El Contrato Marco de Prestación de Servicios de GDPRLocal y las condiciones adicionales aquí recogidas rigen nuestros productos, servicios y relaciones con los clientes.
No hay ningún requisito para contratar los servicios. No es necesario disponer de una tarjeta de crédito para registrarse y, una vez registrado, los servicios se pueden contratar y activar en cualquier momento.
El presente anexo forma parte del Contrato Marco de Prestación de Servicios («Contrato») entre el Cliente (que actúa en calidad de «Organización» en virtud de la PDPA) y GDPRLocal Ltd («GDPRLocal»). En él se establece el alcance de los servicios prestados por GDPRLocal en su calidad de responsable de protección de datos de Singapur, en el marco de la función legal que le confiere el artículo 11 de la Ley de Protección de Datos Personales de 2012 de Singapur («PDPA»). Los términos utilizados en el presente anexo tienen el mismo significado que en el Contrato Marco de Prestación de Servicios.
En el presente anexo: «PDPA» se refiere a la Ley de Protección de Datos Personales de Singapur de 2012, junto con toda la legislación derivada, las directrices orientativas y los códigos de buenas prácticas que la Comisión de Protección de Datos Personales («PDPC») publique periódicamente; «DPO» se refiere al responsable de protección de datos designado por la organización en virtud del artículo 11 de la PDPA; «Registro de DPO de la PDPC» se refiere al registro de responsables de protección de datos que mantiene la Comisión de Protección de Datos Personales de Singapur.
Este servicio se presta únicamente con cita previa y cuenta con un cupo mensual limitado de asesoramiento. Las tareas sustantivas relacionadas con el cumplimiento de la PDPA, la elaboración de políticas y procedimientos, la gestión de consultas de los interesados, la respuesta ante incidentes y la colaboración sustantiva con la PDPC quedan fuera de la suscripción y están disponibles como servicios adicionales, tal y como se establece en el artículo 6.
1.1 Nombramiento. Con efecto a partir de la Fecha de inicio del servicio, el Cliente nombra a GDPRLocal para que actúe como su delegado de protección de datos a los efectos de el artículo 11 de la PDPA. El presente anexo constituye el nombramiento por escrito del delegado de protección de datos. El nombramiento no transfiere ninguna obligación de la Organización a GDPRLocal, no confiere autoridad para tomar decisiones sustantivas en materia de cumplimiento en nombre del Cliente y no constituye asesoramiento jurídico ni representación legal.
1.2 Funciones legales incluidas. Como parte de la suscripción, GDPRLocal deberá:
1.3 Asignación mensual de asesoramiento. La suscripción incluye hasta una (1) hora de asesoramiento general sobre la PDPA por mes natural, prestado por correo electrónico o mediante una llamada programada. La asignación no se traslada a los meses siguientes ni es acumulable. La asignación se limita a la orientación de asesoramiento «en la medida de lo posible»; no incluye la respuesta a incidentes, la redacción de documentación sustantiva, el apoyo en investigaciones de la PDPC, la gestión de consultas de los interesados, el trabajo de auditoría ni ninguna de las actividades establecidas en el §5. El tiempo necesario que exceda la asignación mensual, o para cualquier actividad fuera del alcance incluido, está disponible como un servicio adicional en virtud del §6 y se factura según la tarifa de servicios profesionales establecida en la lista de tarifas.
1.4 Inscripción en el registro de la PDPC. El Cliente es responsable de presentar la designación del delegado de protección de datos (DPO) ante la PDPC (ya sea a través del servicio de tramitación de expedientes de la PDPC o por cualquier otro medio) y de mantener dicha presentación actualizada. GDPRLocal facilitará la información de contacto del DPO designado necesaria para la presentación y notificará al Cliente cualquier cambio en los datos de contacto del DPO designado en un plazo de treinta (30) días hábiles.
2.1 Independencia profesional. GDPRLocal desempeñará la función de delegado de protección de datos (DPO) con la diligencia y la competencia razonables, y no aceptará instrucciones del Cliente en relación con el desempeño de tareas que puedan comprometer la integridad profesional de la función de DPO o los requisitos de la PDPA.
