Acuerdo sobre el tratamiento de datos personales (DPA)

1.1. El presente Acuerdo se aplica a todos los contratos celebrados entre Interdevelopment UAB (en lo sucesivo, el «Prestador») y sus clientes (en lo sucesivo, el «Cliente») que contengan una referencia a él (en lo sucesivo, el «Contrato»), y forma parte integrante de dichos contratos.

1.2. El Acuerdo establece las condiciones en las que el Prestador trata datos personales por cuenta del Cliente. El Cliente es el responsable del tratamiento y el Prestador es el encargado del tratamiento. Los términos se utilizan con el significado que tienen en el RGPD y en el Contrato.

1.3. El Cliente responde de la licitud del tratamiento, incluidas la existencia de bases jurídicas y la información a los interesados.

1.4. El Acuerdo está en vigor durante la vigencia del Contrato y hasta que concluyan la devolución y la supresión de los datos conforme a la sección 8.

2.1. La ampliación de la lista de categorías de interesados o de datos para un Cliente concreto (por ejemplo, con motivo de la puesta en marcha de un programa de fidelización) se formalizará mediante acuerdo escrito de las Partes. Los servicios adicionales relacionados con ello se abonarán en los términos que acuerden las Partes.

3.1. El Prestador tratará los datos personales únicamente siguiendo instrucciones documentadas del Cliente. Constituyen instrucciones el Contrato, el presente Acuerdo y las tareas encomendadas conforme al procedimiento previsto en el Contrato. El Prestador informará al Cliente si, en su opinión, una instrucción infringe la legislación en materia de protección de datos, y podrá suspender su ejecución hasta que el Cliente confirme o modifique la instrucción.

3.2. El Prestador garantizará que las personas a las que haya dado acceso a los datos (sus empleados y subencargados) respeten la confidencialidad.

3.3. El Prestador aplicará medidas técnicas y organizativas de seguridad apropiadas de conformidad con el artículo 32 del RGPD, entre ellas el control de acceso, las copias de seguridad y la protección de los canales de comunicación. Se facilitará al Cliente, previa solicitud, una descripción de las medidas aplicadas.

3.4. Teniendo en cuenta la naturaleza del tratamiento, el Prestador asistirá al Cliente en la atención de las solicitudes de los interesados y en el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD. El Prestador transmitirá sin dilación al Cliente las solicitudes que reciba directamente. La asistencia que exceda del soporte técnico habitual (por ejemplo, la participación en una evaluación de impacto relativa a la protección de datos) se abonará con arreglo a la tarifa acordada.

3.5. El Prestador notificará al Cliente toda violación de la seguridad de los datos personales (incluidos la comunicación no autorizada, la pérdida, la alteración o la destrucción de dichos datos, o el acceso no autorizado a ellos) sin dilación indebida, pero a más tardar 48 horas después de su detección. La notificación contendrá la información disponible en ese momento sobre la naturaleza de la violación, sus posibles consecuencias y las medidas adoptadas, así como la persona de contacto del Prestador.

4.1. Tiene la consideración de subencargado toda persona a la que el Prestador encomiende el tratamiento de datos personales del Cliente, incluidos su alojamiento, su almacenamiento o el mantenimiento de sistemas con acceso a dichos datos. Los proveedores de servicios auxiliares sin acceso a los datos personales del Cliente (servicios de comunicaciones, contables, jurídicos y otros servicios) no son subencargados.

4.2. El Cliente otorga su autorización general para que el Prestador recurra a subencargados. La lista actualizada de subencargados se publica en la página https://interdevelopment.eu/es/legal/subprocessors/.

4.3. El Prestador notificará al Cliente con antelación la incorporación o sustitución de un subencargado, a la dirección de correo electrónico indicada en el Contrato. El Cliente podrá oponerse de forma motivada, en un plazo de 14 días naturales, por razones relacionadas con la protección de datos. Si las Partes no se ponen de acuerdo, el Cliente podrá resolver el Contrato sin respetar el plazo de preaviso previsto en el Contrato.

4.4. El Prestador impondrá a los subencargados obligaciones de protección de datos que cumplan los requisitos del artículo 28 del RGPD y responderá ante el Cliente del cumplimiento de dichas obligaciones.

5.1. Los datos personales se tratan y se almacenan en centros de datos situados en el territorio de la UE/EEE y certificados conforme a la norma ISO/IEC 27001.

5.2. La transferencia de datos fuera de la UE/EEE solo está permitida con el consentimiento previo por escrito del Cliente y siempre que se cumplan los requisitos del capítulo V del RGPD.

6.1. El Prestador pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento del presente Acuerdo, en primer lugar en forma de documentos, incluidos los informes de auditores independientes y los certificados de los subencargados.

6.2. Si los documentos no son suficientes, el Cliente o un auditor autorizado por este podrá realizar una auditoría como máximo una vez por año natural, con un preaviso mínimo de 30 días naturales, en horario laboral y sin perturbar la actividad del Prestador. El auditor firmará un acuerdo de confidencialidad y no podrá ser un competidor del Prestador. La auditoría no abarcará los datos de otros clientes del Prestador.

6.3. Los costes de la auditoría correrán a cargo del Cliente.

7.1. El Prestador podrá modificar el presente Acuerdo mediante la publicación de una nueva versión en su sitio web y la notificación al Cliente por correo electrónico con una antelación mínima de 30 días naturales a la entrada en vigor de las modificaciones.

7.2. Las modificaciones no podrán reducir el nivel de protección de los datos personales sin el consentimiento del Cliente. Si el Cliente no está de acuerdo con las modificaciones, podrá resolver el Contrato antes de la fecha de entrada en vigor de estas sin respetar el plazo de preaviso previsto en el Contrato.

7.3. Las versiones anteriores del Acuerdo seguirán estando disponibles en el sitio web del Prestador.

8.1. A la extinción del Contrato, el Prestador devolverá los datos en la forma prevista en el Contrato y, a continuación, suprimirá sus copias, salvo que la legislación exija su conservación. Las copias contenidas en los archivos de copia de seguridad se suprimirán en el curso de su rotación programada, pero a más tardar en un plazo de 90 días.

9.1. La responsabilidad de las Partes en virtud del presente Acuerdo se determina con arreglo a las disposiciones del Contrato, incluida la limitación de responsabilidad.

9.2. En caso de contradicción entre el Contrato y el presente Acuerdo en materia de protección de datos personales, prevalecerá el presente Acuerdo. El Acuerdo se rige por el Derecho aplicable al Contrato.

9.3. Contacto para cuestiones de protección de datos: info@interdevelopment.eu.

9.4. El presente Acuerdo se publica en varios idiomas. En caso de discrepancia entre las versiones lingüísticas, prevalecerá la versión en lengua lituana.