Acuerdo de tratamiento de datos (DPA)

Este texto es una traducción facilitada para su comodidad; en caso de discrepancia prevalece el texto en inglés disponible en /dpa/.

Finalidad y uso de los datos

EuroVPS describirá siempre la naturaleza y la finalidad de toda recogida, tratamiento o uso de datos a las partes afectadas por dicha recogida, tratamiento o uso. En el caso de una relación con un cliente, el uso de los datos se describirá conforme al Acuerdo de protección de datos entre EuroVPS y el Cliente.

El tratamiento se realiza en el centro de datos de EuroVPS que el Cliente elija: Atenas o Ámsterdam (UE), o Toronto (Canadá, sujeto a la decisión de adecuación de la Comisión Europea). Cualquier otra transferencia de los datos requerirá el consentimiento previo de las personas u organizaciones vinculadas a esos datos y solo se realizará si se cumplen las Condiciones especiales definidas en el artículo 44 (y artículos análogos) del Reglamento General de Protección de Datos (RGPD, GDPR por sus siglas en inglés).

Garantía de calidad

Además de cumplir todas las disposiciones que aquí recogemos, cumpliremos también las obligaciones legales conforme a los artículos 28 a 33 del RGPD. Garantizaremos el cumplimiento específico de los siguientes requisitos:

Se designa a un Responsable de protección de datos para el cargo de Delegado de protección de datos. Notificaremos de inmediato a las personas afectadas cualquier cambio en este cargo. Los datos del Delegado de protección de datos serán fácilmente accesibles en nuestro sitio web.

Nos atendremos a protocolos estrictos de confidencialidad y garantizaremos que solo determinados empleados tengan acceso al proceso de recogida de datos. Estos empleados cumplirán previamente los requisitos de confidencialidad y estarán familiarizados con la seguridad de la protección de datos. Toda persona con acceso a datos personales solo podrá tratarlos conforme a las instrucciones de las personas afectadas por el uso de dichos datos (incluidas las establecidas en este documento), salvo que la ley exija otra cosa.

Cuando sea necesario, las personas u organizaciones cuyos datos recogemos, tratamos o utilizamos de otro modo pueden verse obligadas a cooperar con una Autoridad de control. También nosotros podemos vernos obligados a cooperar con ella si así se nos solicita.

Dichas personas u organizaciones serán informadas de inmediato de cualquier inspección o medida adoptada por la Autoridad de control relacionada con la recogida, el tratamiento o el uso de sus datos. Esto se aplica si somos objeto de investigación por cualquier infracción relativa al tratamiento de datos personales.

Si alguno de nuestros Clientes es objeto de una inspección de la Autoridad de control en relación con una infracción, un procedimiento penal o la reclamación de una parte afectada, haremos todo lo posible por apoyarle en la medida de nuestras capacidades.

Supervisaremos periódicamente todos los procesos internos, junto con las medidas técnicas y organizativas, para garantizar que todo cumple la legislación de protección de datos aplicable y que los derechos de todas las partes afectadas están protegidos.

La documentación que acredite las medidas adoptadas a este respecto se pondrá a disposición de todas las partes interesadas que la soliciten.

Medidas técnicas y organizativas conforme al artículo 32 del RGPD

Antes del inicio de cualquier servicio que requiera la recogida o el tratamiento de datos, presentaremos a las personas afectadas las medidas técnicas y organizativas implantadas para proteger esos datos. Cualquier uso posterior de esos datos se limitará a las finalidades acordadas entre EuroVPS y la parte interesada, y dichas medidas y finalidades formarán parte integrante de las condiciones del servicio que vinculan a EuroVPS y a la parte interesada. Cualquier modificación de esas medidas o finalidades solo se debatirá y aplicará previo acuerdo mutuo entre EuroVPS y la parte interesada.

Adoptaremos las medidas de seguridad necesarias conforme a todos los artículos pertinentes del RGPD. Todas las medidas garantizarán un nivel de protección de datos adecuado al nivel de riesgo de cada situación, en particular en lo relativo a la confidencialidad, la integridad, la disponibilidad y la resiliencia de los sistemas implantados. Al valorar estas medidas se tendrán en cuenta el coste de aplicación, el alcance y la finalidad de los datos recogidos, el estado de la técnica y el riesgo potencial para los derechos y libertades de las personas u organizaciones y de sus datos.

Podremos seguir desarrollando las medidas técnicas y organizativas adoptadas para proteger los datos que recogemos, incluida la aplicación de medidas alternativas, siempre que no comprometan los niveles de seguridad de las medidas técnicas y organizativas vigentes. Todos los cambios sustanciales quedarán documentados.

