ACUERDO SOBRE TRATAMIENTO DE DATOS

Última actualización: 30 de marzo de 2023

A cambio de que usted, el cliente, contrate los servicios de TCCHE LTD para procesar los datos personales en su nombre, cumpliremos con las obligaciones de seguridad, confidencialidad y otras impuestas en virtud de este acuerdo y de cualquier legislación aplicable en materia de protección de datos.

Partes en este contrato :

(1) El Cliente (o usted), siendo la persona jurídica o entidad que solicitó los Servicios de acuerdo con la Orden (el “Responsable del Tratamiento”); y (2) TCCHE LTD, constituida y registrada en Inglaterra y Gales con el número de empresa 08223171, con domicilio social en la unidad 104 del 1 Riverbank Business Park, Dye House Lane, Londres, E3 2TO (el “Encargado del Tratamiento”).

Contexto y alcance: (A) El Responsable del Tratamiento determina los fines y los medios del tratamiento de los Datos Personales en el marco de sus actividades comerciales; (B) El Subcontratista procesa los Datos Personales en nombre del Responsable del Tratamiento; (C) El Responsable del Tratamiento desea contratar los servicios del Subcontratista para procesar los datos personales en su nombre; (D) El RGPD del Reino Unido establece que cuando el tratamiento deba realizarse en nombre de un responsable del tratamiento, este solo debe utilizar subcontratistas que ofrezcan garantías suficientes para implementar medidas técnicas y organizativas apropiadas para que el tratamiento cumpla con los requisitos del RGPD británico y garantice la protección de los derechos de la persona afectada; (E) El RGPD del Reino Unido dispone además que el Subcontratista no debe contratar a otro subcontratista sin la autorización escrita previa específica o general del responsable del tratamiento. En caso de una autorización escrita general, el subcontratista informa al responsable del tratamiento de cualquier cambio previsto en relación con la adición o sustitución de otros subcontratistas, brindando así al responsable del tratamiento la oportunidad de oponerse a estos cambios; (F) El RGPD del Reino Unido establece además que el subcontratista y cualquier persona que actúe bajo la autoridad del responsable del tratamiento o del subcontratista que tenga acceso a los datos personales no debe tratar estos datos, excepto por instrucción del responsable del tratamiento, a menos que la ley lo exija; (G) De conformidad con las disposiciones antes mencionadas del RGPD del Reino Unido, el responsable del tratamiento y el subcontratista desean celebrar este acuerdo de tratamiento.

Las partes acuerdan mutuamente lo siguiente:

1. DEFINICIONES E INTERPRETACIÓN

1.1 En el presente acuerdo, las palabras y expresiones siguientes tienen el siguiente significado, a menos que sean incompatibles con el contexto o se especifique de otra manera:

“Anexo 1” se refiere al anexo de este acuerdo, que forma parte integrante del presente acuerdo;

“Anexo 2” se refiere al anexo de este acuerdo, que forma parte integrante del presente acuerdo;

“RGPD del Reino Unido”, en adelante denominado el Reglamento, se refiere al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, en la medida en que forme parte del derecho de Inglaterra y Gales, Escocia e Irlanda del Norte en virtud del artículo 3 de la Ley de Retirada de la Unión Europea de 2018; Responsable del tratamiento, subcontratista, persona interesada, datos personales, categorías especiales de datos personales, violación de datos personales, autoridad de control, tratamiento y medidas técnicas y organizativas adecuadas: conforme a la legislación de protección de datos vigente en ese momento;

“Información confidencial” se refiere a toda la información divulgada por una parte a la otra en virtud del presente acuerdo, que está designada como exclusiva y/o confidencial, o que por su naturaleza o por las circunstancias que rodean la divulgación, debe considerarse razonablemente confidencial, incluyendo (pero no limitándose a) información sobre productos, listas de clientes, listas de precios e información financiera;

“Ley de protección de datos” se refiere a la legislación de protección de datos y privacidad vigente en el Reino Unido, que incluye la Ley de Protección de Datos de 2018, el RGPD del Reino Unido y las Regulaciones de Privacidad y Comunicaciones Electrónicas de 2003;

“Pedido” se refiere a la solicitud de compra de servicios a TCCHE Ltd sujeta a los términos de este acuerdo;

“Servicios” se refiere a los servicios proporcionados por TCCHE Ltd al Responsable del tratamiento en virtud de este contrato, incluyendo, pero no limitándose a, la provisión de todo o parte de los siguientes elementos: imagen de marca y diseño empresarial, diseño y desarrollo de sitios web, mantenimiento y soporte de sitios web, hosting y asesoramiento;

“Subcontratación” y “subcontratar” se refieren al proceso por el cual una u otra de las partes hace arreglos para que un tercero cumpla con sus obligaciones en virtud de este acuerdo;

“Subcontratista posterior” se refiere a la parte a la cual se subcontratan las obligaciones.

