casalduch 21 7º 14, Castellón (España).
• Sitio web: https://www.honesting.es.
• Correo electrónico de contacto: info@honesting.es.

Y de otra parte, el cliente que ha contratado los servicios de Honesting, cuyos datos identificativos y de contacto constan en el correspondiente formulario de contratación, pedido, factura o registro de cliente, en adelante, EL RESPONSABLE DEL TRATAMIENTO.

Ambas partes reconocen su capacidad para suscribir el presente acuerdo y

EXPONEN

I. Que EL RESPONSABLE DEL TRATAMIENTO ha contratado o puede contratar servicios de alojamiento web, correo electrónico, servidores, bases de datos, almacenamiento, copias de seguridad u otros servicios tecnológicos prestados por EL ENCARGADO DEL TRATAMIENTO.

II. Que, para la prestación de dichos servicios, EL ENCARGADO DEL TRATAMIENTO puede tener acceso a datos personales cuyo tratamiento corresponde al RESPONSABLE DEL TRATAMIENTO.

III. Que ambas partes desean regular las condiciones de acceso y tratamiento de dichos datos conforme al artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y la normativa española aplicable.

En consecuencia, acuerdan las siguientes:

CLÁUSULAS

1. Objeto del acuerdo

El presente acuerdo regula el tratamiento de los datos personales que EL ENCARGADO DEL TRATAMIENTO pueda realizar por cuenta del RESPONSABLE DEL TRATAMIENTO como consecuencia de la prestación de los servicios contratados.

Este acuerdo complementa las condiciones generales de contratación y demás documentos que regulen los servicios prestados por Honesting.

En caso de contradicción entre ambos documentos en materia de protección de datos personales, prevalecerá lo establecido en este acuerdo respecto a las obligaciones específicas del encargo de tratamiento.

2. Duración

El presente acuerdo tendrá la misma duración que los servicios contratados por EL RESPONSABLE DEL TRATAMIENTO.

Las obligaciones relativas a la confidencialidad, seguridad, devolución y supresión de los datos continuarán vigentes después de la finalización de los servicios, en los términos establecidos en este documento y en la normativa aplicable.

3. Finalidad y operaciones del tratamiento

La finalidad del tratamiento es permitir la prestación de los servicios tecnológicos contratados, que podrán comprender:

• Alojamiento y almacenamiento de páginas web, aplicaciones, archivos y bases de datos.
• Alojamiento y gestión de cuentas de correo electrónico.
• Almacenamiento, conservación y realización de copias de seguridad.
• Administración y mantenimiento de servidores, sistemas y servicios asociados.
• Gestión técnica de dominios, DNS y certificados digitales.
• Operaciones de soporte técnico, diagnóstico, mantenimiento y resolución de incidencias.
• Restauración, migración, exportación o eliminación de información cuando proceda.

Las operaciones de tratamiento podrán incluir la recogida, registro, organización, estructuración, conservación, consulta, extracción, modificación, comunicación mediante transmisión cuando resulte necesaria para el servicio, limitación, supresión y destrucción de datos.

EL ENCARGADO DEL TRATAMIENTO no utilizará los datos personales para finalidades propias ni distintas de las necesarias para prestar los servicios contratados.

4. Tipología de datos y categorías de interesados

En función de los servicios utilizados y de la actividad del RESPONSABLE DEL TRATAMIENTO, los datos tratados podrán incluir:

Categorías de datos personales:

• Datos identificativos: nombre, apellidos, usuario y otros identificadores.
• Datos de contacto: dirección postal, correo electrónico y teléfono.
• Datos de acceso: nombres de usuario, credenciales y registros técnicos de acceso.
• Datos de navegación y uso de aplicaciones o sitios web.
• Datos de transacciones, pedidos, reservas o solicitudes.
• Cualquier otra información personal que EL RESPONSABLE DEL TRATAMIENTO decida alojar en los servicios contratados.

Categorías de interesados:

• Clientes y usuarios del RESPONSABLE DEL TRATAMIENTO.
• Usuarios registrados en sus páginas web o aplicaciones.
• Empleados, colaboradores y proveedores del RESPONSABLE DEL TRATAMIENTO.
• Personas que contacten con el RESPONSABLE DEL TRATAMIENTO.
• Cualquier otra persona cuyos datos sean incorporados por EL RESPONSABLE DEL TRATAMIENTO a los servicios contratados.

