Acuerdo de procesamiento de pedidos

Este acuerdo de procesamiento de datos ("DPA") se celebra entre las partes en relación con el procesamiento de datos personales en virtud del contrato principal (en adelante, el "contrato principal"). La prestación de servicios en virtud del contrato principal (“Servicios”) requiere el procesamiento de datos. Si y en la medida en que dichos datos consistan o contengan datos personales, el procesador de datos actúa como procesador de datos con respecto a dichos datos, mientras que el controlador sigue siendo el controlador de dichos datos de conformidad con el artículo 28 del Reglamento General de Protección de Datos (en adelante, "GDPR").

Los Servicios son proporcionados por el Procesador de datos de tal manera que el Controlador proporciona sus propios datos, controla su transmisión al Procesador de datos y, en el caso de los modelos de Software como servicio (SaaS), controla directamente el manejo de dichos datos cargados en los Servicios. El Controlador acepta y entiende que el Procesador de datos no monitorea los datos del Controlador de datos ni el manejo de dichos datos por parte del Controlador a menos que el Controlador solicite específicamente acceso a dichos datos al Procesador de datos. Por lo tanto, es responsabilidad y obligación exclusiva del Responsable garantizar que sus datos se recopilen y transfieran de conformidad con las leyes de protección de datos aplicables y, en particular, que exista una base legal para ello y que los interesados estén adecuadamente informados sobre la recopilación y el procesamiento de sus datos personales.

Como Procesador de datos, el Procesador de datos solo procesará los Datos personales del Controlador de acuerdo con las disposiciones de este Acuerdo de procesamiento de datos (DPA) y las instrucciones documentadas del Controlador. Si el procesador de datos está obligado por la legislación de la Unión o la legislación de los Estados miembros a los que está sujeto a un procesamiento posterior de datos personales, el procesador de datos informará al controlador de esos requisitos legales antes del procesamiento, a menos que la ley pertinente prohíba dicha notificación por motivos de interés público importante; en este último caso, el encargado del tratamiento informa al responsable del tratamiento posterior tan pronto como esté legalmente permitido. El Procesador de datos deberá garantizar y verificar periódicamente que el procesamiento de Datos personales dentro de su área de responsabilidad, incluidos los subprocesadores contratados por él, se lleve a cabo de conformidad con las disposiciones de esta DPA, las leyes de protección de datos aplicables y, en particular, el RGPD.

Los detalles del procesamiento se describen en las siguientes disposiciones y en el contrato principal. Teniendo en cuenta sus obligaciones como responsable del tratamiento, el responsable del tratamiento informará al encargado del tratamiento si es necesario complementar lo establecido en el contrato principal.

El Procesador procesará los Datos personales como se describe en el Contrato principal.

El procesador generalmente procesará datos personales durante la duración del contrato principal y este acuerdo de procesamiento de contrato, a menos que se acuerde lo contrario por escrito.

El Procesador procesa Datos personales exclusivamente en sus propias instalaciones o en las instalaciones de sus subprocesadores autorizados. Todas las operaciones de procesamiento se llevan a cabo generalmente en los estados miembros de la Unión Europea o en otro estado que sea parte del Acuerdo sobre el Espacio Económico Europeo.

Cualquier procesamiento de datos personales fuera de la UE/EEE solo se permite previo acuerdo entre las partes y solo si se cumplen los requisitos del artículo 44 y siguientes. Se cumplen el RGPD.

Las partes acuerdan que este DPA contiene las instrucciones generales del Controlador con respecto al procesamiento de Datos personales en nombre del Procesador.

Cualquier instrucción específica del Controlador que se desvíe de las disposiciones de este Acuerdo de procesamiento de datos o imponga obligaciones nuevas y adicionales al Procesador requiere el consentimiento del Procesador para ser efectiva. Para tales instrucciones específicas, las partes aplicarán el procedimiento de modificación acordado en el contrato principal, en su caso.

