Contrato de encargo del tratamiento

Contrato de tratamiento de datos por cuenta de terceros en cumplimiento de lo establecido en el Reglamento (UE) 2016/679 y Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales

En Madrid, en la fecha en que el RESPONSABLE DEL TRATAMIENTO lo acepta electrónicamente en la plataforma.

Partes

DE UNA PARTE, la empresa usuaria de la plataforma que acepta el presente contrato (en adelante, el RESPONSABLE DEL TRATAMIENTO), identificada con la denominación social, el CIF y el domicilio a efectos de notificaciones que constan en los datos de su cuenta en la plataforma en el momento de la aceptación. Actúa representada por la persona usuaria que acepta el contrato en su nombre, quien declara ser mayor de edad y disponer de facultades suficientes para obligarla.

DE OTRA PARTE, ALIARIX TECHNOLOGIES, S.L. (en adelante, el ENCARGADO DEL TRATAMIENTO), provista de CIF B21646286, y con domicilio a efectos de notificaciones en Calle Enrique Simonis 21, 2ª planta, 28045 Madrid, actuando por medio de su representante legal.

Y reconociéndose ambas partes, mutua y recíprocamente, con capacidad legal suficiente para el presente acto,

Forma de aceptación y consulta del contrato

El presente contrato se celebra por vía electrónica, conforme a la Ley 34/2002, de 11 de julio, de Servicios de la Sociedad de la Información y de Comercio Electrónico, y tiene plena validez sin necesidad de firma manuscrita (artículo 23 de dicha ley). A los efectos del artículo 27 de la misma ley, se informa de lo siguiente:

• Aceptación. El contrato se perfecciona cuando la persona usuaria marca la casilla de aceptación que la plataforma muestra al dar de alta la cuenta de la empresa, al incorporarse como empresa colaboradora o, si se publica una nueva versión, antes de seguir utilizando la plataforma. Antes de aceptar puede leer el contrato completo en esta página, y la aceptación no se registra hasta que confirma el formulario, lo que le permite revisar y corregir sus datos previamente.
• Evidencia. La plataforma registra, para cada aceptación, la empresa, la persona usuaria que acepta, la versión aceptada, la fecha y hora, la dirección IP y el navegador utilizado. Ese registro acredita la celebración del contrato y su contenido.
• Archivo y consulta. La versión vigente está publicada de forma permanente en simplifycae.com/es/legal/encargo-tratamiento y es accesible en todo momento, sin necesidad de iniciar sesión. Cuando se publique una nueva versión, las anteriores seguirán publicadas, de modo que cada RESPONSABLE pueda consultar siempre el texto exacto que aceptó. Puede solicitar además una copia del contrato aceptado al correo dpo.aliarix@lock4data.es.
• Idioma. El contrato se formaliza en castellano.
• Referencias a la firma. Las referencias de este contrato a su firma, a sus firmantes o a la fecha y lugar de su encabezamiento se entienden hechas a la aceptación electrónica descrita en este apartado, a la persona usuaria que la presta en nombre del RESPONSABLE DEL TRATAMIENTO y al lugar y la fecha indicados al inicio.
• Versión. Este texto corresponde a la versión 1.0 del contrato.

Exponen

I.- Que el RESPONSABLE DEL TRATAMIENTO se dedica, entre otras actividades propias de su objeto social y, en el marco de sus relaciones con contratistas y subcontratistas, utiliza la plataforma ALIARIX para gestionar, solicitar, recibir, verificar y conservar la documentación necesaria para el cumplimiento de sus obligaciones legales y contractuales.

II.- Que el ENCARGADO DEL TRATAMIENTO se dedica, entre otras actividades propias de su objeto social, a las de prestación de servicios de:

• Plataforma de gestión documental de subcontratas.

III.- Que, en base a lo anterior, el RESPONSABLE DEL TRATAMIENTO mantiene con el ENCARGADO DEL TRATAMIENTO una relación de prestación de servicios siendo necesario el acceso y tratamiento a las siguientes categorías de datos personales:

• Personas trabajadoras de contratistas y subcontratistas.
• Autónomos.
• Representantes legales de contratistas y subcontratistas.
• Personas de contacto.
• Personal autorizado para acceder a instalaciones o prestar servicios.
• Usuarios autorizados de la plataforma.
• Otras personas cuyos datos figuren legítimamente en la documentación requerida.

Podrán tratarse categorías especiales de datos únicamente cuando resulte estrictamente necesario, exista base jurídica suficiente y el RESPONSABLE haya determinado su necesidad conforme al artículo 9 RGPD.

