El Contrato Marco de Prestación de Servicios de GDPRLocal y las condiciones adicionales aquí recogidas rigen nuestros productos, servicios y relaciones con los clientes.
No hay ningún requisito para contratar los servicios. No es necesario disponer de una tarjeta de crédito para registrarse y, una vez registrado, los servicios se pueden contratar y activar en cualquier momento.
El presente anexo forma parte del Contrato Marco de Prestación de Servicios («Contrato») entre el Cliente y GDPRLocal Ltd («GDPRLocal»). En él se establece el alcance de los servicios de representación en Suiza previstos en el artículo 14 que prestará GDPRLocal (a través del representante designado). Los términos utilizados en este anexo tienen el mismo significado que en el Contrato Marco de Prestación de Servicios.
En caso de conflicto entre el presente anexo y el Contrato Marco de Prestación de Servicios, prevalecerá el presente anexo.
1.1 Designación. Con efecto a partir de la Fecha de inicio del servicio, el Cliente designa al Representante designado para que actúe como su representante en Suiza, de conformidad con el artículo 14 de la Ley Federal Suiza de Protección de Datos («FADP»). El presente anexo constituye el mandato por escrito exigido en virtud del artículo 14 de la FADP. El Representante Designado acepta este nombramiento y se compromete a prestar los servicios de representación descritos en el presente anexo, de conformidad con el artículo 14 de la FADP. El mandato no confiere autoridad para tomar decisiones sustantivas en nombre del Cliente en relación con las actividades de tratamiento, para vincular al Cliente a ningún compromiso de cumplimiento, ni para actuar como representante legal en litigios o procedimientos de ejecución.
1.2 Artículo 14: Obligaciones del representante en Suiza. De conformidad con el artículo 14 de la FADP, GDPRLocal deberá (a través del representante designado):
actuar como punto de contacto para el Comisionado Federal de Protección de Datos e Información (FDPIC) y cualquier otra autoridad de control competente en todas las cuestiones relacionadas con las actividades de tratamiento comprendidas en el mandato correspondiente;
actuar como punto de contacto para los interesados en Suiza en cuestiones relacionadas con dichas actividades de tratamiento;
recibir y transmitir las comunicaciones dirigidas al representante designado y remitir dichas comunicaciones al cliente sin demoras indebidas;
llevar un registro de las actividades de tratamiento del Cliente (que contenga la información exigida por el artículo 12 de la FADP) y ponerlo a disposición del FDPIC cuando este lo solicite, de conformidad con las obligaciones del representante designado en virtud del artículo 15 de la FADP;
colaborar con el FDPIC en el cumplimiento de las obligaciones directas del representante designado, con arreglo al artículo 15 de la FADP;
prestar apoyo al cliente a la hora de responder a las consultas e investigaciones de las autoridades de supervisión o a las medidas coercitivas, y coordinar las respuestas, sin asumir, no obstante, la facultad de tomar decisiones;
proporcionar orientación general sobre las expectativas normativas suizas (incluidas las directrices de la FDPIC) en relación con la función de representante y notificar al cliente los cambios normativos pertinentes que afecten a las obligaciones derivadas del artículo 14.
El representante designado, en el desempeño de sus funciones, deberá tener debidamente en cuenta el riesgo asociado a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento.
2.1 Prestación del servicio. GDPRLocal actuará siguiendo las instrucciones de la persona de contacto del cliente indicada en el perfil de la cuenta del cliente, o de cualquier otra persona expresamente autorizada por el cliente por escrito.
2.2 Asesoramiento y notificación. Cuando GDPRLocal reciba una comunicación de la FDPIC, de cualquier otra autoridad de control competente o de un interesado que requiera una respuesta dentro de un plazo determinado, GDPRLocal lo notificará inmediatamente al contacto del cliente y especificará el plazo de respuesta. Si el Cliente no facilita instrucciones a tiempo, GDPRLocal podrá: (a) responder con un acuse de recibo provisional, o (b) notificar a la FDPIC o al interesado que el asunto se remite al Cliente. El Cliente reconoce que GDPRLocal no se hace responsable del incumplimiento de los plazos debido a que el Cliente no haya facilitado instrucciones a tiempo.