2. CONTRAPRESTACIÓN

2.1 A cambio de que el Responsable del tratamiento contrate los servicios del Procesador para procesar datos personales en su nombre, el Procesador debe cumplir con las obligaciones de seguridad, confidencialidad y otras impuestas por este acuerdo y cualquier legislación aplicable de protección de datos.

3. DATOS DE PROCESAMIENTO

3.1 El Responsable del tratamiento puede enviar Datos personales al Procesador, cuya extensión es determinada y controlada por el Responsable del tratamiento a su sola discreción, e incluye, pero no se limita a, Datos personales relacionados con las siguientes categorías de personas afectadas:

• Clientes potenciales, clientes, socios comerciales y proveedores del Responsable del tratamiento (que son personas físicas);
• Empleados, agentes, asesores, freelancers del Responsable del tratamiento (que son personas físicas).

Puede incluir, pero no limitarse a, datos personales relacionados con las siguientes categorías de personas:

• Nombre y apellido, Cargo, Empleador, Datos de contacto (empresa, correo electrónico, teléfono, dirección profesional), Datos de identificación, Datos de vida profesional, Datos personales, Datos de ubicación.

El Subcontratista retendrá estos Datos personales hasta que se le solicite eliminarlos o tomar cualquier otra medida de conformidad con el RGPD del Reino Unido por parte del responsable del tratamiento, una persona o una empresa.

3.2 Sin perjuicio de la generalidad de la cláusula 5.2, el Responsable del tratamiento se asegurará de contar con todos los consentimientos y notificaciones apropiados necesarios para permitir la transferencia legal de los Datos personales al Subcontratista durante la duración y para los fines del presente acuerdo.

4. A) OBLIGACIONES DEL SUBCONTRATISTA

El Subcontratista se compromete a:

4.1 Procesar los datos personales solo por instrucciones documentadas del Responsable del tratamiento, incluidas las transferencias de datos personales a un tercer país u organización internacional, a menos que la ley de la Unión o la ley del Estado miembro al cual está sujeto el Subcontratista lo exija; en tal caso, el Subcontratista informará al Responsable del tratamiento sobre este requisito legal antes del tratamiento, a menos que la ley prohíba dicha información por razones importantes de interés público.

4.2 Tomar en cuenta la naturaleza del tratamiento y asistir al Responsable del tratamiento con medidas técnicas y organizativas apropiadas, en la medida de lo posible, para cumplir con la obligación del Responsable del tratamiento de responder a las solicitudes para ejercer los derechos de la persona concernida según lo establecido en el Capítulo III del Reglamento. Además, el Subcontratista debe:

4.2.1 nformar rápidamente al Responsable del tratamiento si recibe una solicitud de una Persona concernida bajo la Legislación de protección de datos con respecto a los Datos personales del Responsable del tratamiento; y

4.2.2 Asegurarse de que el Subcontratista no responda a esa solicitud, excepto según las instrucciones documentadas del Responsable del tratamiento o según lo requiera la Legislación de protección de datos a la cual está sujeto el Subcontratista; en este caso, el Subcontratista debe, en la medida permitida por la Legislación de protección de datos, informar al Responsable del tratamiento sobre este requisito legal antes de que el Subcontratista responda a la solicitud.

4.3 Tomar en cuenta el estado de la técnica, los costos de implementación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como el riesgo de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, y el Subcontratista implementará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo.

4.4 Considerar, al evaluar el nivel de seguridad apropiado, los riesgos que presenta el tratamiento, en particular la destrucción accidental o ilícita, la pérdida, la alteración, la divulgación no autorizada o el acceso no autorizado a los datos personales transmitidos, almacenados o procesados de otra manera.

4.5 Haber implementado medidas de seguridad técnicas y organizativas apropiadas, revisadas y aprobadas por el Controlador, para proteger los datos personales proporcionados o puestos a disposición por el Responsable del tratamiento al Subcontratista en el marco del presente acuerdo, según lo exige la Legislación de protección de datos. Se incluyen más detalles, incluida la norma mínima de protección de seguridad, en el Anexo 1 del presente acuerdo.

4.6 Para evitar cualquier ambigüedad, nada en el presente contrato exime al Subcontratista de sus propias responsabilidades directas en virtud del RGPD del Reino Unido.

