Anexo de tratamiento de datos

El presente Anexo forma parte integrante del Contrato y se celebra entre : 

1. (i) El Cliente (« Exportador de datos ») ; y
2. (ii) IQUALIF (« Importador de datos »),

cada una siendo una « Parte » y, conjuntamente, las « Partes ».

Preámbulo

CONSIDERANDO QUE el Importador de datos presta servicios de software profesionales, servicios informáticos y afines (como navegadores con funciones de búsqueda avanzadas) ;

CONSIDERANDO QUE, en virtud del Contrato, el Importador de datos ha aceptado proporcionar al Exportador de datos los servicios especificados en el Contrato (los « Servicios ») ;

CONSIDERANDO QUE, al prestar los Servicios, el Importador de datos recibe o se beneficia de acceso a la información del Exportador de datos o a la información de otras personas que mantienen una relación (potencial) con el Exportador de datos, información que puede calificarse como datos personales según el significado del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 sobre la protección de las personas físicas con respecto al tratamiento de datos personales y la libre circulación de estos datos (« RGPD ») y otras leyes de protección de datos aplicables ;

CONSIDERANDO QUE este Anexo contiene las condiciones generales aplicables a la recopilación, al tratamiento y al uso de dichos datos personales por parte del Importador de datos en calidad de encargado del tratamiento autorizado por el Exportador de datos, con el fin de asegurar que las partes cumplan la legislación aplicable en materia de protección de datos.

EN CONSECUENCIA, y con el fin de permitir a las Partes continuar su relación de manera conforme a la ley, las Partes han acordado el presente Anexo como sigue :

Parte 1

1. Estructura del documento y definiciones

1.1 Estructura

Este Anexo se compone de diferentes partes, como sigue :

Parte 1 :	contiene las disposiciones generales, por ejemplo relativas a las definiciones utilizadas en el presente Anexo, el cumplimiento de las leyes locales, la vigencia y la terminación ;
Parte 2 :	contiene el cuerpo del documento no modificado de las Cláusulas tipo ;
Anexo 1.1 y sucesivos de la Parte 2 :	contiene los detalles sobre las operaciones de tratamiento prestadas por el Importador de datos al Exportador de datos en calidad de encargado del tratamiento autorizado (incluyendo el objeto del tratamiento, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y las categorías de interesados) en virtud del presente Anexo ;
Anexo 2 de la Parte 2 :	contiene una descripción de las medidas técnicas y organizativas de seguridad del Importador de datos, que se aplican de manera coherente en relación con todas las actividades de tratamiento descritas en el Anexo 1.1 y sucesivos de la Parte 2 ;
Parte 3 :	contiene las firmas de las Partes que declaran quedar vinculadas por este Anexo e identifica a cada Importador de datos.

1.2 Terminología y definiciones

A los efectos de este Anexo, la terminología y las definiciones empleadas por el RGPD son aplicables (también en el cuerpo del documento de las Cláusulas tipo en la Parte 2, donde los términos definidos no llevan mayúscula). Además, 

« Estado miembro"	designa un país perteneciente a la Unión Europea o al Espacio Económico Europeo ;
« Categorías especiales de datos (personales) »	se refiere a los datos personales que revelan el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, y los datos genéticos, los datos biométricos cuando se traten con la finalidad de identificar de manera unívoca a una persona física, los datos relativos a la salud o los datos relativos a la vida sexual o la orientación sexual de una persona ;
« Cláusulas tipo »	designa las Cláusulas contractuales tipo para la transferencia de datos personales por parte de encargados del tratamiento establecidos en terceros países, de conformidad con la Decisión de la Comisión 2010/87/UE de 5 de febrero de 2010, que fue modificada por la Decisión de Ejecución de la Comisión (UE) 2016/2297 de 16 de diciembre de 2016 ;
« Subcontratista »	designa a cualquier encargado del tratamiento, situado dentro o fuera de la UE/EEE, que acepte recibir del Importador de datos o de cualquier otro subcontratista del Importador de datos, datos personales con la finalidad exclusiva de llevar a cabo actividades de tratamiento por cuenta del Exportador de datos tras la transferencia de conformidad con las instrucciones del Exportador de datos, con las condiciones de este Anexo y el Contrato con el Importador de datos.

2. Obligaciones del Exportador de datos

2.1 El Exportador de datos tiene la obligación de asegurar el cumplimiento de todas las obligaciones aplicables en virtud del RGPD y de cualquier otra ley aplicable sobre protección de datos que se aplique al Exportador de datos, así como de demostrar dicho cumplimiento según lo exige el Art. 5 (2) del RGPD. El Exportador de datos garantiza al Importador de datos haber obtenido previamente el consentimiento de las personas interesadas de conformidad con el artículo 6 (a) del RGPD y haber cumplido su obligación de información de las personas interesadas conforme a los artículos 13 y 14 del RGPD.

2.2 El Exportador de datos tiene la obligación de proporcionar al Importador de datos los registros respectivos de las actividades de tratamiento según el Art. 30 (1) del RGPD relacionados con los Servicios en virtud de este Anexo, en la medida necesaria para que el Importador de datos cumpla la obligación en virtud del Art. 30 (2) del RGPD. 

2.3 El Exportador de datos debe designar un delegado o representante de protección de datos, en la medida requerida por la legislación aplicable en materia de protección de datos. El Exportador de datos tiene la obligación de facilitar los datos de contacto del delegado o del representante de protección de datos, en su caso, al Importador de datos. 

2.4. El Exportador de datos confirma antes de la realización del tratamiento, mediante la aceptación del presente Anexo, que las medidas de seguridad técnicas y organizativas del Importador de datos, tal como se definen en el Anexo 2 de la Parte 2, son apropiadas y suficientes para proteger los derechos del interesado y confirma que el Importador de datos ofrece garantías suficientes a este respecto.

3. Cumplimiento de la ley local

Con el fin de satisfacer los requisitos de la implementación de encargados del tratamiento conforme al Art. 28 del RGPD, las enmiendas siguientes son aplicables :

3.1 Instrucciones

1. (i) El Exportador de datos da al Importador de datos la instrucción de tratar los datos personales únicamente por cuenta del Exportador de datos. Las instrucciones del Exportador de datos se proporcionan en este Anexo y en el Contrato. El Exportador de datos tiene la obligación de asegurarse de que todas las instrucciones dadas al Importador de datos sean conformes a las leyes aplicables sobre protección de datos. El Importador de datos tiene la obligación de tratar los datos personales únicamente de acuerdo con las instrucciones proporcionadas por el Exportador de datos, salvo que exista un requerimiento en contrario por parte de la Unión Europea o la ley del Estado miembro (en este último caso, será aplicable la Parte 1 Cláusula 3.2 (iv) (c)).
2. (ii) Todas las demás instrucciones que vayan más allá de las instrucciones contenidas en este Anexo o en el Contrato deben entenderse dentro del objeto de este Anexo y del Contrato. Si la implementación de dicha instrucción adicional genera costes para el Importador de datos, este informará al Exportador de datos de dichos costes y proporcionará una explicación antes de implementar la instrucción. Solo después de que el Exportador de datos haya confirmado la aceptación de dichos costes para la puesta en marcha de la instrucción, el Importador de datos deberá implementar dicha instrucción adicional. El Exportador de datos deberá dar instrucciones adicionales normalmente por escrito, salvo que la urgencia u otras circunstancias específicas requieran otra forma (por ejemplo, oral o electrónica). Las instrucciones en una forma distinta a la escrita deberán ser confirmadas por escrito y sin demora por el Exportador de datos.

