Acuerdo con el procesador

Este acuerdo de procesador se aplica a todas las formas de procesamiento de datos personales llevadas a cabo por WP Provider BV, en lo sucesivo «WP Provider», con sede en Bussum, registrada en la Cámara de Comercio con el número 73142689, (en lo sucesivo: Procesador) en nombre de una contraparte a la que presta servicios (en lo sucesivo: Procesador).

En lo sucesivo denominadas colectivamente «Partes»;

Considerando:

1. Las partes han suscrito un acuerdo relativo a los servicios de alojamiento y registro de nombres de dominio, en lo sucesivo denominado «Acuerdo». En ejecución del Contrato, el Encargado del Tratamiento trata Datos Personales por cuenta del Procesador;
   Las partes desean tratar con cuidado y de conformidad con la AVG y otras Leyes y Reglamentos Aplicables sobre el Tratamiento de Datos Personales los Datos Personales que son o serán tratados en la ejecución del Acuerdo;
   C. De conformidad con la AVG y otras Leyes y Reglamentos Aplicables relativos al Tratamiento de Datos Personales, las Partes desean establecer por Escrito en el presente Acuerdo de Encargado del Tratamiento sus derechos y obligaciones con respecto al Tratamiento de Datos Personales de los Interesados.
   D. El encargado del tratamiento determinará exclusivamente los fines y medios del tratamiento de los datos personales y no tendrá ninguna influencia al respecto;

Han acordado lo siguiente:

1. Términos

1.1 Interesado: la persona a la que se refieren los Datos Personales.
1.2 Violación de datos: violación de la seguridad de los Datos Personales que tiene consecuencias adversas graves para la protección de los Datos Personales.
1.3 Personal: las personas que serán contratadas por las Partes para la ejecución del presente Acuerdo de Procesador, que trabajarán bajo su responsabilidad.
1.4 Datos personales: cualquier dato relativo a una persona física identificada o identificable. También incluye datos personales seudonimizados (rastreables).
1.5 Subencargado del tratamiento: tercero contratado por el Encargado del tratamiento para tratar Datos Personales por cuenta del Encargado del tratamiento, sin estar sujeto a la autoridad directa del Encargado del tratamiento.
1.6 Responsable del tratamiento: la persona responsable del tratamiento en el sentido de la Ley de Protección de Datos Personales (LOPD) y/o los reglamentos y directivas europeos sobre protección de datos personales (AVG).
1.7 Encargado del tratamiento: la persona que trata Datos Personales por cuenta del Responsable del tratamiento sin estar sujeta a su autoridad directa.
1.8 Tratamiento: cualquier operación o conjunto de operaciones relativas a Datos Personales, incluyendo en todo caso la recogida, registro, organización, almacenamiento, adaptación, modificación, recuperación, consulta, utilización, puesta a disposición por medios de transmisión, difusión o cualquier otra forma de puesta a disposición, reunión, enlace, así como el bloqueo, supresión o destrucción de datos.

2. Asunto

2.1 Si el Procesador sólo tiene acceso a los Datos Personales, sin obligación de procesarlos, el Procesador cumplirá con las leyes y reglamentos nacionales e internacionales relativos a los datos personales y las disposiciones del presente Acuerdo de Procesador; siempre y cuando el Procesador haya notificado oportunamente y con antelación la presencia de Datos Personales y el lugar (ruta) donde se encuentran dichos Datos Personales.
2.2 Si el Procesador se ha comprometido en el Contrato a procesar Datos Personales, lo hará con sumo cuidado y de acuerdo con los fines del procesamiento y, al hacerlo, cumplirá tanto las leyes y normativas nacionales e internacionales relativas a los datos personales como las disposiciones del presente Acuerdo de Procesador; siempre y cuando el Procesador haya notificado oportunamente y con antelación la presencia de Datos Personales y la ubicación de dichos Datos Personales.