IV.- Que, con motivo de la relación de prestación de servicios que vincula a ambas partes, el ENCARGADO DEL TRATAMIENTO necesita tratar determinados datos personales por cuenta del RESPONSABLE DEL TRATAMIENTO.

V.- Que, en base a lo establecido en el artículo 28.3 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), «[e]l tratamiento por el encargado se regirá por un contrato u otro acto jurídico con arreglo al Derecho de la Unión o de los Estados miembros, que vincule al encargado respecto del responsable y establezca el objeto, la duración, la naturaleza y la finalidad del tratamiento, el tipo de datos personales y categorías de los interesados, y las obligaciones y derechos del responsable».

En este sentido, las partes mediante el presente acuerdo deberán adoptar las obligaciones generales de responsabilidad proactiva en cumplimiento del artículo 28 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.

De acuerdo con lo anterior, las partes acuerdan el presente contrato, que se regirá de conformidad con las siguientes,

Estipulaciones

Primera.- Objeto

El objeto del presente contrato es regular el tratamiento por el ENCARGADO DEL TRATAMIENTO de determinados datos personales por cuenta del RESPONSABLE DEL TRATAMIENTO, con motivo de la relación de prestación de servicios que vincula a ambas partes, dando cumplimiento a las obligaciones establecidas en el artículo 28 del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos), y en la normativa española de protección de datos de carácter personal.

Conforme a lo establecido en la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales en su artículo 33.2 «Tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3 del Reglamento (UE) 2016/679. Esta previsión no será aplicable a los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público. Tendrá asimismo la consideración de responsable del tratamiento quien figurando como encargado utilizase los datos para sus propias finalidades.»

Segunda.- Definiciones

A los efectos del presente contrato, se entenderá por:

1. Datos personales: toda información sobre una persona física identificada o identificable; se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador, como por ejemplo un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona (art. 4 1) RGPD).
2. Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por procedimientos automatizados o no, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción (art. 4 2) RGPD).
3. Responsable del tratamiento: Persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del tratamiento; si el Derecho de la Unión o de los Estados miembros determina los fines y medios del tratamiento, el responsable del tratamiento o los criterios específicos para su nombramiento podrá establecerlos el Derecho de la Unión o de los Estados miembros (art. 4 7) RGPD).
4. Encargado del tratamiento: La persona física o jurídica, autoridad pública, servicio u otro organismo que trate datos personales por cuenta del responsable del tratamiento (art. 4 8) RGPD). Asimismo, conforme al artículo 33 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales, «tendrá la consideración de responsable del tratamiento y no la de encargado quien en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados aun cuando exista un contrato o acto jurídico con el contenido fijado en el artículo 28.3 del Reglamento (UE) 2016/679. Esta previsión no será aplicable a los encargos de tratamiento efectuados en el marco de la legislación de contratación del sector público.»

Tercera.- Instrucciones del responsable del tratamiento

El ENCARGADO DEL TRATAMIENTO tratará por cuenta del RESPONSABLE DEL TRATAMIENTO los datos personales necesarios para la prestación de servicios derivada de la relación que vincula a ambas partes, de conformidad con las instrucciones documentadas en el ANEXO al presente contrato.

Corresponde exclusivamente al RESPONSABLE determinar las categorías de documentación y datos personales que deben ser solicitados a contratistas, subcontratistas y demás terceros, así como determinar la finalidad y base jurídica de dicho tratamiento.

El RESPONSABLE garantizará que la documentación solicitada sea adecuada, pertinente y limitada a lo necesario para las finalidades perseguidas y que dispone de base jurídica suficiente para su tratamiento.

Corresponde al RESPONSABLE cumplir las obligaciones de información previstas en los artículos 13 y 14 RGPD.

Cuarta.- Identificación de la información afectada

El ENCARGADO DEL TRATAMIENTO tratará por cuenta del RESPONSABLE DEL TRATAMIENTO la información sobre personas físicas identificadas o identificables documentada en el ANEXO al presente contrato.

Quinta.- Duración

El presente contrato entrará en vigor desde la fecha de su firma y estará vigente hasta la fecha de terminación de la relación de prestación de servicios entre el RESPONSABLE DEL TRATAMIENTO y el ENCARGADO DEL TRATAMIENTO.

