DESIGNACIÓN DEL ENCARGADO DEL TRATAMIENTO DE DATOS

DESIGNACIÓN DEL ENCARGADO DEL TRATAMIENTO DE DATOS

de conformidad con el art. 28 del Reglamento (UE) 2016/679

En el marco de las actividades y servicios previstos y regulados por el contrato de servicio para el acceso y uso de la plataforma de software en la nube “Cyber Guru” celebrado con Cyber Guru S.p.A. (el “Contrato”), la empresa Cliente, (“Responsable del tratamiento”)

CONSIDERANDO QUE:

• el art. 28, apdo. 3, del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos), en adelante también “RGPD”, establece que los tratamientos realizados por cuenta del Responsable del tratamiento por parte de un Encargado del tratamiento deben estar regulados por un contrato u otro acto jurídico que determine el objeto del tratamiento, su duración, naturaleza y finalidad, el tipo de datos personales tratados y las categorías de interesados, así como las obligaciones y derechos del Responsable del tratamiento;
• el art. 28 del Reglamento (UE) 2016/679 reconoce, además, al Responsable del tratamiento la facultad de recurrir a uno o más Encargados del tratamiento de datos, que cuenten con experiencia, capacidad y conocimientos para implementar medidas técnicas y organizativas que cumplan los requisitos del reglamento, también en lo relativo a la seguridad;

DESIGNA

a la empresa Cyber Guru S.p.A., representada por su Representante Legal p.t., con domicilio en Roma (Italia), Viale della Grande Muraglia 284, 00144 Roma, Tel. (+39) 065159281, Fax (+39) 0651963515, como ENCARGADO DEL TRATAMIENTO DE DATOS PERSONALES, teniendo en cuenta las actividades de tratamiento necesarias y/o convenientes para cumplir con las obligaciones acordadas, considerando, a efectos de la designación, que el Encargado ofrece garantías suficientes para implementar medidas técnicas y organizativas adecuadas para cumplir con los requisitos del Reg. UE n. 2016/679.

La presente designación no implica ninguna modificación de la cualificación profesional del Encargado y/o de las obligaciones acordadas entre las Partes y se regirá por las siguientes estipulaciones.

ART. 1 - NATURALEZA Y FINALIDAD DEL TRATAMIENTO

El tratamiento de los datos personales se realiza exclusivamente para la correcta ejecución de las actividades acordadas en el uso y disfrute de la plataforma de software o de los productos/servicios proporcionados por “Cyber Guru” descritos con mayor detalle en el Contrato.

ART. 2 - CATEGORÍAS DE INTERESADOS Y DATOS PERSONALES TRATADOS

El Encargado del tratamiento, para llevar a cabo las actividades por cuenta del Responsable, trata directa y/o indirectamente las siguientes categorías de datos personales e información referida a las categorías de interesados descritas, dentro de los límites de los servicios contratados:

ART. 3 - OBLIGACIÓN DE CONFIDENCIALIDAD

En el marco de las actividades realizadas por el Encargado, solo se tratarán los datos personales a los que se refiere el art. 4 n. 1 del Reg.UE 2016/679, excluyendo las categorías especiales. El Encargado y sus empleados y colaboradores están obligados a la máxima confidencialidad y se comprometen a tratar los datos de manera confidencial y reservada, evitando cualquier comunicación y/o acceso por parte de personas no autorizadas.

ART. 4 - DISPONIBILIDAD, USO DE LOS DATOS Y CESE DEL TRATAMIENTO

Cualquiera que sea la finalidad y la duración del tratamiento realizado por el Encargado:

• los datos no podrán ser vendidos ni cedidos, total o parcialmente, a terceros;
• el Encargado se compromete a no reclamar ningún derecho sobre los datos y materiales revisados;
• de acuerdo con lo establecido por el RGPD, queda expresamente prohibido al Encargado enviar mensajes publicitarios, comerciales o promocionales, así como contactar a los Interesados para fines distintos a los previstos en este documento.