EL RESPONSABLE DEL TRATAMIENTO será responsable de determinar los datos que introduce, su legitimidad, las finalidades del tratamiento y las categorías de personas afectadas.

Si decide alojar categorías especiales de datos personales o información especialmente protegida, deberá asegurarse de que el servicio contratado resulta adecuado para ese tratamiento y de que se han establecido las garantías adicionales que correspondan.

5. Obligaciones del encargado del tratamiento

EL ENCARGADO DEL TRATAMIENTO se compromete a:

a) Tratar los datos personales únicamente siguiendo las instrucciones documentadas del RESPONSABLE DEL TRATAMIENTO, incluidas las que resulten de la contratación y configuración de los servicios.

b) No utilizar los datos para finalidades propias o distintas de la prestación de los servicios contratados.

c) Garantizar que las personas autorizadas para acceder a los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal equivalente.

d) Adoptar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta la naturaleza de los servicios prestados.

e) No comunicar ni facilitar el acceso a los datos personales a terceros, salvo cuando resulte necesario para la prestación de los servicios conforme a este acuerdo, exista autorización del RESPONSABLE DEL TRATAMIENTO o una obligación legal.

f) Asistir al RESPONSABLE DEL TRATAMIENTO, teniendo en cuenta la naturaleza del tratamiento, en la atención de solicitudes de ejercicio de derechos de los interesados.

g) Ayudar al RESPONSABLE DEL TRATAMIENTO, cuando proceda y sea razonablemente posible, en el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD.

h) Poner a disposición del RESPONSABLE DEL TRATAMIENTO la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente acuerdo.

i) Informar al RESPONSABLE DEL TRATAMIENTO si considera que alguna de sus instrucciones infringe la normativa aplicable en materia de protección de datos.

6. Obligaciones del responsable del tratamiento

EL RESPONSABLE DEL TRATAMIENTO se compromete a:

a) Garantizar que dispone de una base jurídica válida para el tratamiento de los datos personales que aloja en los servicios contratados.

b) Informar adecuadamente a los interesados sobre el tratamiento de sus datos personales.

c) Garantizar que los datos personales son adecuados, pertinentes, exactos y limitados a lo necesario para las finalidades perseguidas.

d) No utilizar los servicios contratados para almacenar o tratar datos personales de forma contraria a la legislación vigente.

e) Configurar los servicios y gestionar los permisos de acceso de sus usuarios de forma adecuada.

f) Mantener la confidencialidad de las credenciales de acceso y adoptar las medidas de seguridad que correspondan en sus propios sistemas, dispositivos y aplicaciones.

g) Atender las solicitudes de ejercicio de derechos de los interesados y cumplir sus obligaciones como responsable del tratamiento.

h) Comunicar al ENCARGADO DEL TRATAMIENTO las instrucciones necesarias para la prestación de los servicios.

i) Realizar, cuando corresponda, las evaluaciones de impacto y consultas previas exigidas por la normativa.

7. Confidencialidad y acceso a los datos

EL ENCARGADO DEL TRATAMIENTO limitará el acceso a los datos personales al personal y colaboradores que necesiten acceder a ellos para prestar los servicios contratados, realizar tareas de mantenimiento, resolver incidencias o cumplir obligaciones legales.

El acceso técnico a los datos podrá producirse de forma puntual cuando sea necesario para diagnosticar errores, solucionar problemas, recuperar información, realizar tareas de mantenimiento o atender solicitudes del RESPONSABLE DEL TRATAMIENTO.

EL ENCARGADO DEL TRATAMIENTO garantizará que las personas autorizadas para dicho acceso estén sujetas a obligaciones de confidencialidad.

8. Medidas de seguridad

EL ENCARGADO DEL TRATAMIENTO aplicará medidas técnicas y organizativas apropiadas para proteger los datos personales frente a su destrucción, pérdida, alteración, comunicación o acceso no autorizados.

