Última actualización: noviembre de 2024
Este acuerdo forma parte integral del Contrato vigente entre Jotelulu, S.L., con domicilio social en Leganitos 47, 4.º Piso, 28013 Madrid (España), debidamente inscrita en el registro mercantil de su domicilio social y con Número de Identificación Fiscal ESB65814709, representada por David Amorín Iglesias (en adelante, el PROVEEDOR o «ENCARGADO») y,
Por otro lado, cualquier entidad que cree una cuenta de cliente con el propósito de utilizar los Servicios proporcionados por JOTELULU según lo definido en el Contrato (en adelante, el CLIENTE o «RESPONSABLE»).
Considerando que, para la ejecución de dichos Servicios, el ENCARGADO necesita procesar datos personales controlados por el CLIENTE (en adelante, los «Datos Personales del Responsable»).
Considerando que, para regular dicho acceso, ambas Partes acuerdan celebrar este APD, que se regirá por el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 (en adelante, el “RGPD”), sus reglamentos de implementación y, en particular, por las siguientes disposiciones.
CLÁUSULAS
De conformidad con el Artículo 28 del REGLAMENTO (UE) 2016/679 de 27 de abril de 2016 del Parlamento Europeo y del Consejo sobre la protección de las personas físicas en lo que respecta al tratamiento de sus datos personales y a la libre circulación de dichos datos, y la Ley Orgánica 3/2018 de 5 de diciembre de Protección de Datos Personales y garantía de derechos digitales, el propósito de este acuerdo es definir las condiciones bajo las cuales JOTELULU está autorizado como ENCARGADO para tratar datos personales en nombre del CLIENTE en relación con la prestación de los Servicios establecidos en el Contrato.
En caso de conflicto entre este acuerdo y otros documentos que constituyan el Contrato, prevalecerá este documento.
El tratamiento de datos personales llevado a cabo por el ENCARGADO en su calidad de responsable del tratamiento está fuera del alcance de este Acuerdo y se realiza bajo las condiciones descritas en la “Política de Privacidad” de JOTELULU.
Cuando este Acuerdo contenga términos definidos por el Reglamento (UE) 2016/679 sobre la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de dichos datos (en adelante, el “RGPD”), dichos términos tendrán el significado que les otorgue el RGPD. Otros términos que comiencen con mayúscula tendrán el significado definido en el Contrato.
En virtud de este Acuerdo de Procesamiento de Datos, el ENCARGADO está autorizado para procesar, en nombre del CLIENTE, los datos personales en la medida necesaria para proporcionar los servicios contratados por el CLIENTE.
El procesamiento consistirá, exclusivamente, en el tratamiento de datos personales descrito en el Contrato, en particular en los Términos Específicos de los Servicios aplicables y en cualquier otro tratamiento de datos personales acordado por escrito entre las Partes.
Este Acuerdo permanecerá vigente durante el tiempo que se presten los Servicios. No obstante, ambas Partes acuerdan que las disposiciones de este Acuerdo que, expresa o implícitamente, estén destinadas a continuar en vigor después de la terminación o expiración de este Acuerdo o de los Servicios, seguirán vinculando a ambas Partes.
El deber de confidencialidad entre las Partes continuará más allá de la expiración de este Acuerdo.
El ENCARGADO, y todo su personal, se compromete a:
El CLIENTE se considera el responsable del tratamiento de los datos personales objeto de este acuerdo y se compromete a:
El ENCARGADO tiene la autorización general del CLIENTE para confiar a terceros (en adelante, los “subencargados”) el procesamiento de los Datos Personales objeto de este acuerdo.
Los subencargados existentes están listados en https://jotelulu.com/subencargados/
El ENCARGADO deberá imponer mediante contrato (o por otro acto jurídico bajo la legislación de la Unión Europea o la legislación de un estado miembro) a los subencargados, las mismas obligaciones en cuanto a la protección de datos personales que las establecidas en este Acuerdo, en particular proporcionando garantías suficientes para implementar medidas técnicas y organizativas apropiadas de manera que el procesamiento cumpla con los requisitos del RGPD.