Además de las obligaciones establecidas en el artículo 6 del MSA, el Cliente deberá:
3.1 Facilitar a GDPRLocal la información, la documentación y la colaboración que sean razonablemente necesarias para la prestación de los Servicios, incluyendo: datos precisos sobre la entidad jurídica del Cliente o las entidades cubiertas por el contrato; detalles sobre las actividades de tratamiento incluidas en el ámbito de aplicación del contrato correspondiente; y una copia del Registro de actividades de tratamiento;
3.2 Responder con prontitud a todas las comunicaciones remitidas por GDPRLocal y facilitar oportunamente las instrucciones, la información y las decisiones necesarias para la gestión de dichas comunicaciones;
3.3 Notificar sin demora a GDPRLocal: (a) cualquier violación de datos, ya sea sospechada o real; (b) cualquier cambio en las actividades de tratamiento del Cliente que afecte de manera sustancial al alcance o la naturaleza del nombramiento del representante; (c) cualquier comunicación directa recibida por el Cliente por parte del FDPIC o de cualquier otra autoridad de control competente; (d) cualquier litigio o procedimiento regulatorio iniciado contra el Cliente en relación con su tratamiento de datos personales de interesados en Suiza; y (e) cualquier solicitud de un interesado relacionada con los derechos previstos en la FADP;
3.4 publicar los datos de contacto del representante en Suiza y comunicárselos al FDPIC, tal y como exige la FADP, utilizando los datos de contacto del representante designado que figuran en el anexo del presente anexo, y garantizar que dichos datos de contacto se reflejen correctamente en todos los avisos de privacidad del cliente, en las políticas de privacidad de su sitio web y en las comunicaciones dirigidas a los interesados, tal y como exige el artículo 19 de la FADP;
3.5 Asumir la responsabilidad exclusiva de la exactitud, integridad y actualidad del ROPA. La obligación del representante designado de llevar un registro, con arreglo al artículo 15 de la FADP, está supeditada a que el cliente facilite un ROPA exacto;
3.6 No realizar ninguna acción que: (a) exponga a GDPRLocal o al representante designado a procedimientos de ejecución o sanciones regulatorias, salvo que ello sea una consecuencia inevitable de la función del representante designado; (b) obligue a GDPRLocal o al representante designado a realizar declaraciones inexactas ante una autoridad de control; o (c) provoque que GDPRLocal o el representante designado actúen infringiendo la FADP u otra legislación aplicable.
4.1 Salvo que se acuerde expresamente en el momento de la activación, los Servicios no incluirán asesoramiento ni servicios sustantivos en materia de cumplimiento de la FADP (que, en su caso, se regulan en anexos de servicios independientes), ni la prestación de asesoramiento jurídico o representación legal. En caso de que se requiera asesoramiento jurídico, el Cliente deberá recurrir a un asesor jurídico independiente.
4.2 GDPRLocal y el representante designado no asumirán ninguna responsabilidad de gestión ni autoridad para tomar decisiones operativas.
4.3 La función del representante designado en relación con las solicitudes relativas a los derechos de los interesados es de carácter consultivo y de supervisión; la gestión operativa de dichas solicitudes sigue siendo responsabilidad exclusiva del cliente.
4.4 Cualquier servicio que no entre dentro de las funciones de representación previstas en el artículo 14 de la ley podrá solicitarse como servicio adicional facturable y como tarea, de conformidad con el Contrato Marco de Prestación de Servicios.
5.1 Marco de reconocimiento de responsabilidad. Las partes reconocen lo siguiente:
En virtud de la FADP y de conformidad con las directrices de la FDPIC, el representante designado no es responsable subsidiario de los incumplimientos de la FADP por parte del cliente. Su responsabilidad directa se limita a sus propias obligaciones legales previstas en el artículo 14 de la FADP.
La exposición del representante designado a procedimientos de ejecución se deriva de su condición de punto de contacto local del cliente en Suiza y constituye una característica estructural de la función prevista en el artículo 14, no un indicio de culpabilidad. La distribución contractual del riesgo refleja esta circunstancia.
5.2 Limitación de responsabilidad (específica del servicio).
5.2.1 Sin perjuicio de lo dispuesto en la cláusula 5.5, la responsabilidad total de cualquiera de las partes en virtud del presente anexo no excederá el importe total de los honorarios pagados o pagaderos por el Cliente en relación con el servicio de representación en Suiza previsto en el artículo 14 durante el período de doce (12) meses inmediatamente anterior al hecho que haya dado lugar a la reclamación.