1. 1. Salvo que el Exportador de datos no pueda realizar la rectificación, el borrado o la limitación de los datos personales por sí mismo, las instrucciones también pueden referirse a la rectificación, al borrado y/o a la limitación de los datos personales según lo establecido en la Parte 1 Cláusula 3.3. 
2. 2. El Importador de datos deberá informar inmediatamente al Exportador de datos si, a su juicio, una instrucción infringe el RGPD u otras disposiciones de protección de datos aplicables de la Unión Europea o de un Estado miembro (« Instrucción impugnada »). Si el Importador de datos considera que una instrucción infringe el RGPD u otras disposiciones de protección de datos aplicables de la Unión Europea o de un Estado miembro, el Importador de datos no está obligado a seguir la Instrucción impugnada. Si el Exportador de datos confirma la Instrucción impugnada tras recibir la información del Importador de datos y reconoce su responsabilidad respecto a la Instrucción impugnada, el Importador de datos implementará dicha Instrucción impugnada, salvo que ésta se refiera a (i) la implementación de medidas técnicas y organizativas, (ii) los derechos de los interesados o (iii) la contratación de Subcontratistas. En los casos (i) a (iii), el Importador de datos podrá contactar con una autoridad de control competente para que evalúe legalmente la Instrucción impugnada. Si la autoridad de control declara que la Instrucción impugnada es legal, el Importador de datos deberá aplicar la Instrucción impugnada. La Parte 1 Cláusula 3.1 (ii) seguirá siendo aplicable.

3.2 Obligaciones del Importador de datos

1. (i) El Importador de datos está obligado a asegurar que las personas autorizadas por el Importador de datos a tratar los datos personales por cuenta del Exportador de datos, en particular los empleados del Importador de datos así como los empleados de cualquier Subcontratista, se hayan comprometido a respetar la confidencialidad o estén sujetos a una obligación de confidencialidad estatutaria adecuada, y que dichas personas que tengan acceso a los datos personales los traten de conformidad con las instrucciones del Exportador de datos.
2. (ii) El Importador de datos está obligado a implementar las medidas técnicas y organizativas tal como se establecen en el Anexo 2 de la Parte 2 antes de tratar los datos personales por cuenta del Exportador de datos. El Importador de datos podrá modificar las medidas técnicas y organizativas de seguridad de vez en cuando, siempre que no ofrezcan una protección inferior a las establecidas en el Anexo 2 de la Parte 2.
3. (iii) El Importador de datos deberá poner a disposición del Exportador de datos, a petición de este, la información necesaria para demostrar el cumplimiento de las obligaciones del Importador de datos en virtud de este Anexo. Las partes convienen que esta obligación de información se satisface facilitando al Exportador de datos un informe de auditoría (cubriendo los principios de seguridad, la disponibilidad del sistema y la confidencialidad) (« Informe de auditoría »). Si se requieren actividades de auditoría adicionales por motivos legales, el Exportador de datos podrá solicitar que las inspecciones sean llevadas a cabo por el Exportador de datos o por otro auditor designado por el Exportador de datos, sujeto a que dicho auditor firme un acuerdo de confidencialidad con el Importador de datos bajo términos razonablemente satisfactorios para este último (« Auditoría »). Dicha Auditoría está sujeta a las siguientes condiciones: (i) la aceptación formal previa por escrito del Importador de datos; y (ii) el Exportador de datos asumirá todos los costes que se deriven de o estén relacionados con la Auditoría in situ para el Exportador de datos y el Importador de datos. El Exportador de datos tendrá la obligación de elaborar un informe de auditoría que resuma los resultados y las observaciones de la Auditoría in situ (« Informe de auditoría in situ »). Los Informes de auditoría in situ, así como los Informes de auditoría, son información confidencial del Importador de datos y no deberán divulgarse a terceros, salvo que la legislación aplicable en materia de protección de datos lo exija o conforme al consentimiento del Importador de datos. 
4. (iv) El Importador de datos tiene la obligación de notificar al Exportador de datos sin demora indebida :
   1. a. acerca de cualquier solicitud jurídicamente vinculante de divulgación de datos personales por parte de una autoridad de aplicación de la ley, salvo prohibición en contrario, como una prohibición en virtud del derecho penal para proteger la confidencialidad de una investigación policial ;
   2. b. acerca de cualquier reclamación y solicitud recibida directamente de un interesado (por ejemplo, relativa al acceso, la rectificación, la supresión, la restricción del tratamiento, la portabilidad de los datos, la oposición al tratamiento de datos, la toma de decisiones automatizada) sin responder a dicha solicitud, salvo que el Importador de datos haya recibido autorización para hacerlo ;
   3. c. si está obligado, conforme a la ley de la Unión Europea o del Estado miembro al que está sujeto el Importador de datos o el Subcontratista, a tratar los datos personales más allá de las instrucciones del Exportador de datos, antes de proceder a dicho tratamiento más allá de la instrucción, salvo que dicha ley de la Unión Europea o del Estado miembro prohíba esta notificación por motivos importantes de interés público, caso en el cual la notificación al Exportador de datos deberá especificar el requisito legal conforme a dicha ley de la Unión Europea o del Estado miembro ; o
   4. d. si el Importador de datos tiene conocimiento de una violación de datos personales imputable únicamente a él o a su subcontratista, que afecte a los datos personales del Exportador de datos cubiertos por el presente contrato, en cuyo caso el Importador de datos ayudará al Exportador de datos en su obligación, conforme a la legislación aplicable en materia de protección de datos, de informar a los interesados y, en su caso, a las autoridades de control facilitando la información de que disponga, conforme al Art. 33 (3) del RGPD. 
   5. (v) A petición del Exportador de datos, el Importador de datos estará obligado a asistirle en su obligación de realizar una evaluación de impacto relativa a la protección de datos que pueda ser exigida por el Art. 35 del RGPD y una consulta previa que pueda ser exigida por el Art. 36 del RGPD en relación con los servicios prestados por el Importador de datos al Exportador de datos en virtud del presente Anexo, proporcionando la información necesaria y disponible al Exportador de datos. El Importador de datos solo estará obligado a prestar dicha asistencia en la medida en que el Exportador de datos sea incapaz de asumir su obligación por otros medios. El Importador de datos informará al Exportador de datos del coste de dicha asistencia. En cuanto el Exportador de datos confirme que puede soportar dicho coste, el Importador de datos prestará dicha asistencia.
   6. (vi) Al finalizar la prestación de los servicios, el Exportador de datos podrá solicitar la devolución de los datos personales tratados por el Importador de datos en virtud del presente Anexo en el plazo de un mes tras la finalización de los servicios. Salvo que la legislación del Estado miembro o de la Unión Europea exija al Importador de datos que almacene o conserve dichos datos personales, el Importador de datos suprimirá todos esos datos personales o no personales después del plazo de un mes, ya hayan sido o no devueltos al Exportador de datos a petición de este.

