Acord d’encàrrec del tractament de dades personals

PREÀMBUL

El present Acord d'Encàrrec del Tractament de Dades Personals (d'ara endavant, l'”Acord”) forma part integrant de les Condicions Generals de Contractació del servei SaaS VINCLAM i regula les condicions en què TEKNESALUTSOCIALTECH, S.L. (TEKNEIA) tractarà dades personals per compte del CLIENT en el marc de la prestació dels serveis contractats a través de la plataforma.

Aquest Acord es formalitza electrònicament mitjançant la seva acceptació durant el procés de contractació del servei o d'aquelles funcionalitats l'ús de les quals impliqui el tractament de dades personals per compte del CLIENT, produint plens efectes des d'aquest moment i formant part de la documentació contractual aplicable.

Les parts manifesten la seva voluntat de complir el que disposa l'article 28 del Reglament (UE) 2016/679, de 27 d'abril, General de Protecció de Dades (RGPD), la Llei orgànica 3/2018, de protecció de dades personals i garantia dels drets digitals (LOPDGDD), així com la resta de la normativa vigent en matèria de protecció de dades personals.

1. OBJECTE DE L'ENCÀRREC

El present Acord té per objecte regular les condicions d'acord amb les quals TEKNEIA tractarà dades personals per compte del CLIENT quan aquesta intervenció sigui necessària per a la prestació dels serveis contractats a través de la plataforma VINCLAM.

El tractament de dades personals dut a terme per TEKNEIA tindrà un caràcter exclusivament instrumental respecte dels serveis contractats i comprendrà únicament aquelles operacions que siguin necessàries per possibilitar el correcte funcionament de la plataforma, l'execució de les funcionalitats contractades, la prestació del suport tècnic associat, el manteniment del servei i totes aquelles altres actuacions imprescindibles per garantir-ne l'adequada execució.

Les operacions de tractament objecte del present Acord es duran a terme exclusivament seguint les instruccions documentades del CLIENT, en els termes previstos en aquest document i sens perjudici d'aquells tractaments respecte dels quals TEKNEIA actuï com a responsable del tractament d'acord amb el que estableixen les Condicions Generals de Contractació.

2. ABAST DEL TRACTAMENT

Com a conseqüència de la utilització de la plataforma VINCLAM, TEKNEIA podrà dur a terme, per compte del CLIENT, les operacions de tractament que siguin estrictament necessàries per a la prestació del servei contractat, incloent-hi, segons les funcionalitats utilitzades en cada moment, la recollida, el registre, l'organització, l'estructuració, la conservació, la consulta, la utilització, l'extracció, la comunicació tècnica, l'allotjament, la còpia de seguretat, la recuperació, la limitació, la supressió o qualsevol altra operació imprescindible per a l'execució del servei.

Les categories de dades personals tractades podran variar en funció dels serveis efectivament contractats i de la informació incorporada pel CLIENT a la plataforma, i podran comprendre, entre d'altres, dades identificatives, dades de contacte, dades professionals, informació administrativa, documentació aportada pels usuaris autoritzats i qualsevol altra informació que el CLIENT decideixi incorporar durant la utilització del servei.

Les persones interessades les dades de les quals puguin ser objecte de tractament podran incloure, segons els casos, empleats, col·laboradors, usuaris autoritzats de la plataforma, clients, proveïdors, ciutadans, persones usuàries de serveis socials o qualsevol altra persona les dades de la qual siguin incorporades legítimament pel CLIENT en el marc de la seva activitat.

Quan el CLIENT contracti funcionalitats basades en tecnologies d'intel·ligència artificial, el tractament podrà comprendre operacions automatitzades d'anàlisi, classificació, extracció, organització o generació d'informació a partir de les dades facilitades pel mateix CLIENT, sense que això impliqui, per si mateix, l'adopció de decisions automatitzades per part de TEKNEIA en nom del CLIENT ni alteri la condició d'aquest com a responsable del tractament respecte d'aquestes dades.

3. DISTRIBUCIÓ DE RESPONSABILITATS ENTRE LES PARTS

Les parts reconeixen expressament que el CLIENT determinarà en tot moment les finalitats del tractament, les categories de dades personals objecte de tractament, les persones les dades de les quals siguin incorporades a la plataforma, les bases jurídiques que legitimen aquests tractaments, els terminis de conservació aplicables i qualsevol altra decisió que correspongui al responsable del tractament d'acord amb el Reglament (UE) 2016/679.