Entre otras, y en función de los servicios contratados, podrán incluirse:

• Controles de acceso a sistemas y servicios.
• Autenticación y gestión de credenciales.
• Separación lógica de cuentas y entornos de alojamiento.
• Protección de la infraestructura mediante medidas de seguridad de red y sistemas.
• Actualización y mantenimiento de los sistemas operativos y aplicaciones bajo su administración.
• Monitorización técnica de los sistemas y servicios.
• Sistemas de copia de seguridad y procedimientos de restauración.
• Medidas de protección física de la infraestructura en los centros de datos.
• Procedimientos de gestión de incidencias y recuperación del servicio.
• Limitación del acceso administrativo al personal autorizado.

Las medidas concretas podrán variar en función de la modalidad del servicio, su configuración y las características de la infraestructura utilizada.

EL RESPONSABLE DEL TRATAMIENTO será responsable de las medidas de seguridad de las aplicaciones, páginas web, bases de datos, dispositivos y credenciales que estén bajo su control.

9. Subcontratación y subencargados del tratamiento

EL RESPONSABLE DEL TRATAMIENTO autoriza con carácter general a EL ENCARGADO DEL TRATAMIENTO a recurrir a otros proveedores para la prestación de los servicios contratados, cuando resulte necesario para su funcionamiento.

Estos proveedores podrán intervenir, entre otras funciones, en:

• Infraestructura física y alojamiento de servidores.
• Centros de datos y suministro de infraestructura cloud.
• Almacenamiento y copias de seguridad.
• Redes y conectividad.
• Servicios de protección y seguridad informática.
• Servicios técnicos auxiliares necesarios para la prestación del servicio.

EL ENCARGADO DEL TRATAMIENTO mantendrá una relación actualizada de los subencargados que puedan intervenir en el tratamiento de datos personales y la facilitará al RESPONSABLE DEL TRATAMIENTO que la solicite. Dicha relación identificará los subencargados ubicados fuera del Espacio Económico Europeo y las garantías aplicables a la transferencia.

Cuando se incorpore o sustituya un subencargado que pueda tratar datos personales, EL ENCARGADO DEL TRATAMIENTO informará al RESPONSABLE DEL TRATAMIENTO con una antelación mínima de quince días naturales, salvo que circunstancias justificadas requieran un plazo inferior.

EL RESPONSABLE DEL TRATAMIENTO podrá oponerse por motivos relacionados con la protección de datos personales dentro de dicho plazo. Las partes intentarán resolver de buena fe la objeción planteada.

Si no fuera posible alcanzar una solución razonable, EL RESPONSABLE DEL TRATAMIENTO podrá resolver los servicios directamente afectados por la modificación, sin penalización por dicha causa, sin perjuicio de las cantidades devengadas hasta la fecha efectiva de finalización.

EL ENCARGADO DEL TRATAMIENTO impondrá a los subencargados obligaciones de protección de datos equivalentes a las establecidas en este acuerdo y seguirá siendo responsable frente al RESPONSABLE DEL TRATAMIENTO del cumplimiento de las obligaciones que correspondan al subencargado.

10. Ubicación del tratamiento y transferencias internacionales

Los servicios de alojamiento podrán prestarse desde centros de datos ubicados en Alemania y otros países del Espacio Económico Europeo, según la infraestructura y los proveedores utilizados.

EL ENCARGADO DEL TRATAMIENTO no transferirá datos personales a terceros países ni a organizaciones internacionales salvo que lo exijan las instrucciones documentadas del RESPONSABLE DEL TRATAMIENTO o una obligación legal. En este último caso, informará al RESPONSABLE DEL TRATAMIENTO, salvo que la ley lo prohíba.

Cuando resulte necesario recurrir a un proveedor ubicado fuera del Espacio Económico Europeo o que implique una transferencia internacional de datos, EL ENCARGADO DEL TRATAMIENTO informará previamente al RESPONSABLE DEL TRATAMIENTO y garantizará la aplicación de los mecanismos legales correspondientes, como una decisión de adecuación o cláusulas contractuales tipo, junto con las evaluaciones adicionales que resulten exigibles, cuando proceda.

11. Ejercicio de derechos de los interesados

Cuando una persona ejerza ante EL ENCARGADO DEL TRATAMIENTO alguno de los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad o cualquier otro derecho reconocido por la normativa, EL ENCARGADO DEL TRATAMIENTO trasladará la solicitud al RESPONSABLE DEL TRATAMIENTO sin dilación indebida.