Sexta.- Obligaciones del encargado del tratamiento

El ENCARGADO DEL TRATAMIENTO se compromete al cumplimiento de las siguientes obligaciones:

1. Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios.
2. Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento. Si el encargado del tratamiento considera que alguna de las instrucciones infringe el Reglamento (UE) 2016/679 o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, el encargado informará inmediatamente al responsable.
3. Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable, conforme a lo dispuesto en el artículo 31 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales que contenga:
   1. El nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado y, en su caso, del representante del responsable o del encargado y del delegado de protección de datos.
   2. Las categorías de tratamientos efectuados por cuenta de cada responsable.
   3. En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49 apartado 1, párrafo segundo del Reglamento (UE) 2016/679, la documentación de garantías adecuadas.
   4. Una descripción general de las medidas técnicas y organizativas de seguridad relativas a:
      1. La seudonimización y el cifrado de datos personales.
      2. La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
      3. La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.
      4. El proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
4. No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del RESPONSABLE DEL TRATAMIENTO, en los supuestos legalmente admisibles.
   El ENCARGADO DEL TRATAMIENTO puede comunicar los datos a otros encargados del tratamiento del mismo responsable, de acuerdo con las instrucciones del RESPONSABLE DEL TRATAMIENTO. En este caso, el RESPONSABLE DEL TRATAMIENTO identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación.
   Si el ENCARGADO DEL TRATAMIENTO debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.
5. EL ENCARGADO DEL TRATAMIENTO no podrá subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios del encargado.
   Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al responsable, con una antelación de diez días hábiles, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el responsable no manifiesta su oposición en el plazo establecido.
   El subcontratista, que también tendrá la condición de encargado del tratamiento, está obligado igualmente a cumplir las obligaciones establecidas en este documento para el encargado del tratamiento y las instrucciones que dicte el responsable. Corresponde al encargado inicial regular la nueva relación de forma que el nuevo encargado quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el caso de incumplimiento por parte del subencargado, el encargado inicial seguirá siendo plenamente responsable ante el responsable en lo referente al cumplimiento de las obligaciones.
6. Mantener el deber de secreto respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto.
7. Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente.
8. Mantener a disposición del responsable la documentación acreditativa del cumplimiento de la obligación establecida en el apartado anterior.
9. Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.
10. Asistir al responsable del tratamiento en la respuesta al ejercicio de los derechos de:
    1. Acceso, rectificación, supresión y oposición.
    2. Limitación del tratamiento.
    3. Portabilidad de datos.
    4. A no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles).
    Cuando las personas afectadas ejerzan los derechos de acceso, rectificación, supresión y oposición, limitación del tratamiento, portabilidad de datos y a no ser objeto de decisiones individualizadas automatizadas, ante el ENCARGADO DEL TRATAMIENTO, éste debe comunicarlo por correo electrónico a la dirección que indique el RESPONSABLE DEL TRATAMIENTO. La comunicación debe hacerse de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción de la solicitud, juntamente, en su caso, con otras informaciones que puedan ser relevantes para resolver la solicitud.
    Si la comunicación no pudiera efectuarse por correo electrónico por no haber sido facilitada por el RESPONSABLE DEL TRATAMIENTO una dirección a los efectos antedichos, el ENCARGADO DEL TRATAMIENTO deberá efectuar dicha comunicación por cualquier medio de notificación admitido en derecho.
11. El ENCARGADO DEL TRATAMIENTO, en el momento de la recogida de los datos, debe facilitar la información relativa a los tratamientos de datos que se van a realizar. La redacción y el formato en que se facilitará la información se debe consensuar con el RESPONSABLE DEL TRATAMIENTO antes del inicio de la recogida de los datos.
12. El ENCARGADO DEL TRATAMIENTO notificará al RESPONSABLE DEL TRATAMIENTO, sin dilación indebida, y en cualquier caso antes del plazo máximo de 24 horas, y por correo electrónico a la dirección que indique el RESPONSABLE DEL TRATAMIENTO, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia.
    Si la notificación no pudiera efectuarse por correo electrónico por no haber sido facilitada por el RESPONSABLE DEL TRATAMIENTO una dirección a los efectos antedichos, el ENCARGADO DEL TRATAMIENTO deberá cumplir con la citada obligación a través de cualquier medio de notificación admitido en derecho.
    No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.
    Si se dispone de ella se facilitará, como mínimo, la información siguiente:
    1. Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.
    2. El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información.
    3. Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.
    4. Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
    Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.
13. Dar apoyo al responsable del tratamiento en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda.
14. Dar apoyo al responsable del tratamiento en la realización de las consultas previas a la autoridad de control, cuando proceda.
15. Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen el responsable u otro auditor autorizado por él.
16. Implantar las medidas de seguridad recogidas en el ANEXO al presente contrato.
    En todo caso, el ENCARGADO DEL TRATAMIENTO deberá implantar mecanismos para:
    1. Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
    2. Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.
    3. Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento.
    4. Seudonimizar y cifrar los datos personales, en su caso.
17. Designar un delegado de protección de datos y comunicar su identidad y datos de contacto al responsable, siempre y cuando ello sea obligatorio en virtud de lo establecido en el Reglamento (UE) 2016/679 y la normativa española de protección de datos.
18. Una vez finalizada la relación de prestación de servicios que vincula a ambas partes, el ENCARGADO DEL TRATAMIENTO deberá dar destino a los datos personales objeto de tratamiento conforme a las instrucciones del RESPONSABLE DEL TRATAMIENTO recogidas en el ANEXO al presente contrato.

