1.- Objeto del encargo del tratamiento.
Mediante las presentes condiciones, se habilita al encargado del tratamiento para tratar, por cuenta de onLygal Seguros (responsable del tratamiento), los datos de carácter personal necesarios para prestar el servicio acordado. Este servicio (en adelante, el Contrato Principal) consiste en comunicar la política de privacidad a los inquilinos y/o avalistas de propietarios que hubieran solicitado/contratado una póliza de seguro de impago de rentas.
Los tratamientos que concretamente llevará a cabo el encargado del tratamiento serán únicamente los estrictamente necesarios para cumplir con el objeto del Contrato Principal, todo ello de conformidad con lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
2.- Identificación de la información afectada
El encargado del tratamiento, en el marco de la prestación de servicios descrita en el Contrato Principal, tendrá acceso únicamente a los datos necesarios para poder prestar los servicios correspondientes al citado contrato.
3.- Duración
La aplicación de las presentes condiciones se iniciará en la fecha de inicio del Contrato Principal y su duración quedará supeditada a la duración de dicho Contrato Principal, de forma que dejarán de estar vigentes cuando este termine por cualquier causa.
Una vez finalice dicho Contrato Principal, el encargado del tratamiento deberá devolver al responsable del tratamiento los datos personales a los que hubiera tenido acceso y eliminar cualquier copia que obre en su poder; no obstante, el Encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.
4.- Obligaciones del encargado del tratamiento
El encargado del tratamiento cumplirá adecuadamente, y en todo momento, con las disposiciones contenidas en el RGPD, así como en aquella normativa (nacional o supranacional) que pudiere ser de aplicación en cada momento. En particular, el encargado del tratamiento y todo su personal se obliga a:
b. Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento.
c. Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable del tratamiento, que contenga la información mínima requerida por el RGPD.
d. No comunicar los datos personales a terceras personas, salvo que cuente con la autorización expresa y por escrito del responsable del tratamiento para aquellos supuestos legalmente admisibles.
e. Subcontratación:
e.1) Servicios auxiliares
A los efectos de este contrato, se consideran subcontrataciones de servicios auxiliares las que no se refieren a los servicios directamente relacionados con la prestación definida en el Contrato Principal. Salvo que ese sea el objeto del Contrato Principal, ejemplos de servicios auxiliares son, los servicios de telecomunicaciones, correo y transporte, mantenimiento de los sistemas del encargado, así como otras medidas destinadas a garantizar la confidencialidad, disponibilidad, integridad y resistencia del hardware y el software de los centros de procesamiento de datos.El encargado podrá subcontratar estos servicios sin autorización del responsable.
A petición del responsable, el encargado del tratamiento tiene la obligación de informarle sobre las subcontrataciones referidas a estos servicios auxiliares.
e.2) Servicios directamente relacionados con la prestación definida en el Contrato Principal
La subcontratación de estos servicios solo será posible si así figura autorizada en el Contrato Principal.
También será posible si existiera autorización previa y por escrito del responsable, indicando los tratamientos que pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo solo si el responsable no manifiesta su oposición en un plazo de cinco días hábiles (no se considerarán hábiles los sábados, domingos, festivos ni los días del mes de agosto).
e.3) Obligaciones comunes a ambos tipos de subcontrataciones
El subcontratista tendrá la condición de encargado del tratamiento y estará obligado, al igual que el encargado, a cumplir las obligaciones establecidas en este documento. En este sentido corresponde al encargado formalizar el contrato y monitorizar su cumplimiento.Si el encargado subcontratara alguno de estos servicios con empresas ubicadas fuera del Espacio Económico Europeo, deberá suscribir con el subencargado las correspondientes cláusulas contractuales tipo y adoptará las garantías requeridas por el responsable, así como cualesquiera otras que sean aplicables conforme a la normativa de protección de datos para garantizar un nivel de protección adecuado.