3.3 Derechos de los interesados

1. 1. (i) El Exportador de datos es responsable, en primer lugar, de la gestión de las solicitudes presentadas por los interesados y de las respuestas a proporcionar. El Importador de datos no está obligado a responder directamente a los interesados. 
   2. (ii) Si el Exportador de datos necesita la ayuda del Importador de datos para tramitar las solicitudes presentadas por los interesados y las respuestas a proporcionar, emitirá una instrucción complementaria, conforme a la Cláusula 3.1 (ii) de la Parte 1. El Importador de datos ayudará al Exportador de datos mediante las medidas técnicas y organizativas apropiadas y viables que siguen a fin de responder a las solicitudes de ejercicio de los derechos de los interesados expuestos como sigue en el Capítulo III del RGPD : 
   3. a. Respecto a las solicitudes de información, el Importador de datos proporcionará al Exportador de datos la información requerida por los Art. 13 y 14 del RGPD de la que disponga solo si este último no puede encontrarlas por sí mismo.
   4. b. Respecto a las solicitudes de acceso (Art. 15 del RGPD), el Importador de datos facilitará al Exportador de datos la información que deba proporcionarse a una persona interesada para dicha solicitud de acceso, de la que disponga, solo si este último no puede encontrarlas por sí mismo.
   5. c. Respecto a las solicitudes de rectificación (Art. 16 del RGPD), las solicitudes de supresión (Art. 17 del RGPD), la limitación de las solicitudes de tratamiento (Art. 18 del RGPD), o las solicitudes de portabilidad (Art. 20 del RGPD), y solo si el Exportador de datos no puede rectificar por sí mismo o, según el caso, suprimir, limitar o transmitir los datos personales a un tercero, el Importador de datos ofrecerá al Exportador de datos la posibilidad de rectificar o, según el caso, suprimir, limitar o transmitir los datos personales en cuestión al otro tercero, o si ello no fuera posible, prestará la ayuda necesaria para rectificar o, según el caso, suprimir, limitar o transmitir al otro tercero los datos personales afectados.
   6. d. Respecto a la notificación relativa a la rectificación, a la supresión o a la limitación del tratamiento (Art. 19 del RGPD), el Importador de datos asistirá al Exportador de datos informando a todos los destinatarios de datos personales que el Importador de datos haya contratado como subcontratistas si el Exportador de datos así lo solicita y si el Exportador de datos no puede hacerlo por sí mismo. 
   7. e. Respecto al derecho de oposición ejercido por un interesado (Art. 21 y 22 del RGPD) el Exportador de datos determinará si la oposición es legítima y cómo tratarla.
   8. (iii) Las obligaciones de asistencia del Importador de datos se limitan a los datos personales tratados en el marco de sus infraestructuras (por ejemplo, bases de datos, sistemas, aplicaciones propiedad o proporcionados por el Importador de datos).  
   9. (iv) El Exportador de datos deberá determinar si un interesado tiene o no derecho a ejercer los derechos de los interesados presentados en la Cláusula 3.1 de esta Parte 1 y deberá indicar al Importador de datos en qué medida es necesaria la asistencia especificada en las Cláusulas 3.3 (ii), (iii) de la Parte 1.
   10. (v) Si el Exportador de datos solicita, para responder a los derechos de los interesados, medidas técnicas y organizativas adicionales o modificadas que vayan más allá de la asistencia proporcionada por el Importador de datos según la Cláusula 3.3 (ii), (iii) de la Parte 1, este último deberá informar al Exportador de datos de los costes de implementación de dichas medidas técnicas y organizativas adicionales o modificadas.  En cuanto el Exportador de datos confirme que podrá soportar dichos costes, el Importador de datos implementará dichas medidas técnicas y organizativas adicionales o modificadas para ayudar al Exportador de datos a responder a las solicitudes de los interesados.
   11. (vi) Sin limitar el alcance de la Cláusula 3.3 (v) de la Parte 1, el Exportador de datos estará obligado a reembolsar al Importador de datos los gastos razonables en que incurra por las solicitudes de los interesados.

3.4 Subcontratación

1. 1. (i) El Exportador de datos autoriza el recurso a subcontratistas por parte del Importador de datos para la prestación de servicios en virtud del presente Anexo. El Importador de datos elegirá dichos subcontratistas con diligencia. El Exportador de datos aprueba los subcontratistas mencionados en el Anexo 1.1 al final de la Parte 2.
   2. (ii) El Importador de datos transferirá a los subcontratistas sus obligaciones en virtud del presente Anexo en la medida aplicable a los servicios subcontratados. 
   3. (iii) El Importador de datos podrá despedir, reemplazar o nombrar a su discreción otros subcontratistas apropiados y fiables. Si el Exportador de datos lo solicita por escrito, el Importador de datos estará obligado a seguir el procedimiento indicado a continuación :

1. 1. a. El Importador de datos informará con antelación al Exportador de datos de todos los cambios en la lista de subcontratistas referenciada según la Cláusula 3.4 (i) de la Parte 1. Si el Exportador de datos no formula objeción conforme a la Cláusula 3.4. (b) de la Parte 1 dentro de los treinta días siguientes a la recepción de la notificación del Importador de datos, los subcontratistas adicionales se considerarán aceptados.
   2. b. Si el Exportador de datos tiene una razón legítima para oponerse a un subcontratista adicional, lo comunicará previamente por escrito al Importador de datos dentro de los treinta días siguientes a la recepción de la notificación del Importador de datos y, en todo caso, antes de la puesta en servicio de la prestación proporcionada por el Importador de datos. Si el Exportador de datos se opone al uso de un subcontratista adicional, el Importador de datos tendrá derecho a subsanar la objeción mediante una de las siguientes opciones (a elegir a su conveniencia): (A) el Importador de datos cancelará sus planes de uso del subcontratista adicional respecto de los datos personales del Exportador de datos; (B) el Importador de datos adoptará las medidas correctivas exigidas por el Exportador de datos en su objeción (lo que anulará dicha objeción) y utilizará el subcontratista adicional respecto de los datos personales del Exportador de datos; (C) el Importador de datos podrá cesar en la prestación o el Exportador de datos podrá aceptar no utilizar (temporal o permanentemente) un aspecto particular del servicio que implicaría el uso del subcontratista adicional respecto de los datos personales del Exportador de datos.

1. 1. (iv) En caso de que el subcontratista tenga su domicilio fuera de la UE-EEE en un país que no sea reconocido como que ofrece un nivel adecuado de protección de datos en virtud de una decisión de la Comisión Europea, el Importador de datos adoptará las medidas necesarias para cumplir con un nivel de protección de datos adecuado según el RGPD (tales medidas pueden incluir – entre otras y según proceda – el uso de contratos de tratamiento de datos basados en las cláusulas del Modelo de la UE, la transferencia a subcontratistas auto-certificados en el marco del Escudo de Privacidad UE-EE. UU., o un programa similar).

3.5 Plazo

La duración de este Anexo es idéntica a la duración del Contrato correspondiente. Salvo disposición en contrario de este Anexo, los derechos y obligaciones relacionados con la terminación serán idénticos a los que figuran en el Contrato.

4. Limitación de responsabilidad

4.1 Cada parte es responsable de sus obligaciones que se deriven de este Anexo y de la legislación aplicable en materia de protección de datos.

4.2 Cualquier responsabilidad que surja en virtud o en relación con un incumplimiento de las obligaciones derivadas de este Anexo o de la legislación aplicable en materia de protección de datos estará sujeta a las disposiciones relacionadas con la responsabilidad indicadas en el Contrato, o aplicables a dicho contrato, y será regida por este, salvo disposición en contrario de este Anexo. Si la responsabilidad está regida por las disposiciones relacionadas con la responsabilidad indicadas en el Contrato o aplicables a dicho contrato, a los efectos de calcular los límites de responsabilidad o de determinar la aplicación de otras limitaciones de responsabilidad, una responsabilidad que surja en el marco de este Anexo se considerará como surgida en el marco del Contrato.