3. Obligaciones del interventor

3.1 El Responsable del Tratamiento notificará al Encargado del Tratamiento los cambios relativos al Tratamiento (si procede) y las consecuencias de los mismos de manera oportuna, en principio en un plazo de 10 días laborables.
3.2 El Responsable del Tratamiento garantiza que la instrucción de tratar los Datos Personales (si procede) no es ilícita y no infringe derechos de terceros.

4. Obligaciones del procesador

4.1 El Procesador sólo accederá y/o procesará Datos Personales si y en la medida en que sea necesario para la ejecución del Contrato y cumplirá todas las instrucciones razonables del Procesador.
4.2 El encargado del tratamiento no almacenará los Datos Personales en un lugar situado fuera del Espacio Económico Europeo. El registro de dominios puede requerir la transferencia de datos personales a países fuera del Espacio Económico Europeo. A continuación, se limita a lo exigido por el registro correspondiente.
4.3 El Encargado del Tratamiento garantiza que su Personal cumplirá las disposiciones del presente Acuerdo de Encargado del Tratamiento, siempre y cuando estén implicados de algún modo en el Tratamiento de Datos Personales. Los empleados del Procesador están sujetos al deber de confidencialidad.
4.4 El encargado del tratamiento ha nombrado a un responsable de la protección de datos.
4.5 A la primera petición del Procesador, el Procesador entregará inmediatamente al Procesador todas las copias de Datos Personales originadas por el Procesador y/o procesadas por instrucciones del Procesador, o las destruirá a petición del Procesador.
4.6 El Encargado del Tratamiento aplicará las medidas de seguridad técnicas y organizativas adecuadas para proteger los Datos Personales contra la pérdida y el tratamiento ilícito. Habida cuenta del estado de la técnica y del coste de su aplicación, dichas medidas garantizarán un nivel de seguridad adecuado a los riesgos que presente el tratamiento y a la naturaleza de los datos que deban protegerse.
4.7 El encargado del tratamiento llevará un registro de todas las categorías de actividades de tratamiento que haya realizado para el responsable del tratamiento.
4.8 El Procesador prestará su plena y oportuna cooperación al Procesador para permitir a los Sujetos de Datos inspeccionar sus datos personales, hacer que sus datos personales sean borrados o corregidos, y/o demostrar que dichos datos personales han sido borrados o corregidos o, si el Procesador disputa la posición del Sujeto de Datos, hacer constar que el Sujeto de Datos considera que sus datos personales son incorrectos.
4.9 El encargado del tratamiento adoptará las medidas de gestión interna adecuadas para cumplir las obligaciones derivadas del presente acuerdo y las registrará de forma que se facilite la comprobación de su cumplimiento. Cuando se tratan Datos Personales, las actividades e incidentes relacionados con los Datos Personales se registran en archivos de registro.
4.10 A petición del Responsable del Tratamiento, el Encargado del Tratamiento cooperará en el cifrado (codificación) y la seudonimización de los Datos Personales. En caso de que ello suponga mayores costes para el transformador, éste deberá reembolsarlos.
4.11 Una vez al año, el Responsable del tratamiento podrá someter el tratamiento de datos personales a una auditoría para comprobar el correcto cumplimiento del acuerdo de encargado del tratamiento, mediante un examen realizado por un auditor independiente registrado en EDP. El Auditor prestará juramento de confidencialidad. El tramitador facilitará toda la información solicitada por el Auditor. El Auditor informará al Interventor en términos generales, pero no revelará detalles de las medidas de seguridad aplicadas. Los costes de la investigación correrán a cargo del controlador.
4.12 El contenido y alcance del encargo de Tramitación y la tarifa a pagar por el mismo se ajustarán a lo previsto en el Acuerdo. El Encargado del Tratamiento seguirá las instrucciones del Procesador en relación con el tratamiento y/o almacenamiento de Datos Personales.

