Anexo UNICO
Contrato de acceso a datos por cuenta de tercero
ANTECEDENTES
Único. Que, en virtud de la cláusula séptima del convenio, ICEX tendrá que entregar datos personales de terceros al colaborador, asumiendo el primero el papel de responsable del tratamiento y el segundo el de encargado del tratamiento, todo ello conforme a lo establecido en los artículos 28 y siguientes de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en adelante, LOPD), y en los artículos 28 y 29 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (en adelante, RGPD). Teniendo ambas partes capacidad legal suficiente, que mutuamente se reconocen, convienen en otorgar el presente contrato, el cual formalizan y llevan a efecto de acuerdo con las siguientes
CLÁUSULAS
Primera. Objeto. El presente contrato tiene por objeto dar cumplimiento a lo establecido en el artículo 28.3 del RGPD, regulando el acceso a datos personales del colaborador por cuenta de ICEX. En este sentido, se acuerda que el tratamiento de datos personales encargado al colaborador consistirá en el tratamiento, entendido éste en los términos del artículo 4.2 del RGPD, de los datos personales responsabilidad de ICEX referidos a las empresas y personas de contacto o representantes de éstas que participen en las extensiones de las misiones inversas objeto del convenio. Las tipologías de datos personales que se tratarán por el colaborador son las siguientes: – Datos identificativos y de contacto. – Pasaporte. – Características personales. – Circunstancias de salud. – Circunstancias sociales. – Académicos y profesionales. – Detalles del empleo. – Información comercial. – Económicos, financieros y de seguros. Segunda. Deber de secreto. El colaborador se compromete a guardar la máxima reserva y secreto sobre la información clasificada como confidencial. Se considerará información confidencial cualquier dato al que el colaborador acceda en virtud del presente contrato y/o en el acuerdo general que regula los servicios a prestar por parte del colaborador a ICEX, en especial la información y datos propios de ICEX a los que haya accedido o acceda durante la ejecución del mismo. No tendrán el carácter de confidencial todas aquellas informaciones y datos que fueran de dominio público o que estuvieran en posesión del colaborador con anterioridad a iniciar la prestación de sus servicios y hubieran sido obtenidas por medios lícitos. Esta obligación de confidencialidad subsistirá tanto durante como después de la terminación de las actividades objeto del contrato, hasta que dicha información llegue a ser de dominio público o que, por otras causas legítimas, pierda su consideración de confidencial estableciéndose un periodo máximo de cinco años desde la finalización del contrato o de la prórroga del mismo en su caso. De igual manera, el colaborador será responsable de que su personal, colaboradores, directivos y en general, todas las personas que tengan acceso a la información confidencial y a los ficheros o bases de datos de ICEX, respeten la confidencialidad de la información, así como las obligaciones relativas al tratamiento de datos de carácter personal. Por tanto, el colaborador realizará cuantas advertencias y suscribirá cuantos documentos sean necesarios, con dichas personas, con el fin de asegurar el cumplimiento de tales obligaciones. Tercera. Obligaciones del encargado del tratamiento. El colaborador, en su calidad de encargado del tratamiento, asume las obligaciones siguientes: – Acceder a los ficheros o bases de datos de carácter personal de ICEX, únicamente, cuando el mismo sea imprescindible para el buen desarrollo de los servicios para los que ha sido contratado. – Tratar los datos conforme a las instrucciones que reciba de ICEX. – En caso de que el tratamiento incluya la recogida de datos personales en nombre y por cuenta de ICEX, el colaborador deberá seguir los procedimientos e instrucciones que reciba de ICEX, especialmente en lo relativo al deber de información y, en su caso, la obtención del consentimiento de los afectados. – Si el colaborador considera que alguna de las instrucciones de ICEX infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los estados miembros, informará inmediatamente a ICEX. – No destinar, aplicar o utilizar los datos de carácter personal responsabilidad de ICEX con fin distinto del indicado en el presente contrato o de cualquier otra forma que suponga un incumplimiento de las instrucciones de ICEX. – Asumir la condición de responsable del tratamiento en caso de que destine los datos a otra finalidad distinta del cumplimiento del objeto del contrato, los comunique o los utilice incumpliendo las estipulaciones del contrato o las obligaciones de la normativa vigente, respondiendo de las infracciones en que hubiera incurrido personalmente. – No permitir el acceso a los datos de carácter personal responsabilidad de ICEX a ningún empleado de su responsabilidad que no tenga la necesidad de conocerlos