5. Disposiciones generales

5.1 En la medida en que existan contradicciones o divergencias entre las Partes 1 y 2 de este Anexo, prevalecerán las disposiciones de la Parte 2. Más concretamente, incluso en ese caso, las disposiciones de la Parte 1 que simplemente amplían la Parte 2 (es decir, las condiciones de la cláusula tipo) sin contradecirla, seguirán siendo válidas.

5.2 En caso de discrepancias entre las disposiciones de este Anexo y las de otros contratos que vinculen a las partes, prevalecerán las disposiciones de este Anexo en lo que respecta a las obligaciones de las partes relacionadas con la protección de datos. En caso de duda sobre si las cláusulas de otros contratos afectan a las obligaciones de las partes en materia de protección de datos, prevalecerá este Anexo.

5.3 Si resulta que una disposición de este Anexo es inválida o inaplicable, el resto de este Anexo permanecerá plenamente válido. La disposición inválida o inaplicable será (i) modificada, si fuera necesario, para asegurar su validez y aplicabilidad, preservando en la mayor medida posible la intención de las partes, o – si no fuera posible – (ii) interpretada como si la parte inválida o inaplicable nunca hubiera formado parte del contrato.  Lo anterior será igualmente aplicable si este Anexo contiene una omisión.

5.5 En la medida necesaria, las Partes tienen derecho a solicitar modificaciones de la Parte 1, Cláusula 3 (Cumplimiento de la legislación local)  u otras partes del Anexo, con el fin de ajustarse a interpretaciones, directrices u órdenes emitidos por las autoridades competentes de la Unión o de los Estados miembros, a las disposiciones nacionales de ejecución, o a cualquier otra evolución jurídica relacionada con el RGPD u otras condiciones de delegación a todas las entidades afectadas al tratamiento de datos en general, y específicamente en lo que respecta al uso de las Cláusulas tipo en el marco del RGPD. Los términos de las Cláusulas tipo no pueden ser modificados ni sustituidos salvo que la Comisión Europea lo apruebe expresamente (por ejemplo mediante nuevas cláusulas adecuadas y estándar de protección de datos).

5.6 Cualquier referencia de este Anexo a «Cláusulas» deberá entenderse referida a todas las disposiciones de este Anexo, salvo disposición en contrario. 

5.7 La elección de la ley de la parte 2, cláusula 9, se refiere a la totalidad del Contrato.

6. Datos personales transmitidos y tratados por las partes para fines propios (transferencia de responsable a responsable)

6.1 Las Partes son plenamente conscientes de que ciertos datos personales serán transferidos del Exportador de datos al Importador y viceversa, y que dichos datos son tratados por cada parte para sus propios fines. En lo que respecta a estos datos personales, las demás disposiciones del presente Anexo no son aplicables (excepto la presente cláusula 6).

6.2 El Exportador de datos puede transferir datos personales relativos al personal del Importador de datos, a este mismo Importador, en particular información sobre incidentes de seguridad, u otros documentos o archivos creados o elaborados por el Exportador de datos en relación con los Servicios prestados por el personal del Importador de datos. El Importador de datos podrá tratar dichos datos personales para sus propios fines, en particular en el marco de sus relaciones profesionales con el personal del Importador de datos, en el control de calidad y la formación, o con fines comerciales.

6.3. El Importador de datos puede transferir datos personales al Exportador de datos, en particular el nombre y los datos de contacto relativos al personal del Importador de datos. El Exportador de datos podrá tratar este tipo de datos personales para sus propios fines.

6.4 Ambas partes cumplirán con cualquier ley vigente sobre protección de datos, incluido el RGPD, en la recogida, tratamiento y uso de estos datos personales recibidos de la otra parte en virtud de la presente cláusula 1 de la parte 1. En particular, ambas partes deberán adoptar medidas de seguridad adecuadas, que proporcionen un nivel de protección similar a las medidas de seguridad establecidas en el Anexo 2 de la Parte 2. Todo acceso a estos datos personales se limitará al principio de necesidad de conocerlos.

6.5 Ambas partes estarán obligadas a suprimir estos datos personales tan pronto como sea posible, una vez alcanzados los fines.

Parte 2

 DECISIÓN DE LA COMISIÓN 

de 5 de febrero de 2010

relativa a las cláusulas contractuales tipo para la transferencia de datos personales a subcontratistas establecidos en terceros países en virtud de la Directiva 95/46/CE del Parlamento Europeo y del Consejo

Cláusula primera 

Definiciones 

A los efectos de las cláusulas: 

a) «datos personales», «categorías particulares de datos», «tratar/tratamiento», «responsable del tratamiento», «subcontratista», «interesado» y «autoridad de control» tienen el mismo significado que en la Directiva 95/46/CE del Parlamento Europeo y del Consejo de 24 de octubre de 1995 relativa a la protección de las personas físicas con respecto al tratamiento de datos personales y a la libre circulación de estos datos ( 1 ); 

b) el «exportador de datos» es el responsable del tratamiento que transfiere los datos personales; 

c) el «importador de datos» es el subcontratista que acepta recibir del exportador de datos datos personales destinados a ser tratados por cuenta de este último tras la transferencia conforme a sus instrucciones y a los términos de las presentes cláusulas y que no está sujeto al mecanismo de un país tercero que proporcione una protección adecuada en el sentido del artículo 25, apartado 1, de la Directiva 95/46/CE; d) el «subcontratista ulterior» es el subcontratista contratado por el importador de datos o por cualquier otro subcontratista ulterior de éste, que acepte recibir del importador de datos o de cualquier otro subcontratista ulterior de éste datos personales exclusivamente destinados a actividades de tratamiento a realizarse por cuenta del exportador de datos tras la transferencia conforme a las instrucciones de este último, a las condiciones establecidas en las presentes cláusulas y según los términos del contrato de subcontratación escrito; 

e) el «derecho aplicable a la protección de datos» es la legislación que protege las libertades y los derechos fundamentales de las personas, incluyendo el derecho a la vida privada con respecto al tratamiento de datos personales, y que se aplica a un responsable del tratamiento en el Estado miembro en el que el exportador de datos está establecido; 

f) las «medidas técnicas y organizativas en materia de seguridad» son las medidas destinadas a proteger los datos personales frente a la destrucción accidental o ilícita, la pérdida accidental, la alteración, la divulgación o el acceso no autorizado, en particular cuando el tratamiento implique la transmisión de datos por red, y frente a cualquier otra forma ilícita de tratamiento. 

Cláusula 2 

Detalles de la transferencia 

Los detalles de la transferencia y, en particular, en su caso, las categorías particulares de datos personales, se especifican en el apéndice 1 que forma parte integrante de las presentes cláusulas. 

Cláusula 3 

Cláusula del tercero beneficiario 

1. El interesado podrá hacer valer frente al exportador de datos la presente cláusula, así como la cláusula 4, puntos b) a i), la cláusula 5, puntos a) a e) y puntos g) a j), la cláusula 6, apartados 1 y 2, la cláusula 7, la cláusula 8, apartado 2, y las cláusulas 9 a 12 como tercero beneficiario. 

