Las empresas proveedoras que realizan trabajos que incluyen tratamiento de datos personales del que esta entidad es Responsable de Tratamiento, deben tener suscrito un contrato que incluya y regule las actividades de tratamiento, las medidas de seguridad a aplicar, el cumplimiento al ejercicio de derechos del interesado y demás obligaciones que la normativa determina.

El contenido mínimo del contrato que regula el tratamiento de datos personales del que esta entidad es Responsable de Tratamiento, es el que se reproduce a continuación y todas las entidades que realizan tratamientos de datos personales por cuenta de esta entidad quedan obligados al cumplimiento de lo dispuesto en el contrato suscrito que, además de incluir obligaciones específicas en función del tratamiento y las categorías de datos, incluyen las siguientes obligaciones:

CLÁUSULAS

1. La empresa proveedora, en condición legal de Encargada de Tratamiento, queda facultada para realizar por cuenta de esta entidad que es la Responsable de Fichero, los tratamientos de datos personales necesarios para materializar la relación contractual que mantienen ambas partes firmantes, además de la que se desprenda de este clausulado de Protección de Datos y de Confidencialidad; para el supuesto de que en estas relaciones jurídicas pueda ser necesario que la Encargada de Tratamiento tenga acceso a datos personales de los que sea responsable esta entidad.
2. Por consiguiente, para poder dar cumplimiento a la relación jurídica que ambas partes mantienen, la Encargada de tratamiento queda habilitado para llevar a cabo aquellas acciones de tratamiento de datos personales que sean estrictamente necesarias. Las citadas acciones necesarias pueden incluir cualquiera de las siguientes: acceso, visualización, recogida, registro, estructuración, modificación, conservación, extracción, consulta, comunicación por transmisión, difusión, interconexión, cotejo, limitación, supresión, destrucción, conservación y comunicación de datos personales.
3. La Encargada de Tratamiento no realizará ninguna ningún tratamiento no indispensable para la materialización de la relación contractual que une a ambas partes y el que es objeto de este clausulado, ni para ninguna otra finalidad, siguiendo en todo momento las instrucciones que reciba del Responsable de Tratamiento.
4. En los supuestos de realización de actividades que exijan el acceso y/o tratamiento de datos personales por la Encargada de Tratamiento dentro de los edificios o instalaciones de esta entidad, aquel cumplirá con las obligaciones e instrucciones que, en materia de seguridad, le sean comunicadas por las personas responsables de esta entidad.
5. En los supuestos de realización de actividades que exijan el acceso y/o tratamiento de datos personales por la Encargada de Tratamiento en sus propias instalaciones, este cumplirá con lo dispuesto en la normativa vigente en materia de protección de datos, además de lo consignado en este clausulado, y adoptará cuantas medidas sean necesarias para garantizar la seguridad, la confidencialidad y la integridad de los datos personales objeto de tratamiento, actuando de buena fe y con la diligencia exigible en todo momento.
6. En caso de ser necesario y producirse accesos remotos por la Encargada de Tratamiento a ficheros con datos personales de los que sea responsable esta entidad, la Encargada de Tratamiento se obliga a no aprovechar el acceso o tratamiento que pudiera tener a datos de carácter personal por razón del servicio que presta para usarlos, tratarlos o cederlos con infracción de la legislación vigente en esta materia, ni para fines distintos de aquellos que sean precisos para propiciar el desarrollo y cumplimiento del servicio prestado, siguiendo estrictamente las instrucciones del Responsable de Tratamiento.

En los accesos remotos a los equipos y sistemas de información del Responsable de Tratamiento, la Encargada de Tratamiento implementará cuantas medidas de seguridad sean necesarias para garantizar la integridad, seguridad y confidencialidad de la información y de los datos personales a los que acceda y garantizará que no incorporará datos personales del Responsable del Tratamiento a sus sistemas de información salvo para dar cumplimiento a la relación contractual que ambas partes mantienen. Además, específicamente, respecto a los accesos remotos, la Encargada de Tratamiento se compromete a:

6.1. Custodiar debidamente durante todo el periodo de vigencia del contrato, la información de acceso que le facilite el Responsable de Tratamiento, y a destruirla una vez extinguido el mismo.