Si el ENCARGADO recurre a un nuevo subencargado durante la vigencia del acuerdo, el ENCARGADO deberá notificar al CLIENTE por escrito con un aviso previo razonable (si es posible, al menos quince (15) días naturales), especificando: (a) la identidad del subencargado, (b) el procesamiento de datos personales que el ENCARGADO pretende confiar al subencargado, y (c) la ubicación desde la cual dicho procesamiento de datos personales será realizado por el subencargado.
El CLIENTE deberá notificar por escrito al ENCARGADO, dentro de los quince (15) días siguientes al envío de la notificación anterior, cualquier objeción a la intervención del nuevo subencargado, especificando las razones de dicha objeción. En este caso, las Partes se reunirán lo antes posible para tratar de llegar a una solución aceptable para ambas. En caso de no encontrar una solución aceptable, los Servicios en cuestión podrán ser terminados por cualquiera de las Partes dentro de un período razonable de tiempo, permitiendo al CLIENTE garantizar la reversibilidad de los Servicios.
Los subencargados pueden estar ubicados fuera de la UE/EEE. Si un subencargado está ubicado en una jurisdicción fuera de la UE/EEE que no figure en la lista aprobada por la Comisión Europea de terceros países que aseguran un nivel adecuado de protección conforme al artículo 45 del RGPD, se proporcionarán las garantías apropiadas, como cláusulas estándar de protección de datos adoptadas por la Comisión conforme al artículo 46 del RGPD, por parte del ENCARGADO y el subencargado antes de cualquier transferencia de datos, con el fin de garantizar que el nivel de protección de las personas físicas garantizado por el RGPD no se vea comprometido. La lista de subencargados disponible en el sitio web de JOTELULU especifica la ubicación de cada subencargado, así como las garantías adecuadas proporcionadas si es necesario. A solicitud del CLIENTE, el ENCARGADO deberá proporcionar cualquier información adicional útil sobre dichas garantías, incluyendo una copia de las cláusulas estándar de protección de datos aplicables.
El ENCARGADO deberá aplicar y mantener medidas técnicas y organizativas adecuadas para proteger los datos personales que procesa en nombre del CLIENTE contra el acceso y procesamiento no autorizados o ilegales, y contra la pérdida, destrucción, daño, robo, alteración o divulgación accidentales, de conformidad con el Acuerdo de Procesamiento de Datos. Dichas medidas son apropiadas para garantizar un nivel de seguridad adecuado al riesgo y son adoptadas considerando el estado de la técnica, los costos de implementación, la naturaleza, el alcance, el contexto y los propósitos del procesamiento, así como las probabilidades y severidades variables de los riesgos para los derechos y libertades de las personas físicas. En este sentido, el ENCARGADO podrá actualizar las medidas técnicas y organizativas, siempre que dichas modificaciones no disminuyan el nivel general de seguridad.
Las violaciones de datos personales cubiertas por este acuerdo y de las que el ENCARGADO tenga conocimiento deberán notificarse al CLIENTE, sin demora indebida y, en cualquier caso, dentro de un período máximo de 48 horas.
Esta notificación se realizará mediante el envío de un correo electrónico a la dirección registrada por el CLIENTE en su cuenta de cliente.
La notificación deberá contener, como mínimo, la siguiente información:
iii. Descripción de las posibles consecuencias de la violación de datos personales.
Si y en la medida en que no sea posible proporcionar la información simultáneamente, esta se proporcionará de manera gradual sin demora indebida.
Es responsabilidad del CLIENTE y/o, en su caso, de cualquier tercero responsable, notificar las violaciones de datos personales objeto de este acuerdo a las Autoridades Competentes y a los interesados lo antes posible, cuando la violación pueda resultar en un alto riesgo para los derechos y libertades de las personas físicas.
Si el ENCARGADO incumple este Acuerdo o cualquier Ley o reglamento de Protección de Datos al determinar los fines y medios del procesamiento, será considerado RESPONSABLE del procesamiento, asumiendo así todas las responsabilidades, reclamaciones y sanciones directas que puedan surgir para el CLIENTE debido a dicho incumplimiento por parte del ENCARGADO.