5. Subprocesador

5.1 El Procesador podrá subcontratar la totalidad o parte de la ejecución del Acuerdo de Procesamiento a un Subprocesador. El Procesador sigue siendo en todo momento el punto de contacto del Procesador y responsable del cumplimiento de las disposiciones del presente Acuerdo de Procesador.
5.2 El encargado del tratamiento impondrá al subencargado del tratamiento las mismas obligaciones (y las establecerá por escrito en un contrato) que se derivan para sí mismo del presente acuerdo de encargado del tratamiento, y supervisará el cumplimiento de las mismas por parte del subencargado del tratamiento. El Procesador es plenamente responsable ante el Procesador de las consecuencias de subcontratar el trabajo a un Subprocesador.
5.3 Una excepción a los artículos 5.1 y 5.2 es la externalización de registros de nombres de dominio. Dependiendo del dominio de nivel superior, sus datos personales pueden hacerse públicos y/o el procesador no puede garantizar la seguridad de sus datos personales.

6. Suministro de datos personales

6.1 El Procesador no está autorizado a revelar Datos Personales a otras personas que no sean el Procesador, excepto en cumplimiento de una obligación legal o a efectos del acuerdo con el Procesador.
6.2 Si el Procesador está obligado a proporcionar Datos Personales en virtud de una obligación legal, el Procesador deberá:

• verificar el fundamento de la solicitud y la identidad del solicitante y, antes de la divulgación, informar de ello al encargado del tratamiento;
• limitar las disposiciones a lo que exige la ley;
• Permitir al Encargado del tratamiento ejercer los derechos del Encargado del tratamiento y de los Titulares de los datos y defender los intereses del Encargado del tratamiento y de los Titulares de los datos;
• cuando se expidan a un interesado, proporcionar los datos en un formato estructurado, común y legible por máquina.

7. Seguridad

7.1 El Responsable y el Encargado del Tratamiento adoptarán las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, de forma que el Tratamiento cumpla con los requisitos de la AVG y demás Leyes y Reglamentos Aplicables en materia de Tratamiento de Datos Personales y se garantice la protección de los derechos de los Interesados. Las medidas de seguridad adoptadas por el procesador se establecen en el Apéndice A.
7.2 El Responsable del tratamiento y el Encargado del tratamiento harán todo lo posible para proteger y mantener seguros los Datos personales contra intrusiones y calamidades externas, así como contra el tratamiento negligente, la divulgación ilícita o la divulgación no autorizada y contra la pérdida, la destrucción o los daños. Ambas partes garantizarán que sus instalaciones y equipos informáticos estén protegidos físicamente contra el acceso no autorizado, los daños y los fallos de funcionamiento, y adoptarán medidas para impedir el acceso no autorizado a los sistemas de información.
7.3 El responsable y el encargado del tratamiento supervisarán continuamente si los sistemas de tratamiento utilizados cumplen (siguen cumpliendo) los requisitos adecuados de confidencialidad, integridad, disponibilidad y resiliencia (recuperación rápida tras una indisponibilidad temporal).
7.4 Si el Responsable del Tratamiento lo solicita por escrito, el Encargado del Tratamiento adoptará medidas especiales para la seguridad y/o confidencialidad de las (categorías de) Datos Personales especificadas en el mismo. En caso de que ello suponga mayores costes para el transformador, éste deberá reembolsarlos.

8. Violación de datos

8.1 Cuando se produzca una Violación de Datos en el Procesador, éste deberá notificarlo inmediatamente, pero en cualquier caso en un plazo de 24 horas, indicando la naturaleza de la Violación de Datos, sus (presuntas) consecuencias y las medidas adoptadas para remediar o mitigar las consecuencias.