EL ENCARGADO DEL TRATAMIENTO prestará la asistencia técnica razonablemente necesaria para que EL RESPONSABLE DEL TRATAMIENTO pueda atender las solicitudes, teniendo en cuenta la naturaleza de los servicios.

En ningún caso corresponderá a EL ENCARGADO DEL TRATAMIENTO decidir sobre la procedencia de las solicitudes, salvo que exista una obligación legal que así lo establezca.

12. Violaciones de seguridad de los datos personales

EL ENCARGADO DEL TRATAMIENTO notificará al RESPONSABLE DEL TRATAMIENTO, sin dilación indebida, cualquier violación de seguridad de los datos personales tratados por cuenta de este de la que tenga conocimiento.

La comunicación se realizará a través de los datos de contacto facilitados por EL RESPONSABLE DEL TRATAMIENTO y contendrá, en la medida en que la información esté disponible:

• Descripción de la naturaleza de la violación de seguridad.
• Categorías de datos e interesados afectados, cuando puedan determinarse.
• Posibles consecuencias de la incidencia.
• Medidas adoptadas o propuestas para corregirla y mitigar sus efectos.
• Información adicional disponible que resulte relevante.

La notificación inicial no supondrá necesariamente que se disponga de toda la información relativa al incidente. EL ENCARGADO DEL TRATAMIENTO podrá completar la información progresivamente a medida que avance la investigación.

EL RESPONSABLE DEL TRATAMIENTO será responsable de valorar si debe notificar la violación de seguridad a la autoridad de control o a los interesados, conforme a los artículos 33 y 34 del RGPD.

13. Asistencia y auditorías

EL ENCARGADO DEL TRATAMIENTO facilitará al RESPONSABLE DEL TRATAMIENTO la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones previstas en este acuerdo.

El RESPONSABLE DEL TRATAMIENTO podrá solicitar información sobre las medidas de seguridad y el tratamiento de sus datos, siempre que la solicitud sea razonable, esté relacionada con los servicios contratados y respete la confidencialidad y seguridad de otros clientes.

Las auditorías o inspecciones específicas deberán solicitarse con antelación suficiente, acordarse entre las partes y realizarse de forma que no interfieran injustificadamente en la actividad, disponibilidad o seguridad de los sistemas.

Los costes extraordinarios derivados de auditorías específicas podrán ser asumidos por EL RESPONSABLE DEL TRATAMIENTO, salvo que se detecte un incumplimiento imputable al ENCARGADO DEL TRATAMIENTO que justifique otra distribución de los costes.

14. Devolución y supresión de los datos

A la finalización de los servicios contratados, EL ENCARGADO DEL TRATAMIENTO devolverá o suprimirá, a elección del RESPONSABLE DEL TRATAMIENTO, todos los datos personales y las copias existentes, salvo que una norma legal exija su conservación.

La devolución se realizará en un formato estructurado, de uso común y lectura mecánica cuando sea técnicamente viable, mediante los mecanismos de exportación o descarga disponibles o, cuando sea necesario, mediante otro procedimiento técnicamente viable que acuerden las partes.

Salvo pacto específico, EL RESPONSABLE DEL TRATAMIENTO deberá solicitar la exportación de sus datos antes de la finalización efectiva del servicio o dentro de los treinta días naturales siguientes a dicha fecha.

Transcurrido dicho plazo, EL ENCARGADO DEL TRATAMIENTO podrá proceder a la eliminación de los datos alojados en los sistemas activos, conforme a sus procedimientos de baja y eliminación.

Las copias de seguridad podrán conservar temporalmente información residual durante el ciclo ordinario de retención y sobrescritura de las mismas. Durante ese periodo, los datos permanecerán protegidos y no serán objeto de tratamientos distintos de su conservación y eliminación definitiva, salvo que sea necesaria su recuperación por motivos técnicos o de seguridad.

EL ENCARGADO DEL TRATAMIENTO podrá conservar los datos cuando exista una obligación legal que lo requiera, debiendo mantenerlos debidamente bloqueados y protegidos durante el periodo legal correspondiente.

15. Responsabilidad

Cada parte será responsable del cumplimiento de las obligaciones que le correspondan conforme a la normativa de protección de datos y al presente acuerdo.