Una vez finalizados los tratamientos objeto del Contrato, salvo renovación, el Encargado se compromete a devolver al Responsable los datos personales adquiridos, conocidos o tratados en relación con la prestación de los servicios, y, solo posteriormente, a eliminarlos de sus archivos o destruirlos transcurridos 90 días desde la finalización del Contrato, salvo que deban conservarse por obligación legal. Se entiende que la justificación de la necesidad de conservar los datos corresponde al Encargado y que las únicas finalidades permitidas con dichos datos serán exclusivamente para cumplir con dichas obligaciones legales.

ART. 5 - VIGENCIA Y REVOCACIÓN DE LA DESIGNACIÓN

La presente designación será válida durante toda la vigencia de la relación jurídica entre las Partes y podrá ser revocada a discreción del Responsable.

La presente designación no supone ninguna carga adicional para el Encargado, ya que forma parte de las obligaciones legales que regulan las relaciones con el Responsable en materia de protección de las personas físicas respecto al tratamiento de datos personales.

ART. 6 - SUBENCARGADOS

El Encargado del tratamiento está autorizado, conforme a lo previsto en el art. 28 apdo. 4 del RGPD, a recurrir a otro sujeto (en adelante “Subencargado del tratamiento”) para la realización de actividades específicas de tratamiento por cuenta del Responsable, regulando la relación mediante un acto jurídico o contrato que delimite los respectivos ámbitos de responsabilidad y haciendo que el Subencargado acepte las mismas condiciones establecidas en este documento de designación, incluyendo expresamente las obligaciones en materia de protección de datos personales ya asumidas por el Encargado y derivadas de la firma del presente documento.

El Encargado del tratamiento se compromete a facilitar al Responsable, previa solicitud formal de este último, la lista de Subencargados designados.

El Encargado del tratamiento deberá asegurarse de que el Subencargado ofrezca garantías suficientes de fiabilidad y confidencialidad y adopte medidas técnicas y organizativas adecuadas para que el tratamiento cumpla los requisitos del RGPD y que devuelva (o elimine) los datos personales tratados y cualquier copia al finalizar la prestación del servicio. Si el Subencargado incumple sus obligaciones en materia de protección de datos personales, el Encargado declara expresamente y garantiza que asumirá toda la responsabilidad por el cumplimiento de dichas obligaciones.

El Encargado del tratamiento deberá informar a la Empresa del nombre del Subencargado, así como de cualquier cambio relativo a la incorporación o sustitución de Subencargados, dando al Responsable la posibilidad de oponerse.

ART. 7 - DESIGNACIÓN Y AUTORIZACIÓN DE LOS ENCARGADOS

El Encargado del tratamiento garantiza la correcta identificación de las personas que actúan en cualquier calidad dentro de su organización como personas “autorizadas” para el tratamiento.

En particular, el Encargado del tratamiento se compromete a permitir el acceso y tratamiento de los datos personales solo a personal debidamente formado y específicamente designado, también de conformidad con el art. 2-quaterdecies del D. Lgs. 196/2003 y sus modificaciones.

El Encargado se compromete a realizar las designaciones por escrito y a limitar el acceso y tratamiento únicamente a los datos personales necesarios para la realización de las actividades objeto del Contrato.

El personal autorizado deberá recibir formación adecuada y específica en relación con el cumplimiento de las medidas organizativas y técnicas, en particular sobre las medidas de seguridad adoptadas, adecuadas para garantizar la protección de los datos personales tratados conforme a la normativa y las buenas prácticas en la materia.

En concreto, el Encargado:

• identifica a las personas autorizadas para el tratamiento de datos, proporcionándoles por escrito instrucciones detalladas sobre las operaciones permitidas y las medidas de seguridad a adoptar en función de la sensibilidad de los datos tratados;
• supervisa regularmente el cumplimiento por parte de las personas autorizadas de lo establecido, también mediante controles periódicos;
• garantiza la adopción de diferentes perfiles de autorización para las personas designadas, de modo que el acceso se limite solo a los datos necesarios para las operaciones de tratamiento permitidas según las funciones desempeñadas;
• verifica periódicamente la vigencia de las condiciones para mantener los perfiles de autorización de todas las personas designadas, modificando dicho perfil de forma inmediata cuando sea necesario (por ejemplo, cambio de puesto);
• se encarga de la formación y actualización profesional de las personas autorizadas que actúan bajo su responsabilidad sobre las disposiciones legales y reglamentarias en materia de protección de datos personales.

