CONTRATO DE TRATAMIENTO DE DATOS POR CUENTA DE TERCEROS. Backup remoto

Transcripción

1 CONTRATO DE TRATAMIENTO DE DATOS POR CUENTA DE TERCEROS Backup remoto En San Cristóbal de La Laguna, a de de REUNIDOS De una parte, D. Juan Ramón Hernández González, con DNI D, que actúa en nombre y representación de Canarlab, S.L., con CIF B , y con domicilio en Calle Volcán Elena, nº 20, oficina San Cristóbal de La Laguna (S/C de Tenerife), como ENCARGADO DEL TRATAMIENTO (CANARLAB). De otra parte, provisto de DNI, que actúa en nombre y representación de, con CIF, y con domicilio en, como RESPONSABLE DEL TRATAMIENTO (CLIENTE). Ambas partes, que se reconocen recíprocamente la capacidad legal necesaria para suscribir este contrato de acceso a datos EXPONEN I. Que, entre el RESPONSABLE DEL TRATAMIENTO y el ENCARGADO DEL TRATAMIENTO, existe una relación de prestación de servicios referente al soporte técnico y asistencia posventa, referidas a las copias de seguridad (backup) de ACRONIS. II. Que para la realización de dichos servicios es imprescindible y necesario que el ENCARGADO DEL TRATAMIENTO acceda a ficheros cuya titularidad es del RESPONSABLE DEL TRATAMIENTO y que contienen datos de carácter personal. III.- Que, según la actual normativa en materia de Protección de Datos vigente, en especial el REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, se establecen, sobre el tratamiento de datos personales, las siguientes CLÁUSULAS PRIMERA.- Definiciones En el presente documento, se entenderá por: AFECTADO / PERSONA FÍSICA IDENTIFICADA O IDENTIFICABLE CUYOS DATOS PERSONALES SE ESTÁN MANEJANDO CLIENTE / RESPONSABLE DEL TRATAMIENTO CANARLAB o DISTRIBUIDOR/ ENCARGADO DEL TRATAMIENTO FABRICANTE o PROVEEDOR / SUBENCARGADO SEGUNDA.- Acceso a ficheros del cliente CANARLAB, para el desarrollo de sus servicios de instalación de la copia, recuperación y/o borrado, podrá acceder a ficheros con datos personales que se encuentran en los equipos objeto de copia del CLIENTE, así como otros ficheros que se encuentren en su sistema operativo, siempre y cuando sea necesario para la resolución de la incidencia reportada por el CLIENTE. En concreto, podrá acceder a los siguientes datos, siempre y cuando el CLIENTE lo solicite previamente: CONTRATO DE TRATAMIENTO DE DATOS POR CUENTA DE TERCEROS Página 1/5