EL RESPONSABLE DEL TRATAMIENTO será responsable de la licitud del tratamiento, de las finalidades para las que se utilizan los datos y de la información que decide alojar en los servicios contratados.

EL ENCARGADO DEL TRATAMIENTO será responsable de cumplir las obligaciones que le corresponden como encargado del tratamiento y de tratar los datos conforme a las instrucciones documentadas y a la normativa aplicable.

Nada de lo dispuesto en este acuerdo limitará las responsabilidades que legalmente correspondan a cada parte conforme al RGPD y demás normativa aplicable.

16. Relación con las condiciones generales de contratación

El presente acuerdo forma parte de la documentación contractual de los servicios prestados por Honesting y complementa las condiciones generales de contratación aceptadas por EL RESPONSABLE DEL TRATAMIENTO.

La aceptación de las condiciones generales y del presente acuerdo podrá realizarse mediante los mecanismos de contratación y aceptación electrónica habilitados por Honesting, siempre que permitan acreditar la identidad del cliente, la fecha de aceptación y la versión del documento aceptado.

17. Legislación aplicable

El presente acuerdo se regirá por el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales, y demás normativa española y europea que resulte de aplicación.

Para las cuestiones no reguladas expresamente en este acuerdo se estará a lo dispuesto en las condiciones generales de contratación y en la normativa vigente.

ANEXO I. INFORMACIÓN SOBRE EL TRATAMIENTO

Responsable del tratamiento: El cliente que contrata los servicios de Honesting.

Encargado del tratamiento: Honesting.

Objeto: Prestación de servicios tecnológicos de alojamiento, almacenamiento, correo electrónico, bases de datos, copias de seguridad y servicios relacionados.

Duración: La correspondiente a los servicios contratados.

Naturaleza y finalidad: Alojamiento, conservación, mantenimiento, acceso técnico, recuperación y eliminación de datos personales por cuenta del RESPONSABLE DEL TRATAMIENTO.

Tipos de datos: Datos identificativos, de contacto, acceso, navegación, transacciones y cualquier otro dato personal que el RESPONSABLE DEL TRATAMIENTO decida alojar en los servicios contratados.

Categorías de interesados: Clientes, usuarios, empleados, colaboradores, proveedores y demás personas cuyos datos sean incorporados por EL RESPONSABLE DEL TRATAMIENTO a los servicios.

Operaciones de tratamiento: Conservación, almacenamiento, consulta, acceso técnico, modificación, extracción, transmisión cuando resulte necesaria, restauración, supresión y destrucción.

Ubicación principal de la infraestructura: Alemania y otros países del Espacio Económico Europeo, según los servicios y proveedores utilizados.

Subencargados: Los que consten en la relación actualizada que EL ENCARGADO DEL TRATAMIENTO facilitará a solicitud del RESPONSABLE DEL TRATAMIENTO.

ANEXO II. MEDIDAS TÉCNICAS Y ORGANIZATIVAS

Las medidas aplicables dependerán del servicio contratado y de la infraestructura utilizada. Entre ellas se incluyen:

1. Control de acceso a los sistemas y servicios.
2. Gestión de usuarios y credenciales.
3. Separación lógica de entornos y cuentas de clientes.
4. Protección de servidores y redes.
5. Mantenimiento y actualización de la infraestructura bajo responsabilidad de Honesting.
6. Monitorización de disponibilidad y funcionamiento.
7. Copias de seguridad y procedimientos de recuperación.
8. Restricción de accesos administrativos al personal autorizado.
9. Procedimientos de gestión y comunicación de incidencias.
10. Medidas de seguridad física aplicadas por los centros de datos y proveedores de infraestructura.

Las medidas concretas podrán ser facilitadas al RESPONSABLE DEL TRATAMIENTO cuando exista una solicitud razonable relacionada con el servicio contratado.

ACEPTACIÓN DEL ACUERDO

EL RESPONSABLE DEL TRATAMIENTO declara haber leído y aceptado el presente acuerdo, así como las condiciones establecidas para el tratamiento de los datos personales alojados en los servicios contratados a Honesting.

La aceptación electrónica del documento mediante los mecanismos habilitados por Honesting tendrá la misma validez contractual que la aceptación mediante firma, en los términos previstos por la legislación aplicable.

Fecha de aceptación: La que conste en el registro electrónico de contratación.