Es responsabilidad del Controlador garantizar que las instrucciones que da con respecto al procesamiento de datos personales en nombre del Controlador cumplan con las leyes de protección de datos aplicables y que el Procesador pueda procesar datos personales de acuerdo con esas instrucciones sin infringir las leyes de protección de datos aplicables, en particular el RGPD. Si el Procesador cree que una instrucción del Controlador viola las leyes de protección de datos aplicables, el Procesador informará al Controlador en consecuencia. En tales casos, el encargado tiene derecho a negarse a ejecutar la orden hasta que el responsable la confirme.

Las instrucciones específicas del responsable deberán ser dadas por escrito o al menos en forma de texto por personas autorizadas para hacerlo en nombre del responsable. Las instrucciones dadas verbalmente deben ser confirmadas inmediatamente por una de las personas autorizadas y al menos en forma de texto para que sean efectivas.

Los empleados del encargado del tratamiento: (i) en la medida en que estén autorizados a procesar datos personales, estén obligados a mantener la confidencialidad o estén sujetos a un deber legal apropiado de confidencialidad; (ii) procesar datos personales solo de acuerdo con las instrucciones del procesador de datos, a menos que exista la obligación de procesar lo contrario según las leyes de protección de datos aplicables; y (iii) se le informará periódicamente sobre las obligaciones establecidas en este DPA y las leyes de protección de datos aplicables, en particular el RGPD.

El encargado del tratamiento no podrá realizar copias o duplicados de los datos personales tratados por cuenta del responsable sin el consentimiento previo del responsable. Esto excluye las copias que sean necesarias para garantizar el procesamiento adecuado de los datos y la prestación adecuada de los servicios (incluida la copia de seguridad de los datos), así como las copias que sean necesarias para cumplir con las obligaciones legales de retención.

El procesador designa a un delegado de protección de datos informado y confiable siempre y cuando existan los requisitos legales para el nombramiento de un delegado de protección de datos. El encargado del tratamiento proporciona al responsable del tratamiento los datos de contacto de dicho delegado de protección de datos designado.

Antes de iniciar el tratamiento, el encargado del tratamiento implementa las siguientes www.fitness-nation.com/support/tom.html medidas técnicas y organizativas enumeradas y las mantiene durante toda la vigencia de este acuerdo de procesamiento de pedidos. Estas medidas técnicas y organizativas están diseñadas para garantizar un nivel de seguridad adecuado al riesgo en términos de confidencialidad, integridad, disponibilidad y resiliencia de los sistemas. Deben tenerse en cuenta el estado de la técnica, los costes de implementación, así como la naturaleza, el alcance, el contexto y los fines del procesamiento, así como la diferente probabilidad y gravedad del riesgo para los derechos y libertades de las personas físicas en el sentido del artículo 32, apartado 1 del RGPD.

Dado que las medidas técnicas y organizativas están sujetas al progreso técnico y a los desarrollos tecnológicos, el Procesador de datos puede implementar medidas alternativas y apropiadas, siempre que esto no resulte en un estándar de seguridad no inferior al que se establece a continuación. www.fitness-nation.com/support/tom.html especificado.

El encargado del tratamiento sólo podrá contratar subencargados para procesar datos personales en nombre del responsable del tratamiento con el consentimiento previo del responsable. El responsable presta su consentimiento para el uso de los siguientes www.fitness-nation.com/support/subunternehmen.html subprocesadores listados.

El Procesador de datos impone a cada Subprocesador obligaciones de protección, confidencialidad y seguridad de datos que son al menos tan estrictas como las obligaciones del Procesador de datos hacia el Controlador establecidas en este Acuerdo de procesamiento. Si un subencargado incumple estas obligaciones que le imponen, el encargado del tratamiento será responsable de dichos incumplimientos como si fueran culpa suya.

El Procesador notificará al Controlador por escrito cualquier nueva contratación de un subprocesador. Si el Responsable se opone a la cesión dentro de los treinta (30) días siguientes a la recepción de dicha notificación, alegando un motivo plausible, las partes buscarán una solución amistosa. En tal caso, si no se puede encontrar una solución amistosa en un plazo de dos (2) meses, el Responsable tiene derecho a rescindir el contrato principal en relación con aquellos servicios para los que es necesaria la contratación del subencargado propuesto.