En conseqüència, TEKNEIA actuarà com a encarregat del tractament exclusivament respecte d'aquelles dades personals tractades per compte del CLIENT per fer possible la prestació dels serveis contractats, limitant la seva actuació a l'execució material de les instruccions rebudes i abstenint-se d'utilitzar aquestes dades per a finalitats pròpies o incompatibles amb les expressament previstes en el present Acord.

No obstant això, TEKNEIA actuarà com a responsable del tractament respecte d'aquells tractaments les finalitats i els mitjans essencials dels quals determini de manera autònoma per a la gestió de la seva pròpia activitat empresarial, incloent-hi, segons escaigui, la gestió contractual i comercial, la facturació, les evidències de contractació electrònica, el compliment de les seves obligacions legals, la prevenció del frau, la defensa davant de reclamacions i la seguretat dels seus sistemes corporatius. La gestió d'usuaris, l'autenticació, els registres d'activitat, la monitorització i la resta de tractaments tècnics s'hauran de qualificar atenent la seva finalitat concreta, sense que la seva mera generació per prestar el servei determini, per si sola, la condició de responsable del tractament de TEKNEIA.

4. INSTRUCCIONS DOCUMENTADES I LÍMITS DEL TRACTAMENT

TEKNEIA tractarà les dades personals objecte del present Acord exclusivament seguint les instruccions documentades del CLIENT i únicament en la mesura necessària per fer possible la prestació dels serveis contractats mitjançant la plataforma VINCLAM.

Als efectes del present Acord, tindran la consideració d'instruccions documentades les derivades de les presents clàusules, de les Condicions Generals de Contractació, de les funcionalitats contractades pel CLIENT, de la configuració realitzada per aquest dins de la plataforma i de qualsevol altra instrucció que sigui comunicada per escrit durant la vigència de la relació contractual, sempre que sigui compatible amb la naturalesa del servei contractat i amb la normativa aplicable.

Quan TEKNEIA consideri raonablement que alguna instrucció rebuda pugui vulnerar la normativa de protecció de dades o resultar tècnicament incompatible amb l'arquitectura o la seguretat de la plataforma, n'informarà el CLIENT amb la màxima brevetat possible abans de procedir a la seva execució, llevat que existeixi una obligació legal que impedeixi aquesta comunicació.

TEKNEIA no utilitzarà les dades personals tractades per compte del CLIENT per a finalitats pròpies, comercials o diferents de les expressament previstes en el present Acord, ni elaborarà perfils, explotarà la informació o adoptarà decisions pròpies sobre aquestes dades, llevat que una disposició legal l'hi obligui o que el mateix CLIENT l'hi hagi autoritzat expressament d'acord amb la normativa aplicable.

5. OBLIGACIONS DE TEKNEIA COM A ENCARREGAT DEL TRACTAMENT

TEKNEIA es compromet a tractar les dades personals objecte del present Acord amb la diligència exigible a un proveïdor professional de serveis tecnològics, aplicant en tot moment les mesures tècniques i organitzatives apropiades per garantir un nivell de protecció adequat al risc i complint les obligacions que li corresponen com a encarregat del tractament d'acord amb l'article 28 del Reglament (UE) 2016/679.

En particular, garantirà que les persones autoritzades per accedir a dades personals estiguin subjectes a un compromís de confidencialitat legal o contractual, hagin rebut la formació necessària per al desenvolupament adequat de les seves funcions i accedeixin únicament a aquella informació imprescindible per a l'exercici de les tasques que els hagin estat encomanades.

Així mateix, TEKNEIA col·laborarà amb el CLIENT, tenint en compte la naturalesa del tractament i la informació de què disposi, per facilitar el compliment de les obligacions que corresponguin al responsable del tractament en relació amb l'exercici dels drets per part de les persones interessades, la realització d'avaluacions d'impacte, les consultes prèvies a l'autoritat de control, la gestió de violacions de seguretat i qualsevol altra obligació prevista per la normativa de protecció de dades quan aquesta col·laboració sigui raonablement necessària per a la prestació del servei.

Quan una disposició del dret de la Unió Europea o del dret espanyol obligui TEKNEIA a dur a terme un tractament diferent del previst en les instruccions rebudes, n'informarà prèviament el CLIENT d'aquesta obligació legal, llevat que la normativa aplicable prohibeixi expressament aquesta comunicació per raons d'interès públic.

TEKNEIA mantindrà a disposició del CLIENT la informació necessària per acreditar el compliment de les obligacions que li corresponen com a encarregat del tractament en els termes previstos en el present Acord i facilitarà la realització de verificacions o auditories d'acord amb el que disposa la clàusula corresponent.