El ENCARGADO DEL TRATAMIENTO se compromete a comunicar y hacer cumplir a su personal, incluidos trabajadores de empresas de trabajo temporal, las obligaciones establecidas en el presente contrato y en concreto la obligación de secreto respecto a los datos de carácter personal responsabilidad del RESPONSABLE DEL TRATAMIENTO y el cumplimiento de las medidas de seguridad correspondientes.

En el caso de que el ENCARGADO DEL TRATAMIENTO destine los datos a otra finalidad, los comunique o los utilice incumpliendo las estipulaciones del presente contrato, responderá frente al RESPONSABLE DEL TRATAMIENTO, los interesados afectados, y autoridades de control competentes, del incumplimiento de las mismas y de las infracciones en que hubiera incurrido personalmente.

Séptima.- Obligaciones del responsable del tratamiento

El RESPONSABLE DEL TRATAMIENTO se compromete al cumplimiento de las siguientes obligaciones:

1. Entregar al ENCARGADO DEL TRATAMIENTO los datos a los que se refiere el ANEXO al presente contrato.
2. Realizar una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el ENCARGADO DEL TRATAMIENTO, siempre y cuando ello sea obligatorio en virtud de lo establecido en el Reglamento (UE) 2016/679 y la normativa española de protección de datos.
3. Realizar las consultas previas que corresponda, siempre y cuando ello sea obligatorio en virtud de lo establecido en el Reglamento (UE) 2016/679 y la normativa española de protección de datos.
4. Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del Reglamento (UE) 2016/679 y la normativa española de protección de datos por parte del ENCARGADO DEL TRATAMIENTO.
5. Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.

En el caso de que el RESPONSABLE DEL TRATAMIENTO incumpla las estipulaciones del presente contrato, responderá frente al ENCARGADO DEL TRATAMIENTO, los interesados afectados, y autoridades de control competentes, del incumplimiento de las mismas y de las infracciones en que hubiera incurrido personalmente.

Octava.- Confidencialidad

Ambas partes se comprometen a guardar la debida confidencialidad sobre los hechos, informaciones, conocimientos, documentos, objetos y cualesquiera otros elementos protegidos por el secreto, a los que tengan acceso con motivo de la relación de prestación de servicios, sin que puedan utilizar la información a la que accedan para cualquier finalidad distinta a la ejecución del contrato que une a ambas partes.

En tal sentido, y sin carácter limitativo o excluyente, el citado deber de confidencialidad y secreto comprende la siguiente información:

1. Cualquier información protegida por la normativa sobre propiedad intelectual e industrial.
2. Cualquier información sobre personas físicas identificadas o identificables, protegida por la normativa sobre protección de las personas físicas en lo que respecta al tratamiento de datos personales.
3. Cualquier información protegida por la Ley Orgánica 1/1982, de 5 de mayo, sobre protección civil del derecho al honor, a la intimidad personal y familiar y a la propia imagen.
4. Cualquier información sujeta al deber de secreto profesional.
5. Los conocimientos técnicos y la información empresarial no divulgados (secretos comerciales).
6. Cualquier otra información que por su naturaleza no pueda ser revelada a terceros ajenos a las partes firmantes y que, por lo tanto, no sea de conocimiento público.

El incumplimiento de las citadas obligaciones podrá tener como consecuencia el ejercicio de las acciones legales que, en su caso, procedan y las responsabilidades que de dicho ejercicio se deriven.