2.2 No delegación de la función legal del Cliente. El nombramiento de GDPRLocal como delegado de protección de datos (DPO) no exime al Cliente de ninguna responsabilidad legal en virtud de la PDPA. El Cliente sigue siendo la «Organización» a todos los efectos de la PDPA y conserva la responsabilidad operativa exclusiva del cumplimiento de la PDPA, incluido el cumplimiento de las disposiciones sobre protección de datos, las disposiciones sobre la lista de exclusión de llamadas y el artículo 26 (transferencias de datos personales fuera de Singapur).
3.1 Plazo de respuesta. Dentro de la asignación mensual indicada en el apartado 1.3, GDPRLocal se esforzará por responder a la persona de contacto designada por el Cliente en un plazo de tres (3) días hábiles de Singapur. Los plazos de respuesta se aplican al acuse de recibo, no a la resolución sustantiva de cualquier asunto.
3.2 Reenvío de la primera respuesta. Cuando GDPRLocal reciba una comunicación de un interesado o de la PDPC dirigida al delegado de protección de datos designado, GDPRLocal reenviará dicha comunicación al contacto designado por el Cliente sin demora, normalmente en un plazo de tres (3) días hábiles de Singapur a partir de su recepción. La gestión sustantiva de la comunicación y la respuesta a la misma son responsabilidad del Cliente.
3.3 Solicitudes motivadas de la PDPC. Cuando GDPRLocal reciba una solicitud de la PDPC en la que se especifique un plazo de respuesta, GDPRLocal lo notificará sin demora injustificada a la persona de contacto designada por el Cliente y especificará dicho plazo. Si el Cliente no facilita la información o las instrucciones necesarias a tiempo, GDPRLocal podrá (a) enviar un acuse de recibo provisional a la PDPC, o (b) notificar a la PDPC que el asunto se remite a la Organización. GDPRLocal no se hará responsable del incumplimiento de los plazos debido a que el Cliente no haya facilitado la información o las instrucciones a tiempo.
Además de las obligaciones establecidas en el artículo 6 del MSA, el Cliente deberá:
4.1 Facilitar a GDPRLocal una persona de contacto designada para el Servicio, junto con la información, los documentos y la colaboración que sean razonablemente necesarios para que GDPRLocal pueda desempeñar la función de delegado de protección de datos (DPO) que se le ha encomendado;
4.2 presentar y mantener la designación de responsable de la protección de datos (DPO) en el Registro de DPO de la PDPC (o en cualquier registro sucesor que mantenga la PDPC) utilizando los datos de contacto del DPO designado facilitados por GDPRLocal, y actualizar el registro sin demora ante cualquier cambio notificado por GDPRLocal;
4.3 asumir la responsabilidad operativa exclusiva del cumplimiento de la PDPA, incluyendo, entre otros: el cumplimiento de las disposiciones sobre protección de datos y las disposiciones sobre la lista de números excluidos de la PDPA; el desarrollo, mantenimiento y aplicación de las políticas y prácticas necesarias para cumplir con las obligaciones de la Organización en virtud de la PDPA; la gestión, evaluación y respuesta a las solicitudes de acceso, rectificación y otras solicitudes de los interesados; la identificación, contención, investigación, corrección y notificación de violaciones de datos y otros incidentes relacionados con la protección de datos; la formación y sensibilización internas sobre la PDPA; y la cooperación con la PDPC en relación con cualquier investigación, consulta, instrucción o medida coercitiva;
4.4 cumplir con lo dispuesto en el artículo 26 de la PDPA en lo que respecta a cualquier transferencia de datos personales fuera de Singapur, y asumir la responsabilidad exclusiva de establecer el nivel de protección exigido por la ley para dichas transferencias;
4.5 Notificar sin demora a GDPRLocal: (a) cualquier violación de datos, ya sea sospechada o real; (b) cualquier comunicación procedente de la PDPC; (c) cualquier cambio sustancial en las actividades de tratamiento o en la actividad empresarial del Cliente que pueda afectar a la función del delegado de protección de datos; y (d) cualquier litigio, medida coercitiva o procedimiento regulatorio relacionado con el cumplimiento de la PDPA por parte del Cliente;
4.6 Responder con prontitud a las comunicaciones remitidas por GDPRLocal y proporcionar oportunamente las instrucciones y decisiones necesarias para la gestión de dichas comunicaciones;
4.7 No emprenderá ninguna acción, ni exigirá a GDPRLocal que emprenda ninguna acción, que: (a) exponga a GDPRLocal a sanciones coercitivas o reglamentarias, salvo como consecuencia inevitable del cargo de responsable de protección de datos (DPO) que se le haya asignado; (b) obligue a GDPRLocal a realizar declaraciones inexactas ante la PDPC o cualquier otra autoridad; o (c) haga que GDPRLocal actúe infringiendo la normativa aplicable.