4. B) OBLIGACIONES ADICIONALES DEL SUBCONTRATISTA

El Subcontratista también acepta, teniendo en cuenta la naturaleza del tratamiento y la información de la que dispone, lo siguiente:

4.7 Ayudar al Responsable del tratamiento a cumplir con su obligación de proteger los datos personales;

4.8 Ayudar al Responsable del tratamiento a cumplir con su obligación de notificar las violaciones de datos personales a la autoridad de supervisión, lo que incluye:

4.8.1 Informar al Responsable del tratamiento sin demora indebida tan pronto como el Subcontratista o cualquier Subcontratista posterior tenga conocimiento de una Violación de datos personales que afecte a los Datos personales del Responsable del tratamiento.

4.8.2 Dicha notificación debe contener como mínimo:

1. a) describir la naturaleza de la violación de datos personales, las categorías y la cantidad de personas afectadas, así como las categorías y la cantidad de registros de datos personales afectados;
2. b) proporcionar el nombre y los datos de contacto del delegado de protección de datos del Subcontratista o cualquier otro contacto relevante del cual se puedan obtener más detalles;
3. c) describir las posibles consecuencias de la violación de datos personales;
4. d) describir las medidas tomadas o propuestas para remediar la violación de datos personales.4.9 Además, cooperar con el Responsable del tratamiento y tomar medidas comerciales razonables prescritas por el Responsable del tratamiento para ayudar en la investigación, mitigación y corrección de cada violación de datos personales.4.10 Ayudar al Responsable del tratamiento a cumplir con su obligación de informar a las personas afectadas en caso de violación de datos personales.4.11 Ayudar al Responsable del tratamiento a cumplir con su obligación de realizar Evaluaciones de Impacto de Protección de Datos (AIPD).4.12 Ayudar al Responsable del tratamiento a cumplir con su obligación de consultar con la autoridad de supervisión cuando una AIPD indique que existe un riesgo elevado no mitigado para el tratamiento.
5. OTRAS OBLIGACIONES DE AMBAS PARTES

5.1 El Responsable del tratamiento y el Subcontratista deben tomar medidas para asegurar que cualquier persona física que actúe bajo la autoridad del Responsable del tratamiento o del Subcontratista y que tenga acceso a los datos personales, solo los trate bajo la instrucción del Responsable del tratamiento, a menos que la ley lo exija.

5.2 Ambas partes cumplirán con todos los requisitos aplicables de la legislación sobre protección de datos. Esta cláusula 5.2 es adicional y no exime, elimina ni reemplaza las obligaciones de una parte en virtud de la legislación sobre protección de datos.

6. CONFIDENCIALIDAD

6.1 El Subcontratista debe asegurarse de que las personas autorizadas para procesar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad.

6.2 En particular, el Subcontratista acepta que, sin la autorización escrita previa del Responsable del tratamiento, no divulgará ningún dato personal proporcionado al Subcontratista por, para o en nombre del Responsable del tratamiento a un tercero.

6.3 El Subcontratista no utilizará ningún dato personal proporcionado por el Responsable del tratamiento, excepto en el marco de la prestación de servicios al Responsable del tratamiento y según lo acordado en el presente acuerdo.

6.4 Las obligaciones establecidas en las cláusulas 6.1, 6.2 y 6.3 anteriormente continuarán durante un período de cinco años después de la cesación de la prestación de servicios por parte del Subcontratista al Responsable del tratamiento.

6.5 Nada en este acuerdo impide que cualquiera de las partes cumpla con cualquier obligación legal impuesta por un organismo regulador o un tribunal. Sin embargo, en la medida de lo posible, ambas partes discuten conjuntamente la respuesta adecuada a cualquier solicitud de divulgación de información proveniente de un organismo regulador o un tribunal.

7. COMPROMISO DE UN SUBCONTRATISTA POSTERIOR

7.1 Al celebrar el presente contrato, el Responsable del tratamiento autoriza por la presente al Subcontratista a designar Subcontratistas posteriores de Datos personales y, durante la vigencia del presente acuerdo, tiene el derecho general de designar Subcontratistas posteriores de Datos personales. El Subcontratista proporcionará al Responsable del tratamiento una notificación previa antes de designar Subcontratistas posteriores de cualquier dato personal que se sume a los indicados en el anexo 2.