Rectificación, limitación y supresión de datos

No estamos facultados para suprimir ni limitar el tratamiento de datos por cuenta de terceros. Si se nos contacta en relación con una cuestión de recogida de datos, la remitiremos de inmediato a la parte interesada.

Atenderemos sin demora cualquier solicitud relativa al «derecho al olvido», las políticas de supresión, la rectificación de datos, la portabilidad y la divulgación.

Subcontratación

Por regla general no distribuimos a terceros los datos que recogemos, pero en caso de que utilicemos un servicio externalizado que pueda tener acceso a dichos datos, estableceremos acuerdos contractuales jurídicamente vinculantes y aplicaremos las medidas necesarias para garantizar la protección y la seguridad de los datos que hayamos recogido.

Derechos de inspección

Las personas u organizaciones cuyos datos hayamos recogido tendrán derecho a realizar inspecciones previa consulta con nosotros, o a que las realicen inspectores en casos individuales concretos. Tendrán derecho a verificar el cumplimiento de este documento mediante inspecciones puntuales, que deberán anunciarse con una antelación razonable.

Garantizaremos que pueda verificarse el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD. Facilitaremos a las personas u organizaciones interesadas la información pertinente que soliciten, junto con la documentación de la aplicación de las medidas técnicas y organizativas implantadas para proteger sus datos.

La documentación de las medidas relativas (entre otros aspectos) a la relación con la persona u organización cuyos datos recogemos podrá facilitarse conforme a los códigos de conducta y certificaciones aprobados que establecen los artículos pertinentes del RGPD. También podrá facilitarse documentación relativa a informes, incluidos los elaborados por organismos independientes (como un Delegado de protección de datos, el departamento de seguridad informática, un auditor de calidad, etc.), junto con la certificación adecuada de un departamento de seguridad informática o una auditoría de protección de datos.

Podremos exigir honorarios adicionales para dar soporte a una inspección y para financiar la provisión de documentación o certificaciones.

Comunicación en caso de infracción

Cumpliremos nuestras obligaciones relativas a la seguridad de los datos personales y los requisitos aplicables a las violaciones de la seguridad de los datos, las evaluaciones de impacto y las consultas previas a que se refieren los artículos 32 a 36 del RGPD.

Estas obligaciones incluyen:

1. Garantizar niveles de protección suficientes mediante medidas técnicas y organizativas que tengan en cuenta las distintas circunstancias y finalidades del tratamiento de datos, así como la probabilidad y la gravedad de posibles infracciones de la ley debidas a vulnerabilidades de seguridad. También se adoptarán medidas para detectar lo antes posible cualquier infracción de la ley.
2. Comunicaremos de inmediato a las partes interesadas cualquier violación de datos personales que observemos.
3. Cuando proceda, ayudaremos a las partes interesadas a cumplir sus propias obligaciones de información a las partes afectadas. También les recordaremos sus obligaciones en este supuesto.
4. Ayudaremos a las partes interesadas en su evaluación de impacto relativa a la protección de datos.
5. Ayudaremos a las partes interesadas antes de su consulta con la autoridad de control.
6. Podremos cobrar honorarios por la prestación de este tipo de apoyo cuando no esté incluido en los servicios de soporte que ofrecemos habitualmente a nuestros clientes y no sea consecuencia de incumplimientos propios.

Emisión de instrucciones

Toda instrucción que nos den las partes interesadas deberá ser confirmada de inmediato por escrito por dicha parte.

Informaremos de inmediato a la parte interesada si consideramos que una instrucción dada infringe la normativa de protección de datos. En tal caso podremos suspender la ejecución de dicha instrucción hasta que se modifique de forma que pueda considerarse conforme a la normativa de protección de datos.

Supresión y devolución de datos personales

No crearemos copias ni duplicados de datos personales sin el conocimiento previo de las personas u organizaciones cuyos datos recogemos, salvo las copias de seguridad (backup) necesarias para garantizar el correcto tratamiento de los datos y los datos necesarios para cumplir las distintas obligaciones legales.

Destruiremos todos los documentos y conjuntos de datos relativos a una persona u organización concreta conforme a la legislación de protección de datos tras la finalización de la relación de servicio con dicha persona u organización, o a petición de esta. También facilitaremos a la persona u organización cualquier información pertinente sobre la naturaleza y el momento de la supresión de esos datos.

Conservaremos toda la documentación que acredite que el tratamiento de los datos se realizó correctamente tras la finalización de la relación de servicio, conforme a los plazos de conservación respectivos. Podremos quedar liberados de este deber entregando dicha documentación a las partes interesadas al finalizar la relación de servicio.