5.2.2 Ninguna de las partes será responsable de pérdidas indirectas, consecuentes, especiales o punitivas.
5.2.3 GDPRLocal y el representante designado no asumirán responsabilidad alguna por: multas o sanciones de la FADP impuestas al Cliente; pérdidas derivadas del incumplimiento por parte del Cliente de la FADP o de la falta de facilitación de información sobre la protección de datos (ROPA) o instrucciones precisas y oportunas; consecuencias de no actualizar los avisos de privacidad con los datos de contacto correctos; las pérdidas atribuibles a la falta de notificación por parte del Cliente de un hecho relevante según lo establecido en la cláusula 3; las pérdidas derivadas del reenvío de buena fe por parte de GDPRLocal de comunicaciones a las que el Cliente no haya respondido adecuadamente.
5.3 Indemnización por parte del Cliente. El Cliente indemnizará, defenderá y eximirá de responsabilidad a GDPRLocal, al Representante Designado y a sus respectivas filiales, directivos, empleados y agentes (cada uno de ellos, una «Persona Indemnizada») frente a las pérdidas (incluidos los gastos legales razonables con carácter de indemnización total) que se deriven de: procedimientos de ejecución; reclamaciones de los interesados relacionadas con el tratamiento realizado por el Cliente; el incumplimiento por parte del Cliente de las obligaciones establecidas en la cláusula 3; la falta de presentación de un ROPA preciso; y los costes derivados de responder a los procedimientos de ejecución o a las consultas de la autoridad de control en nombre del Cliente.
5.4 Procedimiento de defensa. Tras la notificación de cualquier reclamación que pueda dar lugar a indemnización: GDPRLocal lo notificará al Cliente sin demora; el Cliente se hará cargo de la defensa a su costa (la persona indemnizada podrá participar a cargo del Cliente; no se alcanzará ningún acuerdo desfavorable para la persona indemnizada sin su consentimiento); la persona indemnizada cooperará de forma razonable; si no se asume la defensa en un plazo de 15 días laborables, GDPRLocal podrá hacerse cargo de la misma a cargo del Cliente.
5.5 Exclusiones de la limitación. El límite de responsabilidad establecido en la cláusula 5.2 no se aplica a: las obligaciones de indemnización del Cliente previstas en la cláusula 5.3; la responsabilidad por fallecimiento o lesiones personales causadas por negligencia; el fraude o la tergiversación fraudulenta; cualquier otra responsabilidad que no pueda limitarse en virtud de la legislación aplicable.
5.6 Seguro de responsabilidad civil profesional. GDPRLocal deberá mantener, durante toda la vigencia del contrato, un seguro de responsabilidad civil profesional por un importe no inferior a 1 000 000 £ por siniestro y en total por año de póliza. Se facilitará la documentación correspondiente previa solicitud razonable por escrito.
6.1 Duración. El presente Anexo entrará en vigor en la Fecha de inicio del servicio y tendrá una duración inicial de doce (12) meses («Plazo inicial»), salvo que se rescinda antes de conformidad con la presente cláusula 6 o con el artículo 12 del MSA. Se renovará automáticamente por períodos sucesivos de doce meses («Plazos de renovación»), salvo que se notifique la no renovación al menos noventa (90) días antes de que finalice el plazo vigente en ese momento.
6.2 Rescisión por conveniencia. Sin perjuicio de lo dispuesto en el artículo 12.3 del MSA, cualquiera de las partes podrá rescindir el presente Anexo mediante un preaviso por escrito de al menos noventa (90) días, que solo podrá ejercerse tras la expiración del Plazo Inicial. El preaviso de 90 días refleja el interés legítimo de GDPRLocal en la continuidad y la necesidad del Cliente de designar a un representante suizo sustituto, de conformidad con el artículo 14, para evitar infringir la FADP.
6.3 Derecho de rescisión adicional. GDPRLocal podrá, además, rescindir el contrato con efecto inmediato si: (a) el Cliente facilita información relativa a la ROPA que sea sustancialmente inexacta, de tal forma que su cumplimiento suponga una declaración falsa ante las autoridades de control; o (b) las instrucciones del Cliente requirieran la realización de acciones ilícitas o expusieran a GDPRLocal o al representante designado a una responsabilidad desproporcionada.
6.4 Derecho de renuncia en situaciones de ejecución. La práctica habitual en el mercado para los representantes a los que se refiere el artículo 14 establece un derecho específico de renuncia en caso de que el cliente deje de cooperar durante los procedimientos de ejecución. GDPRLocal podrá renunciar con efecto inmediato si:
Se inician procedimientos de ejecución contra el representante designado y el cliente (i) no asume la defensa en un plazo de 15 días hábiles; (ii) no facilita las instrucciones adecuadas dentro de los plazos establecidos; o (iii) no coopera;
el Cliente deja de responder a las comunicaciones de GDPRLocal durante más de 15 días hábiles mientras esté en curso una investigación de la FDPIC o un procedimiento coercitivo;
el Cliente está llevando a cabo un tratamiento que constituye una infracción grave y continuada de la FADP y se niega a subsanarla tras haber recibido una notificación por escrito.
La rescisión inmediata en tales circunstancias no constituirá un incumplimiento. El Cliente asume la responsabilidad exclusiva de cualquier consecuencia normativa derivada de una interrupción en la cobertura.
6.5 Consecuencias de la rescisión. En un plazo de 5 días hábiles: GDPRLocal dejará de actuar como representante del Cliente y lo notificará a la FDPIC cuando así lo exija la legislación suiza; el Cliente actualizará todos los avisos de privacidad para eliminar los datos del representante designado. En un plazo de 15 días hábiles: GDPRLocal entrega una copia del ROPA y del registro de comunicaciones. Cualquier procedimiento coercitivo pendiente que se haya tramitado con arreglo a las disposiciones transitorias (o, en su defecto, en un plazo de 10 días hábiles, GDPRLocal podrá notificar la rescisión a la FDPIC y remitir el asunto al Cliente). El Cliente abonará las tarifas y los gastos pendientes. Las cláusulas 5 y 6.5 seguirán vigentes tras la rescisión.
6.6 Aviso normativo. El Cliente asume la responsabilidad exclusiva de designar a un representante sustituto, de conformidad con el artículo 14, antes de la rescisión o inmediatamente después de la misma, con el fin de evitar infringir la FADP. GDPRLocal colaborará, a título de cortesía, con cualquier sustitución, aplicando sus tarifas estándar vigentes en ese momento.
__________________________________________________
La presente Declaración de trabajo («SOW») se adjunta al presente Anexo y forma parte del mismo, el cual, a su vez, forma parte del Contrato marco de servicios celebrado entre el Cliente y GDPRLocal Ltd. Los términos en mayúsculas tienen el mismo significado que en el Anexo o en el Contrato.
El pliego de condiciones (SOW) lo genera y registra GDPRLocal en el momento de la activación del servicio (ya sea a través de la plataforma de GDPRLocal o mediante confirmación por escrito) y recoge el alcance específico, los honorarios y los parámetros operativos de este encargo. La identidad del cliente se rellena automáticamente a partir del perfil de su cuenta y no se vuelve a introducir aquí.
| Nombre de la empresa | [Nombre de la empresa] |
| Nombre de la persona de contacto | [Nombre de la persona de contacto] |
| Correo electrónico de contacto | [Correo electrónico de contacto] |
| Número de contacto | [Número de contacto] |
Fecha de entrada en vigor: la fecha y la hora de activación del Servicio (la «Fecha de inicio del Servicio»).
Duración inicial: doce (12) meses a partir de la fecha de inicio del servicio [fecha de activación del servicio], de conformidad con el apartado 6.1 del anexo, salvo que se acuerde otra cosa.
Renovación automática y notificación según lo establecido en el apartado 6.1 del anexo.
Ámbito de representación: Suiza (artículo 14 de la FADP).
Actividades de tratamiento incluidas en el ámbito de aplicación: tal y como se establecen en los Registros de actividades de tratamiento (ROPA) del cliente facilitados a GDPRLocal con arreglo al apartado 3.5 del anexo.
Referencia ROPA: Se adjuntará la referencia ROPA en el momento de la activación, o bien deberá ser facilitada por el cliente en un plazo de 15 días a partir de la activación.