2. El interesado podrá hacer valer frente al importador de datos la presente cláusula, así como la cláusula 5, puntos a) a e) y g), la cláusula 6, la cláusula 7, la cláusula 8, apartado 2, y las cláusulas 9 a 12 en los casos en que el exportador de datos haya desaparecido materialmente o haya dejado de existir en derecho, a menos que la totalidad de sus obligaciones jurídicas haya sido transferida, por contrato o por efecto de la ley, a la entidad que le suceda, a la que correspondan por tanto los derechos y obligaciones del exportador de datos, y frente a la cual el interesado pueda hacer valer dichas cláusulas. 

3. El interesado podrá hacer valer frente al subcontratista ulterior la presente cláusula, así como la cláusula 5, puntos a) a e) y g), la cláusula 6, la cláusula 7, la cláusula 8, apartado 2, y las cláusulas 9 a 12, pero únicamente en los casos en que el exportador de datos y el importador de datos hayan desaparecido materialmente, hayan dejado de existir en derecho o se hayan declarado insolventes, a menos que la totalidad de las obligaciones jurídicas del exportador de datos haya sido transferida, por contrato o por efecto de la ley, al sucesor legal, al que correspondan por tanto los derechos y obligaciones del exportador de datos, y frente al cual el interesado pueda hacer valer dichas cláusulas. Esta responsabilidad civil del subcontratista ulterior deberá limitarse a sus propias actividades de tratamiento conforme a las presentes cláusulas. 4. Las partes no se oponen a que el interesado sea representado por una asociación u otro organismo si así lo desea y si la legislación nacional lo permite. 

Cláusula 4 

Obligaciones del exportador de datos 

El exportador de datos acepta y garantiza lo siguiente: 

a) el tratamiento, incluido el propio acto de transferencia de los datos personales, se ha realizado y continuará realizándose de conformidad con las disposiciones pertinentes del derecho aplicable a la protección de datos (y, en su caso, ha sido notificado a las autoridades competentes del Estado miembro en el que el exportador de datos está establecido) y no infringe las disposiciones pertinentes de dicho Estado; 

b) ha encargado, y encargará durante toda la duración de los servicios de tratamiento de datos personales, al importador de datos el tratamiento de los datos personales transferidos por cuenta exclusiva del exportador de datos y de conformidad con el derecho aplicable a la protección de datos y con las presentes cláusulas; 

c) el importador de datos ofrecerá garantías suficientes en lo que respecta a las medidas técnicas y organizativas de seguridad especificadas en el apéndice 2 del presente contrato; 

d) tras la evaluación de los requisitos del derecho aplicable a la protección de datos, las medidas de seguridad son adecuadas para proteger los datos personales frente a la destrucción accidental o ilícita, la pérdida accidental, la alteración, la divulgación o el acceso no autorizado, en particular cuando el tratamiento implique la transmisión de datos por red, y frente a cualquier otra forma ilícita de tratamiento y garantizan un nivel de seguridad apropiado respecto a los riesgos vinculados al tratamiento y a la naturaleza de los datos a proteger, teniendo en cuenta el nivel tecnológico y el coste de implantación; 

e) velará por el cumplimiento de las medidas de seguridad; 

f) si la transferencia implica categorías particulares de datos, el interesado ha sido o será informado antes de la transferencia o tan pronto como sea posible tras la transferencia de que sus datos podrían ser transmitidos a un país tercero que no ofrezca un nivel de protección adecuado en el sentido de la Directiva 95/46/CE; 

g) transmitirá cualquier notificación recibida del importador de datos o de cualquier subcontratista ulterior conforme a la cláusula 5, punto b), y a la cláusula 8, apartado 3), a la autoridad de control de la protección de datos si decide proseguir la transferencia o levantar su suspensión; 

h) pondrá a disposición de los interesados, si lo solicitan, una copia de las presentes cláusulas, excepto el apéndice 2, y una descripción somera de las medidas de seguridad, así como una copia de cualquier contrato de subcontratación ulterior celebrado conforme a las presentes cláusulas, salvo que las cláusulas o el contrato contengan información comercial, en cuyo caso podrá suprimir dicha información; 

i) en caso de subcontratación ulterior, la actividad de tratamiento se llevará a cabo conforme a la cláusula 11 por un subcontratista ulterior que ofrezca al menos el mismo nivel de protección de los datos personales y de los derechos del interesado que el importador de datos conforme a las presentes cláusulas; y 

j) velará por el cumplimiento de la cláusula 4, puntos a) a i). 

Cláusula 5 

Obligaciones del importador de datos  

El importador de datos acepta y garantiza lo siguiente: 

a) tratará los datos personales por cuenta exclusiva del exportador de datos y de conformidad con las instrucciones de este último y con las presentes cláusulas; si no puede cumplirlas por cualquier motivo, acepta informar sin demora al exportador de datos de su imposibilidad, en cuyo caso este último tendrá derecho a suspender la transferencia de datos y/o a rescindir el contrato; 

b) no tiene motivos para creer que la legislación que le resulte aplicable le impide cumplir las instrucciones dadas por el exportador de datos y las obligaciones que le incumben conforme al contrato, y si dicha legislación sufre una modificación que pueda tener consecuencias negativas importantes para las garantías y obligaciones ofrecidas por las cláusulas, lo comunicará al exportador de datos sin demora tras tener conocimiento de ello, en cuyo caso este último tendrá derecho a suspender la transferencia de datos y/o a rescindir el contrato; c) ha implementado las medidas técnicas y organizativas de seguridad especificadas en el apéndice 2 antes de tratar los datos personales transferidos;

d) comunicará sin demora al exportador de datos: 

i) cualquier solicitud vinculante de divulgación de datos personales procedente de una autoridad encargada de hacer cumplir la ley, salvo disposición en contrario, como una prohibición de carácter penal destinada a preservar el secreto de una investigación policial; 

ii) cualquier acceso fortuito o no autorizado; y 

iii) cualquier solicitud recibida directamente de los interesados sin responder a dicha solicitud, a menos que esté autorizado a hacerlo; 

e) tratará rápida y debidamente todas las solicitudes de información procedentes del exportador de datos relativas a su tratamiento de los datos personales objeto de la transferencia y se ajustará al dictamen de la autoridad de control en lo que concierne al tratamiento de los datos transferidos; 

f) a petición del exportador de datos, someterá sus medios de tratamiento de datos a una verificación de las actividades de tratamiento cubiertas por las presentes cláusulas que será realizada por el exportador de datos o por un órgano de control compuesto por miembros independientes con las cualificaciones profesionales necesarias, sujetos a una obligación de secreto y elegidos por el exportador de datos, en su caso con el acuerdo de la autoridad de control; 

g) pondrá a disposición del interesado, si lo solicita, una copia de las presentes cláusulas, o de cualquier contrato de subcontratación ulterior existente, salvo que las cláusulas o el contrato contengan información comercial, en cuyo caso podrá suprimir dicha información, excepto el apéndice 2, que será sustituido por una descripción somera de las medidas de seguridad, cuando el interesado no pueda obtener una copia del exportador de datos; 

h) en caso de subcontratación ulterior, informará previamente al exportador de datos y obtendrá su acuerdo por escrito; 

i) los servicios de tratamiento prestados por el subcontratista ulterior cumplirán la cláusula 11; 

j) remitirá sin demora una copia de cualquier contrato de subcontratación ulterior celebrado por él en virtud de las presentes cláusulas al exportador de datos. 

