Obligaciones de información en virtud del RGPD
Declaración conforme al artículo 28, apartado 3, del RGPD
dirigida al cliente en relación con la compra, reparación y mantenimiento de equipos ópticos y oftalmológicos, maquinaria de taller, piezas de recambio, consumibles, así como servicios de
Leszek Fragstein
Optic-Handel
Carlo-Schmid-Str. 13
52146 Würselen
(nachfolgend Contratista)
1. Generalidades
(1) El contratista trata datos personales por encargo del cliente, en el sentido de lo dispuesto en el artículo 4, apartado 8, y en el artículo 28 del Reglamento (UE) 2016/679 —Reglamento General de Protección de Datos (RGPD)—. Este compromiso unilateral del contratista regula los derechos y obligaciones de las partes en relación con el tratamiento de datos personales. La presente declaración surtirá efecto a partir de su recepción por parte del cliente y tendrá vigencia durante la vigencia del contrato principal correspondiente.
(2) En la medida en que en el presente compromiso se utilice el término «tratamiento de datos» o «tratamiento» (de datos), se tomará como base la definición de «tratamiento» en el sentido del artículo 4, apartado 2, del RGPD.
2. Objeto del encargo
El objeto del tratamiento, la naturaleza y la finalidad del mismo, el tipo de datos personales y las categorías de los interesados se establecen en el anexo 1. La instrucción del cliente, con arreglo al artículo 28, apartado 3, frase 2, del RGPD, se recoge en el contrato principal.
3. Derechos y obligaciones del cliente
(1) El cliente es el responsable, en el sentido del artículo 4, apartado 7, del RGPD, del tratamiento de datos por encargo del contratista. De conformidad con el apartado 4, párrafo 5, el contratista tiene derecho a informar al cliente cuando, en su opinión, el encargo y/o una instrucción tengan por objeto un tratamiento de datos jurídicamente inadmisible.
(2) El cliente, en su calidad de responsable del tratamiento, es responsable de garantizar los derechos de los interesados. El contratista informará sin demora al cliente en caso de que los interesados hagan valer sus derechos ante el contratista.
(3) El cliente tiene derecho a impartir en cualquier momento instrucciones complementarias al contratista sobre la naturaleza, el alcance y los procedimientos del tratamiento de datos. Las instrucciones deberán formularse por escrito (p. ej., por correo electrónico).
(4) Quedan sin perjuicio las disposiciones relativas a una posible compensación por los gastos adicionales en que incurra el contratista como consecuencia de instrucciones complementarias del cliente.
(5) El cliente podrá designar por escrito a las personas con facultad para impartir instrucciones. En caso de que se produzcan cambios en las personas con facultad para impartir instrucciones por parte del cliente, este lo comunicará asimismo al contratista por escrito.
(6) El cliente informará sin demora al prestador de servicios si detecta errores o irregularidades en relación con el tratamiento de datos personales por parte de este último.
(7) En caso de que exista una obligación de informar a terceros con arreglo a los artículos 33 y 34 del RGPD o cualquier otra obligación legal de notificación aplicable al cliente, este será responsable de su cumplimiento.
4. Obligaciones generales del contratista
(1) El contratista tratará los datos personales exclusivamente en el marco de los acuerdos alcanzados y/o respetando las instrucciones complementarias que, en su caso, le haya facilitado el cliente. Quedan excluidas de esta disposición las normas legales que, en su caso, obliguen al contratista a realizar un tratamiento diferente. En tal caso, el contratista comunicará al cliente dichos requisitos legales antes del tratamiento, siempre que la legislación en cuestión no prohíba dicha comunicación por razones de interés público importante. Por lo demás, la finalidad, la naturaleza y el alcance del tratamiento de datos se regirán exclusivamente por el presente contrato y/o por las instrucciones del cliente. Queda prohibido al contratista cualquier tratamiento de datos que se desvíe de lo aquí establecido, salvo que el cliente lo haya consentido por escrito.
(2) El contratista se compromete a llevar a cabo el tratamiento de datos por encargo únicamente en los Estados miembros de la Unión Europea (UE) o del Espacio Económico Europeo (EEE).