2 NÓMINAS FISCALES CONTABLES TERCERA.- Tratamiento de los datos FACTURACIÓN RECURSOS HUMANOS RENTA GESTIÓN DEL TIEMPO CLIENTES Y PROVEEDORES OTROS Como consecuencia de los servicios prestados en la cláusula segunda, CANARLAB ejecutará los servicios según las siguientes actividades de tratamientos de datos: 1. CONSERVACIÓN de los datos indicados por el cliente, para proceder a la realización de la copia de seguridad 2. DESTRUCCIÓN de la copia de seguridad, en el caso de que el cliente solicite la baja del servicio. Se comunicará con antelación para la descarga de la copia por parte del cliente 3. RECOGIDA de la copia de seguridad, para la descarga en los sistemas del CLIENTE cuando éste solicite la recuperación de la misma. CUARTA.- Deber de secreto CANARLAB se compromete a cumplir con el deber de secreto respecto de los datos de carácter personal responsabilidad del CLIENTE en cualquier fase del tratamiento. Dicho deber subsistirá aún después de finalizar la relación mercantil de prestación de servicios, así como, en su caso, tras la finalización por cualquier causa del presente contrato o el contrato principal. Los datos personales serán tratados de tal manera que se garantice una seguridad adecuada de los mismos, incluida la protección contra el tratamiento no autorizado o ilícito y contra su pérdida, destrucción o daño accidental, mediante la aplicación de medidas técnicas u organizativas apropiadas que garanticen su confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas de tratamiento, pudiendo el CLIENTE verificar o constatar que tales garantías realmente se reúnen con el Delegado de Protección de Datos de CANARLAB. QUINTA.- Obligaciones del Encargado del Tratamiento CANARLAB se compromete a: 1. Utilizar los datos personales objeto del tratamiento sólo para la finalidad objeto de este contrato y en cumplimiento con la normativa de protección de datos aplicable. En ningún caso podrá utilizar los datos para fines propios, salvo que el CLIENTE le haya indicado la descarga de la copia para la recuperación de los datos. 2. Tratar los datos de acuerdo con las instrucciones documentadas por el CLIENTE incluso con respecto a las transferencias internacionales de Datos Personales, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados Miembros. En tal caso, CANARLAB informará al CLIENTE de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. Si CANARLAB considera que algunas de las instrucciones infringen el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados Miembros, CANARLAB informará inmediatamente al CLIENTE. 3. Garantizar que su personal y terceros con acceso a datos, se han comprometido a respetar la confidencialidad de los datos personales y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente. El acceso a los datos personales será limitado únicamente a aquellos empleados, agentes, asesores que necesariamente requieran el acceso a los datos personales para cumplir con las finalidades de los servicios. 4. No divulgar ni comunicar los datos personales a terceros, ni siquiera con finalidades de conservación, excepto cuando la ley así lo requiera o el presente contrato lo establezca, o siempre que se cuente con el consentimiento expreso del CLIENTE. 5. Adoptar las medidas técnicas y organizativas necesarias para asegurar la seguridad de los datos personales y prevenir una destrucción o pérdida accidental o ilícita, alteración, acceso no autorizado, divulgación o cesión, uso indebido y contra cualquier otra forma ilícita de tratamiento: a. Garantizando la confidencialidad, integridad, disponibilidad y resiliencia permanente de los sistemas y servicios de tratamiento b. Restaurando la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico Página 2/8

3 c. Verificando, evaluando y valorando, de forma regular, la eficiencia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento d. Seudonimizar y cifrar los datos personales, en su caso 6. Asistir al CLIENTE siempre que sea posible, tomando en consideración la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, para el cumplimiento de la obligación del CLIENTE de responder a las solicitudes realizadas por los interesados que pretendan ejercer sus derechos de conformidad con la normativa aplicable. 7. No recurrir a otro encargado sin la autorización previa, por escrito, específica o general del CLIENTE. Cuando CANARLAB recurra a otro encargado, se compromete a imponer mediante contrato a dicho encargado, las mismas obligaciones que se estipulan en el presente contrato. 8. Dar apoyo al CLIENTE, en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda. 9. Una vez cumplida prestación de servicios, los datos de carácter personal serán destruidos. CANARLAB puede entregar un certificado de destrucción de los datos, siempre que el CLIENTE no determine que se le entregue la devolución de cuantos ficheros o soportes haya utilizado CANARLAB para la prestación del servicio. También se destruirá cualquier soporte o documentos en que conste algún dato de carácter personal objeto del tratamiento. La destrucción no procederá en el caso de que una previsión legal exija la conservación de los datos, en cuyo caso deberá procederse a la devolución de los mismos garantizando al CLIENTE dicha conservación. 10. Poner a disposición del CLIENTE toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como permitir y contribuir a la realización de las auditorías o las inspecciones que realice el CLIENTE u otro auditor autorizado. 11. Dar apoyo al CLIENTE en la realización de las consultas previas a la autoridad de control, cuando proceda SEXTA.- Obligaciones del Responsable del Tratamiento El CLIENTE se compromete, bajo su responsabilidad, a: 1. Autorización del acceso a las copias a trabajadores y terceros: Dará autorización al acceso a sus copias de seguridad a las personas, trabajadores y terceros ajenos a la organización que estime oportunos, siempre bajo su responsabilidad. Esta información deberá trasladarla a CANARLAB. 2. Salvaguarda de las claves de acceso: Será el encargado de la salvaguarda de su clave de usuario y contraseña y, por tanto, de obstaculizar el conocimiento de la misma por terceros no autorizados. 3. Pérdida de la clave de acceso y de encriptación: Si la clave de acceso o de encriptación se perdiera, el CLIENTE deberá generar una nueva clave, perdiendo los datos encriptados con la clave anterior que se hubieran guardado en la copia de seguridad. En caso de que el CLIENTE requiera que CANARLAB realice la salvaguarda de su clave de encriptación, deberá formalizar la autorización con la firma del ANEXO I GESTIÓN DE CLAVE DE ENCRIPTACIÓN al presente contrato. 4. Actualización de los datos de contacto respecto a las incidencias de acceso: Comunicará todo cambio o incidencia respecto a la cuenta de correo electrónico que tiene asociada a la cuenta de sus copias de seguridad remotas, dado que las incidencias con respecto al acceso de las mismas se gestionan por una cuenta de correo facilitada por el CLIENTE. 5. Almacenamiento de datos en contra de Derecho: No almacenará datos en los servidores contrarios a derecho, ni software malicioso que pudiera perjudicar al servidor. 6. Actuación diligente sobre los servidores: No realizará ninguna acción que pudiera perjudicar a los servidores en los que se encuentra alojada su copia de seguridad. 7. Conexión a Internet: Se obligará a mantener la conexión a Internet por medio de la cual se realiza el envío de datos encriptados por medio del software ACRONIS al servidor externo. 8. Parámetros de la copia de seguridad: Indicará y modificará los parámetros de la copia de seguridad respecto a hora, días, datos almacenados que mejor se adapte a sus necesidades. CANARLAB dejará configurada la copia de seguridad por primera vez según las indicaciones del CLIENTE. No obstante, no se encargará de verificar sin que el DISTRIBU lo haya solicitado previamente, la configuración de las copias de seguridad. Es responsabilidad del CLIENTE comunicar a CANARLAB la revisión y/o modificación de los parámetros de la copia de seguridad. 9. Comunicación de incidencias: Comunicará cualquier incidencia que con respecto a las copias de seguridad remotas detecte. Página 3/8