5.1 Los Servicios se limitan a la función legal asignada y a la asignación de asesoramiento incluida descrita en el §1. Los Servicios no incluyen, ni se presentarán ante terceros como si incluyeran, ninguno de los siguientes elementos (cada uno de los cuales constituye un Servicio Adicional según el §6):
5.2 GDPRLocal no asume ninguna responsabilidad de gestión, control operativo ni autoridad para la toma de decisiones sustantivas en lo que respecta al cumplimiento de la PDPA por parte del Cliente; todas estas responsabilidades recaen en el Cliente en su calidad de organización.
5.3 GDPRLocal no garantiza que el Cliente cumpla, o vaya a cumplir, con la PDPA. El cumplimiento de la PDPA es responsabilidad exclusiva del Cliente.
6.1 Ámbito de aplicación. Los Servicios se limitan a los establecidos en el apartado 1.
6.2 Servicios adicionales. En caso de que el Cliente solicite servicios que excedan el alcance del apartado 1 (incluidos cualquiera de los elementos enumerados en el apartado 5.1), GDPRLocal lo notificará al Cliente por escrito (basta con un correo electrónico), junto con una estimación de buena fe del tiempo o coste adicional que ello suponga. Los servicios adicionales no se iniciarán hasta que el Cliente los haya autorizado por escrito (basta con un correo electrónico).
6.3 Facturación. Los servicios adicionales autorizados en virtud del apartado 6.2 se facturarán según la tarifa de servicios profesionales aplicable establecida en la lista de tarifas, salvo que las partes acuerden expresamente por escrito una tarifa diferente antes de que se inicien los trabajos.
6.4 Registros. GDPRLocal mantiene registros del tiempo y las actividades realizadas en el marco del Servicio y de cualquier Servicio Adicional, y pondrá dichos registros a disposición del Cliente siempre que este lo solicite de forma razonable.
7.1 Las partes reconocen que GDPRLocal, en su calidad de delegado de protección de datos designado, está sujeto a un deber de confidencialidad respecto a la información recibida en el ejercicio de sus funciones como delegado de protección de datos. Este deber se aplica de forma independiente y adicional a las obligaciones mutuas de confidencialidad establecidas en el artículo 7 del MSA. En particular:
8.1 Carácter consultivo. La función de GDPRLocal en virtud del presente anexo se limita a la función legal asignada y a la asignación de servicios de asesoramiento incluida. GDPRLocal no garantiza el cumplimiento de la PDPA por parte del Cliente y no asume responsabilidad alguna por las decisiones adoptadas o las acciones llevadas a cabo por el Cliente sobre la base del asesoramiento prestado en el marco de la asignación mensual. El Cliente conserva la responsabilidad operativa exclusiva del cumplimiento de la PDPA, tal y como se establece en el apartado 4.3.
8.2 Limitación de responsabilidad (específica del servicio). Sin perjuicio de lo dispuesto en el apartado 8.4, la responsabilidad total de cualquiera de las partes en virtud del presente anexo no excederá el importe total de las tarifas pagadas o pagaderas por el Cliente en relación con el Servicio durante el periodo de doce (12) meses inmediatamente anterior al hecho que haya dado lugar a la reclamación. Ninguna de las partes será responsable de pérdidas indirectas, consecuentes, especiales o punitivas.