El ENCARGADO será responsable únicamente por los daños causados por el procesamiento en los casos en que (i) no haya cumplido con las obligaciones del RGPD relacionadas específicamente con los encargados del tratamiento o (ii) haya actuado en contra de las instrucciones legales por escrito del CLIENTE. En tales casos, se aplicará la disposición de responsabilidad del Contrato del cual forma parte este Acuerdo.
En el caso de que el ENCARGADO y el CLIENTE participen, según lo previsto en este Acuerdo, en un proceso de procesamiento que pueda resultar en daños para el Titular de los Datos, el CLIENTE deberá, en primera instancia, asumir la compensación total (o cualquier otra compensación) debida al Titular de los Datos y, posteriormente, reclamar al ENCARGADO la parte proporcional de la compensación correspondiente a la responsabilidad del ENCARGADO por dichas pérdidas, siempre que se aplique cualquier limitación de responsabilidad prevista en el Contrato del cual forma parte este Acuerdo.
Además, ambas partes acuerdan que el incumplimiento de estas obligaciones será motivo de terminación de este Acuerdo.
Tal como se describe en los Términos y Condiciones Generales de Servicio, la responsabilidad acumulativa total del ENCARGADO no excederá las tarifas de servicio pagadas por el CLIENTE durante el período de 12 meses inmediatamente anterior al evento que dio lugar a la reclamación.
El CLIENTE se reserva el derecho de realizar, a su exclusiva discreción, cualquier verificación que considere útil para establecer el cumplimiento del ENCARGADO con sus obligaciones en relación con el procesamiento de Datos Personales objeto de este acuerdo. El ENCARGADO se compromete a responder y, cuando corresponda, a garantizar que sus subencargados respondan a cualquier solicitud de auditoría realizada por el CLIENTE y a cualquier operación de auditoría llevada a cabo por el CLIENTE o por un tercero elegido por el CLIENTE.
Las auditorías in situ se llevan a cabo a intervalos razonables (no más de una vez al año), durante los días y horas laborables del ENCARGADO, y no deben de ninguna manera interrumpir las actividades del ENCARGADO. Las auditorías se realizan a cargo del CLIENTE y pueden ser facturadas al CLIENTE por el ENCARGADO en función del tiempo dedicado a tarifas razonables de mercado.
El CLIENTE deberá notificar al ENCARGADO por escrito, con un aviso previo razonable (mínimo 30 días), su intención de realizar una auditoría, especificando el propósito y alcance de la auditoría y la información a la que desea tener acceso, siempre que el propósito y el alcance de la auditoría se relacionen exclusivamente con las operaciones de procesamiento de datos cubiertas por este Acuerdo. En particular, la auditoría no puede relacionarse con los datos financieros, contables o comerciales del ENCARGADO.
El ENCARGADO se compromete a cooperar y, cuando corresponda, a garantizar que sus subencargados cooperen con el CLIENTE en dichas operaciones, proporcionando toda la información relevante y acceso a los recursos específicos utilizados para procesar los Datos Personales del CLIENTE. El auditor no está autorizado a acceder a recursos utilizados por o para otros clientes del ENCARGADO, ni a recursos compartidos entre el CLIENTE y otros clientes del ENCARGADO. En particular, el CLIENTE no está autorizado a realizar, ni a encargar, pruebas de penetración en dichos recursos compartidos (en particular, el Sitio Web y la Plataforma), ni pruebas de intrusión física en los sitios físicos y/o Centros de Datos usados por el ENCARGADO.
A solicitud del CLIENTE, el ENCARGADO deberá proporcionar un resumen gerencial de un informe técnico de auditoría sobre los recursos compartidos antes mencionados. Esta auditoría debe ser realizada por un auditor independiente y tener menos de tres años. Si el CLIENTE desea realizar pruebas de intrusión en los recursos específicamente puestos a su disposición como parte de los Servicios, primero se deberá firmar un acuerdo específico entre el ENCARGADO y el CLIENTE, y, en su caso, con los auditores externos.