Cláusula 6 

Responsabilidad 

1. Las partes convienen que cualquier interesado que sufra un perjuicio como consecuencia de un incumplimiento de las obligaciones contempladas en la cláusula 3 o en la cláusula 11 por una de las partes o por un subcontratista ulterior tiene derecho a obtener del exportador de datos la reparación del perjuicio sufrido. 

2. Si un interesado se ve impedido de entablar la acción de reparación prevista en el apartado 1 contra el exportador de datos por incumplimiento del importador de datos o de su subcontratista ulterior de una u otra de sus obligaciones previstas en la cláusula 3 o en la cláusula 11, porque el exportador de datos ha desaparecido materialmente, ha dejado de existir en derecho o ha quedado insolvente, el importador de datos acepta que el interesado pueda presentar una reclamación contra él como si fuera el exportador de datos, salvo que la totalidad de las obligaciones jurídicas del exportador de datos haya sido transferida, por contrato o por efecto de la ley, a la entidad que le sucede, contra la que el interesado podrá entonces ejercer sus derechos. El importador de datos no podrá invocar el incumplimiento por un subcontratista ulterior de sus obligaciones para eludir sus propias responsabilidades. 

3. Si un interesado se ve impedido de entablar la acción prevista en los apartados 1 y 2 contra el exportador de datos o el importador de datos por incumplimiento del subcontratista ulterior de una u otra de sus obligaciones previstas en la cláusula 3 o en la cláusula 11, porque el exportador de datos y el importador de datos han desaparecido materialmente, han dejado de existir en derecho o se han declarado insolventes, el subcontratista ulterior acepta que el interesado pueda presentar una reclamación contra él en lo que respecta a sus propias actividades de tratamiento conforme a las presentes cláusulas como si fuera el exportador de datos o el importador de datos, a menos que la totalidad de las obligaciones jurídicas del exportador de datos o del importador de datos haya sido transferida, por contrato o por efecto de la ley, al sucesor legal, contra el que el interesado podrá entonces ejercer sus derechos. La responsabilidad del subcontratista ulterior deberá limitarse a sus propias actividades de tratamiento conforme a las presentes cláusulas. 

Cláusula 7 

Mediación y jurisdicción 

1. El importador de datos acepta que si, en virtud de las cláusulas, el interesado invoca frente a él el derecho del tercero beneficiario y/o solicita la reparación del perjuicio sufrido, aceptará la decisión del interesado: 

a) de someter el litigio a la mediación de una persona independiente o, en su caso, de la autoridad de control; 

b) de llevar el litigio ante los tribunales del Estado miembro en el que el exportador de datos esté establecido. 

2. Las partes convienen que la elección realizada por el interesado no menoscabará el derecho procesal o sustantivo de éste a obtener reparación conforme a otras disposiciones del derecho nacional o internacional. 

Cláusula 8 

Cooperación con las autoridades de control 

1. El exportador de datos acepta depositar una copia del presente contrato ante la autoridad de control si ésta lo exige o si dicho depósito está previsto por el derecho aplicable a la protección de datos. 

2. Las partes convienen que la autoridad de control tiene el derecho de efectuar verificaciones en el importador de datos y en cualquier subcontratista ulterior en la misma medida y en las mismas condiciones que en caso de verificaciones realizadas en el exportador de datos conforme al derecho aplicable a la protección de datos. 

3. El importador de datos informará al exportador de datos, sin demora, de la existencia de una legislación que le afecte o que afecte a cualquier subcontratista ulterior que impida que se efectúen las verificaciones en virtud del apartado 2. En tal caso, el exportador de datos tiene derecho a adoptar las medidas previstas en la cláusula 5, punto b). 

Cláusula 9 

Derecho aplicable 

Las cláusulas se rigen por el derecho del Estado miembro en el que el exportador de datos esté establecido., 

Cláusula 10 

Modificación del contrato 

Las partes se comprometen a no modificar las presentes cláusulas. Las partes quedan libres de incluir otras cláusulas de carácter comercial que consideren necesarias, siempre que no contradigan las presentes cláusulas. 

Cláusula 11 

Subcontratación ulterior 

1. El importador de datos no subcontratará ninguna de sus actividades de tratamiento realizadas por cuenta del exportador de datos conforme a las presentes cláusulas sin el acuerdo previo por escrito del exportador de datos. El importador de datos solo subcontratará las obligaciones que le incumben conforme a las presentes cláusulas, con el acuerdo del exportador de datos, mediante un acuerdo escrito celebrado con el subcontratista ulterior, imponiendo a este último las mismas obligaciones que las que incumben al importador de datos conforme a las presentes cláusulas ). En caso de incumplimiento por parte del subcontratista ulterior de las obligaciones en materia de protección de datos que le incumben conforme a dicho acuerdo escrito, el importador de datos seguirá siendo plenamente responsable del cumplimiento de dichas obligaciones frente al exportador de datos. 

2. El contrato escrito previo entre el importador de datos y el subcontratista ulterior también incluirá una cláusula del tercero beneficiario tal como se establece en la cláusula 3 para los casos en que el interesado se vea impedido de entablar la acción de reparación prevista en la cláusula 6, apartado 1, contra el exportador de datos o el importador de datos porque éstos hayan desaparecido materialmente, hayan dejado de existir en derecho o se hayan declarado insolventes, y la totalidad de las obligaciones jurídicas del exportador de datos o del importador de datos no haya sido transferida, por contrato o por efecto de la ley, a otra entidad que les haya sucedido. Esta responsabilidad civil del subcontratista ulterior deberá limitarse a sus propias actividades de tratamiento conforme a las presentes cláusulas. 

3. Las disposiciones relativas a los aspectos de la subcontratación ulterior vinculados a la protección de datos del contrato contemplado en el apartado 1 se rigen por el derecho del Estado miembro en el que el exportador de datos esté establecido. 

4. El exportador de datos mantendrá una lista de los acuerdos de subcontratación ulterior celebrados en virtud de las presentes cláusulas y notificados por el importador de datos conforme a la cláusula 5, punto j), que se actualizará al menos una vez al año. Dicha lista estará a disposición de la autoridad de control de la protección de datos del exportador de datos. 

Cláusula 12 

Obligación tras la terminación de los servicios de tratamiento de datos personales 

1. Las partes convienen que, a la finalización de los servicios de tratamiento de datos, el importador de datos y el subcontratista ulterior devolverán al exportador de datos, según la elección de este, la totalidad de los datos personales transferidos así como las copias, o destruirán la totalidad de dichos datos y acreditarán dicha destrucción al exportador de datos, salvo que la legislación aplicable al importador de datos le impida devolver o destruir la totalidad o parte de los datos personales transferidos. En tal caso, el importador de datos garantiza que mantendrá la confidencialidad de los datos personales transferidos y que no tratará activamente dichos datos. 

2. El importador de datos y el subcontratista ulterior garantizan que, si el exportador de datos y/o la autoridad de control lo solicitan, someterán sus medios de tratamiento de datos a una verificación de las medidas previstas en el apartado 1. 

Anexo 1.1 de la parte 2

Detalles de la transferencia

Exportador de datos

El Exportador de datos es el Cliente definido en el Contrato.

Importador de datos

El Importador de datos es IQUALIF y está asignado al tratamiento de los datos, prestando los servicios al Exportador de datos.

