1. Objeto
En el marco de la prestación del servicio contratado por el CLIENTE a Qualita, ésta última podrá tratar información suministrada por EL CLIENTE que contenga datos de carácter personal.
En virtud de lo dispuesto en el artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de los datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en adelante, el “RGPD”), la prestación de los Servicios constituye un tratamientos de datos personales por parte del Encargado del Tratamiento (en adelante “Qualita”) por cuenta del Responsable del Tratamiento (en adelante, “EL CLIENTE”).
1.2 Duración
Las condiciones previstas en este apartado seguirán vigentes mientras lo esté la relación de prestación del Servicio contratado a Qualita. Una vez extinguida ésta, estas condiciones quedarán automáticamente resueltas, sin perjuicio de que una vez finalizada la relación contractual entre Qualita y EL CLIENTE, la primera deberá destruir, o devolver al segundo, todos los datos de carácter personal que trate en nombre y por cuenta de EL CLIENTE, y no conservará en su poder ningún soporte o documento que los contenga.
1.3 Condiciones del tratamiento de los datos
1.3.1 Naturaleza y finalidad del tratamiento: El tratamiento de los datos por parte de Qualita quedará circunscrito a lo que resulte necesario para llevar a cabo la prestación del Servicio contratado y se efectuará siempre en el marco de estos. Si Qualita considerase necesario llevar a cabo un tratamiento de los datos fuera de estos límites deberá previamente solicitar la autorización por escrito de EL CLIENTE. A falta de esta autorización Qualita no podrá efectuar dicho tratamiento.
1.3.2 Tipología de datos personales tratados: Los tipos de datos personales de ficheros que Qualita tratará en virtud del Servicio contratado son los datos personales de los usuarios del CLIENTE que utilicen el Servicio send2sign:
-
- Datos identificativos y de contacto (Nombre y apellidos, DNI o número de documento oficial identificativo, correo electrónico, teléfono de contacto).
- IP del dispositivo a través de cuál se lleva a cabo la firma digital.
- Firma electrónica.
- Firma manuscrita.
- Datos del usuario correspondientes al puesto de trabajo (responsabilidad, cargo y departamento). Opcional.
- Datos de geolocalización de los dispositivos en el caso de que así lo permita el usuario y exclusivamente en la modalidad de los servicios de “firma remota”.
1.3.3 Categorías de interesados: Las categorías de interesados cuyos datos serán tratados por Qualita en virtud del Contrato son los usuarios de EL CLIENTE que utilicen el Servicio send2sign.
1.4 Obligaciones de Qualita
Qualita como encargado de tratamiento, se compromete a cumplir las siguientes obligaciones:
1.4.1 Utilizar los datos personales objeto del tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios.
1.4.2 Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento.
1.4.3 Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento que contenga:
-
-
- El nombre y los datos de contacto de Qualita y de cada CLIENTE por cuenta del cual actúe y, en su caso, de sus representantes y delegados de protección de datos; Las categorías de tratamientos efectuados por cuenta de cada responsable.
- Las categorías de tratamientos efectuados por cuenta de cada responsable.
- En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en su caso, la documentación de garantías adecuadas.
- Cuando sea posible, una descripción general de las medidas técnicas y organizativas de seguridad.
-
1.4.4 No comunicar datos a terceras personas, salvo que cuente con la autorización expresa del CLIENTE, en los supuestos legalmente admisibles. Qualita puede comunicar datos a otros encargados del tratamiento del mismo CLIENTE, de acuerdo con las instrucciones del propio CLIENTE. En este caso, el CLIENTE identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación
1.4.5 No se autoriza a Qualita para subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato y que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios de Qualita. En este sentido, el CLIENTE autoriza expresamente a Qualita la contratación de los servicios cloud de la empresa Amazon Web Services EMEA SARL (provista de CIF LU26888617, y domicilio social en 38 avenue John F. Kennedy, L-1855 Luxembourg). Luxembourg).
Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al CLIENTE, con una antelación de 15 días, indicando los tratamientos que se pretenden subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el CLIENTE no manifiesta su oposición en el plazo establecido. El subcontratista, que también tendrá la condición de encargado del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el encargado del tratamiento y las instrucciones que dicte el CLIENTE. Corresponde a Qualita regular la nueva relación, de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad, etc.) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas.