8.3 Responsabilidad del cliente. Sin perjuicio de lo dispuesto en el apartado 8.2, GDPRLocal no asumirá responsabilidad alguna, y el cliente será el único responsable de: cualquier multa, orden o sanción impuesta al cliente por la PDPC; cualquier perjuicio derivado del incumplimiento por parte del cliente de la obligación de presentar, mantener o actualizar la designación del responsable de la protección de datos (DPO) en el Registro de DPO de la PDPC; cualquier pérdida derivada del incumplimiento por parte del Cliente de la PDPA (incluido, entre otros, el artículo 26 en lo que respecta a las transferencias transfronterizas); cualquier pérdida derivada de la falta de notificación por parte del Cliente de un asunto con arreglo al apartado 4.5; y cualquier pérdida derivada del reenvío de buena fe por parte de GDPRLocal de comunicaciones al Cliente cuando este no haya respondido adecuadamente.
8.4 Exclusiones de la limitación. El límite establecido en el apartado 8.2 no se aplica a: la responsabilidad por fallecimiento o lesiones personales causadas por negligencia; el fraude o la tergiversación fraudulenta; ni a cualquier otra responsabilidad que no pueda limitarse en virtud de la normativa aplicable.
9.1 Duración. El presente Anexo entrará en vigor en la Fecha de inicio del servicio y tendrá una duración inicial de doce (12) meses (el «Plazo inicial»), salvo que se rescinda antes de conformidad con el presente artículo 9 o con el artículo 12 del MSA. Se renovará automáticamente por períodos de renovación sucesivos de doce (12) meses, salvo que una de las partes notifique por escrito su intención de no renovarlo de conformidad con el artículo 9.2.
9.2 Rescisión por conveniencia. Sin perjuicio de lo dispuesto en el artículo 12.3 del MSA, cualquiera de las partes podrá rescindir el presente Anexo por conveniencia mediante notificación previa por escrito, con al menos treinta (30) días de antelación, enviada a la otra parte por correo electrónico; dicha notificación surtirá efecto antes del inicio del siguiente ciclo de facturación mensual.
9.3 Rescisión por motivos de integridad normativa. GDPRLocal podrá rescindir el presente Anexo con efecto inmediato cuando: (a) la falta de cooperación, el incumplimiento o las instrucciones del Cliente sitúen a GDPRLocal en una posición insostenible como delegado de protección de datos (DPO) designado y registrado (incluido el caso en que la continuación del cumplimiento obligara a GDPRLocal a actuar en contravención de la PDPA o a realizar declaraciones inexactas ante la PDPC); o (b) el Cliente facilite información sustancialmente inexacta, de tal manera que GDPRLocal no pueda, de buena fe, seguir presentándose como el delegado de protección de datos designado. El Cliente asume la responsabilidad exclusiva de cualquier consecuencia normativa derivada de dicha rescisión, incluida cualquier laguna de cobertura resultante en el Registro de Delegados de Protección de Datos de la PDPC.
9.4 Consecuencias de la rescisión. En caso de rescisión o vencimiento: GDPRLocal dejará de actuar como responsable de la protección de datos (DPO) del Cliente en un plazo de cinco (5) días hábiles; el Cliente deberá actualizar sin demora el Registro de DPO de la PDPC para eliminar la designación de GDPRLocal y nombrar a un nuevo DPO cuando así lo exija la PDPA; y el Cliente deberá abonar todas las tarifas y gastos pendientes. Las cláusulas 4.3, 7 y 8, así como el presente apartado 9, seguirán vigentes tras la rescisión.
La presente Declaración de trabajo («SOW») se adjunta al Anexo 7 de servicios (Servicios de responsable del tratamiento en Singapur) y forma parte del mismo, el cual, a su vez, forma parte del Contrato marco de servicios entre el Cliente y GDPRLocal Ltd. Los términos en mayúsculas tienen el mismo significado que en el Anexo o en el Contrato.