Las partes acuerdan que los proveedores de meros servicios auxiliares no son procesadores de datos en el sentido de las leyes de protección de datos; Esto incluye, en particular, los servicios de transporte prestados por servicios postales o de mensajería, así como los servicios de transporte de efectivo, servicios de telecomunicaciones, servicios de seguridad y servicios de limpieza. Sin perjuicio de lo anterior, el Procesador de datos celebrará acuerdos de confidencialidad estándar de la industria con dichos subcontratistas.

Las disposiciones de esta Sección 7 también se aplican si un subprocesador trabaja en un tercer país fuera de la UE o el EEE. Sujeto al consentimiento del Responsable para el uso del subprocesador, el Responsable por la presente autoriza al Procesador a celebrar un contrato en nombre del Responsable con un subprocesador que procesa los datos del Responsable fuera de la UE o el EEE, incorporando las Cláusulas Contractuales Estándar de la UE para la transferencia de datos personales a procesadores en terceros países de 5. Febrero de 2010 o, en su caso, cláusulas tipo de protección de datos adoptadas posteriormente por la Comisión de la UE o la autoridad supervisora pertinente.

Previa solicitud por escrito del Responsable, el Procesador proporcionará al Responsable la asistencia adecuada en caso de una investigación o solicitud por parte de una autoridad supervisora de protección de datos, en la medida en que dicha investigación o solicitud se relacione con los Servicios. El Procesador proporcionará al Controlador asistencia razonable para cumplir con todas las obligaciones relacionadas con dicha investigación o solicitud. En caso de que una autoridad supervisora ​​de protección de datos inicie una investigación directamente con el Procesador o realice la solicitud correspondiente directamente al Procesador, el Procesador deberá, en la medida permitida, informar inmediatamente al Controlador y cooperar con dicha investigación o solicitud.

El Procesador informará al Controlador sin demora injustificada si descubre una violación de datos personales en relación con el procesamiento de Datos personales en virtud de este Acuerdo de procesamiento de datos. Si, como resultado de dicha notificación, el Responsable está sujeto a obligaciones de informar a las autoridades de control de la protección de datos y/o a los interesados (en particular en virtud de los artículos 33 y 34 del RGPD), el Procesador deberá proporcionar al Responsable la asistencia adecuada y necesaria para cumplir con estas obligaciones de informar. En la medida en que el Procesador no sea responsable de una violación de datos reportable, el Procesador tiene derecho a cobrar por los servicios de soporte de acuerdo con las tarifas de remuneración acordadas en el contrato principal.

El Procesador ayudará al Responsable, teniendo en cuenta la naturaleza del procesamiento y la información disponible para el Procesador, en cualquier evaluación de impacto de la protección de datos que el Responsable pueda necesitar llevar a cabo en relación con el procesamiento de datos personales, incluida, cuando corresponda, la consulta con la autoridad supervisora de protección de datos pertinente (Artículos 35 y 36 del RGPD). El procesador tiene derecho a cobrar por los servicios de soporte de acuerdo con las tarifas de remuneración acordadas en el contrato principal.

El Procesador informará al Controlador sin demora injustificada si un interesado se comunica directamente con el Procesador para presentar una queja, solicitar o ejercer sus derechos. El Procesador no responde a la solicitud en sí a menos que el Responsable le haya ordenado expresamente que lo haga. El Procesador proporcionará al Controlador la asistencia adecuada para responder a dichas quejas, consultas y solicitudes de los interesados. El procesador tiene derecho a cobrar por el soporte prestado de acuerdo con las tarifas de remuneración acordadas en el contrato principal.

