Contrato de encargo del tratamiento

CONTRATO DE ENCARGO DEL TRATAMIENTO DE DATOS PERSONALES

Artículo 28 del Reglamento (UE) 2016/679 (RGPD) y artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD)

Contrato celebrado por medios electrónicos en Neowes: la fecha y la hora en que el Responsable lo acepta constan en la hoja de aceptación.

Reunidos

De una parte, [razón social], con NIF [NIF] y domicilio social en [domicilio social], representada por la persona que acepta este contrato en su nombre, cuyo nombre y cargo constan en la hoja de aceptación (en adelante, el «Responsable»).

De otra parte, YCY CONSULTING AND INVESTMENT SL, con NIF B22450688 y domicilio en Calle Méster de Clerecía 34, 28978 Cubas de la Sagra (Madrid), que presta sus servicios bajo la marca «Neowes», representada por D./D.ª YIROU VICTORIA YANG ZHENG, en calidad de Administradora (en adelante, el «Encargado»).

Ambas partes se reconocen capacidad suficiente para suscribir este contrato y

Exponen

I. Que el Responsable tiene contratados con el Encargado servicios de Neowes, que pueden comprender Neowes ERP, la puesta en marcha y el servicio de su tienda online sobre la plataforma NeoCommerce, con la migración de los datos de su web actual, y Neowes Marketing, según lo contratado en cada momento (en adelante, los «Servicios»).

II. Que para prestar los Servicios el Encargado necesita tratar datos personales de los que el Responsable es responsable del tratamiento, por lo que las partes formalizan el presente contrato con arreglo a las siguientes

Cláusulas

1. Objeto

El Encargado tratará, por cuenta del Responsable, los datos personales necesarios para prestar los Servicios. La finalidad, las operaciones, las categorías de interesados y los tipos de datos se describen en el Anexo I.

2. Duración

Este contrato estará vigente mientras el Encargado preste cualquiera de los Servicios. A su terminación se aplicará la cláusula 11. El deber de confidencialidad subsistirá después de su finalización.

3. Instrucciones del Responsable

• El Encargado tratará los datos únicamente siguiendo las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que esté obligado a ello por el Derecho de la Unión o de los Estados miembros; en tal caso informará al Responsable de esa exigencia legal antes del tratamiento, salvo que ese Derecho lo prohíba.
• Constituyen instrucciones documentadas este contrato, la configuración que el Responsable haga de los Servicios y las indicaciones que dé por escrito, incluido el correo electrónico.
• Si el Encargado considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará inmediatamente al Responsable.
• El Encargado no tratará los datos para fines propios ni los comunicará a terceros, salvo a los subencargados autorizados conforme a la cláusula 6 o cuando lo exija la ley.

4. Confidencialidad

El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido por escrito a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a los datos en la medida necesaria para prestar los Servicios.

5. Seguridad

El Encargado aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD, que como mínimo incluyen las del Anexo III, y las revisará periódicamente.

6. Subencargados

• El Responsable otorga una autorización general para que el Encargado recurra a los subencargados indicados en el Anexo II.
• El Encargado informará al Responsable por escrito, con al menos 30 días de antelación, de cualquier incorporación o sustitución de subencargados. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si las partes no llegan a un acuerdo, el Responsable podrá resolver los Servicios afectados sin penalización.
• El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que este contrato le impone a él, y seguirá siendo plenamente responsable ante el Responsable del cumplimiento de esas obligaciones.

7. Ubicación de los datos y transferencias internacionales

Los datos se alojan en servidores situados en la Unión Europea (Anexo II). Solo se transferirán datos fuera del Espacio Económico Europeo con las garantías adecuadas del capítulo V del RGPD (decisión de adecuación de la Comisión Europea, incluido el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas, o cláusulas contractuales tipo aprobadas por la Comisión), que se indican en el Anexo II para cada subencargado.

8. Derechos de los interesados

El Encargado asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas, para que pueda responder a las solicitudes de acceso, rectificación, supresión, oposición, limitación del tratamiento, portabilidad y a no ser objeto de decisiones individuales automatizadas. Si un interesado ejerce sus derechos ante el Encargado, este trasladará la solicitud al Responsable en un plazo máximo de cinco días hábiles y no la contestará por sí mismo salvo instrucción del Responsable.

9. Violaciones de la seguridad de los datos

El Encargado notificará al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales, junto con la información del artículo 33.3 del RGPD de que disponga en ese momento; el resto la facilitará en cuanto la tenga. Corresponde al Responsable notificar, en su caso, a la Agencia Española de Protección de Datos y a los interesados; el Encargado le prestará la ayuda necesaria.

10. Otras obligaciones del Encargado

• Ayudar al Responsable en la realización de evaluaciones de impacto y consultas previas a la autoridad de control, cuando procedan (artículos 35 y 36 del RGPD).
• Llevar el registro de las actividades de tratamiento que efectúa por cuenta del Responsable (artículo 30.2 del RGPD).
• Poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de este contrato y permitir y contribuir a auditorías, incluidas inspecciones, del Responsable o de un auditor autorizado por él, con un preaviso mínimo de 15 días, en horario laboral y sin comprometer la seguridad ni la confidencialidad de los datos de otros clientes. Los costes de la auditoría serán del Responsable, salvo que revele un incumplimiento relevante del Encargado.

11. Fin de los Servicios: devolución y supresión

• Al terminar los Servicios, y si el Responsable lo solicita dentro de los 30 días siguientes, el Encargado le entregará una exportación de sus datos en formatos estructurados y de uso común (por ejemplo, hojas de cálculo y PDF de las facturas), para que el Responsable pueda conservar sus libros y facturas durante los plazos legales.
• Transcurrido ese plazo, el Encargado suprimirá los datos de sus sistemas, salvo que una norma exija conservarlos; en ese caso los mantendrá bloqueados y solo para esa finalidad.
• Los datos contenidos en copias de seguridad se eliminarán conforme al ciclo de retención de dichas copias; hasta entonces permanecerán bloqueados y no se tratarán para ningún otro fin.

12. Obligaciones del Responsable

• Garantizar que el tratamiento cuenta con base jurídica y que ha informado a los interesados, en particular en la política de privacidad de su tienda online o de su sitio web, de que la tienda y la gestión se prestan con la intervención de un encargado del tratamiento.
• Supervisar el tratamiento y el cumplimiento del RGPD por parte del Encargado.
• Los servicios que el Responsable contrata directamente con terceros —entre otros, su entidad bancaria y Redsys para los cobros con tarjeta, su proveedor de correo electrónico, sus transportistas, su dominio y DNS, su asesoría y el proveedor de inteligencia artificial cuya cuenta conecte para las funciones de IA— no son subencargados del Encargado: el Responsable los contrata y responde de ellos.

13. Responsabilidad

Cada parte responderá de los daños derivados de su incumplimiento conforme al artículo 82 del RGPD. Si el Encargado destina los datos a otra finalidad, los comunica o los utiliza incumpliendo este contrato, será considerado responsable del tratamiento con respecto a dicho tratamiento (artículo 28.10 del RGPD).

14. Ley aplicable y jurisdicción

Este contrato se rige por la legislación española. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Madrid.

Y en prueba de conformidad, las partes suscriben el presente contrato y sus tres anexos; el Responsable, mediante su aceptación electrónica en la fecha que consta en la hoja de aceptación.