Si la auditoría realizada revela un incumplimiento de las garantías y compromisos del ENCARGADO y, cuando corresponda, de sus subencargados, el ENCARGADO tomará medidas inmediatas para subsanarlos a su cargo.
Si el CLIENTE desea nombrar un auditor externo, este último debe (i) ser un auditor reconocido por su experiencia, (ii) no ser un competidor del SUBCONTRATISTA y (iii) comprometerse por escrito con el ENCARGADO a respetar la confidencialidad de todos los documentos e información comunicados a él o a los que tenga acceso durante la auditoría. El ENCARGADO se reserva el derecho de rechazar auditores externos por una causa justificada (en particular, conflictos de interés).
Si la auditoría se realiza a solicitud del RESPONSABLE, este asumirá todos los costos y honorarios profesionales derivados de la auditoría, en función del tiempo dedicado a tarifas razonables de mercado.
Al final de la auditoría, se comunicará al ENCARGADO una copia del informe completo de auditoría tan pronto como esté finalizado.
El ENCARGADO asistirá al CLIENTE, mediante medidas técnicas y organizativas adecuadas, en el cumplimiento de su obligación de responder a las solicitudes para ejercer los derechos de los interesados establecidos en el RGPD, en particular los siguientes derechos:
En particular, cuando los interesados envíen solicitudes para ejercer sus derechos al ENCARGADO, este deberá comunicar dichas solicitudes al CLIENTE por correo electrónico a la dirección de contacto proporcionada por el CLIENTE en su cuenta de cliente. La solicitud debe ser comunicada al CLIENTE lo antes posible, y en cualquier caso, dentro de los 7 días posteriores a su recepción.
Además, el ENCARGADO se compromete a:
El ENCARGADO no debe, en ninguna circunstancia, responder en nombre y por cuenta del CLIENTE a las solicitudes que reciba, salvo que las Partes acuerden lo contrario.
De acuerdo con el artículo «Período y finalización de los servicios» de los Términos y Condiciones Generales de Servicio, el CLIENTE es responsable de las operaciones necesarias para garantizar la portabilidad de los datos personales cubiertos por este acuerdo.
JOTELULU se compromete a:
(i) Garantizar la disponibilidad de los Servicios y asistir al CLIENTE para permitirle, antes de la fecha efectiva de terminación o expiración de los Servicios, organizar y llevar a cabo dichas operaciones de portabilidad, en particular, la copia de seguridad, migración y restauración de los datos personales en una nueva infraestructura.
(ii) A solicitud y siempre que esta solicitud sea viable y comunicada al ENCARGADO al menos 30 días antes de la fecha efectiva de terminación o expiración del Contrato, devolver al CLIENTE, al final de los Servicios y cualquiera que sea la causa, en un formato legible y utilizable, una copia de todos los datos solicitados disponibles como parte del Servicio en la fecha acordada.
Los métodos para calcular los costos, así como el plazo para la devolución de la copia mencionada en el punto (ii) anterior, y los formatos de devolución, se detallan en el panel de administración de JOTELULU.
Los procedimientos para mover máquinas virtuales/contenedores están descritos en el portal de JOTELULU.
El RESPONSABLE comunica su política de reversibilidad a la solicitud del CLIENTE.
Si recibe una solicitud de un tercero, incluyendo una autoridad (administrativa, judicial, gubernamental u otra), para obtener la comunicación de datos personales objeto de este Acuerdo, el ENCARGADO se compromete a:
El ENCARGADO se compromete a mantener un registro de las solicitudes de terceros para la comunicación de Datos Personales objeto de este Acuerdo, que contenga, en particular, una copia de la solicitud y las respuestas realizadas, la lista de datos transmitidos, el/los destinatario(s) y las fechas de la comunicación.
Para todos los asuntos relacionados con la protección de datos personales y, en particular, para todas las notificaciones que deban realizarse de conformidad con este acuerdo, las Partes acuerdan utilizar los siguientes puntos de contacto:
Para contactar al CLIENTE:
El punto de contacto indicado por el CLIENTE en la información vinculada a su cuenta de cliente.
Para contactar al ENCARGADO:
