El Contrato Marco de Prestación de Servicios de GDPRLocal y las condiciones adicionales aquí recogidas rigen nuestros productos, servicios y relaciones con los clientes.
No hay ningún requisito para contratar los servicios. No es necesario disponer de una tarjeta de crédito para registrarse y, una vez registrado, los servicios se pueden contratar y activar en cualquier momento.
El presente anexo forma parte del Contrato Marco de Prestación de Servicios («Contrato») entre el Cliente (en calidad de «responsable del tratamiento») y GDPRLocal Ltd («GDPRLocal»). En él se establece el alcance de los servicios del delegado de protección de datos («DPO») que prestará GDPRLocal. Los términos utilizados en el presente anexo tienen el mismo significado que en el Contrato Marco de Prestación de Servicios o en el Reglamento General de Protección de Datos (UE 2016/679) («RGPD»).
En el presente anexo, las referencias al «responsable del tratamiento» se refieren al cliente en su calidad de responsable del tratamiento con arreglo al RGPD.
1. Alcance de los servicios
1.1 Nombramiento. El responsable del tratamiento nombra a GDPRLocal como su delegado de protección de datos («DPO») externo, de conformidad con el artículo 37 del RGPD. GDPRLocal acepta este nombramiento y se compromete a prestar los servicios de DPO descritos en el presente anexo, de conformidad con el RGPD.
1.2 Funciones del delegado de protección de datos. De conformidad con el artículo 39 del RGPD, GDPRLocal deberá:
El responsable de la protección de datos, en el desempeño de sus funciones, tendrá debidamente en cuenta el riesgo asociado a las operaciones de tratamiento, teniendo en cuenta la naturaleza, el alcance, el contexto y los fines del tratamiento.
1.3 Servicios adicionales. Cualquier servicio solicitado por el responsable del tratamiento que quede fuera del ámbito de los servicios del delegado de protección de datos descritos en el presente anexo podrá solicitarse como servicio adicional facturable y como tarea, de conformidad con el contrato marco de prestación de servicios.
2. Independencia del delegado de protección de datos
2.1 Independencia. Las partes reconocen y acuerdan expresamente que:
2.2 Conflicto de intereses. El responsable del tratamiento deberá garantizar que cualquier tarea adicional asignada a GDPRLocal no entre en conflicto con las responsabilidades del delegado de protección de datos ni ponga en peligro su independencia, de conformidad con el artículo 38, apartado 6, del RGPD.
3. Niveles de servicio y entregables
3.1 Prestación de los servicios. GDPRLocal prestará los servicios descritos en el presente anexo con la periodicidad acordada entre la persona de contacto del cliente (identificada en el perfil de la cuenta del cliente) y GDPRLocal, teniendo en cuenta la naturaleza, el alcance, el contexto y el perfil de riesgo de las actividades de tratamiento del responsable del tratamiento.
3.2 Asesoramiento e informes. GDPRLocal proporcionará asesoramiento, recomendaciones e informes en plazos razonables acordados entre las partes en cada caso, teniendo en cuenta la complejidad y la urgencia del asunto.
4. Obligaciones del responsable del tratamiento
Además de las obligaciones establecidas en el artículo 6 de la MSA, el responsable del tratamiento deberá:
4.1 Proporcionar a GDPRLocal los recursos y el acceso a la información, los sistemas y el personal que sean razonablemente necesarios para la prestación de los Servicios, de conformidad con el artículo 38, apartado 2, del RGPD. El responsable del tratamiento se asegurará de que GDPRLocal participe de manera oportuna en cualquier proyecto o cambio que implique el tratamiento de datos personales;
4.2 Notificar sin demora a GDPRLocal: (a) cualquier violación de datos, ya sea real o sospechada; (b) cualquier comunicación procedente de una autoridad de control; y (c) cualquier solicitud de un interesado relacionada con los derechos que le asisten en virtud del RGPD;
4.3 Publicar los datos de contacto del delegado de protección de datos (DPO) y comunicarlos a la autoridad de control, tal y como exige el artículo 37, apartado 7, del RGPD, utilizando los datos de contacto que figuran en el anexo del presente anexo, y actualizar dichos datos sin demora tras recibir una notificación por escrito de GDPRLocal en la que se indique cualquier cambio.
5. Servicios que quedan fuera del ámbito de aplicación
5.1 Los Servicios se limitan a las funciones legales del responsable de la protección de datos descritas en la cláusula 1.2. Los Servicios no incluyen la prestación de asesoramiento jurídico, dictámenes jurídicos ni representación legal en litigios, procedimientos regulatorios ni ningún otro procedimiento formal. En caso de que se requiera asesoramiento o representación legal, el responsable del tratamiento deberá recurrir a un asesor jurídico independiente.
5.2 La función de GDPRLocal en relación con las solicitudes relativas a los derechos de los interesados es de carácter consultivo y de supervisión. La gestión operativa y la atención de las solicitudes relativas a los derechos de los interesados, incluidos el derecho de acceso, el de supresión y el de portabilidad, siguen siendo responsabilidad exclusiva del responsable del tratamiento.
5.3 Cualquier servicio que no entre dentro de las funciones legales del delegado de protección de datos (DPO), incluida la aplicación operativa de medidas de cumplimiento o el asesoramiento general en materia de protección de datos, podrá solicitarse como servicios y tareas adicionales facturables, de conformidad con el Contrato Marco de Prestación de Servicios.
6. Confidencialidad (Anexo específico del servicio al artículo 7 del MSA)
6.1 Las partes reconocen expresamente que GDPRLocal, en su calidad de delegado de protección de datos (DPO), está sujeta a la obligación de secreto o confidencialidad en relación con el desempeño de las funciones propias de un DPO, de conformidad con el artículo 38, apartado 5, del RGPD. Esta obligación es independiente de las obligaciones recíprocas de confidencialidad establecidas en el artículo 7 del MSA y se suma a ellas. En particular:
7. Responsabilidad e indemnización (Anexo específico del servicio a los artículos 10 y 11 del MSA)
7.1 Reconocimientos. Las partes reconocen y acuerdan que:
7.2 Limitación de responsabilidad (específica del servicio).
7.2.1 Sin perjuicio de lo dispuesto en la cláusula 7.4, la responsabilidad total de cualquiera de las partes en virtud del presente anexo no excederá el importe total de los honorarios pagados o pagaderos por el Responsable del tratamiento a GDPRLocal en relación con el Servicio de Delegado de Protección de Datos durante el período de doce (12) meses inmediatamente anterior al hecho que haya dado lugar a la reclamación.
7.2.2 Ninguna de las partes será responsable de pérdidas indirectas, consecuentes, especiales o punitivas.
7.2.3 GDPRLocal no asumirá responsabilidad alguna por: las pérdidas derivadas del incumplimiento por parte del responsable del tratamiento de las recomendaciones del delegado de protección de datos; las conclusiones de las autoridades reguladoras, las multas o las medidas coercitivas derivadas de las actividades de tratamiento del responsable del tratamiento; las pérdidas derivadas de información inexacta, incompleta o engañosa facilitada a GDPRLocal; ni las pérdidas atribuibles al incumplimiento por parte del responsable del tratamiento de las cláusulas 2.2 y 4.
7.3 Indemnización.
7.3.1 El Responsable del tratamiento indemnizará y eximirá de responsabilidad a GDPRLocal frente a cualquier pérdida, coste, reclamación, daño, multa o sanción regulatoria (incluidos los costes legales razonables) que se deriven de: cualquier reclamación por parte de una autoridad de control o de un tercero atribuible al incumplimiento por parte del Responsable del tratamiento de las recomendaciones razonables del Delegado de Protección de Datos (DPO) de GDPRLocal o al incumplimiento por parte del Responsable del tratamiento de la legislación aplicable; cualquier reclamación derivada del tratamiento realizado por el Responsable del tratamiento respecto al cual GDPRLocal haya proporcionado asesoramiento por escrito que no haya sido seguido; el incumplimiento por parte del Responsable del tratamiento de sus obligaciones en virtud de las cláusulas 2.2 y 4.
7.3.2 La indemnización no se aplicará en la medida en que la pérdida en cuestión sea directa y principalmente atribuible a una negligencia grave o a una conducta dolosa por parte de GDPRLocal. Para evitar cualquier duda, el ejercicio de buena fe por parte de GDPRLocal de su criterio independiente como delegado de protección de datos (incluidas las recomendaciones, evaluaciones u opiniones emitidas en el desempeño de sus funciones legales como delegado de protección de datos) no constituirá negligencia ni conducta dolosa.
7.4 Exclusiones del límite máximo. El límite máximo de responsabilidad establecido en la cláusula 7.2 no se aplica a: fallecimiento o lesiones personales causadas por negligencia; fraude o declaración fraudulenta; cualquier otra responsabilidad que no pueda limitarse en virtud de la legislación aplicable.
7.5 Seguro de responsabilidad civil profesional. GDPRLocal deberá mantener, durante toda la vigencia del contrato, un seguro de responsabilidad civil profesional por un importe no inferior a 1 000 000 £ por siniestro y en total por año de póliza. Se facilitará la documentación acreditativa previa solicitud razonable por escrito.
8. Duración y rescisión (específico del servicio)
8.1 Duración. El presente Anexo entrará en vigor en la Fecha de inicio del servicio y tendrá una duración inicial de doce (12) meses («Plazo inicial»), salvo que se rescinda antes de conformidad con la presente cláusula 8 o con el artículo 12 del MSA. Se renovará automáticamente por períodos sucesivos de doce meses («Plazos de renovación»), salvo que se notifique la no renovación al menos noventa (90) días antes de que finalice el plazo vigente en ese momento.
8.2 Rescisión por conveniencia. Sin perjuicio de lo dispuesto en el artículo 12.3 del MSA, cualquiera de las partes podrá rescindir el presente Anexo mediante notificación por escrito con una antelación mínima de noventa (90) días, derecho que solo podrá ejercerse tras la expiración del Plazo Inicial, sin perjuicio de los requisitos reglamentarios de notificación previstos en la cláusula 8.5.
8.3 Rescisión por causa justificada.
8.3.1 La rescisión por causa justificada se rige por el artículo 12.2 del MSA (incumplimiento grave, insolvencia, cese de la actividad), junto con las disposiciones adicionales específicas del servicio que figuran en la presente cláusula 8.3.
8.3.2 El responsable del tratamiento podrá rescindir el presente anexo con efecto inmediato únicamente si se determina que GDPRLocal ha actuado de mala fe o ha incumplido de forma grave y deliberada sus obligaciones profesionales en el ejercicio directo de sus funciones como delegado de protección de datos (DPO) en virtud del presente anexo, según lo establecido en una resolución firme e inapelable de un tribunal competente o de una autoridad de control. Esta restricción es necesaria para dar cumplimiento al artículo 38, apartado 3, del RGPD.
8.3.3 GDPRLocal podrá rescindir el presente Anexo con efecto inmediato si: (a) el responsable del tratamiento incumple repetidamente las recomendaciones razonables de GDPRLocal, de tal forma que la continuación de la prestación del servicio implicaría seguir vinculado a un tratamiento que incumple de manera sustancial la normativa; (b) el responsable del tratamiento intente dar instrucciones a GDPRLocal de una manera que comprometa la independencia exigida en virtud del artículo 38, apartado 3, del RGPD; o (c) el responsable del tratamiento no abone los honorarios no impugnados en un plazo de 30 días a partir de la fecha de vencimiento y no subsane la situación en un plazo de 15 días a partir de la notificación por escrito.
8.4 Consecuencias de la rescisión. GDPRLocal proporcionará un informe de traspaso por escrito en un plazo de 15 días hábiles en el que se recojan los asuntos pendientes relacionados con el responsable de la protección de datos (DPO), la correspondencia regulatoria pendiente y las solicitudes de acceso a los datos (DSAR) pendientes (limitado a los asuntos en curso en el momento de la rescisión; no se incluirán nuevos trabajos). Cooperación transitoria con cualquier responsable de protección de datos entrante durante un máximo de 30 días, según las tarifas estándar de GDPRLocal, siempre que se hayan liquidado los honorarios pendientes. En un plazo de 30 días, devolución o destrucción de la información confidencial previa solicitud por escrito (salvo en los casos en que la ley permita su conservación). Las cláusulas 6, 7 y 8.4 seguirán vigentes tras la rescisión.
8.5 Aviso normativo. Las partes cooperarán para garantizar que la rescisión del presente anexo se gestione de conformidad con los requisitos aplicables de las autoridades de control, lo que incluye notificar a la autoridad de control pertinente la rescisión del nombramiento del delegado de protección de datos (DPO), actualizar los datos de contacto del DPO publicados y cualquier registro ante las autoridades de control, y garantizar que el responsable del tratamiento no opere sin un DPO nombrado legalmente durante cualquier período de nombramiento obligatorio.
El responsable del tratamiento asume la responsabilidad exclusiva de garantizar la continuidad del nombramiento de su delegado de protección de datos tras la rescisión del presente anexo.
__________________________________________________
Nota: La presente Declaración de trabajo («SOW») se adjunta al Anexo 4 de servicios (Servicios del responsable de protección de datos) y forma parte del mismo, el cual, a su vez, forma parte del Contrato marco de servicios («MSA») entre [Nombre de la empresa] (el «Responsable del tratamiento») y GDPRLocal Ltd («GDPRLocal»). Los términos en mayúsculas tienen el mismo significado que en el Anexo o en el MSA.
Fecha de entrada en vigor: la fecha en la que se activan los servicios del responsable de la protección de datos (DPO), según consta en el registro de activación del servicio.
Plazo inicial: 12 meses a partir de la fecha de entrada en vigor, con renovación automática de conformidad con el artículo 8.1 del Anexo 4.
| Nombre de la empresa | [Nombre de la empresa] |
| Nombre de la persona de contacto | [Nombre de la persona de contacto] |
| Correo electrónico de contacto | [Correo electrónico de contacto] |
| Número de contacto | [Número de contacto] |
| Entidad designada como responsable de la protección de datos | GDPRLocal Ltd |
| Domicilio social | Suite delantera de la primera planta, 27-29 North Street, Brighton, Inglaterra BN1 1EB |
| Correo electrónico | [email protected] |
| Tel. | +44 1772 217 800 |
A continuación se detallan los servicios del responsable de la protección de datos (DPO) que se prestarán en virtud del presente pliego de condiciones.
| Servicio de DPOe | Los servicios incluyend |
| Informar y asesorar al responsable del tratamiento, a su dirección y a su personal sobre sus obligaciones en virtud del RGPD. | Se llevará a cabo durante toda la vigencia del contrato. |
| Supervisar el cumplimiento por parte del responsable del tratamiento del RGPD y de sus políticas y procedimientos de protección de datos, entre otras cosas mediante revisiones periódicas de cumplimiento, auditorías internas y la revisión de la documentación pertinente en materia de protección de datos. | Revisión inicial del cumplimiento al inicio del contrato y revisión anual del cumplimiento, que deberá completarse a más tardar al final de cada año contractual. |
| Revisar y actualizar los registros de actividades de tratamiento del responsable del tratamiento como parte del seguimiento continuo del cumplimiento normativo. | Una vez por año contractual, y actualizada en el plazo de un mes natural a partir de la notificación de cualquier actividad de tratamiento nueva o modificada que sea relevante. Se incluye la plantilla de «Registros de actividades de tratamiento». |
| Asesorar al responsable del tratamiento sobre las necesidades de formación del personal en materia de cumplimiento de la normativa de protección de datos y, cuando así se haya acordado expresamente, colaborar en las actividades de sensibilización. | Una evaluación de las necesidades de formación por cada año contractual, documentada en una Política y un Plan de Formación del Personal. |
| Asesorar sobre las evaluaciones de impacto relativas a la protección de datos (DPIA) y, cuando proceda, sobre otras evaluaciones de riesgos para la privacidad, y supervisar su ejecución. | Asesoramiento estratégico sobre la EIPD basado en la revisión inicial de cumplimiento, que se actualiza anualmente. Se proporciona asesoramiento estratégico sobre la EIPD tras la notificación de una actividad o un sistema de tratamiento nuevos o modificados. *La elaboración de EIPD queda fuera del alcance de estos servicios y se considerará un servicio adicional (marco de tareas, MSA §5.5). |
| Actuar como punto de contacto para los interesados en cuestiones relacionadas con el tratamiento de sus datos personales y el ejercicio de sus derechos en virtud del RGPD, lo que incluye asesorar al responsable del tratamiento en la gestión de las solicitudes de los interesados cuando sea necesario. | Se facilitan a los interesados los datos de contacto del responsable de la protección de datos. Se incluye el acceso al portal GDPRLocal a través de Privacy Manager. La gestión operativa y la atención de las solicitudes de los interesados en relación con sus derechos —incluidos el acceso, la supresión y la portabilidad— siguen siendo responsabilidad exclusiva del responsable del tratamiento. *La asistencia directa prestada al responsable del tratamiento en relación con la gestión de los asuntos relativos a los derechos de protección de datos queda fuera del alcance de estos servicios y se considerará un servicio adicional. |
| Actuar como punto de contacto para la autoridad de control competente en cuestiones relacionadas con el tratamiento de datos personales y cooperar con dicha autoridad cuando sea necesario. | Se facilitan los datos de contacto del responsable de la protección de datos (DPO) a las autoridades de control pertinentes. Se incluye asesoramiento normativo inicial. *El apoyo directo prestado al responsable del tratamiento en relación con la gestión de las solicitudes de las autoridades de control queda fuera del alcance de estos servicios y se considerará un servicio adicional. |
| Asesorar al responsable del tratamiento, cuando sea necesario, sobre las obligaciones de notificación de violaciones de datos personales previstas en los artículos 33 y 34 del RGPD, tras la notificación de una violación sospechada o confirmada. | Se incluye el acceso a Data Breach Manager en el portal GDPRLocal. Se ofrece asesoramiento inicial tras la notificación de una violación de datos personales, ya sea sospechosa o confirmada. Se incluye una plantilla de política de violación de datos. *La asistencia directa prestada al responsable del tratamiento en relación con la gestión de las violaciones de datos queda fuera del alcance de estos servicios y se considerará un servicio adicional. |
| Informar periódicamente al máximo nivel directivo de la Contraloría sobre el estado del cumplimiento, los riesgos significativos en materia de protección de datos y las recomendaciones derivadas del desempeño de las funciones del delegado de protección de datos. | Se han celebrado reuniones con el delegado de protección de datos (DPO) con la periodicidad acordada y confirmada con el responsable del tratamiento. Se ha presentado un informe de cumplimiento del DPO cada seis meses. |
El presente pliego de condiciones podrá revisarse y actualizarse mediante acuerdo por escrito entre las Partes, cuando sea necesario, para reflejar cambios sustanciales en las actividades de tratamiento del responsable del tratamiento, los requisitos del servicio o las prioridades de cumplimiento.
El presente acuerdo escrito ha sido acordado y firmado por los representantes autorizados de las Partes.