4 10. Resolución del contrato o impago de cuota: El CLIENTE será el encargado de descargar la copia de seguridad antes de la resolución del contrato dado que, una vez finalizado el mismo o por falta de pago de alguna cuota, no será recuperable la copia de seguridad almacenada. 11. Propiedad intelectual: El CLIENTE debe respetar los programas de uso de terceros puestos a su disposición por el PROVEEDOR, aunque fueran gratuitos ya que, esta puesta a disposición no presume ningún derecho de adquisición de los mismos 12. Entregar a CANARLAB los Datos Personales necesarios para dar cumplimiento a su contrato de servicio. Para efectuar el acceso a los datos, el CLIENTE facilitará a CANARLAB el acceso a los mismos, a los recursos del sistema de información que los trate o a los soportes que los contengan. 13. Informar en la recogida de datos personales, tanto a sus clientes como a sus trabajadores. CANARLAB no se hace responsable de la naturaleza ni origen de dichos datos, excluyéndose cualquier tipo de responsabilidad por no contar con el consentimiento expreso del AFECTADO para el tratamiento de sus datos. CANARLAB entiende que el CLIENTE cuenta con dicho consentimiento expreso. 14. Informar y formar a sus trabajadores y terceros con acceso a datos, sobre las medidas de seguridad y protocolos necesarios para dar cumplimiento a la normativa en materia de protección de datos. 15. Cumplir y hacer cumplir con la normativa en materia de protección de datos, tanto en el tratamiento interno de su empresa, como terceros que intervengan en cualquier fase del tratamiento. El CLIENTE informará a los afectados de la comunicación de sus datos de carácter personal a CANARLAB que, como consecuencia de la prestación de servicios descritos, es necesario para llevar a cabo la misma, obligándose el CLIENTE a implementar las medidas de seguridad y resto de trámites exigidos por la normativa vigente en materia de protección de datos. CANARLAB no se hace responsable de la falta de adecuación del CLIENTE a la citada normativa. SÉPTIMA.- Comunicación de datos CANARLAB sólo podrá acceder a los datos de carácter personal responsabilidad del CLIENTE, conforme a las instrucciones de éste y no los aplicará o utilizará para cualquier otro fin distinto a la prestación de los servicios descritos, prestando los servicios en su propio local y/o en el local del CLIENTE. Los accesos remotos que realice CANARLAB, sólo se realizarán previa información y autorización por parte del CLIENTE, no se realizarán conexiones remotas sin su consentimiento. Si el CANARLAB considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, informará inmediatamente al CLIENTE. Para efectuar el acceso a los datos, el CLIENTE facilitará a CANARLAB el acceso a los mismos, a los recursos del sistema de información que los trate o a los soportes que los contengan. En los casos en los que el CLIENTE solicitase a CANARLAB la descarga de su copia de seguridad, se deberá realizar enviando firmado el documento SERVICIO DE ASISTENCIA TÉCNICA DE SOFTWARE que CANARLAB pone a disposición del CLIENTE en su página web. CANARLAB no descargará ficheros con datos personales si el documento no estuviese cumplimentado. OCTAVA.- Subcontratación CANARLAB es el DISTRIBUIDOR de Lidera Network, S.L., PROVEEDOR de la herramienta de Backup ACRONIS. Entre el DISTRIBUIDOR y el PROVEEDOR, existe un contrato de prestación de servicios. Por tanto, Lidera Network, S.L., junto con Acronis International GmbH, asumirá el mantenimiento, administración y actualización del software ACRONIS, así como del sistema operativo por medio del cual se gestiona el servidor en donde se realizan las copias de seguridad. Más información acerca de Lidera Network, S.L. en CANARLAB no podrá subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios propios. Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al CLIENTE, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. CANARLAB podrá subcontratar los servicios a terceros externos de manera puntualizada. En esos casos, existirá un contrato al amparo de lo establecido en la normativa en materia de protección de datos. Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al CLIENTE, indicando los tratamientos que Página 4/8