9. Secreto

9.1 Todos los datos del Procesador y de sus clientes son confidenciales y serán tratados como tales por el Procesador. El Encargado del Tratamiento está obligado a mantener la confidencialidad de todos los Datos Personales y de la información que trate, o de los que tenga conocimiento en el contexto del Acuerdo o del presente Acuerdo de Encargado del Tratamiento.
9.2 La confidencialidad no se aplica a la información:

• Que es de conocimiento público sin que dicha divulgación sea consecuencia de un acto no autorizado;
• cuya divulgación se exija en virtud de cualquier disposición legal u orden judicial, todo ello previa notificación por escrito de la parte divulgadora a la parte cuya información se vea afectada;
• Que desarrolló un Partido de forma independiente;
• Que una Parte ya posee sin obligación de confidencialidad.
• Tras la rescisión del presente Acuerdo de Procesador, este artículo y el deber de confidencialidad establecido en el mismo seguirán en vigor.

10. Propiedad intelectual

10.1 Todos los Derechos de Propiedad Intelectual, incluidos los derechos de autor, derechos sobre bases de datos y todos los demás derechos de propiedad intelectual, así como derechos similares para proteger la información sobre la recopilación de datos y Datos Personales, copias o adaptaciones de los mismos, corresponden al Procesador (o a un cliente del Procesador).
10.2 Todos los derechos de propiedad intelectual -incluidos los derechos de autor, derechos sobre bases de datos y todos los demás derechos de propiedad intelectual, así como derechos similares de protección de la información- sobre los productos y servicios del Procesador corresponden al Procesador.

11. Responsabilidad civil y seguros

11.1 El Procesador será responsable de los daños sufridos por el Procesador y de las multas impuestas por el Procesador como resultado del incumplimiento por parte del Procesador de las normativas en virtud de la Ley de Protección de Datos Personales y/o de las normativas y directivas europeas relativas a la protección de datos personales y/o de otras leyes y normativas a este respecto y/o de este Acuerdo de Procesador, o de actuar en contra de dichas normativas.
11.2 La responsabilidad del Procesador por los daños sufridos por el Procesador y/o las multas confiscadas a las que se hace referencia en el Artículo 11.1 se limita a 50 euros por evento. Esta limitación de responsabilidad dejará de aplicarse si y en la medida en que los daños sean consecuencia de dolo o negligencia grave (imprudencia consciente) por parte del Procesador.
11.3 El Encargado del tratamiento indemnizará al Encargado del tratamiento por las reclamaciones de terceros (en particular, de los Sujetos de los datos) y por los daños y perjuicios resultantes de las mismas, basadas en el incumplimiento de la normativa en virtud de la Ley de protección de datos personales o de conformidad con la misma y/o de la normativa y directivas europeas relativas a la protección de datos personales y/o de otras leyes y normativas al respecto y/o del presente Acuerdo de Encargado del tratamiento.
11.4 El procesador se compromete a cubrir los riesgos mencionados en los artículos 11.1 a 11.2 mediante un seguro de responsabilidad civil.

12. Duración y cese

12.1 El Acuerdo de Procesador entrará en vigor el día de la firma por las Partes.
12.2 Las disposiciones sobre duración y rescisión del Contrato se aplicarán como disposiciones sobre duración y rescisión del Contrato de Procesador. Cuando el Acuerdo finalice por cualquier motivo, también finalizará el Acuerdo de procesador.
12.3 En caso de rescisión del Acuerdo de Procesamiento, el Procesador transferirá todos los Datos Personales al Procesador o, previa solicitud expresa por escrito del Procesador, destruirá los Datos Personales que obren en su poder.
12.4 Las obligaciones que, por su naturaleza, estén destinadas a continuar incluso después de la rescisión del Acuerdo de Procesador continuarán tras la rescisión. Estas obligaciones incluyen disposiciones sobre confidencialidad, transferencia y destrucción, responsabilidad y legislación aplicable.