(3) El contratista garantiza, en el ámbito del tratamiento de datos personales conforme al encargo, la ejecución contractual de todas las medidas acordadas.
(4) El contratista está obligado a organizar su empresa y sus procesos operativos de tal manera que los datos que trate por encargo del cliente estén protegidos, en la medida necesaria en cada caso, y a salvo del acceso no autorizado por parte de terceros. El contratista acordará previamente con el cliente cualquier cambio en la organización del tratamiento de datos por encargo que sea relevante para la seguridad de los mismos.
(5) El contratista informará sin demora al cliente si, en su opinión, una instrucción dada por este último infringe la normativa legal. El contratista tendrá derecho a suspender la ejecución de la instrucción en cuestión hasta que el cliente la confirme o la modifique. En caso de que el contratista pueda demostrar que un tratamiento realizado siguiendo las instrucciones del cliente pueda dar lugar a una responsabilidad del contratista con arreglo al artículo 82 del RGPD, el contratista tendrá derecho a suspender el tratamiento posterior en la medida necesaria hasta que se aclare la responsabilidad entre las partes.
(6) El tratamiento de datos por encargo del cliente fuera de las instalaciones del prestador de servicios, del cliente o de los subcontratistas solo estará permitido con el consentimiento por escrito o en formato de texto del cliente. El tratamiento de datos para el cliente en viviendas particulares solo estará permitido en casos concretos con el consentimiento por escrito o en formato de texto del cliente.
(7) El contratista tratará los datos que procese por encargo del cliente de forma separada del resto de datos. No es imprescindible que exista una separación física.
(8) El contratista podrá indicar al cliente la persona o personas autorizadas para recibir instrucciones de este. En caso de que deban designarse personas autorizadas para recibir instrucciones, estas se indicarán en el anexo 1. En caso de que se produzcan cambios en las personas autorizadas a recibir instrucciones por parte del contratista, este lo comunicará al cliente por escrito.
5. Delegado de protección de datos del contratista
(1) El contratista confirma que ha designado a un delegado de protección de datos de conformidad con el artículo 37 del RGPD. El contratista se asegurará de que el delegado de protección de datos cuente con la cualificación y los conocimientos técnicos necesarios.
(2) Delegado de protección de datos:
Ireneusz Henzel
Carlo-Schmid-Str. 13
52146 Würselen
Tel.: 02405-40997-20
Fax: 02405-40997-29
Correo electrónico: Henzel@optic-handel.de
6. Obligaciones de notificación del contratista
(1) El contratista está obligado a comunicar sin demora al cliente cualquier incumplimiento de la normativa en materia de protección de datos o de los acuerdos contractuales establecidos y/o de las instrucciones impartidas por el cliente, que se haya producido en el marco del tratamiento de datos por parte del propio contratista o de otras personas encargadas del tratamiento. Lo mismo se aplica a cualquier violación de la protección de los datos personales que el contratista trate por encargo del cliente.
(2) Asimismo, el contratista informará sin demora al cliente si una autoridad de control, con arreglo al artículo 58 del RGPD, emprende acciones contra el contratista y ello pudiera afectar también al control del tratamiento que el contratista lleva a cabo por encargo del cliente.
(3) El contratista es consciente de que el cliente puede estar sujeto a una obligación de notificación con arreglo a los artículos 33 y 34 del RGPD, que prevé la notificación a la autoridad de control en un plazo de 72 horas desde que se tenga conocimiento del hecho. El contratista prestará su apoyo al cliente en el cumplimiento de dichas obligaciones de notificación. El contratista notificará al cliente, en particular, cualquier acceso no autorizado a los datos personales que se traten por encargo del cliente, de forma inmediata y, a más tardar, en un plazo de 48 horas Notifíquelo tan pronto como tenga conocimiento del acceso. La notificación del contratista al cliente deberá incluir, en particular, la siguiente información:
• una descripción del tipo de violación de la protección de datos personales, indicando, en la medida de lo posible, las categorías y el número aproximado de personas afectadas, las categorías afectadas y el número aproximado de registros de datos personales afectados;
• una descripción de las medidas adoptadas o propuestas por el contratista para subsanar la violación de la protección de datos personales y, en su caso, las medidas destinadas a mitigar sus posibles efectos perjudiciales.
7. Obligaciones de colaboración del contratista
(1) El contratista prestará apoyo al cliente en el cumplimiento de su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados, de conformidad con los artículos 12 a 23 del RGPD. Se aplicarán las disposiciones del apartado 11 de la presente garantía.
(2) El contratista colaborará en la elaboración de los registros de actividades de tratamiento por parte del cliente. Deberá comunicar al cliente, de la forma adecuada, los datos necesarios a tal efecto.
(3) El contratista prestará apoyo al cliente, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, para el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD.
8. Facultades de control
(1) El cliente tiene derecho a comprobar en todo momento, en la medida necesaria, el cumplimiento por parte del contratista de la normativa legal en materia de protección de datos y/o de las disposiciones contractuales acordadas entre las partes y/o de las instrucciones del cliente.
(2) El contratista está obligado a facilitar información al cliente en la medida en que sea necesario para la realización del control en el sentido del apartado 1.
(3) El cliente podrá solicitar el acceso a los datos tratados por el contratista en su nombre, así como a los sistemas y programas de tratamiento de datos utilizados.
(4) El cliente podrá, previa notificación con la antelación adecuada, llevar a cabo la inspección a la que se refiere el apartado 1 en las instalaciones del contratista durante el horario comercial habitual. El cliente velará por que las inspecciones se lleven a cabo únicamente en la medida necesaria, a fin de que no perturben de manera desproporcionada los procesos operativos del contratista.
(5) El contratista está obligado, en caso de que la autoridad de control adopte medidas frente al cliente en el sentido del artículo 58 del RGPD, en particular en lo que respecta a las obligaciones de información y control, facilitar al cliente la información necesaria y permitir que la autoridad de control competente en cada caso realice una inspección in situ. El contratista deberá informar al cliente sobre las medidas previstas al respecto.
9. Relaciones de subcontratación
(1) La contratación de subcontratistas por parte del contratista solo estará permitida con el consentimiento por escrito del cliente.
(2) El contratista deberá seleccionar cuidadosamente al subcontratista y comprobar, antes de la adjudicación del encargo, que este pueda cumplir los acuerdos alcanzados entre el cliente y el contratista. El contratista deberá comprobar, en particular, de antemano y de forma periódica durante la vigencia del contrato, que el subcontratista haya adoptado las medidas técnicas y organizativas necesarias para la protección de los datos personales, de conformidad con el artículo 32 del RGPD. El contratista deberá documentar el resultado de dicha comprobación y remitirlo al cliente cuando este lo solicite.
(3) El contratista está obligado a solicitar al subcontratista que le confirme que este ha designado a un delegado de protección de datos de la empresa, de conformidad con el artículo 37 del RGPD. En caso de que no se haya designado ningún delegado de protección de datos en el subcontratista, el contratista deberá informar de ello al cliente y aportar información que demuestre que el subcontratista no está legalmente obligado a designar un delegado de protección de datos.
(4) El contratista deberá garantizar que las disposiciones acordadas en la presente declaración de compromiso y, en su caso, las instrucciones complementarias del cliente, se apliquen también al subcontratista.
(5) El contratista deberá celebrar con el subcontratista un contrato de tratamiento de datos que cumpla los requisitos del artículo 28 del RGPD. Además, el contratista deberá imponer al subcontratista las mismas obligaciones en materia de protección de datos personales que se hayan establecido entre el cliente y el contratista. Se deberá remitir al cliente una copia del contrato de tratamiento de datos por encargo, previa solicitud.
(6) El contratista está obligado, en particular, a garantizar mediante disposiciones contractuales que las facultades de control (apartado 8 del presente contrato) del cliente y de las autoridades de supervisión se apliquen también al subcontratista, y que se acuerden los correspondientes derechos de control del cliente y de las autoridades de supervisión. Asimismo, deberá establecerse contractualmente que el subcontratista deberá aceptar estas medidas de control y las posibles inspecciones in situ.