6.2. La Encargada de Tratamiento, durante tales accesos remotos, se compromete a no habilitar ni utilizar las funciones de las aplicaciones o sistemas operativos que permitan guardar o recordar las credenciales de acceso de forma automática.

6.3. Mantener convenientemente aisladas, lógica y físicamente, las infraestructuras dla Encargada de Tratamiento que se utilicen para acceder a los sistemas de información de esta entidad. Entre cada red, subred o servicio de comunicaciones se implantarán cortafuegos (firewalls) que deberán estar configurados con la política del menor privilegio, bloqueando o denegando cualquier tipo de tráfico no autorizado o innecesario para la prestación del servicio. De la misma forma se permitirán únicamente los puertos, protocolos o servicios autorizados por el personal responsable de esta entidad. Cualquier puerto, protocolo o servicio no especificado como autorizado se denegará por defecto.

6.4. La Encargada de Tratamiento adquirirá el compromiso de ser auditado por personal autorizado por esta entidad en cualquier momento del desarrollo del contrato, con el fin de verificar la seguridad implementada, comprobando que se cumplen las recomendaciones de protección y las medidas de seguridad de la distinta normativa, en función de las condiciones de aplicación en cada caso.

6.5. Asimismo, esta entidad se reserva la posibilidad de monitorizar la actividad del equipo de trabajo.

6.6. En el marco de la ejecución del contrato, y respecto a los sistemas de información objeto del mismo, las siguientes actividades están específicamente prohibidas:

6.6.1. La utilización de los sistemas de información para la realización de actividades ilícitas o no autorizadas, como la comunicación, distribución o cesión de datos, medíos u otros contenidos a los que se tenga acceso en virtud de la ejecución de los trabajos y, especialmente, los que estén protegidos por disposiciones de carácter legislativo o normativo.

6.6.2. La instalación no autorizada de software, la modificación de las configuraciones o la conexión a redes.

6.6.3. La modificación no autorizada del sistema de información o del software instalado, o el uso del sistema distinto al de su propósito.

6.6.4. La sobrecarga, prueba, o desactivación de los mecanismos de seguridad y las redes, así como la monitorización de redes o teclados.

6.6.5. La reubicación física y los cambios de configuración de los sistemas de información o de sus redes de comunicación.

6.6.6. La instalación de dispositivos o sistemas ajenos al desarrollo del contrato sin autorización previa, tales como dispositivos USB, soportes externos, ordenadores portátiles, puntos de acceso inalámbricos o PDA’s.

6.6.7. La posesión, distribución, cesión, revelación o alteración de cualquier información sin el consentimiento expreso del propietario de la misma.

6.6.8. Compartir cuentas e identificadores personales (incluyendo contraseñas y PINs) o permitir el uso de mecanismos de acceso, sean locales o remoto a usuarios no autorizados.

6.6.9. Inutilizar o suprimir cualquier elemento de seguridad o protección o la información que generen.

7. En todos los anteriores casos, especialmente si la empresa proveedora tiene destacado personal propio prestando servicios en los edificios o instalaciones de esta entidad, o con acceso presencial o en remoto a los sistemas de información de esta entidad, la Encargada de Tratamiento podrá ser requerido por el Responsable de Tratamiento a exigir a las personas que presten servicios en los edificios o instalaciones de esta entidad la suscripción de un documento de compromiso de confidencialidad y de cumplimiento de instrucciones y normativa de Protección de Datos.

En caso de no existencia o no firma del citado documento por la empresa proveedora y/o sus personas empleadas, esta entidad podrá impedir o no autorizar el acceso del personal dla Encargada de Tratamiento a sus edificios e instalaciones, o el acceso a sus sistemas de información.