7.2 El Subcontratista informará al Responsable del tratamiento sobre el uso de cualquier nuevo Subcontratista posterior antes de la adopción del Subcontratista posterior y la transferencia de los Datos del Responsable del tratamiento o la provisión de cualquier forma de acceso a los Datos del Responsable del tratamiento, dando así al Responsable del tratamiento la oportunidad de oponerse a dicho cambio y rescindir el acuerdo como resultado de dicho cambio. El Responsable del tratamiento debe asegurarse de que se obtengan todos los consentimientos necesarios para la protección de datos o de que se establezcan otros motivos legítimos para el tratamiento de datos personales. El uso continuado de los Servicios por parte del Responsable constituye una aprobación para el uso de este nuevo Subcontratista posterior y una confirmación por parte del Responsable del tratamiento de que el uso de todos los Subcontratistas posteriores es legal de acuerdo con las Leyes aplicables de protección de datos.

7.3 Cuando el Subcontratista contrate a un Subcontratista posterior para cumplir con sus obligaciones en virtud del presente acuerdo u otro instrumento jurídico, lo hará únicamente mediante un acuerdo por escrito con el Subcontratista posterior que imponga al menos el mismo nivel de protección al Responsable del tratamiento que el establecido en el presente acuerdo o cualquier otro instrumento jurídico, incluyendo, pero no limitándose a, proporcionar garantías suficientes con respecto a la seguridad del tratamiento sobre el Subcontratista posterior que se imponen al Subcontratista en virtud del presente contrato.

7.4 El Subcontratista acepta proporcionar al Responsable del tratamiento, para su revisión, copias del acuerdo escrito entre el Subcontratista y el Subcontratista posterior (que pueden ser editadas para eliminar información comercial confidencial no relevante para los requisitos del presente contrato) que el Responsable del tratamiento pueda solicitar de vez en cuando.

7.5 Para evitar cualquier ambigüedad, cuando el Subcontratista posterior no cumpla con sus obligaciones en materia de protección de datos, el Subcontratista será responsable ante el Responsable del tratamiento de llevar a cabo las obligaciones de ese otro Subcontratista.

8. VERIFICACIONES E INSPECCIONES

El Subcontratista se compromete a:

8.1 Poner a disposición del Responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente acuerdo y en la Legislación sobre protección de datos;

8.2 Permitir y contribuir a las auditorías, incluidas las inspecciones, llevadas a cabo por el controlador u otro auditor designado por el controlador.

8.3 El Subcontratista debe informar inmediatamente al Responsable del tratamiento si, en su opinión, una instrucción en virtud de la presente sección 8 infringe la legislación de protección de datos.

9. DURACIÓN Y TERMINACIÓN

9.1 Este acuerdo entrará en vigencia en la fecha de la orden y permanecerá en vigor hasta que el contrato sea rescindido de acuerdo con los Términos y Condiciones Generales de Prestación de Servicios.

9.2 Cada parte tiene el derecho de rescindir el contrato, parcial o totalmente, de inmediato mediante el envío de un aviso por escrito a la otra parte especificando las razones de la rescisión, si ocurre alguno de los siguientes eventos:

9.2.1 La otra parte incumple materialmente una de sus obligaciones en virtud de este acuerdo;

9.2.2 La otra parte incumple una de sus obligaciones en virtud de este acuerdo y, a pesar de una solicitud escrita de la parte no incumplidora para remediar tal violación, no cumple con dicha solicitud en un plazo de treinta (30) días después de dicho aviso;

9.2.3 Un caso de fuerza mayor prevalece durante un período superior a tres (3) meses; o

9.2.4 La otra parte se vuelve insolvente o entra en liquidación, se presenta una solicitud de quiebra en su contra o se nombra un síndico.

9.3 En la rescisión o vencimiento de este contrato, todos los derechos y obligaciones de las partes acumulados antes de la rescisión o vencimiento del mismo continuarán existiendo.

9.4 Dentro de los treinta (30) días siguientes a la rescisión de este contrato, el Subcontratista debe, a solicitud del Controlador, ya sea (a) devolver todos los datos personales transmitidos al Subcontratista por el Responsable del tratamiento para su procesamiento, o (b) a la recepción de las instrucciones del Responsable del tratamiento, destruir todos esos datos, a menos que al Subcontratista se le prohíba hacerlo por una ley aplicable.

9.5 El Subcontratista puede retener los Datos personales del Responsable del tratamiento en la medida requerida por la Legislación de protección de datos y solo en la medida y por el período requeridos por la Legislación de protección de datos y siempre y cuando el Subcontratista y cualquier Subcontratista posterior aseguren la confidencialidad de todos esos Datos personales del Responsable del tratamiento y se aseguren de que dichos Datos personales del Responsable del tratamiento se traten solo en la medida necesaria para los fines especificados en la Legislación de protección de datos que exige su almacenamiento y para ningún otro propósito.