(7) No se considerarán relaciones de subcontratación, en el sentido de los apartados 1 a 6, aquellos servicios que el contratista contrate con terceros como mera prestación accesoria para el ejercicio de su actividad empresarial. Entre ellas se incluyen, por ejemplo, los servicios de limpieza, los servicios de telecomunicaciones puros sin relación concreta con los servicios que el contratista presta al cliente, los servicios postales y de mensajería, los servicios de transporte y los servicios de vigilancia. No obstante, el contratista estará obligado a velar por que, incluso en el caso de los servicios accesorios prestados por terceros, se hayan adoptado las precauciones adecuadas y las medidas técnicas y organizativas necesarias para garantizar la protección de los datos personales.
10. Compromiso de confidencialidad
(1) El contratista, al tratar datos para el cliente, está obligado a garantizar la confidencialidad de los datos que reciba o de los que tenga conocimiento en relación con el encargo. El contratista se compromete a respetar las mismas normas de confidencialidad que le incumben al cliente. El cliente está obligado a comunicar al contratista cualquier norma especial de confidencialidad.
(2) El contratista garantiza que conoce la normativa vigente en materia de protección de datos y que está familiarizado con su aplicación. El contratista garantiza, asimismo, que ha informado a sus empleados sobre las disposiciones de protección de datos que les son aplicables y que les ha obligado a mantener la confidencialidad. El contratista garantiza, asimismo, que ha obligado a mantener la confidencialidad, en particular, a los empleados que participan en la ejecución de los trabajos y que les ha informado de las instrucciones del cliente.
(3) Las obligaciones de los empleados a las que se refiere el apartado 2 deberán acreditarse ante el cliente cuando este lo solicite.
11. Respeto de los derechos de los interesados
(1) El cliente es el único responsable de garantizar los derechos de los interesados. El contratista está obligado a prestar apoyo al cliente en el cumplimiento de su obligación de tramitar las solicitudes de los interesados con arreglo a los artículos 12 a 23 del RGPD. En este sentido, el contratista deberá velar, en particular, por que la información necesaria a tal efecto se facilite sin demora al cliente, de modo que este pueda cumplir, en especial, con las obligaciones que le incumben en virtud del artículo 12, apartado 3, del RGPD.
(2) En la medida en que el cliente requiera la colaboración del contratista para garantizar los derechos de los interesados —en particular, el derecho de acceso, rectificación, bloqueo o supresión—, el contratista adoptará las medidas necesarias en cada caso siguiendo las instrucciones del cliente. El contratista prestará apoyo al cliente, en la medida de lo posible, mediante medidas técnicas y organizativas adecuadas, para que este pueda cumplir con su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados.
(3) Quedan sin perjuicio las disposiciones relativas a una posible compensación por los gastos adicionales en que incurra el contratista como consecuencia de las actuaciones realizadas en relación con el ejercicio de los derechos de los interesados frente al cliente.
12. Obligaciones de confidencialidad
(1) El contratista se compromete a tratar de forma confidencial, sin límite de tiempo, toda la información que reciba en relación con la ejecución del tratamiento por encargo, y a utilizarla únicamente para la ejecución del contrato principal. Ninguna de las partes estará autorizada a utilizar dicha información, ni en su totalidad ni en parte, para fines distintos de los que se acaban de mencionar, ni a ponerla a disposición de terceros.
(2) La obligación anterior no se aplica a la información que alguna de las partes haya obtenido de forma demostrable de terceros, sin estar obligada a mantenerla en secreto, o que sea de dominio público.
13. Remuneración
La remuneración del contratista se determina, por regla general, en el contrato principal. En caso de que se produzcan costes adicionales como consecuencia de las obligaciones aquí asumidas, estos correrán a cargo del cliente.
14. Medidas técnicas y organizativas para la seguridad de los datos
(1) El contratista se compromete ante el cliente a cumplir las medidas técnicas y organizativas necesarias para garantizar el cumplimiento de la normativa aplicable en materia de protección de datos. Esto incluye, en particular, los requisitos establecidos en el artículo 32 del RGPD.