Los equipos de trabajo de personal dla Encargada de Tratamiento podrán ser informados y concienciados por el personal de esta entidad en los aspectos de seguridad de la organización, y cada persona podrá ser requerida a firmar el reconocimiento de la formación recibida en materia de seguridad. La persona que desempeñe la jefatura del equipo que trabaje, presencialmente en esta entidad o en remoto, para la empresa adjudicataria será el responsable del cumplimiento de las medidas de seguridad por parte de su equipo de trabajo.

8. Para la ejecución de las prestaciones derivadas del cumplimiento del objeto de este encargo, el Responsable del Tratamiento pone a disposición dla Encargada del Tratamiento, únicamente los datos personales estrictamente precisos para materializar la relación jurídica que les une.
9. El presente contrato entre Responsable de Tratamiento y Encargada de Tratamiento tiene una temporalidad vinculada a la duración y vigencia de la relación contractual que mantienen ambas organizaciones.

Cuando finalice la relación contractual, la Encargada del Tratamiento debe devolver al Responsable del Tratamiento los datos personales y suprimir cualquier copia que esté en su poder, salvo aquella para la que disponga amparo legal para su conservación. En este último caso, la Encargada puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.

10. Además de las demás obligaciones señaladas en este clausulado, de forma específica la Encargada de Tratamiento y el personal a su servicio, independientemente de la forma jurídica que los vincule, quedan obligados específicamente a:

10.1. Utilizar los datos personales objeto de tratamiento, o los que se incorporen o produzcan como consecuencia de tal tratamiento, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios o finalidades diferentes a las que motivan la presente relación.

10.2. Tratar los datos de acuerdo con las instrucciones del Responsable del Tratamiento e informando a éste, de forma inmediata, de cualquier instrucción recibida que considere errónea y que pueda infringir la normativa vigente o que pueda poner en riesgo la seguridad, la integridad y la confidencialidad de los datos personales objeto de tratamiento.

10.3. Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable de fichero, cuando le sea exigible, conforme a los contenidos señalados en el modelo del ANEXO I del presente documento.

10.4. Salvo que cuente con la autorización expresa del Responsable de Fichero en los supuestos legalmente exigibles, o le sea de obligación legal, no comunicará los datos a terceras personas ni a otros Encargadas de tratamiento. En caso de ser autorizado por el Responsable de Tratamiento, el responsable identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, la legitimación para hacerlo, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación.

10.5. Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto.

10.6. Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la obligación de confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que la Encargada de Tratamiento les informará convenientemente. La Encargada de Tratamiento mantendrá a disposición del Responsable de Tratamiento la documentación acreditativa del cumplimiento de la obligación establecida en este apartado.

10.7. Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.

10.8. Asistir al Responsable del Tratamiento en la respuesta al ejercicio de los derechos de reconocidos por la normativa de protección de datos que pueda efectuar las personas interesadas titulares de los datos. Cuando la Encargada de Tratamiento reciba una petición de ejercicio de derechos de una persona interesada titular de datos, lo comunicará inmediatamente al Responsable de Tratamiento el cual será el que dará respuesta al ejercicio del derecho.

10.9. Si la Encargada de tratamiento ha de recabar directamente datos personales del afectado, utilizará e incluirá en los documentos de captación de datos un texto legal para informar al interesado de su existencia, finalidad y derechos que le asisten.

10.10. La Encargada de Tratamiento se compromete a tener permanentemente informado al Responsable de Tratamiento de cualquier tipo de incidencia que pueda tener repercusión en la integridad o confidencialidad de los datos personales tratados.

La Encargada del Tratamiento notificará al Responsable del Tratamiento, sin dilación indebida, y en cualquier caso antes del plazo máximo de 72 horas, y a través del medio habilitado a tal efecto que deje constancia de la comunicación realizada, las violaciones, brechas o incidencias en la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. Puede utilizar para ello la comunicación, el modelo incluido como ANEXO II de este documento. Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual, sin dilación indebida.