13. Disolución

13.1 Cualquiera de las Partes podrá rescindir el Acuerdo total o parcialmente si la otra Parte incumple de forma imputable el Acuerdo de Tramitación y el incumplimiento no ha sido subsanado incluso después de la notificación de incumplimiento, sin perjuicio del derecho a indemnización por daños y perjuicios.
13.2 Cada una de las Partes podrá disolver el Acuerdo total o parcialmente con efecto inmediato y sin notificación de incumplimiento si a la otra Parte se le concede una moratoria de pago, si se solicita la quiebra de la otra Parte, si la empresa de la otra Parte se disuelve o termina con fines distintos a los de reconstrucción o fusión de empresas.

14. Otros

14.1 Cualquier modificación o adición al presente Contrato deberá ser acordada por escrito entre el Procesador y el Controlador. Cualquier modificación o adición se establecerá en un apéndice al presente acuerdo y será vinculante cuando lo firmen ambas Partes.
14.2 Cualquier disputa que surja de este acuerdo, después de que un intento de resolver la disputa de mutuo acuerdo haya resultado infructuoso, se resolverá mediante arbitraje de acuerdo con las normas y procedimientos del Instituto de Arbitraje de los Países Bajos, aplicando el árbitro o árbitros la legislación holandesa.

Anexo A – Medidas de seguridad

Las medidas que el procesador cumple como mínimo:

1. El procesador mantiene un documento de política que aborda explícitamente las medidas adoptadas por el procesador para asegurar el procesamiento de datos, así como para garantizar la privacidad.
2. Los empleados del encargado del tratamiento que intervienen en el tratamiento de datos personales están sujetos a un código de confidencialidad/integridad y, en su caso, se ha llevado a cabo una selección previa a la contratación.
3. Todos los empleados de la organización y, en su caso, el personal contratado y los usuarios externos reciben una formación adecuada y una actualización periódica de las políticas y procedimientos de seguridad de la información de la organización, según corresponda a sus puestos de trabajo. Se presta una atención explícita al tratamiento de los datos personales dentro de la formación y la formación continua.
4. Las instalaciones y equipos informáticos están protegidos físicamente contra el acceso no autorizado, los daños y los fallos.
5. Existen procedimientos para que los usuarios autorizados puedan acceder a los sistemas y servicios de información que necesitan para desempeñar sus funciones y para impedir el acceso no autorizado a los sistemas de información.
6. Cuando se transporte información confidencial explícitamente designada como tal por el Responsable del tratamiento a través de redes, deberá aplicarse siempre un cifrado adecuado.
7. La gestión de certificados y claves asociadas está sujeta a un plan de claves actualizado en el que se garantizan las autorizaciones y la segregación de funciones.
8. Existen procedimientos para la adquisición, desarrollo, mantenimiento y destrucción de datos y sistemas de información.
9. Las actividades realizadas por los usuarios (con datos personales) se registran en archivos de registro. Lo mismo se aplica a otros sucesos relevantes, como intentos de acceso no autorizado a datos personales e interrupciones que puedan provocar la mutilación o pérdida de datos personales. El registro de datos específicos es posible de forma personalizada mediante presupuesto.
10. Todos los sistemas de aplicación incorporan medidas de seguridad, incluida una gestión adecuada de los accesos.
11. La red y los sistemas de información se supervisan y gestionan activamente. También existe un procedimiento para hacer frente a cualquier violación de datos. Parte de esta tarea consiste en informar al controlador.
12. El procesador instalará a tiempo las soluciones publicadas por los proveedores para los fallos de seguridad. Todo ello siempre y cuando el software en cuestión haya sido suministrado, utilizado o mantenido por el encargado del tratamiento en beneficio del responsable del tratamiento.
13. Existen procedimientos para la gestión oportuna y eficaz de los incidentes de seguridad de la información y las deficiencias de seguridad una vez que se han notificado.
14. El responsable del tratamiento informa de las violaciones de datos que están sujetas a una obligación legal de notificación al regulador pertinente (normalmente la Autoridad de Datos Personales).