El Encargado, a solicitud, enviará al Responsable del tratamiento, mediante P.E.C., la lista nominativa con detalle de las funciones de las personas autorizadas para el tratamiento de datos personales realizados por su cuenta y en el marco del Contrato.

ART. 8 - DELEGADO DE PROTECCIÓN DE DATOS

El Encargado del tratamiento, de conformidad con los arts. 37 y siguientes del RGPD, ha designado un Delegado de Protección de Datos personales cuyos datos de contacto son: privacy@cyberguru.it.

ART. 9 - DERECHOS DE LOS INTERESADOS

Considerando que el ejercicio de los derechos reconocidos al interesado conforme a los arts. 15 y siguientes del RGPD será gestionado directamente por el Responsable, el Encargado se pone a disposición para colaborar con el Responsable facilitándole toda la información necesaria para atender las posibles solicitudes recibidas en este sentido.

El Encargado se compromete a asistir al Responsable con medidas técnicas y organizativas adecuadas para cumplir con la obligación del Responsable de atender las solicitudes de ejercicio de derechos de los interesados.

En particular, el Encargado deberá comunicar al Responsable, sin demora y en todo caso en un plazo no superior a 72 horas desde su recepción, las solicitudes que eventualmente reciba de los Interesados en virtud de los derechos previstos por la normativa vigente (por ejemplo, derecho de acceso, etc.) y proporcionar la información necesaria para que el Responsable pueda responder dentro de los plazos establecidos por la normativa.

ART. 10 - REGISTRO DE ACTIVIDADES DE TRATAMIENTO

El Encargado – cuando dicha obligación también le sea aplicable según lo dispuesto en el apartado 5 del art. 30 del RGPD – mantiene un registro (por escrito y/o en formato electrónico) de todas las categorías de actividades de tratamiento realizadas por cuenta del Responsable, que contiene:

• el nombre y los datos de contacto del Encargado del tratamiento y/o de sus Subencargados;
• las categorías de tratamientos realizados por cuenta del Responsable;
• cuando corresponda, las transferencias de datos personales a un tercer país o a una organización internacional, incluida la identificación del país tercero o de la organización internacional y, para las transferencias a que se refiere el segundo párrafo del artículo 49 del RGPD, la documentación de las garantías adecuadas adoptadas;
• cuando sea posible, una descripción general de las medidas de seguridad técnicas y organizativas a que se refiere el art. 32, apdo. 1 del RGPD.

El Encargado garantiza, además, poner a disposición del Responsable y/o de la Autoridad de control que lo solicite, el mencionado registro de actividades de tratamiento.

El Encargado se compromete a colaborar con el Responsable en la elaboración de su propio Registro de actividades de tratamiento, informando también, en la medida de su competencia, de cualquier modificación que deba realizarse en el Registro.

ART. 11 - SEGURIDAD DE LOS DATOS PERSONALES

Al realizar el tratamiento de los Datos Personales para la prestación de los Servicios, el Encargado se compromete a adoptar y mantener medidas de seguridad adecuadas, tanto técnicas como organizativas, para garantizar un alto nivel de protección de los datos personales y evitar el tratamiento ilícito o no autorizado, la destrucción accidental o ilícita, el daño, la pérdida accidental, la alteración y la divulgación no autorizada o el acceso a los Datos Personales ("Medidas de Seguridad").

El Responsable podrá actualizar y modificar con el tiempo las Medidas de Seguridad indicadas anteriormente, siempre y cuando dichas actualizaciones y modificaciones no impliquen una reducción del nivel general de seguridad de los Servicios.

El Responsable estará obligado a actualizar las medidas cuando así lo requiera la actividad específica de tratamiento y/o la Legislación en materia de Protección de Datos Personales, conforme a lo previsto en el art. 32 párr. 1 del RGPD, es decir, “teniendo en cuenta el estado de la técnica y los costes de aplicación, así como la naturaleza, el alcance, el contexto y los fines del tratamiento, además del riesgo de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas”.

La lista de las medidas de seguridad implementadas a la fecha de formalización del presente acto de designación está disponible a solicitud del Responsable del Tratamiento.

ART. 12 - SEGURIDAD Y ADMINISTRACIÓN DEL SISTEMA (ADS)

El Responsable proporcionará al Responsable del Tratamiento la lista nominativa de los ADS, entendiendo por estos las personas físicas que, en nombre del Responsable y en ejecución de las tareas acordadas y encomendadas por el Responsable del Tratamiento, realizan actividades de gestión y mantenimiento de sistemas de procesamiento con los que se llevan a cabo tratamientos de datos personales, incluidos los sistemas de gestión de bases de datos, los softwares complejos que tratan datos del responsable, las redes locales y los dispositivos de seguridad de este último, o que de cualquier modo puedan intervenir en las medidas de seguridad para proteger dichos datos. En relación con los sujetos identificados, el Responsable debe comunicar las tareas y operaciones realizadas por cada uno.

ART. 13 - FUNCIONES, INSTRUCCIONES Y MODALIDADES DE TRATAMIENTO Y REQUISITOS DE LOS DATOS PERSONALES

El Responsable tiene la facultad y el deber de tratar los datos personales indicados conforme a la normativa vigente, siguiendo tanto las instrucciones que se detallan a continuación como las que le sean comunicadas por el Responsable del Tratamiento mediante procedimientos y/o comunicaciones específicas.

El Responsable declara expresamente respetar las instrucciones que se detallan a continuación y se compromete a cumplir, en el marco de las tareas contractualmente asignadas, todas las obligaciones prescritas por la normativa de referencia en materia de protección de datos personales, con el fin de reducir al mínimo los riesgos de destrucción o pérdida, incluso accidental, de los datos, de acceso no autorizado y de tratamiento no permitido o no conforme a la recogida.

El Responsable se compromete a:

• tratar directamente, o a través de sus empleados, colaboradores externos, consultores, etc. – específicamente designados y autorizados para el tratamiento – los datos personales del Responsable del Tratamiento, únicamente para los fines relacionados con la realización de las actividades previstas en el Contrato, de manera lícita y leal, así como en pleno cumplimiento de las disposiciones del RGPD y de las presentes instrucciones;
• no divulgar ni comunicar a terceros – por ningún motivo y en ningún momento, presente o futuro, incluso una vez finalizados los tratamientos objeto del Contrato – los datos personales recibidos del Responsable del Tratamiento y conocidos en relación con la prestación del servicio, salvo autorización previa y por escrito del Responsable del Tratamiento, sin perjuicio de eventuales obligaciones legales u órdenes de la Autoridad Judicial y/o de autoridades administrativas competentes;
• colaborar con el Responsable del Tratamiento para garantizar el cumplimiento puntual y la conformidad con la normativa en materia de protección de datos personales;
• avisar de inmediato al Responsable del Tratamiento en caso de cese de los tratamientos acordados;
• no crear nuevas bases de datos sin la autorización expresa del Responsable del Tratamiento, salvo cuando ello sea estrictamente indispensable para el cumplimiento de las obligaciones asumidas;
• en caso de recibir solicitudes específicas de la Autoridad de Protección de Datos Personales u otras autoridades, colaborar con el Responsable del Tratamiento en lo que le corresponda;
• informar al Responsable del Tratamiento de cualquier situación crítica que pueda poner en riesgo la seguridad de los datos, para permitir que este adopte las medidas adecuadas;
• colaborar, a solicitud, con el Responsable del Tratamiento y los sujetos que este indique en la elaboración de la documentación necesaria para cumplir con la normativa sectorial, en relación con los tratamientos de datos realizados por el Responsable en ejecución de las actividades asignadas;
• Informar de inmediato al Responsable del Tratamiento si, a su juicio, una instrucción proporcionada por este implica una violación del Reglamento o de otra normativa aplicable en materia de protección de datos personales y abstenerse de cualquier otra actividad de tratamiento. El eventual tratamiento basado en una instrucción del Responsable del Tratamiento no implicará en ningún caso la responsabilidad del Proveedor.

En caso de que la Comisión Europea establezca, o una autoridad de control adopte, cláusulas contractuales tipo para las materias previstas en el Artículo 28(3) y el Artículo 28(4) del Reglamento conforme al Artículo 28(7) o el Artículo 28(8) del Reglamento (si corresponde), y el Responsable del Tratamiento informe al Responsable de su intención de incluir cualquier elemento de dichas cláusulas contractuales tipo en el presente Acuerdo, el Responsable aceptará las modificaciones solicitadas por el Responsable del Tratamiento para incluir dichos elementos por escrito, siempre que sea comercialmente razonable.