10.11. La Encargada del Tratamiento colaborará y dará el apoyo que sea necesario al Responsable del Tratamiento en la realización de las Evaluaciones de Impacto relativas a la protección de datos, cuando proceda.

10.12. La Encargada del Tratamiento dará apoyo al Responsable del Tratamiento en la realización de las consultas previas a la Autoridad de Control, cuando proceda.

10.13. La Encargada del Tratamiento pondrá a disposición del Responsable de tratamiento toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen el Responsable de Tratamiento, u otro auditor autorizado por este, o en su nombre.

10.14. La Encargada del Tratamiento Implantará las medidas de seguridad establecidas en la Evaluación de Riesgos que realice el Responsable del Tratamiento, además de las que sean necesarias, para:

10.14.1. Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

10.14.2. Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.

10.14.3. Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento.

10.14.4. Seudonimizar y cifrar los datos personales, en su caso.

10.14.5. A disponer en sus equipos de un sistema de protección antivirus, actualizado periódicamente y de forma automática, que deberá utilizarse sobre cualquier fichero, soporte y software antes de que cualquiera de éstos resida o se instale en los sistemas de información de esta entidad. La frecuencia de actualización será como mínimo semanal.

10.14.6. Designar un Delegado de Protección de Datos y comunicar su identidad y datos de contacto al responsable, cuando le sea exigible según la normativa en vigor.

11. Si la Encargada de Tratamiento, en virtud de una norma del Derecho de la Unión Europea o de una norma interna de un Estado miembro que le sea aplicable, tuviera que hacer trasferencias internacionales de datos a un tercer país fuera de la Unión Europea o a una organización internacional, informará al Responsable de Tratamiento de esa exigencia legal de manera previa, salvo que tal normativa lo prohíba por razones importantes de interés público.

La Encargada de Tratamiento no almacenará ni efectuará transferencias internacionales de los datos que trate por encargo del Responsable de Tratamiento en servidores ubicados fuera del territorio de la Unión Europea (UE), salvo que se trate de estados o territorios que ofrezcan un nivel de seguridad reconocido equivalente por las autoridades europeas de control en materia de protección de datos personales.

La Encargada de Tratamiento no tratará datos personales del Responsable de Fichero utilizando cloud computing o servidores que estén ubicados en países no reconocidos como seguros por las autoridades de control en materia de protección de datos.

12. La Encargada de Tratamiento no realizará pruebas con datos de carácter personal.
13. La Encargada de Tratamiento se compromete a no transferir ningún tipo de datos, de carácter personal o no, de documentación o código fuente de los sistemas de información de esta entidad a soportes de almacenamiento extraíbles, sin el expreso consentimiento del Responsable de Tratamiento.
14. La Encargada de Tratamiento se compromete a no extraer de los sistemas de información de esta entidad ningún tipo de información mediante redes de comunicaciones o servicios de almacenamiento externos a esta entidad, como los disponibles en el “Cloud Computing”, o a las propias instalaciones del contratista, sin el permiso expresa del Responsable de Tratamiento.
15. Como principio general, la Encargada de Tratamiento no podrá efectuar subcontratación de ninguna de las prestaciones que formen parte del objeto del contrato que une a ambas partes y comporte el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios dla Encargada.

Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito por la Encargada de Tratamiento al Responsable de Tratamiento, con una antelación mínima de quince días naturales, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto.

La subcontratación podrá llevarse a cabo cuando el Responsable de Tratamiento manifieste su consentimiento.

El subcontratista, que también tendrá la condición de Encargada del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para la Encargada del tratamiento y las instrucciones que dicte el responsable.

Corresponde al Encargada de Tratamiento regular la nueva relación de forma que el nuevo subEncargada/subcontratista quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el caso de incumplimiento por parte del subEncargada, la Encargada inicial seguirá siendo plenamente responsable ante el responsable en lo referente al cumplimiento de las obligaciones.