6. OBLIGACIONS DEL CLIENT COM A RESPONSABLE DEL TRACTAMENT

Correspondrà exclusivament al CLIENT determinar la licitud dels tractaments realitzats mitjançant la plataforma VINCLAM, garantint que disposa d'una base jurídica vàlida per al tractament de les dades personals incorporades al servei i que ha complert les obligacions d'informació, transparència i la resta de deures que li siguin exigibles d'acord amb la normativa aplicable.

El CLIENT serà igualment responsable de determinar les categories de dades personals objecte de tractament, seleccionar la informació que incorpora a la plataforma, establir els terminis de conservació aplicables, gestionar l'exercici dels drets de les persones interessades i adoptar les decisions que corresponguin respecte de la finalitat i la utilització dels tractaments realitzats mitjançant el servei.

Així mateix, el CLIENT garantirà que únicament facilitarà a TEKNEIA aquelles dades personals que siguin adequades, pertinents i limitades a les finalitats perseguides, abstenint-se d'utilitzar la plataforma per a tractaments contraris a la legislació vigent o incompatibles amb les funcionalitats pròpies del servei contractat.

Quan el CLIENT habiliti l'accés a la plataforma a usuaris pertanyents a la seva organització, serà igualment responsable de determinar els perfils d'accés, els permisos i els nivells d'autorització corresponents, així com de mantenir permanentment actualitzada aquesta informació i d'adoptar les mesures organitzatives necessàries per garantir un ús adequat del servei.

El CLIENT es compromet igualment a comunicar a TEKNEIA, amb la màxima brevetat possible, qualsevol incidència, instrucció o circumstància que pugui afectar el tractament de les dades personals realitzat en execució del present Acord quan aquesta comunicació sigui necessària per garantir el compliment de la normativa de protecció de dades o la correcta prestació del servei.

7. SUBENCARREGATS DEL TRACTAMENT

El CLIENT autoritza amb caràcter general TEKNEIA perquè pugui recórrer, quan sigui necessari per a la correcta prestació dels serveis objecte del present Acord, a tercers proveïdors especialitzats que intervinguin en qualitat de subencarregats del tractament, sempre que aquesta intervenció sigui compatible amb la naturalesa dels serveis contractats i es respectin les exigències establertes a l'article 28 del Reglament (UE) 2016/679.

TEKNEIA seleccionarà exclusivament proveïdors que ofereixin garanties suficients per aplicar mesures tècniques i organitzatives apropiades que assegurin un nivell adequat de protecció de les dades personals i formalitzarà amb aquests els corresponents acords que imposin obligacions substancialment equivalents a les assumides per TEKNEIA en virtut del present Acord, en la mesura que siguin aplicables als serveis efectivament prestats.

La relació actualitzada de subencarregats autoritzats, així com la descripció general dels serveis prestats per cadascun d'ells, s'incorporarà al corresponent Annex de Subencarregats, que formarà part integrant del present Acord.

Quan TEKNEIA pretengui incorporar un nou subencarregat, substituir-ne un d'existent o modificar substancialment els serveis prestats per qualsevol d'ells, n'informarà prèviament el CLIENT mitjançant la plataforma VINCLAM o per mitjans electrònics, identificant, quan escaigui, el proveïdor afectat, la naturalesa dels serveis prestats, el país o els països en què es durà a terme el tractament i, si escau, les garanties aplicables a les transferències internacionals de dades. El CLIENT podrà formular objeccions motivades relacionades amb la protecció de dades personals en un termini raonable des de la recepció d'aquesta comunicació. Les parts valoraran de bona fe les alternatives tècnicament viables i, si no fos possible atendre l'objecció, podran adoptar les mesures contractuals que resultin procedents.

En tot cas, TEKNEIA continuarà essent responsable davant del CLIENT del correcte compliment de les obligacions assumides pels subencarregats en relació amb el tractament de les dades personals objecte del present Acord, sens perjudici de les responsabilitats que legalment corresponguin a cadascun d'ells.

8. TRANSFERÈNCIES INTERNACIONALS DE DADES

Quan la prestació dels serveis impliqui la realització de transferències internacionals de dades personals, ja sigui directament per TEKNEIA o a través d'algun dels subencarregats autoritzats, aquestes transferències únicament es duran a terme quan existeixi algun dels mecanismes de legitimació previstos al Capítol V del Reglament (UE) 2016/679.

En particular, aquestes transferències podran fonamentar-se, segons correspongui en cada cas, en decisions d'adequació adoptades per la Comissió Europea, en clàusules contractuals tipus, en l'adhesió del proveïdor corresponent a mecanismes internacionals de transferència reconeguts per la normativa aplicable, com l'EU-US Data Privacy Framework, o en qualsevol altre instrument jurídicament vàlid que sigui aplicable.