Interesados

Los datos personales transferidos se refieren a las siguientes categorías de interesados :

☒ los abonados telefónicos inscritos en el directorio universal

☐ Otros, en particular :

Categorías de datos

Los datos personales transferidos se refieren a las siguientes categorías de datos :

Categorías de datos personales de los interesados del Exportador de datos, en particular,

☒ Nombre completo

☒ Dirección postal

☒ Datos de contacto (correo electrónico, teléfono, dirección IP, etc.)

☒ Detalles sobre las actividades de marketing respecto del abonado telefónico

☒ Otros, en particular : tipo de vivienda, ingresos y edades medias por ciudad anonimizados

Categorías especiales de datos (si procede)

Los datos personales transferidos se refieren a las siguientes categorías especiales de datos :

☒ No está prevista la transferencia de categorías especiales de datos

☐ Raza u origen étnico

☐ Creencias religiosas o filosóficas

☐ Afiliación sindical

☐ Opiniones políticas

☐ Información genética 

☐ Información biométrica

☐ Información sobre la orientación sexual o la vida sexual

☐ Datos relativos a la salud

Actividades de tratamiento

Los datos personales transferidos estarán sujetos a las siguientes actividades elementales de tratamiento :

• • • Objeto del tratamiento

El tratamiento realizado por cuenta del Exportador de datos gira en torno a los siguientes asuntos, en particular :

☒ Soporte de los productos o servicios ofrecidos por el Exportador de datos

☒ Oferta de un producto o servicio que la persona llamada pueda solicitar

☒ Pedidos tomados a las personas llamadas y tratamiento posterior de dichos pedidos

☒ Cuestionarios de estudios y análisis

☒ Telemarketing

☐ Otros, en particular :

• • • Naturaleza y finalidad del tratamiento

El Importador de datos trata los datos personales de los interesados en nombre del Exportador de datos, con el fin de proporcionar los siguientes servicios, y en particular :

☒ Ventas y marketing

☒ Otros, en particular : actualización de las bases de datos de los ayuntamientos y de los partidos políticos

• • • Prestación de los servicios y empleo de proveedores de servicios

IQUALIF combina, centraliza y proporciona principalmente los servicios al Exportador de datos. Los servicios prestados por el proveedor de servicios mencionado pueden centrarse (entre otros y según el caso) en los siguientes servicios auxiliares: (i) suministro de aplicaciones, herramientas, sistemas y una infraestructura informática en relación con los centros de tratamiento de datos utilizados, con el fin de proporcionar y respaldar los servicios, en particular el tratamiento de los datos personales de los interesados descritos anteriormente, a través de este tipo de aplicaciones, herramientas y sistemas; (ii) prestación de asistencia informática, mantenimiento y otros servicios relativos a dichas aplicaciones, herramientas, sistemas e infraestructura informática, incluida la posibilidad de acceso a los datos personales almacenados en dichas aplicaciones, herramientas y sistemas; y (iii) prestación de servicios de protección de datos, supervisión de la protección y servicios de intervención en caso de incidentes, incluida la posibilidad de acceso a los datos personales durante la prestación de este tipo de servicios de protección. IQUALIF podrá contratar subcontratistas como se indica más abajo, con el fin de prestar los servicios, incluidos los servicios auxiliares.

• • • Proveedores de servicios externos terceros como subentidades afectadas al tratamiento de los datos

IQUALIF contrata proveedores de servicios externos y terceros, que no son filiales de IQUALIF, con el fin de apoyar la prestación de los servicios al Exportador de datos. El Exportador de datos aprueba este tipo de proveedores de servicios externos terceros como subentidades afectadas al tratamiento de los datos

Si una subentidad afectada al tratamiento de los datos se encuentra fuera de la UE / EEE, en un país considerado como que no dispone de un nivel adecuado de protección de datos conforme a una decisión de la Comisión Europea, el Importador de datos adoptará medidas para obtener un nivel de protección de datos suficiente conforme al RGPD, así como conforme a la sección 3.4 (iv) de la parte 1.

Anexo 2, parte 2

Medidas de protección técnicas y organizativas

El Importador de datos adopta las siguientes medidas de protección técnicas y organizativas, en su caso confirmadas por el Exportador de datos, con el fin de garantizar un nivel de seguridad adecuado de los derechos y libertades de las personas, y ello en función de los riesgos. Al evaluar el nivel de protección correspondiente, el Exportador de datos ha tenido en cuenta, en particular, los riesgos vinculados al tratamiento, incluida la destrucción accidental o ilícita, la modificación, la divulgación no autorizada o el acceso a los datos personales transmitidos, almacenados o tratados de cualquier otra forma. A modo de aclaración: Estas medidas de protección técnicas y organizativas no se refieren a las aplicaciones, herramientas, sistemas y/o infraestructuras informáticas proporcionadas por el Exportador de datos.

1 Medidas generales de protección técnicas y organizativas

1.1 Estrategias generales de protección de la información y los datos

Se deben adoptar las siguientes medidas para seguir las estrategias generales de protección de datos e información :

a) adoptar medidas para evaluar las implementadas en materia de protección técnica y organizativa ;

b) proporcionar formación para concienciar a los empleados ;

c) disponer de una descripción de los sistemas afectados y otorgar acceso a los empleados ;

d) establecer un proceso oficial de documentación cada vez que se implementen o modifiquen sistemas ;

e) documentación de la estructura organizativa, los procesos, las responsabilidades y las evaluaciones respectivas ;

1.2 Organización de la protección de la información

Se deben adoptar las siguientes medidas para coordinar las actividades de protección de datos e información :

a) responsabilidades definidas en materia de protección de la información y los datos (por ejemplo, a través de la política de gestión de la protección de datos) ;

b) competencias necesarias en materia de protección de la información y los datos disponibles en todo momento ;

c) todos los empleados se han comprometido a mantener la confidencialidad de los datos personales y han sido informados de las posibles consecuencias en caso de incumplimiento.

1.3 Control del acceso a las zonas de tratamiento

Se deben adoptar las siguientes medidas para impedir que personas no autorizadas accedan a los sistemas de tratamiento de datos (incluidos software y hardware) cuando los datos personales sean tratados, almacenados o transmitidos :

a) establecer zonas seguras ;

b) proteger y restringir el acceso a los sistemas de tratamiento de datos ;

c) establecer autorizaciones de acceso para empleados y terceros, incluyendo la documentación correspondiente ;

d) todo acceso a los centros de tratamiento de datos donde se alojan datos personales será registrado.

1.4 Control del acceso a los sistemas de tratamiento de datos

Se deben adoptar las siguientes medidas para impedir el acceso no autorizado a los sistemas de tratamiento de datos:

a) políticas y procedimientos de autenticación de usuarios ;

b) usar contraseñas en todos los sistemas informáticos ;

c) el acceso remoto a la red requiere autenticación multifactor y se concede al personal correspondiente según sus responsabilidades y autorización ;

d) el acceso a funciones específicas se basa en funciones profesionales y/o atributos asignados individualmente a la cuenta de un usuario ;

e) los derechos de acceso relacionados con los datos personales se revisan regularmente ;

f) mantener registros actualizados de las modificaciones en los derechos de acceso.