GDPRLocal genera y registra el pliego de condiciones (SOW) en el momento de la activación del servicio. Los campos de marcador de posición (resaltados a continuación) se rellenan con datos procedentes de la cuenta del cliente y del registro de activación del servicio.
| Nombre de la empresa | [Nombre de la empresa] |
| Domicilio social | [Domicilio social] |
| Persona de contacto principal | [Nombre de la persona de contacto] |
| Función | [Función de contacto] |
| Correo electrónico | [Correo electrónico de contacto] |
| Teléfono | [Número de contacto] |
| Territorio | Singapur (PDPA) |
| Fundamento jurídico | Nombramiento como delegado de protección de datos en virtud del artículo 11 de la PDPA |
| Suscripción incluida | Nombramiento legal + datos de contacto del responsable de protección de datos (DPO) de la PDPC + reenvío de primeras respuestas + hasta 1 hora de asesoramiento general al mes natural (si no se utiliza, se pierde) |
| Unidades de negocio / actividades de tratamiento incluidas en el ámbito de aplicación | [Lista de unidades de negocio, funciones o actividades de tratamiento incluidas en el ámbito de competencias del delegado de protección de datos designado] |
| Exclusiones del ámbito de aplicación (si las hubiera) | [en caso contrario, «ninguno»] |
Todas las tarifas de este servicio se recogen en la lista de tarifas del MSA. El servicio comprende las siguientes categorías de tarifas:
| Suscripción a DPO de Singapur | Según se establece en la tarifa. Pagadero mensualmente a partir de la fecha de inicio del servicio. Incluye el nombramiento reglamentario, la información de contacto del responsable de protección de datos (DPO) según la PDPC, el reenvío de primeras respuestas y hasta 1 hora de asesoramiento general por mes natural. |
| Servicios adicionales (asesoramiento que supere la asignación mensual de una hora, respuesta ante incidentes, elaboración de políticas, tramitación de solicitudes de acceso a datos personales (DSAR), apoyo en investigaciones de la PDPC y todos los demás conceptos enumerados en el anexo, apartado 5.1) | Según la tarifa de servicios profesionales establecida en la lista de tarifas, previa autorización por escrito con arreglo al artículo 6 del anexo. |
| Periodicidad de facturación | [mensual / anual] |
| Moneda | GBP, sin IVA ni otros impuestos aplicables. |
| Nombrado delegado de protección de datos (oficial) | GDPRLocal Ltd |
| Persona designada para desempeñar la función de responsable de la protección de datos | [Nombre que se indicará al activarse] |
| Domicilio social | Suite delantera de la primera planta, 27-29 North Street, Brighton, Inglaterra, BN1 1EB, Reino Unido |
| Correo electrónico | [email protected] |
| Tel. | +44 1772 217 800 |
El Cliente deberá utilizar los datos de contacto indicados anteriormente para la presentación en el Registro de Delegados de Protección de Datos (DPO) de la PDPC y para su publicación en los avisos de privacidad del Cliente cuando sea necesario. GDPRLocal notificará al Cliente cualquier cambio en la persona designada en un plazo de treinta (30) días hábiles.
El cliente deberá presentar la siguiente designación de responsable de protección de datos (DPO) ante el Registro de DPO de la PDPC (o cualquier registro que lo sustituya) y deberá publicar los datos de contacto del DPO en sus avisos de privacidad, de conformidad con la PDPA:
«Responsable de protección de datos (art. 11 de la PDPA de Singapur): GDPRLocal Ltd, 1.ª planta, Suite Front, 27-29 North Street, Brighton, Inglaterra, BN1 1EB, Reino Unido. Contacto: [email protected], +44 1772 217 800».