5 se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto, que se adjuntará como ANEXO al presente contrato. NOVENA.- Notificaciones de violaciones de seguridad de datos CANARLAB notificará al CLIENTE, sin dilación indebida, y en cualquier caso antes del plazo máximo de 72 horas, y a través de correo electrónico, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas. Esta comunicación se realizará siempre y cuando CANARLAB tenga conocimiento de la misma por parte del FABRICANTE. Si se dispone de ella se facilitará, como mínimo, la información siguiente: 1. Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados. 2. El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información. 3. Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales. 4. Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos. Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida. En su caso, corresponderá al CLIENTE comunicar la violación de la seguridad de los datos personales a la Agencia Española de Protección de Datos. DÉCIMA.- Conservación de datos CANARLAB no almacenará las bases de datos del CLIENTE en sus sistemas, sólo en los servidores ACRONIS. Para la descarga de la misma, previa comunicación por el CLIENTE, CANARLAB descargará directamente en el equipo solicitado del CLIENTE, la copia de seguridad objeto de descarga. DECIMOPRIMERA.- Política de Privacidad En se recoge la política de privacidad de CANARLAB. Para conocer el detalle, acceda a la ruta indicada. DECIMOSEGUNDA.- Prestación de servicios Para la prestación del servicio de posventa, es necesario e imprescindible que el presente CONTRATO DE ACCESO A DATOS POR CUENTA DE TERCEROS, esté formalizado entre las partes. CANARLAB no recibirá ficheros con datos personales ni realizará conexiones remotas, si el CLIENTE no tuviese firmado dicho documento. DECIMOTERCERA.- Alojamiento de la información Según la información facilitada por el PROVEEDOR, CANARLAB informa que, cuando se realiza la primera copia de seguridad, ésta se asigna al centro de datos más próximo al país de origen, por lo que los datos se almacenarán en el mismo país o región. En el caso de España, la copia de seguridad de sus datos se guardará en el centro de datos de Acronis Cloud de Alemania. Más información acerca de los Centros de datos de Acronis Cloud en Página 5/8