1.4 Control de acceso a áreas particulares de uso de los sistemas de tratamiento de datos

Se deben adoptar las siguientes medidas para que las personas autorizadas a utilizar el sistema de tratamiento de datos solo puedan acceder a los datos pertinentes a sus responsabilidades y autorizaciones de acceso respectivas, y para que los datos personales no puedan ser leídos, copiados, modificados o eliminados sin autorización:

a) políticas, instrucciones y formación de los empleados respecto a sus obligaciones en materia de confidencialidad, derechos de acceso a datos personales y alcance del tratamiento de datos personales;

b) medidas disciplinarias contra las personas que accedan a datos personales sin autorización ;

c) el acceso a datos personales solo se concederá a personas autorizadas, y ello según su necesidad de conocerlos ;

d) mantener una lista de administradores del sistema y tomar medidas para supervisar a los administradores del sistema ;

e) no copiar ni reproducir datos personales en todos los sistemas de almacenamiento, a fin de impedir que personas no autorizadas supriman la información de su autor ;

f) eliminación controlada y documentada o destrucción de los datos ;

g) almacenar de forma segura todos los datos personales que deban conservarse por motivos legales o reglamentarios (por ejemplo, obligaciones de conservación de datos), y solo durante el tiempo exigido por la ley.

1.6 Control de las transmisiones

Se deben adoptar las siguientes medidas para impedir que los datos personales sean leídos, copiados, modificados o eliminados por terceros no autorizados durante la transmisión o el transporte de dispositivos de almacenamiento de datos (en función del tratamiento realizado de los datos personales) :

a) uso de cortafuegos ;

b) evitar el almacenamiento de datos personales en dispositivos de almacenamiento móviles con fines de transporte, o cifrar los dispositivos c) Utilizarlos en portátiles y otros dispositivos móviles solo una vez activada la protección mediante cifrado ;

d) registro de las transmisiones de datos personales.

1.7 Control de la entrada

Se deben adoptar las siguientes medidas para asegurar que sea posible verificar y determinar si se han introducido datos personales en los sistemas de tratamiento de datos o si han sido eliminados, y quién lo ha realizado :

a) una política de autorización de lectura, alteración y eliminación de los datos almacenados ;

b) medidas de protección respecto a la lectura, alteración y eliminación de los datos almacenados.

1.8 Control del trabajo

En caso de un tratamiento delegado de datos personales, se deben adoptar las siguientes medidas para garantizar que dichos datos se traten de conformidad con las instrucciones del responsable :

a) entidades o subentidades afectadas al tratamiento de datos, elegidas con diligencia (proveedores de servicios que tratan datos personales por cuenta del responsable);

b) instrucciones sobre el alcance de cualquier tratamiento de datos personales para empleados, entidades o subentidades afectadas al tratamiento de datos ;

c) los derechos de auditoría acordados con las entidades o subentidades afectadas al tratamiento de los datos

d) acuerdos en vigor con las entidades o subentidades afectadas al tratamiento de datos.

1,9 Separación del tratamiento para otros fines

Se deben adoptar las siguientes medidas para garantizar que los datos recogidos para otros fines puedan ser tratados por separado :

a) separar el acceso a los datos personales conforme a los derechos vigentes de los usuarios ;

b) las interfaces, los procesos por lotes y los informes están destinados a otros objetivos y funciones, de modo que los datos recogidos para otros fines puedan tratarse por separado.

1.10 Pseudonimización

Se deben adoptar las siguientes medidas en relación con la pseudonimización de los datos personales :

a) Si el Exportador de datos ordena un tratamiento específico o si el importador de datos lo considera apropiado, y ello conforme a las leyes vigentes en materia de protección de datos respecto de determinadas actividades de tratamiento, el tratamiento de los datos personales se llevará a cabo de forma que los datos ya no puedan atribuirse a una persona específica sin el uso de información adicional. Dicha información adicional se conservará por separado ;

b) uso de técnicas de pseudonimización, incluidas la aleatorización en listas de asignación; creación de valores en forma de hashes.

1,11 Cifrado

Se deben adoptar las siguientes medidas para cifrar los datos personales en el marco de aplicaciones y transmisiones que soporten el cifrado : a) uso de técnicas de cifrado ;

b) establecimiento de la gestión del cifrado para respaldar las técnicas autorizadas a emplear ;

c) apoyar el uso de la criptografía mediante procedimientos y protocolos para la generación, modificación, revocación, destrucción, distribución, certificación, almacenamiento, introducción, uso y archivo de las claves criptográficas como protección frente a la modificación y divulgación no autorizadas.

1.12 Integridad de los sistemas de tratamiento de datos y de los servicios

Se deben adoptar las siguientes medidas para garantizar la integridad de los sistemas de tratamiento de datos y de los servicios :

a) proteger los sistemas de tratamiento de datos contra la manipulación o destrucción mediante medios apropiados (p. ej., software antivirus, software de prevención de pérdida de datos y software contra malware, parches de software, cortafuegos y protección gestionada de equipos de sobremesa) ;

b) prohibir la instalación de cualquier servicio o software perjudicial para los sistemas de tratamiento de datos, los servicios o la manipulación de datos personales ;

c) uso de un sistema de detección y prevención de intrusiones en la red dentro de la estructura de la propia red.

1,14 Disponibilidad de los sistemas de tratamiento de datos y de los servicios, así como posibilidad de restablecer el acceso y el uso de los datos personales en caso de incidente material o técnico

Se deben adoptar las siguientes medidas para garantizar la disponibilidad de los sistemas de tratamiento de datos y para poder restablecer rápidamente la disponibilidad de los datos personales y su acceso en caso de incidente material o técnico (incluyendo asegurar que los datos personales estén protegidos contra cualquier destrucción o pérdida accidental):

a) disponer de controles para conservar copias de seguridad y restaurar los datos perdidos o eliminados ;

b) redundancia de infraestructura y pruebas de funcionamiento ;

c) protección física de los recursos informáticos ;

d) uso de herramientas para monitorizar el estado y la disponibilidad de la red interna ;

e) informes de incidentes y políticas de intervención que rijan el procedimiento de gestión de incidentes, y reiteración de la adhesión a dichas políticas en el marco de la formación regular ;

f) copias de seguridad (a veces fuera del sitio) que permitan restaurar el sistema y así permitirle ejercer de nuevo sus funciones ;

g) planes de continuidad del negocio / de recuperación ante desastres.

1.12 Resiliencia de los sistemas de tratamiento de datos y de los servicios

Se deben adoptar las siguientes medidas para garantizar la resiliencia de los sistemas de tratamiento de datos y de los servicios :

a) sistemas configurados de manera coherente, mediante parámetros de seguridad aprobados ;

b) redundancia de red ;

c) protección por aislamiento de los sistemas críticos.

1,16 Procedimiento para probar, evaluar y juzgar periódicamente la eficacia de las medidas técnicas y organizativas destinadas a garantizar la seguridad del tratamiento de los datos

Procedimiento para probar, evaluar y juzgar periódicamente la eficacia de las medidas técnicas y organizativas destinadas a proteger el tratamiento de los datos

a) adoptar las medidas necesarias para evaluar los riesgos y las estrategias de mitigación ;

b) reuniones de análisis de servicio del departamento de Informática para abordar problemas actuales ;

c) los planes de continuidad del negocio / de recuperación ante desastres se actualizan periódicamente.

Parte 3

Firmas de las partes y lista de Importadores de datos

Al completar su el pedido en línea y validarlo, marcando la casilla de aceptación de los términos y condiciones de uso, se forma el contrato que rige las relaciones entre el Cliente e IQUALIF. 

El envío del pago a IQUALIF será suficiente para considerar formado el contrato.