para la prestación de los servicios contratados. – No revelar, transferir, ceder o de otra forma comunicar los datos de carácter personal responsabilidad de ICEX, ya sea verbalmente o por escrito, por medios electrónicos, papel o mediante acceso informático, ni siquiera para su conservación, a ningún tercero, salvo que exista autorización o instrucción previa de ICEX. – En caso de estar obligado a ello por el artículo 30 del RGPD, el colaborador mantendrá un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta de ICEX, que contenga la información exigida por el artículo 30.2 del RGPD. – Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales. – Dar apoyo a ICEX en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda. – Dar apoyo a ICEX en la realización de las consultas previas a la Autoridad de Control, cuando proceda. – Poner a disposición de ICEX toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen ICEX u otro auditor autorizado por este. – Adoptar y aplicar las medidas de seguridad estipuladas en el presente contrato, conforme lo previsto en el artículo 32 del RGPD, que garanticen la seguridad de los datos de carácter personal responsabilidad de ICEX y eviten su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que estén expuestos, ya provengan de la acción humana o del medio físico o natural. – En caso de estar obligado a ello por el artículo 37.1 del RGPD, designar un delegado de protección de datos y comunicar su identidad y datos de contacto a ICEX, así como cumplir con todo lo dispuesto en los artículos 37, 38 y 39 del RGPD. – Respetar todas las obligaciones que pudieran corresponderle como encargado del tratamiento con arreglo al RGPD, o de cualquier otra disposición o regulación complementaria que le fuera igualmente aplicable. – En caso de que el colaborador deba transferir o permitir acceso a datos personales responsabilidad de ICEX a un tercero en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará a ICEX de esa exigencia legal de manera previa, salvo que estuviese prohibido por razones de interés público. Cuarta. Obligaciones del responsable del tratamiento. ICEX manifiesta y hace constar, a los efectos legales oportunos, que: – Los datos a los que accederá el colaborador se hallan debidamente legalizados, legitimados y cumplen con todas las prescripciones legales y reglamentarias que exige la normativa vigente en materia de protección de datos. – Los términos del presente contrato en nada alteran ni sustituyen las obligaciones y responsabilidades que sean atribuibles a ICEX, como Responsable del Tratamiento, en virtud de la vigente legislación en materia de protección de datos. Quinta. Medidas de seguridad y violación de la seguridad. Teniendo en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el colaborador aplicará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, que en su caso incluya, entre otros: – La seudonimización y el cifrado de datos personales. – La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento, así como la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico. – Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento. – Un catálogo de medidas de seguridad reconocido en normativas o estándares de seguridad de la información. Para evaluar las medidas de seguridad a implantar, deberán tenerse en cuenta los riesgos que presente el tratamiento de datos, en particular como consecuencia de la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos. El colaborador permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte de ICEX o de otro auditor autorizado por el mismo. Asimismo, en caso de modificación de la normativa vigente en materia de protección de datos o de otra normativa relacionada y que resultase aplicable al tratamiento objeto del presente contrato, el colaborador garantiza la implantación y mantenimiento de cualesquiera otras medidas de seguridad que le fueran exigibles, sin que ello suponga una modificación de los términos del presente contrato. En caso de violación de la seguridad de los datos personales en los sistemas de información utilizados por el colaborador para la prestación de los servicios objeto del presente de contrato, el colaborador deberá notificar a ICEX, sin dilación indebida, y en cualquier caso antes del plazo máximo de veinticuatro horas hábiles, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia conforme a lo dispuesto en el artículo 33.3 del RGPD. En tal caso, corresponderá a ICEX comunicar las violaciones de seguridad de los datos a la Autoridad de Protección de Datos y/o a los interesados conforme a lo establecido en la normativa vigente. Sexta. Destino de los datos al finalizar la relación contractual. Una vez cumplida o resuelta la prestación contractual acordada entre ICEX y el colaborador, y que justifica el acceso a los datos de carácter personal respecto de los cuales es responsable ICEX, los datos de carácter personal serán destruidos o devueltos a