6 DECIMOCUARTA.- Software ACRONIS y seguridad Para la realización de las copias de seguridad remotas, CANARLAB instalará en el equipo del CLIENTE el software ACRONIS, el cual realizará una encriptación y compresión de los datos para el envío al servidor externo por medio de conexión a Internet. Las soluciones de ACRONIS Cloud se basan en Acronis AnyData Engine y sus datos se cifran en el origen con el cifrado seguro AES-256 oficial antes de enviarse a los Centros de Datos de Acronis. Todas las comunicaciones de gestión entre sus sistemas y Acronis Cloud se realizan a través de canales seguros con cifrado SSL. La seguridad física se garantiza mediante el uso de vallas altas, personal de seguridad las 24 horas todos los días de la semana y la vigilancia de vídeo con archivado de 90 días. Para acceder es necesario pasar un escaneado biométrico de la geometría de la mano y una tarjeta de proximidad. Los centros de datos de ACRONIS están equipados con SAI y generadores diésel de respaldo para garantizar una disponibilidad de alimentación constante durante un máximo de 48 horas a fin de resistir una interrupción indefinida del suministro eléctrico. Además, existen HVAC, redes y SAI redundantes. Los centros de datos de Nivel IV no interrumpen la disponibilidad de ninguna actividad planeada y pueden sostener al menos un evento no planeado en el peor de los escenarios sin que tenga impacto crítico. Con una disponibilidad del 99,995%, el Nivel IV es el nivel mayor de disponibilidad para cualquier centro de datos del planeta. Los centros de datos de ACRONIS tienen la certificación SSAE-16. Éste es el marco utilizado por entidades externas para examinar una organización de centro de datos y sus controles internos. Las empresas orientadas al cumplimiento normativo suelen requerir la certificación SSAE 16 (incluidas las empresas que cotizan en Bolsa, las firmas financieras y las organizaciones de atención sanitaria). Más información acerca de la seguridad de los Centros de datos de ACRONIS en DECIMOQUINTA.- Facturación mensual La facturación mensual será la estipulada en la factura emitida al CLIENTE. Se facturará en función de los Gb contratados, teniendo en cuenta el baremo que aparece en la factura mensual y que, en caso de superar los Gb contratados, se le pasará un recibo del tramo inmediatamente superior del estipulado. DECIMOSEXTA.- Limitación de responsabilidad Fuera de los casos expresamente mencionados en la ley, y de los en que así lo declare la obligación, el DISTRIBUDIRO y el PROVEEDOR no responderán de aquellos sucesos que no hubieran podido preverse, o que previstos fueran inevitables, tales como fuerza mayor o caso fortuito. Por tanto, no será responsable del incumplimiento de las obligaciones derivadas del presente contrato y, por tanto, no habrá derecho de indemnización. 1. Caso fortuito: Acontecimiento que no ha podido ser previsto, pero que, aunque lo hubiera sido, no habría podido evitarse 2. Fuerza mayor: Acontecimiento ajeno a la conducta del obligado, producido por una fuerza externa, que le libera de la responsabilidad del incumplimiento de la obligación. DECIMOSÉPTIMA.- Competencia jurisdiccional En caso de controversia entre las partes, ambas, con renuncia expresa a su propio fuero, se someterán a la jurisdicción de los Tribunales y Juzgados de S/C de Tenerife. Página 6/8

7 DECIMOCTAVA.- Ejercicio de derechos y contacto del Delegado de Protección de Datos Ante cualquier incidencia que tenga respecto al tratamiento que CANARLAB está realizando sobre sus datos de carácter personal, puede ejercer sus derechos de acceso, rectificación, cancelación, oposición, portabilidad y resto de derechos legalmente establecidos en cualquier momento, mediante escrito, acompañado de copia de documento oficial que le identifique, dirigido a nuestro Delegado de Protección de Datos Canarlab, S.L. C/ Volcán Elena, nº 20, oficina San Cristóbal de La Laguna S/C de Tenerife, España, o al correo de contacto: lopd@canarlab.es El Encargado del Tratamiento El Responsable del Fichero Fdo.: Juan Ramón Hernández González Canarlab, S.L. Fdo.: Página 7/8

8 ANEXO I GESTIÓN DE CLAVE DE ENCRIPTACIÓN Backup remoto En San Cristóbal de La Laguna, a de de PRIMERA.- Autorización de gestión de clave de encriptación El CLIENTE, con la firma del presente ANEXO, autoriza al DISTRIBUIDOR a la salvaguarda de su usuario y clave de acceso al portal de ACRONIS desde donde puede restaurar y borrar la copia de seguridad del CLIENTE, con la finalidad de realizar la descarga de la copia de seguridad en el equipo designado por el CLIENTE, previa comunicación de este último. Para la descarga de la copia de seguridad, el CLIENTE deberá enviar firmado el documento SERVICIO DE ASISTENCIA TÉCNICA DE SOFTWARE que CANARLAB pone a disposición del CLIENTE en su página web. CANARLAB no descargará ficheros con datos personales si el documento no estuviese cumplimentado. CANARLAB almacenará la clave de encriptación cumpliendo con las normas de seguridad, evitando el acceso a la misma por personas no autorizadas. Y en prueba de conformidad, ambas partes firman el presente ANEXO I GESTIÓN DE CLAVE DE ENCRIPTACIÓN Backup remoto en dos copias, en el lugar y fecha indicados en el encabezamiento. El Encargado del Tratamiento El Responsable del Fichero Fdo.: Juan Ramón Hernández González Canarlab, S.L. Fdo.: Página 8/8