ART. 14 - VIOLACIÓN DE DATOS

El Responsable se compromete a notificar al Responsable del Tratamiento, sin demora injustificada desde que tenga conocimiento y, en todo caso, en un plazo máximo de 72 horas, mediante comunicación enviada a la dirección de correo electrónico certificada (PEC) del Responsable del Tratamiento, cualquier violación de datos personales (data breach) y/o incidentes de seguridad relacionados con los tratamientos que le hayan sido encomendados, proporcionando además:

• la descripción de la naturaleza de la violación y la indicación de las categorías de datos personales y el número aproximado de interesados afectados;
• comunicar el nombre y los datos de contacto del DPD o de otro punto de contacto donde obtener más información;
• la descripción de las probables consecuencias;
• la descripción de las medidas adoptadas o de las que dispone para remediar la violación o, al menos, para mitigar sus posibles efectos negativos.

Sin perjuicio de lo anterior, el Responsable se compromete a prestar toda la asistencia necesaria al Responsable del Tratamiento para permitirle cumplir con las obligaciones previstas en los arts. 33 - 34 del RGPD.

Una vez determinadas las causas de la violación, el Responsable, de acuerdo con el Responsable del Tratamiento y/o con otro sujeto designado por este, a solicitud, actuará para implementar en el menor tiempo posible todas las medidas de seguridad físicas y/o lógicas y/o organizativas necesarias para evitar que se repita una violación de la misma naturaleza, recurriendo también, si es necesario, a subcontratistas.

ART. 15 - EVALUACIÓN DE IMPACTO Y CONSULTA PREVIA

En relación con los arts. 35 y 36 del RGPD, el Responsable se compromete, a solicitud, a asistir al Responsable del Tratamiento en las actividades necesarias para cumplir con las obligaciones previstas en los artículos mencionados, en base a la información que posea, en función de los tratamientos realizados como Responsable del Tratamiento, incluidas las informaciones relativas a los eventuales tratamientos realizados por Sub-Responsables.

ART. 16 - TRANSFERENCIA DE DATOS PERSONALES

El Responsable del Tratamiento se compromete a limitar la circulación y tratamiento de los datos personales (por ejemplo, almacenamiento, archivo, conservación de datos en sus propios servidores) a los países que forman parte de la Unión Europea, con expresa prohibición de transferirlos a países fuera de la UE que no garanticen (o en ausencia de) un nivel adecuado de protección, o en ausencia de los instrumentos de protección previstos por el Reglamento UE 2016/679 - CAPÍTULO V.

ART. 17 - ACTIVIDADES DE AUDITORÍA

El Responsable se compromete a poner a disposición del Responsable del Tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones de seguridad descritas en el presente documento y, en general, el cumplimiento de las obligaciones asumidas en virtud del presente acto y del RGPD, permitiendo y, a solicitud, contribuyendo a las actividades de auditoría, incluidas las inspecciones, realizadas por el Responsable del Tratamiento o por otro sujeto designado por este.

Si el Responsable del Tratamiento detecta comportamientos contrarios a lo prescrito por la normativa vigente o por las disposiciones contenidas en las resoluciones de la Autoridad de Protección de Datos Personales, lo comunicará al Responsable, sin que ello afecte la autonomía de la actividad empresarial del Responsable ni pueda considerarse una injerencia en su actividad.

Las verificaciones y eventuales inspecciones mencionadas en los párrafos anteriores de este artículo deberán ser acordadas entre la Sociedad y el Proveedor con al menos 15 días laborables de antelación a la fecha de la verificación/inspección, mediante comunicación a los correos electrónicos de notificación.

Antes de la verificación/inspección, las Partes deberán acordar el objeto, la temporalidad y la duración de la misma, teniendo en cuenta que la verificación/inspección tendrá una duración máxima de 2 días laborables consecutivos y podrá realizarse solo 1 vez por cada año de vigencia del Contrato. Si, a solicitud de la Sociedad, la verificación/inspección se prolonga por un periodo superior a 2 días laborables consecutivos o la Sociedad solicita más de 1 verificación/inspección por cada año contractual, la Sociedad se compromete a reembolsar al Proveedor todos los costes/gastos adicionales.

La Sociedad deberá proporcionar al Proveedor, de manera oportuna, un informe escrito de carácter confidencial que contenga un resumen del objeto y los resultados de la verificación/inspección. El Proveedor tiene derecho a utilizar dicho informe y la información contenida en él a su discreción.

En los casos de verificación/inspección, ya sea que la Sociedad la realice directamente o la encomiende a auditores o consultores designados, la Sociedad se compromete a mantener confidencial y reservada toda la información obtenida durante la inspección o extraída de la documentación y a no comunicar y/o divulgar a terceros dicha información/documentos.

ART. 18 - INSTRUCCIONES ADICIONALES

El Responsable comunicará de inmediato al Responsable del Tratamiento cualquier cambio en la estructura organizativa o en la estructura de propiedad que se produzca después de la asignación del encargo, para que el Responsable del Tratamiento pueda verificar la posible falta sobrevenida de los requisitos previstos por la normativa vigente o la pérdida de garantías suficientes para implementar medidas técnicas y organizativas adecuadas que garanticen el correcto tratamiento de los datos objeto de la presente designación.

El Responsable informará al Responsable del Tratamiento de cualquier deficiencia, situación anómala o de emergencia detectada en el servicio prestado – en particular cuando pueda afectar al tratamiento de datos personales y a las medidas de seguridad adoptadas por el Responsable – y de cualquier otro hecho o episodio relevante que ocurra y que esté relacionado con la aplicación del RGPD (por ejemplo, solicitudes de la Autoridad de Protección de Datos, resultado de inspecciones realizadas por las Autoridades, etc.) o de la normativa nacional aplicable.

ART. 19 - CÓDIGOS DE CONDUCTA Y CERTIFICACIONES

El Responsable se compromete a comunicar al Responsable del Tratamiento la adhesión a códigos de conducta aprobados conforme al art. 40 del RGPD y/o la obtención de certificaciones que impacten en los servicios ofrecidos al Responsable del Tratamiento, incluidas las reguladas por el art. 42 del RGPD.

ART. 20 - RESPONSABILIDAD DEL RESPONSABLE DEL TRATAMIENTO

El Responsable del Tratamiento, dadas las instrucciones anteriores y las funciones identificadas, se reserva, en el ámbito de su función, el derecho de impartir por escrito cualquier instrucción adicional que resulte necesaria para la correcta y conforme realización de las actividades de tratamiento de datos relacionadas con el acuerdo vigente entre las Partes, también como complemento e integración de lo anteriormente definido.

El Responsable declara desde ahora mantener indemne y eximir de responsabilidad al Responsable del Tratamiento por cualquier daño, carga, gasto y consecuencia que pudiera derivarse para el propio Responsable del Tratamiento como resultado de la violación, por parte del Responsable o de sus Sub-Responsables, de los compromisos relativos al cumplimiento de la normativa en materia de protección de datos personales o de las instrucciones contenidas en los respectivos actos de designación, incluso como consecuencia de conductas imputables a sus empleados, representantes, colaboradores de cualquier tipo.

ART. 21 - RESPONSABILIDAD DEL RESPONSABLE DEL TRATAMIENTO DE DATOS

El Responsable del Tratamiento de Datos declara desde ahora mantener indemne y eximir de responsabilidad al Responsable por cualquier daño, carga, gasto y consecuencia que pudiera derivarse para el propio Responsable como resultado de instrucciones, indicaciones y/o solicitudes del Responsable del Tratamiento de Datos que violen las disposiciones normativas y/o las prácticas vigentes en materia de protección de datos personales.

Aviso sobre Traducciones Automáticas

La presente DPA está redactada en italiano y en inglés. Ambas versiones se consideran oficiales y tienen el mismo valor legal. Las versiones en idiomas distintos del italiano y del inglés, puestas a disposición mediante herramientas de traducción automática (incluidas las integradas en plataformas digitales), no se consideran versiones oficiales y no tienen valor jurídico. Dichas traducciones se proporcionan únicamente con fines informativos.