Siguiendo instrucciones razonables del Controlador, durante la vigencia de este Acuerdo de procesamiento de datos (DPA) o después de su terminación o al finalizar el procesamiento de Datos personales en virtud del Acuerdo específico correspondiente, el Procesador destruirá, eliminará o devolverá los datos procesados en nombre del Controlador. Si las leyes aplicables impiden que el Procesador destruya, elimine o devuelva los Datos personales procesados en nombre del Controlador, el Procesador dejará de procesar activamente dichos datos, pero continuará almacenándolos solo para cumplir con los requisitos legales, en particular las obligaciones legales de retención, y los destruirá, eliminará o devolverá al Controlador tan pronto como el impedimento legal ya no exista, de acuerdo con las instrucciones originales del Controlador.

El procesador crea pruebas de cualquier destrucción o eliminación de datos personales, que se ponen a disposición del controlador cuando lo solicita.

El Responsable tiene derecho, durante el horario comercial normal (de lunes a viernes de 9:00 a. m. a 5:00 p. m.), por su propia cuenta, sin interrumpir las operaciones y en estricto cumplimiento de la confidencialidad de los secretos comerciales y secretos comerciales del Procesador, a ingresar a las instalaciones del Procesador donde se procesan los datos del Responsable, para verificar el cumplimiento de este acuerdo de procesamiento de pedidos. El controlador generalmente avisará con suficiente antelación (al menos dos semanas de antelación) de dicha inspección in situ.

Como regla general, el responsable tiene derecho a una inspección in situ por año calendario, como se menciona en el párrafo anterior. Esto no afecta al derecho del responsable del tratamiento a realizar inspecciones adicionales in situ en caso de incidentes especiales.

Si el Responsable encarga a un tercero que lleve a cabo la revisión, el Responsable debe comprometer al tercero por escrito en la misma medida en que el Responsable está obligado ante el Procesador en virtud de este Acuerdo de Procesamiento de Datos. Además, el responsable deberá obligar al tercero a guardar confidencialidad y secreto, salvo que el tercero esté sujeto a una obligación profesional de confidencialidad. A petición del encargado, el responsable del tratamiento deberá proporcionar inmediatamente al encargado los acuerdos de confidencialidad con el tercero. El responsable no podrá encargar la realización de la prueba a un competidor del transformador.

En lugar de una inspección in situ, también se puede proporcionar evidencia del cumplimiento de esta DPA mediante el cumplimiento de códigos de conducta aprobados de conformidad con el artículo 40 del RGPD, la certificación bajo un mecanismo de certificación aprobado de conformidad con el artículo 42 del RGPD, o proporcionando un certificado, informes o extractos de informes apropiados y actualizados de organismos independientes (p. ej. auditor, auditoría interna, responsable de protección de datos, departamento de seguridad informática, auditores de protección de datos o auditores de calidad) o una certificación adecuada a través de una auditoría de seguridad informática o de protección de datos, p. B. de conformidad con la norma ISO 27001 - ("Informe de prueba"), siempre que el Informe de prueba permita al Controlador estar razonablemente satisfecho con el cumplimiento de este DPA.

Si y en la medida en que una inspección in situ no fue causada por una mala conducta por parte del procesador, el procesador tiene derecho a cobrar los gastos incurridos durante las inspecciones in situ de acuerdo con las tarifas de remuneración acordadas en el contrato principal.

Estos Términos y Condiciones Generales se rigen por la misma ley que el Contrato Principal y los tribunales acordados por las partes en el Contrato Principal tendrán jurisdicción exclusiva sobre cualquier disputa que surja de o en conexión con estos Términos y Condiciones Generales.

Los cambios o adiciones a estas normas administrativas generales sólo son efectivos si se realizan por escrito.

Si un tribunal de jurisdicción competente considera que alguna disposición de estos Términos y condiciones es inválida o inaplicable, las disposiciones restantes permanecerán en pleno vigor y efecto.

Este acuerdo de procesamiento de datos (DPA) entra en vigor a partir de la celebración del contrato principal como parte integral del mismo. Permanece en vigor independientemente del final del plazo del contrato principal hasta que expira automáticamente tan pronto como el procesador de datos y/o todos los subprocesadores encargados hayan eliminado todos los datos personales.