Exclusiones del ámbito de aplicación (si las hubiera): cualquier actividad de tratamiento que quede expresamente fuera del ámbito de aplicación del representante; en caso contrario, «ninguna».
Cuota de suscripción: según lo establecido en la tarifa vigente en el momento de la activación.
Periodicidad de facturación: [mensual/anual], según la opción elegida por el cliente en el momento de la activación (MSA, apartado 5.2).
Modificación negociada (en su caso, se detallará en documentación escrita aparte).
Moneda: GBP. Todas las tarifas no incluyen el IVA ni ningún otro impuesto aplicable.
| Entidad representante designada | ALTRION Sagl |
| Domicilio social | Via Luigi Lavizzari, 8, Mendrisio – Suiza |
| Correo electrónico | [email protected] |
| Tel. | +44 1772 217 800 |
GDPRLocal presta el servicio de representación en Suiza a través de su socio suizo ALTRION Sagl. ALTRION Sagl desempeña la función de representante designado en la dirección de Mendrisio, en virtud del contrato de GDPRLocal con el cliente. La asignación interna de las personas que desempeñan la función de representante en cada momento queda a discreción de GDPRLocal y ALTRION Sagl; GDPRLocal notificará al cliente cualquier cambio permanente en la persona de contacto designada en un plazo de treinta (30) días laborables.
El Cliente deberá publicar, en sus avisos de privacidad, en las políticas de privacidad de sus sitios web y en cualquier otra comunicación exigida por el artículo 19 de la FADP, el siguiente texto (o uno equivalente que transmita la misma información):
«Nuestro representante en Suiza, de conformidad con el artículo 14 de la FADP, es ALTRION Sagll, Via Luigi Lavizzari 8, Mendrisio (Suiza). Página web: https://gdprlocal.com. Los interesados suizos y el Comisionado Federal de Protección de Datos e Información (FDPIC) pueden ponerse en contacto con nuestro representante en Suiza a través de [email protected] o del número +44 1772 217 800.»
El Cliente deberá actualizar dichos datos de contacto sin demora tras recibir una notificación por escrito de GDPRLocal en la que se le comunique cualquier cambio en dichos datos.
| Servicio | Servicios incluidos | Cronología |
| Nombramiento y representación | Designación oficial como representante en Suiza con arreglo al artículo 14 de la FADP; mandato de representación autorizado; inclusión en la política de privacidad | Único (incorporación) |
| Punto de contacto en materia de normativa | Recepción y reenvío de las comunicaciones del FDPIC y de otras autoridades de control; apoyo en la coordinación de las respuestas | Envío en un plazo de 1 a 3 días laborables |
| Función de contacto para los interesados | Recepción y tramitación de solicitudes de los interesados (DSAR) procedentes de interesados suizos; registro de las mismas, cuando proceda | Envío en un plazo de 1 a 3 días laborables |
| Registros de actividades de tratamiento (ROPA) | Mantener el acceso a los registros previstos en el artículo 12 para las inspecciones reglamentarias; garantizar la seguridad del almacenamiento y el acceso; facilitarlos a las autoridades cuando así lo soliciten. | En curso / bajo petición |
| Apoyo a la cooperación en materia de regulación | Coordinación de la comunicación durante las consultas o investigaciones; seguimiento de los intercambios normativos | Según sea necesario |
| Gestión de la comunicación y escalado | Escalado oportuno de las comunicaciones normativas o de alto riesgo; señalización prioritaria de los asuntos urgentes | Según sea necesario |
| Interfaz de cumplimiento normativo | Orientaciones generales relativas a las obligaciones derivadas del artículo 14; notificaciones sobre novedades normativas; orientaciones prácticas (que no constituyen asesoramiento jurídico) | Según sea necesario |
El presente pliego de condiciones podrá revisarse y actualizarse mediante acuerdo por escrito entre las partes cuando sea necesario para reflejar cambios sustanciales en las actividades de tratamiento del Cliente, sus requisitos de servicio o sus prioridades en materia de cumplimiento. Cualquier actualización de este tipo se registrará como un pliego de condiciones revisado asociado a la cuenta del Cliente.
El presente pliego de condiciones se considerará aceptado por el cliente en el momento de la activación del servicio (ya sea mediante activación a través del portal o mediante una confirmación por escrito aceptada por GDPRLocal). No se requiere ninguna firma física.