En la tabla siguiente se detalla el alcance del servicio de responsable de la protección de datos (DPO). Los elementos marcados como «Incluidos» están comprendidos en la suscripción. Los elementos marcados como «Bajo demanda» son servicios adicionales contemplados en el artículo 6 del anexo, disponibles según la tarifa de servicios profesionales previa autorización por escrito.
| Servicio | Descripción | Cronología / Inclusión |
|---|---|---|
| Nombramiento por ley | Nombramiento oficial como responsable de protección de datos del cliente, de conformidad con el artículo 11 de la PDPA; facilitación de los datos de contacto del responsable de protección de datos designado | Incluido / En curso |
| Listado del Registro de Delegados de Protección de Datos (DPO) de la PDPC | GDPRLocal facilita los datos de contacto del responsable de protección de datos (DPO) designado; el cliente presenta y mantiene la inscripción en el registro. | Incluido / En curso |
| Reenvío de primera respuesta | Recibir las comunicaciones dirigidas al responsable de protección de datos (DPO) por parte de los interesados y de la PDPC; remitirlas al cliente en un plazo de 3 días hábiles de Singapur. | Incluido / En curso |
| Asignación mensual recomendada | Hasta 1 hora de asesoramiento general sobre la PDPA por mes natural; si no se utiliza, se pierde; no se puede acumular para meses posteriores. | Incluido / Mensual (límite de 1 hora) |
| Asesoramiento sustantivo sobre la PDPA de más de una hora de duración | Asesoramiento adicional al de la asignación mensual | Bajo demanda (servicio adicional) |
| Elaboración de políticas y procedimientos | Redacción, revisión o aplicación de políticas, avisos, procedimientos o registros relacionados con la PDPA | Bajo demanda (servicio adicional) |
| Gestión de las consultas de los interesados | Evaluación, tramitación o respuesta a solicitudes de acceso, rectificación, supresión u otras solicitudes | Bajo demanda (servicio adicional) |
| Respuesta ante incidentes o filtraciones de datos | Contención, investigación, corrección, notificación y colaboración con la PDPC en relación con una violación de datos | Bajo demanda (servicio adicional) |
| Participación sustantiva de la PDPC | Apoyo a la investigación de la PDPC, respuesta a las directrices o intervención en materia de cumplimiento más allá del reenvío de la primera respuesta | Bajo demanda (servicio adicional) |
| Evaluaciones de impacto o de riesgos en materia de protección de datos | Evaluaciones de impacto o de riesgos centradas en la PDPA | Bajo demanda (servicio adicional) |
| Auditorías y análisis de deficiencias | Evaluaciones de preparación para el cumplimiento de la PDPA, análisis de deficiencias o apoyo en auditorías internas | Bajo demanda (servicio adicional) |
| Formación y cultura en materia de protección de datos | Formación, talleres, programas de sensibilización y actividades para fomentar la cultura | Bajo demanda (servicio adicional) |
El presente pliego de condiciones podrá revisarse y actualizarse mediante acuerdo por escrito entre las partes cuando sea necesario para reflejar cambios sustanciales en las actividades de tratamiento del Cliente, sus requisitos de servicio o sus prioridades en materia de cumplimiento. Cualquier actualización de este tipo se registrará como un pliego de condiciones revisado asociado a la cuenta del Cliente.
Se considerará que el Cliente ha aceptado el presente pliego de condiciones en el momento de la activación del servicio (ya sea mediante activación a través del portal o mediante una confirmación por escrito aceptada por GDPRLocal).
▼ ENTRADAS DE LA TARIFA ▼ COPIAR / PEGAR EN LA TARIFA DE MSA ▼
Esta sección no forma parte del Anexo de servicios. En ella se detallan las entradas de precios que deben añadirse a la Lista de tarifas del MSA para que las referencias a las tarifas que figuran en el §6.2 del Anexo y en el §3 del Apéndice se resuelvan correctamente. Copia el bloque que aparece a continuación en la Lista de tarifas como una nueva subsección bajo el título «Servicios básicos de suscripción».
| Servicio | Tarifa |
|---|---|
| Suscripción al servicio de DPO de Singapur (nombramiento reglamentario + datos de contacto del DPO de la PDPC + reenvío de primeras respuestas + 1 hora de asesoramiento general por mes natural, que se pierde si no se utiliza) | 150 £ al mes |
| Servicios adicionales (asesoramiento que supere la asignación mensual de una hora, o cualquier partida incluida en el anexo §5.1) | Según la tarifa reducida de servicios profesionales ya establecida en la lista de tarifas |
Todas las tarifas no incluyen el IVA ni ningún otro impuesto aplicable.