La informació relativa als proveïdors que puguin intervenir en aquestes transferències, els països de destinació i les garanties aplicables constarà en el corresponent Annex de Subencarregats, que TEKNEIA mantindrà permanentment actualitzat durant la vigència del present Acord.

9. SEGURETAT DE LA INFORMACIÓ

TEKNEIA aplicarà, durant tota la vigència del present Acord, les mesures tècniques i organitzatives apropiades per garantir un nivell de seguretat adequat al risc associat al tractament de les dades personals, tenint en consideració l'estat de la tècnica, els costos d'aplicació, la naturalesa, l'abast, el context i les finalitats del tractament, així com la probabilitat i la gravetat dels riscos per als drets i les llibertats de les persones físiques.

Aquestes mesures comprendran, entre d'altres, mecanismes d'autenticació i control d'accés, xifrat de les comunicacions quan escaigui, gestió segura d'usuaris i permisos, monitorització de l'activitat dels sistemes, protecció davant accessos no autoritzats, registres d'auditoria, còpies de seguretat, procediments de recuperació davant incidents i qualsevol altra mesura organitzativa i tecnològica que sigui proporcionada al risc existent en cada moment.

TEKNEIA revisarà periòdicament aquestes mesures amb la finalitat d'adaptar-les a l'evolució tecnològica, als canvis produïts en la plataforma, a les modificacions normatives i als riscos que es puguin identificar durant la prestació del servei.

Per la seva banda, el CLIENT reconeix que la seguretat de la informació constitueix una responsabilitat compartida i es compromet a adoptar, dins del seu propi àmbit organitzatiu, les mesures necessàries per garantir la gestió adequada dels usuaris autoritzats, les credencials d'accés, els dispositius utilitzats per accedir a la plataforma i qualsevol altre element la protecció del qual depengui exclusivament de la seva organització.

10. VIOLACIONS DE SEGURETAT DE LES DADES PERSONALS

En cas que TEKNEIA tingui coneixement d'una violació de la seguretat de les dades personals que afecti els tractaments realitzats per compte del CLIENT, ho notificarà a aquest sense dilació indeguda i, en tot cas, en un termini màxim de vint-i-quatre (24) hores des que tingui constància raonable de l'incident.

La comunicació contindrà, en la mesura que la informació estigui disponible en aquell moment, una descripció de la naturalesa de l'incident, les categories de dades i de persones interessades potencialment afectades, les possibles conseqüències conegudes, les mesures adoptades o previstes per contenir la incidència i qualsevol altra informació que permeti al CLIENT complir adequadament les obligacions que li corresponguin d'acord amb els articles 33 i 34 del Reglament (UE) 2016/679.

Quan no sigui possible facilitar tota la informació en la comunicació inicial, TEKNEIA la completarà progressivament a mesura que disposi de noves dades rellevants sobre l'incident.

La notificació realitzada per TEKNEIA no implicarà, per si mateixa, el reconeixement de responsabilitat respecte de l'origen o de les conseqüències de la incidència, i aquestes circumstàncies s'hauran de determinar atenent les causes concretes que hagin motivat l'incident i el repartiment de responsabilitats establert en el present Acord i en la normativa aplicable.

11. COOPERACIÓ I ASSISTÈNCIA AL RESPONSABLE DEL TRACTAMENT

Tenint en compte la naturalesa dels tractaments realitzats i la informació de què disposi, TEKNEIA prestarà al CLIENT l'assistència raonablement necessària per facilitar el compliment de les obligacions que corresponguin a aquest com a responsable del tractament d'acord amb el Reglament (UE) 2016/679.

En particular, i sempre que això sigui compatible amb l'arquitectura de la plataforma i amb la naturalesa dels serveis contractats, TEKNEIA col·laborarà amb el CLIENT en l'atenció de les sol·licituds d'exercici de drets formulades per les persones interessades, en la realització d'avaluacions d'impacte relatives a la protecció de dades quan siguin exigibles, en les consultes prèvies que s'hagin d'adreçar a l'autoritat de control i en qualsevol altra actuació relacionada amb el compliment de les obligacions legalment atribuïdes al responsable del tractament.

L'assistència prevista en aquesta clàusula es limitarà a les actuacions que raonablement puguin exigir-se a un encarregat del tractament en funció dels serveis contractats i no comprendrà la prestació de serveis de consultoria jurídica, l'elaboració de documentació específica, la representació davant les autoritats de control o qualsevol altra actuació aliena a l'objecte del present Acord, llevat de contractació expressa entre les parts.