16. La Encargada de Tratamiento facilitará, siempre y cuando se lo exija el Responsable de Tratamiento, un certificado que garantice el cumplimiento de la normativa vigente de protección de datos personales o sobre cualquier extremo concreto que imponga tal normativa.
17. Las partes acuerdan colaborar recíprocamente en el mantenimiento de la exactitud de los datos y limitar el tratamiento de los datos personales a lo estrictamente necesario para la finalidad del contrato.
18. La Encargada de Tratamiento no registrará datos de carácter personal en ficheros, ni en los centros de tratamiento, locales, equipos, sistemas, aplicaciones, plataformas y programas que no reúnan las condiciones que garanticen su integridad y seguridad, vigilando la correcta protección lógica y física de los posibles datos personales que por motivos contractuales pudiera gestionar directa o indirectamente y evitar su alteración, pérdida, tratamiento o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos, ya provengan de la acción humana o del medio físico o natural.
19. Cuando, por la naturaleza de los datos deban implantarse medidas de seguridad aplicables a datos sensibles o especialmente protegidos, la transmisión de datos de carácter personal a través de redes públicas o redes inalámbricas de comunicaciones electrónicas, mensajería o análogas, se realizará cifrando dichos datos o bien utilizando cualquier otro mecanismo que garantice que la información no sea inteligible, ni interceptada, o manipulada por terceras partes.

Para tal finalidad, la Encargada de Tratamiento deberá disponer y en su caso implementar en sus Sistemas telemáticos de Información las herramientas, dispositivos y aplicaciones precisas que garanticen la seguridad, la recepción, apertura e interoperabilidad de los datos personales.

20. La Encargada de Tratamiento implementará de manera específica medidas de seguridad que garanticen:

20.1. Funcionalidad o restauración de los datos objeto de tratamiento.

20.2. Gestión segura de contraseñas.

20.3. Trazabilidad de la información, cuando sea posible y exigible.

20.4. Mecanismos de identificación y autenticación.

20.5. Custodia dirigente de la información confidencial.

20.6. Soportes securizados en el transporte de información o datos personales.

20.7. Cifrado o encriptado de soportes que traten datos personales.

20.8. Mecanismo que obstaculicen la apertura o acceso a repositorios con datos personales.

20.9. Copias de respaldo que eviten la destrucción o pérdida de información confidencial o datos personales.

20.10. Procesos de verificación continua de la seguridad, la integridad y la confidencialidad de la información y datos personales objetos de tratamiento.

20.11. Garantizar que sólo el personal autorizado y necesario para la materialización de la relación contractual accede a los datos personales o a la información confidencial.

20.12. Implementar las políticas de seguridad que le sean comunicadas por el Responsable de Tratamiento.

20.13. Ser proactivo en la implementación de medidas de seguridad, minimización de datos y notificárselas al Responsable de Tratamiento

21. Obligaciones y prerrogativas del Responsable de Tratamiento:

21.1. Entregar al Encargada de Tratamiento los datos personales necesarios para materializar la relación contractual.

21.2. Realizar, cuando sea necesario, una Evaluación del Impacto en la protección de datos personales de las operaciones de tratamiento a realizar por la Encargada de Tratamiento.

21.3. Realizar las consultas previas que corresponda.

21.4. Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte dla Encargada de Tratamiento.

21.5. Supervisar el tratamiento de datos por la Encargada, incluida la realización de inspecciones y auditorías.

21.6. Suspender temporalmente o resolver el contrato principal si se producen quebrantamientos significativos para la seguridad, la confidencialidad o la integridad de los datos personales objeto de tratamiento.

En caso de que la empresa proveedora, además de ostentar la condición de Encargada de Tratamiento, sea o se convierta a su vez legalmente también en Responsable de Fichero de los datos personales que trata por razón de la relación contractual con esta entidad, la empresa proveedora deberá también cumplir sus obligaciones legales como Responsable de tales tratamientos”.

El presente aviso legal ha sido actualizado a fecha 11/03/2020 y puede tener variaciones futuras. Por ello, la persona usuaria debe accederlas, leerlas atentamente y aceptarlas, en cada conexión a este sitio web.