En el caso de incumplimiento por parte del subencargado, el encargado inicial seguirá siendo plenamente responsable ante el responsable en lo referente al cumplimiento de las obligaciones.
f.- Mantener el deber de secreto respecto a los datos de carácter personal a los haya tenido acceso en virtud del presente encargo, incluso después de que finalice el Contrato Principal.
g.- Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente.
h.- Mantener a disposición del responsable del tratamiento la documentación acreditativa del cumplimiento de la obligación establecida en el apartado anterior.
i.- Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.
j.- Cuando las personas afectadas ejerzan los derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento y portabilidad de datos ante el encargado del tratamiento, este debe comunicarlo por correo electrónico a la dirección del responsable, indicada en el apartado 7 de este anexo. La comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción de la solicitud, juntamente, en su caso, con otras informaciones que puedan ser relevantes para resolver la solicitud.
k.- Notificación de violaciones de seguridad de los datos.
El encargado del tratamiento notificará al responsable del tratamiento, sin dilación indebida, y en cualquier caso antes del plazo máximo de 24 horas, a la dirección indicada en el apartado 7 de este anexo, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia.
No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y libertades de las personas físicas:
Si se dispone de ella se facilitará, como mínimo la información siguiente:
-El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información.
-Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.
-Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información de facilitará de manera gradual sin dilación indebida.
l.- Dar apoyo al responsable del tratamiento en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda.
m.- Dar apoyo al responsable del tratamiento en la realización de las consultas previas a la autoridad de control, cuando proceda.
n.- Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen el responsable u otro auditor autorizado por el mismo.
o.- Designar, cuando proceda, a un delegado de protección de datos.
p.- Implantar las medidas de seguridad técnicas y organizativas necesarias para:
– Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico;
– Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento
– Seudonimizar y cifrar los datos personales, en su caso.
Como mínimo, el encargado del tratamiento deberá implementar las medidas de seguridad que figuran en el enlace: https://onlygal.es/medidas-de-seguridad-encargado-del-tratamiento/
Tales medidas deberán ser implementadas por el encargado del tratamiento y, en caso de existir alguna subcontratación autorizada según el apartado 4 e), estas medidas también deberá implementarlas el subcontratista.
5.- Obligaciones del responsable del tratamiento
Corresponde al responsable del tratamiento:
– De ser legalmente procedente, realizar una evaluación de impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el encargado.
– De ser legalmente procedente, realizar las consultas previas que corresponda.
– Velar, de forma previa y durante la vigencia de este Contrato, por el cumplimiento del RGPD por parte del encargado del tratamiento proporcionándole, a estos efectos, las instrucciones que resulten procedentes;
– Supervisar el tratamiento.
A tales efectos, el responsable del tratamiento podrá efectuar inspecciones y auditorías de cumplimiento del encargado del tratamiento y/o requerirle la aportación de un certificado de cumplimiento de las obligaciones pactadas en este Anexo elaborado por un experto independiente.
6.- Responsabilidad
Cada una de las Partes faculta a la otra Parte para repercutirle los costes, incluyendo todo tipo de indemnizaciones, sanciones y gastos, derivados de reclamaciones de las personas afectadas, por negligencia y/o falta de confidencialidad, uso y/o tratamiento indebidos de los datos personales, incluyendo expresamente cualesquiera importes derivados de las sanciones eventualmente pudiera imponerle la correspondiente autoridad competente (por ejemplo, la Agencia Española de Protección de Datos) por el incumplimiento o cumplimiento defectuoso de la normativa aplicable, siempre que tales costes sean consecuencia de un incumplimiento imputable a la otra Parte. Asimismo, cada una de las Partes comunicará a la otra Parte las reclamaciones que en este sentido recibiera para que esta pueda asumir a su cargo la defensa legal, debiendo la Parte a la que le es imputable el incumplimiento actuar en todo momento de forma coordinada con la otra Parte y preservando la imagen de esta última.
7.- Datos de contacto de las partes.
Responsable del tratamiento:
Email contacto para incidencias: lopd@onlygal.es
Email contacto sobre derechos del interesado: lopd@onlygal.es
Email de contacto del Delegado de Protección de Datos: dpd@onlygal.es
Encargado del tratamiento:
Datos de contacto indicados en el Contrato Principal