12. VERIFICACIÓ DEL COMPLIMENT I AUDITORIES

El CLIENT podrà verificar el compliment de les obligacions assumides per TEKNEIA en virtut del present Acord quan existeixin motius raonables relacionats amb el tractament de les dades personals objecte de l'encàrrec o quan aquesta verificació sigui necessària per al compliment d'una obligació legal.

Les actuacions de verificació s'hauran de dur a terme amb una antelació raonable, durant l'horari habitual d'activitat de TEKNEIA i procurant minimitzar qualsevol interferència en la prestació dels serveis, en la seguretat de la plataforma o en els drets i interessos legítims d'altres clients.

Sempre que sigui suficient per acreditar el compliment de les obligacions assumides, TEKNEIA podrà facilitar certificacions, informes d'auditoria independents, documentació tècnica, evidències objectives o qualsevol altra informació equivalent que permeti satisfer la finalitat de la verificació sense necessitat d'accedir físicament a les seves instal·lacions o sistemes.

Quan, ateses les circumstàncies del cas, sigui imprescindible dur a terme una auditoria presencial o una revisió tècnica específica, ambdues parts acordaran prèviament el seu abast, el calendari, les mesures de confidencialitat i el procediment d'execució, garantint en tot moment la protecció de la informació confidencial de TEKNEIA i de tercers.

Els costos derivats d'actuacions d'auditoria extraordinàries o sol·licitades exclusivament pel CLIENT seran assumits per aquest, llevat que aquestes auditories posin de manifest un incompliment imputable a TEKNEIA de les obligacions assumides com a encarregat del tractament o de la normativa aplicable en matèria de protecció de dades.

13. FINALITZACIÓ DEL TRACTAMENT

Un cop finalitzada la prestació dels serveis objecte del present Acord, TEKNEIA procedirà, d'acord amb les instruccions del CLIENT, al retorn o a la supressió de les dades personals tractades per compte d'aquest, llevat que una disposició del dret de la Unió Europea o del dret espanyol n'exigeixi la conservació.

No obstant això, TEKNEIA podrà conservar les dades degudament bloquejades quan això sigui necessari per atendre les responsabilitats derivades del tractament, complir obligacions legals o formular, exercir o defensar reclamacions. Les còpies existents en sistemes de suport romandran aïllades del tractament ordinari, subjectes a mesures de seguretat adequades i seran suprimides d'acord amb els cicles tècnics de retenció aplicables, sense que puguin ser utilitzades per a finalitats diferents de la recuperació davant d'incidents durant aquest període.

La supressió de les dades personals es durà a terme d'acord amb els procediments tècnics aplicables a la plataforma i tenint en compte la naturalesa dels sistemes d'emmagatzematge, còpia de seguretat i recuperació utilitzats per TEKNEIA, garantint que les dades deixin d'estar disponibles per al tractament ordinari un cop transcorreguts els terminis tècnics estrictament necessaris per completar aquests processos.

El que disposa aquesta clàusula s'entendrà sens perjudici del que preveuen les Condicions Generals de Contractació respecte de la conservació de registres electrònics, evidències contractuals, logs de seguretat i qualsevol altra informació que TEKNEIA hagi de conservar en qualitat de responsable del tractament.

El retorn de les dades personals es podrà dur a terme mitjançant procediments electrònics segurs o a través de les funcionalitats d'exportació disponibles a la plataforma, quan això sigui tècnicament possible i hagi estat sol·licitat pel CLIENT abans de la supressió de les dades.

14. ADAPTACIÓ NORMATIVA I FORMALITZACIÓ ELECTRÒNICA

Les parts reconeixen que la prestació de serveis digitals i la normativa aplicable en matèria de protecció de dades personals constitueixen àmbits subjectes a una evolució tecnològica i reguladora contínua.

En conseqüència, quan durant la vigència del present Acord sigui necessari adaptar-ne el contingut per garantir el compliment del Reglament (UE) 2016/679, de la normativa nacional que sigui aplicable, de resolucions vinculants de les autoritats de control o de modificacions legislatives que afectin directament el règim jurídic de l'encàrrec del tractament, TEKNEIA podrà proposar les modificacions estrictament necessàries, les quals es tramitaran d'acord amb el procediment de modificació contractual previst a les Condicions Generals de Contractació.

El present Acord s'entendrà vàlidament formalitzat mitjançant la seva acceptació electrònica durant el procés de contractació de VINCLAM o de les funcionalitats l'ús de les quals impliqui el tractament de dades personals per compte del CLIENT, quedant aquesta acceptació vinculada als registres electrònics conservats per TEKNEIA, els quals constituiran prova suficient de la seva celebració, del seu contingut i de la data d'acceptació, llevat de prova en contrari.

Principio del formulario

Final del formulario