Novena.- Información en cumplimiento de lo establecido en el artículo 13 del Reglamento (UE) 2016/679 y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales

Los datos de las personas firmantes del presente contrato serán objeto de tratamiento por cada una de las entidades que representan para poder ejecutar el mismo. Dichos datos serán conservados durante los plazos legales de prescripción de las responsabilidades nacidas de la relación de prestación de servicios que vincula a ambas partes. Las personas firmantes tienen derecho a solicitar a cada una de las entidades responsables del tratamiento el acceso a sus datos personales, así como su rectificación o supresión, en las direcciones a efectos de notificaciones indicadas en el encabezamiento del presente contrato. Asimismo, tienen derecho a presentar una reclamación a la autoridad de control competente en el supuesto de que entiendan que su derecho a la protección de datos ha sido vulnerado.

Décima.- Ley aplicable y foro

El presente contrato se regirá e interpretará conforme a la legislación española en aquello que no esté expresamente regulado. Si alguna de las estipulaciones o condiciones del presente contrato resultara nula, inválida o ineficaz y no pudiera tener efecto por causa de la legislación aplicable a él, dicha nulidad, invalidez o ineficacia no afectará al resto de las estipulaciones o condiciones.

Las partes se someten, para las controversias que pudieran surgir en relación con el presente contrato, a la competencia de los Juzgados y Tribunales de la ciudad señalada en el encabezamiento del mismo, con renuncia a cualquier otro foro que les pudiera corresponder.

Anexo al contrato de tratamiento de datos

Instrucciones del responsable del tratamiento respecto de los tratamientos de datos a realizar por el encargado del tratamiento

a) Descripción del tipo de servicio

Plataforma de gestión documental de subcontratas.

b) Descripción general de los tipos de datos personales objeto de tratamiento

Datos identificativos y de contacto; datos profesionales, laborales y de formación; acreditaciones y habilitaciones; datos relativos a prevención de riesgos laborales y coordinación de actividades empresariales; datos administrativos y de Seguridad Social; datos económicos cuando proceda; y demás información contenida en la documentación exigida para acreditar el cumplimiento de obligaciones legales o contractuales. Excepcionalmente podrán tratarse datos de salud cuando resulte estrictamente necesario y exista base jurídica suficiente.

c) Operaciones concretas a realizar sobre los datos personales

• ☒ Recogida
• ☒ Registro
• ☒ Organización
• ☒ Estructuración
• ☒ Conservación o almacenamiento
• ☐ Adaptación o modificación
• ☐ Extracción
• ☒ Consulta
• ☐ Utilización
• ☐ Comunicación por transmisión
• ☐ Difusión
• ☐ Comparación o cotejo
• ☐ Combinación o interconexión
• ☒ Limitación
• ☒ Supresión
• ☒ Destrucción

d) Comunicaciones a terceros expresamente autorizadas por el responsable del tratamiento que se derivan del servicio prestado

Ninguna.

e) Medidas de seguridad a implantar por el encargado del tratamiento

El ENCARGADO DEL TRATAMIENTO deberá aplicar las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo para los derechos y libertades de las personas físicas. En tal sentido, el ENCARGADO DEL TRATAMIENTO deberá tener en consideración los siguientes criterios en relación con la aplicación de las citadas medidas técnicas y organizativas:

1. Al evaluar el riesgo en relación con la seguridad de los datos, se deben tener en cuenta los riesgos que se derivan del tratamiento de los datos personales, como la destrucción, pérdida o alteración accidental o ilícita de datos personales transmitidos, conservados o tratados de otra forma, o la comunicación o acceso no autorizados a dichos datos, susceptibles en particular de ocasionar daños y perjuicios físicos, materiales o inmateriales.
2. Se deben incluir medidas para asegurar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
3. Se deben incluir medidas para asegurar la capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida en caso de incidente físico o técnico.
4. Se debe incluir un proceso de verificación, evaluación y valoración regular de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.
5. Se deben tomar medidas para garantizar que las personas autorizadas para acceder a los datos personales solo puedan tratar dichos datos de acuerdo a las instrucciones del responsable.

f) Destino de los datos personales objeto de tratamiento una vez finalizada la relación de prestación de servicios que vincula a ambas partes

Destruir los datos, una vez cumplida la prestación. Una vez destruidos, el encargado debe certificar su destrucción por escrito y debe entregar el certificado al responsable del tratamiento.

g) Contacto del delegado de protección de datos

• Nombre: Carmen Trujillo Aznar
• Correo electrónico: dpo.aliarix@lock4data.es