ICEX, al igual que cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. La destrucción no procederá en el caso de que una previsión legal exija la conservación de los datos, en cuyo caso deberá procederse a la devolución de los mismos garantizando el responsable del fichero dicha conservación. En cualquier caso, los datos permanecerán convenientemente bloqueados. Séptima. Ejercicio de derechos. Si los afectados ejercitan sus derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de los datos y a no ser objeto de decisiones individualizadas automatizadas ante el colaborador y solicitan el ejercicio de tales derechos ante la misma, éste deberá dar traslado de la mencionada solicitud, en el plazo máximo de tres (3) días, a ICEX a fin de que por el mismo se resuelva, en los plazos establecidos por la normativa vigente. Asimismo, el colaborador deberá tramitar cualquier instrucción relativa al ejercicio de tales derechos que reciba de ICEX, a la mayor celeridad posible, y siempre dentro del plazo máximo de dos (2) días hábiles a contar desde la recepción de la solicitud, confirmando por escrito tanto la recepción de la solicitud como la ejecución de la tarea encomendada. Estas comunicaciones serán remitidas al buzón del delegado de protección de datos de ICEX ([email protected]). Octava. Deber de información mutuo. Las partes se informan mutuamente de que los datos de la/s persona/s de contacto que figura en el encabezamiento del presente contrato, así como los datos personales de cualquier empleado que se proporcionen entre sí como consecuencia de la relación negocial objeto del presente contrato, serán incorporados a los ficheros titularidad de cada una de las partes con la finalidad de gestionar dicha relación. La base jurídica que legitima el tratamiento de los datos de los interesados es la necesidad para la celebración y ejecución del presente contrato. Los datos serán conservados durante la vigencia del presente contrato y, posteriormente, durante cinco años con la finalidad de atender a las posibles responsabilidades derivadas de la relación contractual. En todo caso, los afectados podrán ejercer sus derechos de acceso, rectificación, cancelación/supresión, oposición, limitación y portabilidad ante la parte que corresponda a través de comunicación por escrito al domicilio social que consta al comienzo del presente documento o al buzón del delegado de protección de datos de ICEX ([email protected]), aportando fotocopia de su DNI o documento equivalente e identificando el derecho que se solicita. Asimismo, en caso de considerar vulnerado su derecho a la protección de datos personales, podrán interponer una reclamación ante la Agencia Española de Protección de Datos (www.aepd.es). Novena. Subcontratación. El colaborador no podrá subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato y que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios. Sin perjuicio de lo anterior, en caso de que el colaborador necesitara subcontratar todo o parte de los servicios contratados por ICEX en los que intervenga el tratamiento de datos personales, deberá comunicarlo previamente y por escrito a ICEX, con una antelación de un (1) mes, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si ICEX no manifiesta su oposición en el plazo establecido. En este último caso, el subencargado, que también tendrá la condición de encargado del tratamiento con respecto a ICEX, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el colaborador y las instrucciones que dicte ICEX para la prestación de su servicio. Corresponde el colaborador exigir por contrato al subencargado el cumplimiento de las mismas obligaciones asumidas por él a través del presente documento. El colaborador seguirá siendo plenamente responsable ante ICEX en lo referente al cumplimiento de las obligaciones. El colaborador está obligado a informar a ICEX de cualquier cambio en la incorporación o sustitución de otros subencargados con una antelación de un (1) mes, dando así a ICEX la oportunidad de oponerse a dichos cambios. Décima. Responsabilidad. El colaborador se compromete a cumplir con las obligaciones establecidas en el presente contrato y en la normativa vigente, en relación con el presente encargo de tratamiento. El colaborador será considerado responsable del tratamiento en el caso de que destine los datos responsabilidad de ICEX a los que tenga acceso a otras finalidades, los comunique o los utilice incumpliendo las estipulaciones del presente contrato, respondiendo de las infracciones en que hubiera incurrido personalmente. Y en prueba de conformidad, y para la debida constancia de todo lo convenido en el presente anexo, las partes firman el convenio del que este anexo trae causa. subir Contactar Sobre la sede electrnica Mapa Aviso legal Accesibilidad Proteccin de datos Sistema Interno de Informacin Tutoriales Empleo en la AEBOE Agencia Estatal Boletn Oficial del Estado Avda. de Manoteras, 54 - 28050 Madrid