No obstante, lo anterior, el CLIENTE autoriza expresamente a Qualita a subcontratar/colaborar con los servicios de firma digital de VIDsigner a la empresa Validated ID (provista de N.I.F. B65750721, y domicilio social en Carrer del pardal, número 6, 08224 Terrassa, Barcelona), quien se configura como Encargado de Tratamiento autorizado por el CLIENTE, de acuerdo con de acuerdo con los Términos y Condiciones del servicio VIDsigner adjuntos como Anexo I y aceptados por el CLIENTE.
1.4.6 Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto.
1.4.7 Garantizar que las personas autorizadas para tratar datos personales se comprometen a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes.
1.4.8 Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.
1.4.9 Asistir al CLIENTE en la respuesta al ejercicio de los derechos de:
-
- Acceso, rectificación, supresión y oposición.
- Limitación del tratamiento.
- Portabilidad de los datos.
- A no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles).
Cuando las personas afectadas ejerzan los derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de decisiones individualizadas automatizadas ante el encargado del tratamiento, éste debe comunicarlo por correo electrónico.
1.4.10 Qualita notificará al CLIENTE, sin dilación indebida, y, en cualquier caso, antes del plazo máximo de 48 horas las violaciones de la seguridad de los datos personales a su cargo de la que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.
Si se dispone de ella, se facilitará, como mínimo, la información siguiente:
-
- Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.
- El nombre y datos de contacto del delegado de protección de datos o del otro punto de contacto en el que pueda obtenerse más información.
- Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.
- Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
Corresponde a Qualita comunicar las violaciones de la seguridad de los datos a la Autoridad de Protección de Datos.
La comunicación contendrá, como mínimo, la información siguiente:
-
- Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.
- Nombre y datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información.
- Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.
1.4.11 Dar apoyo al CLIENTE en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda.
1.4.12 Dar apoyo al CLIENTE en la realización de las consultas previas a la autoridad de control, cuando proceda.
1.4.13 Poner a disposición del CLIENTE toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen el CLIENTE u otro auditor autorizado por él.
1.4.14 Qualita deberá implantar mecanismos para:
-
- Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
- Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.
- Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento.
- Seudonimizar y cifrar los datos personales, en su caso.
1.4.15 Asimismo, Qualita manifiesta y garantiza al CLIENTE:
-
- Que ha implementado en el seno de su organización las medidas organizativas y técnicas necesarias para limitar que solo aquella parte de su personal, independientemente de la naturaleza jurídica de su relación con el Encargado del Tratamiento, que, por razón de sus competencias, funciones y capacidades deba tener acceso a los Datos Personales pueda tener dicho acceso y tratar dichos datos conforme a lo dispuesto en el presente Contrato de forma organizada, adecuada y no excesiva;
- Que ha recabado de todo su personal, independientemente de la naturaleza jurídica de su relación con el Encargado del Tratamiento, que precisamente por su relación con este último deba tener acceso a los Datos Personales y Tratarlos el compromiso formal, expreso y por escrito conforme los mismos han asumido el cumplimiento de todos los antecitados compromisos y obligaciones mediante la firma del correspondiente acuerdo;
- Que velará y supervisará el correcto cumplimento por parte de su personal de las obligaciones que les son exigibles en virtud del presente Contrato;
- Que todo su personal, independientemente de la naturaleza jurídica de su relación con Qualita, ha sido convenientemente formado y conoce la normativa nacional o comunitaria vigente aplicable que pueda resultar de aplicación en materia de protección de datos de carácter personal y los principios, obligaciones y derechos que se derivan de los mismos;
1.4.16 Devolver al responsable del tratamiento los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplida la prestación. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el encargado. No obstante, el encargado puede conservar los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación y durante el período de obligada conservación.
1.5 Obligaciones del cliente
Corresponde al CLIENTE, como responsable de tratamiento:
1.5.1 Entregar a Qualita los datos a los que se refiere el Contrato de Prestación de Servicios.
1.5.2 Realizar una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento a realizar por Qualita.
1.5.3 Realizar las consultas previas que corresponda.
1.5.4 Velar, de forma previa y durante el tratamiento, por el cumplimiento de la normativa aplicable en materia de protección de datos.
1.5.5 Supervisar el tratamiento.