9.6 El Subcontratista debe proporcionar una certificación escrita al Responsable del tratamiento de que él mismo y cualquier Subcontratista posterior han cumplido plenamente con esta sección 10 dentro de los treinta (30) días siguientes a la fecha de rescisión.

10. DERECHOS DE PROPIEDAD INTELECTUAL

10.1 El Subcontratista es y seguirá siendo propietario de todo el material utilizado o puesto a disposición en el marco de la prestación de los servicios.

10.2 El Subcontratista otorga al Responsable del tratamiento un derecho limitado, personal, no exclusivo y no transferible para usar cualquier material proporcionado en el marco de la prestación de los servicios. Esta licencia es válida durante la duración del contrato.

10.3 El Responsable del tratamiento es y seguirá siendo propietario de todos los datos personales proporcionados o puestos a disposición del Subcontratista en virtud del presente contrato.

10.4 El Responsable otorga al Subcontratista un derecho limitado, personal, no exclusivo y no transferible para utilizar los datos personales proporcionados únicamente en el marco de la prestación de los servicios. Esta licencia es válida durante la duración del contrato.

11. LEY APLICABLE

11.1 Este contrato está regido e interpretado exclusivamente de acuerdo con las leyes de Inglaterra y Gales.

12. INTEGRIDAD DEL ACUERDO

12.1 Este acuerdo contiene la totalidad del acuerdo y entendimiento entre las partes con respecto al objeto del mismo y sustituye a todos los acuerdos o entendimientos anteriores, ya sean escritos u orales, relacionados con el mismo objeto que aún estén vigentes entre las partes.

12.2 Cualquier modificación de este acuerdo, así como cualquier adición o eliminación, debe acordarse por escrito por ambas partes.

12.3 En la medida de lo posible, las disposiciones de este acuerdo deben interpretarse de manera que sean válidas y ejecutables de acuerdo con la ley aplicable establecida en la cláusula 11 anterior.

13. PARTIDA

13.1 Si alguna disposición de este acuerdo es inválida o inaplicable, el resto de este acuerdo seguirá siendo válido y efectivo. La disposición inválida o inaplicable será modificada, si es necesario, para garantizar su validez y aplicabilidad, preservando lo más cerca posible las intenciones de las partes, o si eso no es posible, se interpretará de manera que la parte inválida o inaplicable nunca haya estado contenida en ella.

14. ANEXO 1

Medidas técnicas y organizativas

De acuerdo con sus obligaciones según la cláusula 4 en relación con el tratamiento de datos personales en nombre del Responsable del tratamiento, el Subcontratista implementa, como mínimo, medidas técnicas y organizativas apropiadas para cumplir con los requisitos del Reglamento. Esto incluye los requisitos establecidos en la legislación de protección de datos, a saber:

• La seudonimización y el cifrado de datos personales.
• La capacidad para garantizar la confidencialidad, integridad, disponibilidad y resistencia continuas de los sistemas y servicios de tratamiento.
• La capacidad para restaurar la disponibilidad y el acceso a los datos personales de manera oportuna en caso de incidente físico o técnico.
• Un proceso de prueba regular para evaluar la eficacia de las medidas técnicas y organizativas destinadas a garantizar la seguridad del tratamiento.

14. ANEXO 2

Subcontratistas posteriores
TCCHE Ltd utiliza un número limitado de subcontratistas posteriores para proporcionar servicios al responsable del tratamiento. La siguiente lista de subcontratistas posteriores de datos que pueden utilizarse para prestar servicios se actualizará periódicamente para reflejar la situación operativa actual:

Correo electrónico, marketing y comunicaciones

1. Microsoft Ltd: suministro de servicios de correo electrónico utilizados por TCCHE para comunicarse con el controlador.
2. HubSpot, Inc.: suministro del sistema CRM y de correo electrónico de TCCHE.
3. WordPress, Inc.: aprovisionamiento del sistema de gestión de contenidos (CMS) de TCCHE.

Servidores y alojamiento

5. Kinsta, Inc.: suministro de servidores para la alojamiento de sitios web y almacenamiento de copias de seguridad.
6. Amazon Web Services, Inc.: suministro de servidores para la alojamiento de sitios web y almacenamiento de copias de seguridad.
7. GoDaddy Operating Company, LLC: suministro de registro de dominios y servicios SSL.
8. Cloudflare, Inc.: suministro de servicios de gestión de DNS.

Otro

ManageWP, LLC: suministro de herramientas de gestión de WordPress y funciones de seguridad.