Encargo del tratamiento.

01Partes y funciones

Este contrato se celebra entre el cliente (el responsable del tratamiento) y Jan Gimenez Layola, que opera con el nombre comercial Birrejan, Koraaldijk 22, 4706 KA Roosendaal (NL), Cámara de Comercio de los Países Bajos (KvK) 42206299 (el encargado del tratamiento). Forma parte del encargo y de los términos y condiciones. En materia de protección de datos, este contrato prevalece sobre las condiciones.

Términos como datos personales, tratamiento, responsable del tratamiento, encargado del tratamiento, subencargado y violación de la seguridad de los datos personales tienen el significado que les da el Reglamento General de Protección de Datos (RGPD).

02Qué se trata

Antes de empezar el tratamiento, las partes documentan un anexo específico del proyecto en el presupuesto u otro acuerdo escrito. Debe identificar objeto, duración, naturaleza y finalidad, tipos de datos y personas afectadas, instrucciones documentadas, ubicaciones, subencargados autorizados, transferencias y garantías, medidas de seguridad y devolución o eliminación. Las partes lo actualizan cuando cambia el tratamiento. Las categorías especiales solo se tratan si se acuerda expresamente y con las garantías adecuadas.

03Solo siguiendo tus instrucciones

Trato los datos personales únicamente siguiendo las instrucciones documentadas del cliente, que son el encargo y lo que el cliente pida por escrito, salvo que la ley exija otra cosa. No los uso para mis propios fines. Si considero que una instrucción infringe el RGPD, se lo comunicaré al cliente de inmediato.

04Confidencialidad y seguridad

Mantengo la confidencialidad de los datos personales. Toda persona a la que implique con el permiso del cliente queda sujeta a la misma obligación de confidencialidad.

Aplico medidas técnicas y organizativas apropiadas para proteger los datos, como mínimo las siguientes:

• Siempre que es posible, trabajo en las propias cuentas e infraestructura del cliente, y conservo el menor número posible de copias de datos personales.
• Uso datos de prueba anonimizados o inventados en lugar de datos personales reales cuando el trabajo lo permite.
• Mis cuentas usan contraseñas seguras y únicas y autenticación de dos factores; mi portátil tiene cifrado de disco completo.
• Los datos solo se envían mediante conexiones cifradas, y el acceso se limita a lo que necesita el encargo.
• Los datos personales no entran en herramientas de IA sin el permiso del cliente (apartado 05).

05Subencargados y herramientas de IA

• El cliente da su autorización general para los subencargados indicados en el presupuesto o acordados por escrito, como el proveedor de alojamiento o el proveedor del modelo de IA del sistema que se construye. Los servicios que el cliente contrata directamente, con sus propias cuentas, son encargados del tratamiento del propio cliente.
• Antes de añadir o sustituir un subencargado, informo al cliente con al menos 14 días de antelación. El cliente puede oponerse por motivos razonables; si no podemos resolverlo, el cliente puede poner fin a la parte afectada del encargo.
• Impongo las mismas obligaciones de protección de datos a todos los subencargados, y sigo siendo responsable ante el cliente por ellos.
• Los datos personales del cliente solo entran en las herramientas de IA que uso para el desarrollo si el cliente lo ha aceptado por escrito, con las garantías contractuales y técnicas acordadas.

06Fuera del Espacio Económico Europeo

Los datos personales solo se transfieren fuera del EEE, o se accede a ellos desde fuera, si el cliente lo ha aceptado y se cumplen las condiciones del RGPD para esas transferencias, por ejemplo una decisión de adecuación o cláusulas contractuales tipo.

07Ayuda con derechos y obligaciones

Ayudo al cliente, en la medida de lo razonable, a responder a las personas que ejercen sus derechos (acceso, rectificación, supresión, etc.) y en materia de seguridad, evaluaciones de impacto relativas a la protección de datos y consulta previa a una autoridad de control. Las solicitudes que reciba directamente de los interesados se las remito al cliente. La ayuda que vaya más allá de un esfuerzo pequeño puede facturarse a mi tarifa habitual.

08Violaciones de la seguridad de los datos personales

Si descubro una violación de la seguridad de los datos personales que afecte a datos del cliente, informo al cliente sin dilación indebida y, como muy tarde, en un plazo de 48 horas. Comparto lo que sé sobre la naturaleza de la violación, los datos y las personas afectados, las consecuencias probables y las medidas adoptadas, y mantengo al cliente informado. La notificación a la autoridad de control y a los interesados corresponde al cliente.

09Cuando termina el encargo

Al final del encargo, el cliente elige si suprimo los datos personales o se los devuelvo. Lo hago en un plazo de 30 días y suprimo las copias que queden, salvo que la ley me obligue a conservarlas. Si me lo pide, confirmo por escrito que se ha hecho.

10Información y auditorías

Facilito la información necesaria para demostrar el cumplimiento y permito y contribuyo a las auditorías, incluidas inspecciones, del cliente o de un auditor designado por él. Las auditorías ordinarias se organizan con preaviso razonable y garantías de confidencialidad. Pueden ser necesarias auditorías adicionales o urgentes tras un incidente, una sospecha de incumplimiento o una petición regulatoria. El calendario, alcance y costes razonables se acuerdan sin limitar derechos imperativos.

11Responsabilidad y duración

La responsabilidad derivada de este contrato sigue los límites de los términos y condiciones, en la medida en que la ley lo permita. Este contrato dura mientras trate datos personales por cuenta del cliente, y las obligaciones que por su naturaleza continúan (como la confidencialidad) se siguen aplicando después. Se aplica el Derecho neerlandés, y los litigios se someten al tribunal indicado en las condiciones.