(2) Las partes acuerdan que, para adaptarse a las circunstancias técnicas y legales, puede ser necesario introducir modificaciones en las medidas técnicas y organizativas. El contratista consultará previamente con el cliente cualquier cambio sustancial que pueda afectar a la integridad, la confidencialidad o la disponibilidad de los datos personales. Las medidas que solo supongan modificaciones técnicas u organizativas de carácter menor y que no afecten negativamente a la integridad, la confidencialidad y la disponibilidad de los datos personales podrán ser aplicadas por el contratista sin necesidad de consultarlo con el cliente. El cliente podrá solicitar en cualquier momento una versión actualizada de las medidas técnicas y organizativas adoptadas por el contratista.
(3) El contratista comprobará periódicamente, y también cuando sea necesario, la eficacia de las medidas técnicas y organizativas que haya adoptado. En caso de que sea necesario realizar optimizaciones o modificaciones, el contratista informará al cliente.
15. Duración del encargo
La duración del encargo se rige por el contrato principal. El cliente podrá rescindir el contrato en cualquier momento, sin necesidad de preaviso, si se produce un incumplimiento grave por parte del contratista de la normativa de protección de datos aplicable o de las obligaciones derivadas de la presente garantía, el contratista no pueda o no quiera cumplir una instrucción del cliente en materia de protección de datos, o si el contratista deniega el acceso al cliente o a la autoridad de control competente, incumpliendo lo establecido en el contrato.
16. Finalización
(1) Una vez finalizado el contrato principal, el contratista deberá devolver al cliente, a elección de este, o bien eliminar todos los documentos, datos y resultados de tratamiento o uso que hayan llegado a su poder y que estén relacionados con la relación contractual. La supresión deberá documentarse de forma adecuada. Quedan sin perjuicio las posibles obligaciones legales de conservación u otras obligaciones relativas al almacenamiento de los datos. En cuanto a los soportes de datos, en caso de que el cliente solicite su supresión, estos deberán destruirse, debiéndose cumplir, como mínimo, el nivel de seguridad 3 de la norma DIN 66399; la destrucción deberá acreditarse ante el cliente, indicando el nivel de seguridad conforme a la norma DIN 66399. Los posibles gastos que de ello se deriven correrán a cargo del cliente.
(2) El cliente tiene derecho a comprobar la devolución y el borrado completos y conformes al contrato de los datos por parte del contratista. Esto también puede realizarse mediante una inspección de las instalaciones de tratamiento de datos en el centro de operaciones del contratista. El cliente deberá anunciar la inspección in situ con la debida antelación.
(3) En caso de que la propiedad del cliente en poder del contratista se vea amenazada por medidas de terceros (por ejemplo, mediante embargo o incautación), por un procedimiento de insolvencia o por cualquier otro acontecimiento, el contratista deberá informar de ello al cliente sin demora. El contratista informará sin demora a los acreedores de que se trata de datos que se tratan por encargo.
Anexo 1 – Objeto del encargo
1. Objeto y finalidad del tratamiento
El encargo del cliente al contratista comprende los siguientes trabajos y/o servicios:
• Suministro de instrumentos ópticos y oftalmológicos, maquinaria de taller, piezas de recambio y material de consumo
• Servicio de reparación, mantenimiento y atención al cliente, tanto in situ como por teléfono
2. Tipo(s) de datos personales
Los siguientes tipos de datos son objeto de tratamiento de forma habitual o, en su caso, pueden serlo:
• Direcciones IP
• Datos de usuario, proveedor y cliente del cliente
o Nombre, direcciones,
o Datos bancarios,
o Direcciones de correo electrónico,
o Números de teléfono
• Datos del sistema (datos de registro)
3. Categorías de personas afectadas
Círculo de personas afectadas por el tratamiento de datos:
• Empleados del cliente
• Clientes del cliente y sus personas de contacto
• Otros proveedores de servicios del cliente
• Otros terceros