Contrato de encargo del tratamiento

Partes y objeto

Este contrato forma parte de los Términos y condiciones y lo acepta el Cliente al registrarse. El Cliente es el responsable del tratamiento y Vadim Savchuk, NIF [NIF pendiente] («PafPaf»), el encargado. Su objeto es el tratamiento de datos personales necesario para prestar el servicio PafPaf.

Duración

Dura lo que el contrato de servicio y, después, el tiempo necesario para devolver y suprimir los datos según el apartado de fin del encargo.

Naturaleza y finalidad

Alojamiento, almacenamiento, organización, consulta, modificación, exportación y supresión de datos para la gestión de socios, clientes, asistencia, pedidos, productos y empleados del Cliente, y para enviar en su nombre los emails transaccionales del servicio (confirmación de email, acceso, invitaciones).

Datos y personas afectadas

• Personas: socios, clientes y empleados del Cliente, y personas de contacto.
• Datos: identificativos y de contacto (nombre, email, teléfono), número de socio o cliente, estado y fechas de alta, registros de asistencia, pedidos, firma, y copias de documentos de identidad si el Cliente decide guardarlas, además de los campos adicionales que el propio Cliente configure.
• El Cliente decide qué datos introduce. Si trata datos de categorías especiales (por ejemplo, de salud), debe contar con una base jurídica válida y haber evaluado el riesgo; PafPaf aplicará las medidas de este contrato.

Obligaciones de PafPaf

• Tratar los datos solo según las instrucciones documentadas del Cliente, que son este contrato y el uso que hace de la aplicación, también en cuanto a transferencias internacionales. Si una instrucción le parece contraria a la normativa, lo avisará de inmediato.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 RGPD: cifrado de las conexiones, contraseñas cifradas con un algoritmo de un solo sentido, separación de los datos de cada cliente, control de accesos con el mínimo privilegio, copias de seguridad y registro de la actividad técnica.
• Ayudar al Cliente a atender las solicitudes de ejercicio de derechos y a cumplir los artículos 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas), teniendo en cuenta la información de que dispone.
• Notificar al Cliente las violaciones de seguridad que afecten a sus datos sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento, con la información disponible para que el Cliente pueda notificarla a la autoridad en 72 horas.
• Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías, con un preaviso razonable y sin acceso a los datos de otros clientes.
• Llevar el registro de actividades de tratamiento que realiza como encargado.

Subencargados

El Cliente autoriza de forma general a PafPaf a recurrir a los subencargados que figuran en Subencargados. PafPaf avisará con al menos 30 días de antelación de cualquier cambio en la lista; el Cliente puede oponerse por motivos razonables y, si no se llega a un acuerdo, cancelar sin penalización.

PafPaf impone a cada subencargado por contrato las mismas obligaciones de protección de datos y responde ante el Cliente de su cumplimiento.

Transferencias internacionales

Los datos se alojan en servidores de la Unión Europea. Cuando un subencargado pertenezca a un grupo con sede fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU., o en las cláusulas contractuales tipo de la Comisión Europea.

Solicitudes de autoridades

Si una autoridad solicita acceso a los datos del Cliente, PafPaf comprobará que la solicitud tiene base legal y, en su caso, orden judicial, entregará solo lo estrictamente requerido y avisará al Cliente, salvo que la ley se lo prohíba.

Obligaciones del Cliente

Tener una base jurídica para cada tratamiento, informar a las personas afectadas, introducir solo los datos necesarios, configurar los accesos de sus empleados y realizar la evaluación de impacto cuando sea obligatoria.

Fin del encargo

Al terminar el servicio, PafPaf pondrá los datos a disposición del Cliente para su exportación durante 30 días y después los suprimirá, incluidas las copias, salvo que la ley obligue a conservarlos. Las copias de seguridad se eliminan al agotarse su ciclo de rotación.