Anexo 1: Condiciones de Tratamiento de Datos

Estas Condiciones de Tratamiento de Datos constituyen el Contrato de Encargo del Tratamiento de Datos.

§ 1.

Encargo del tratamiento de datos personales

1. El Prestador del Servicio y el Destinatario del Servicio colaboran en virtud del Contrato de prestación de Servicios basado en las Condiciones (el Contrato Principal).
2. El Responsable del Tratamiento (Destinatario del Servicio) encomienda al Encargado del Tratamiento (Prestador del Servicio) el tratamiento de datos personales conforme al artículo 28 del RGPD.
3. El Responsable del Tratamiento declara que es responsable de los datos encomendados o un encargado autorizado para contratar al Encargado del Tratamiento como subencargado.
4. El tratamiento se encomienda con el alcance establecido en el § 2.
5. Los términos con mayúscula inicial tienen el significado atribuido en las Condiciones o en el RGPD, salvo indicación en contrario.

§ 2.

Objeto, naturaleza, finalidad y duración

1. El Encargado del Tratamiento trata los datos personales encomendados únicamente siguiendo instrucciones documentadas del Responsable del Tratamiento y exclusivamente para prestar los Servicios. La celebración del Contrato Principal constituye una instrucción documentada.
2. Las categorías de datos y de interesados se enumeran en el Anexo 1 del Contrato de Encargo del Tratamiento de Datos.
3. El Responsable del Tratamiento no podrá encomendar datos comprendidos en los artículos 9 o 10 del RGPD sin un acuerdo previo en forma documental, y será el único responsable de su incumplimiento.
4. El tratamiento se realiza mediante sistemas de tecnologías de la información y la comunicación y es automatizado.

§ 3.

Obligaciones, derechos y declaraciones del Encargado del Tratamiento

1. El Encargado del Tratamiento implanta y mantiene las medidas técnicas y organizativas adecuadas a la naturaleza, el alcance, el contexto y la finalidad del tratamiento y exigidas por la ley, de modo que el tratamiento cumpla el RGPD.
2. Las personas autorizadas deberán estar sujetas a un compromiso de confidencialidad o a una obligación legal de confidencialidad adecuada.
3. Cuando esté justificado y sea posible, el Encargado del Tratamiento ayudará al Responsable del Tratamiento a responder a las solicitudes de los interesados conforme a la legislación aplicable, incluido el capítulo III del RGPD.
4. El Encargado del Tratamiento informará sin demora al Responsable del Tratamiento de:
   1. cada violación de la seguridad de los datos personales encomendados, entendida como la destrucción, pérdida, alteración, comunicación o acceso no autorizados, accidentales o ilícitos, a más tardar 48 horas después de su detección;
   2. cada solicitud recibida de un interesado, sin responder hasta recibir instrucciones del Responsable del Tratamiento, a más tardar 48 horas después de su recepción;
   3. cada solicitud de comunicación de datos formulada por una autoridad pública legalmente autorizada, salvo que la ley prohíba la notificación para preservar la confidencialidad de una investigación;
   4. una auditoría del Presidente de la Oficina Polaca de Protección de Datos Personales u otra autoridad de control, sus resultados y otras actuaciones de las autoridades públicas relativas a los datos.
5. En la medida justificada y con la información disponible, el Encargado del Tratamiento ayudará a cumplir las obligaciones de los artículos 32 a 36 del RGPD relativas a la seguridad, la notificación de violaciones, las evaluaciones de impacto y las consultas.
6. El Encargado del Tratamiento:
   1. facilitará la información y documentación necesarias para demostrar el cumplimiento en un plazo de 14 días desde la solicitud;
   2. permitirá y contribuirá a las auditorías e inspecciones en las condiciones acordadas por las Partes y con sujeción a esta sección.
7. La auditoría no podrá realizarse antes de transcurridos 14 días desde su notificación, tendrá lugar en una fecha acordada y requerirá la celebración de un acuerdo de confidencialidad con el Responsable del Tratamiento o el auditor autorizado.
8. Tras la auditoría, las Partes elaborarán dos ejemplares firmados de un informe. El Encargado del Tratamiento podrá presentar reservas en un plazo de cinco días hábiles.
9. Si las deficiencias afectan a la seguridad, el Encargado del Tratamiento aplicará las recomendaciones formuladas por el Responsable del Tratamiento o el auditor.

§ 4.

Obligaciones del Responsable del Tratamiento

1. Durante toda la vigencia del contrato, el Responsable del Tratamiento deberá disponer de una base jurídica y estar facultado para encomendar los datos. Si pierde cualquiera de ellas, deberá dejar sin demora de encomendar los datos afectados e informar al Encargado del Tratamiento.
2. El Responsable del Tratamiento no podrá dar instrucciones contrarias a la legislación aplicable, al Contrato de Encargo del Tratamiento de Datos o a otras obligaciones contractuales.

§ 5.

Subencargo del tratamiento

1. El Responsable del Tratamiento concede una autorización general para que el Encargado del Tratamiento designe subencargados, incluidos los del Anexo 2.
2. El Encargado del Tratamiento garantizará que cada subencargado aplique medidas adecuadas conformes al RGPD y obligaciones de protección de datos equivalentes.
3. En caso de un nuevo subencargado o de un cambio de alcance, el Encargado del Tratamiento lo notificará por correo electrónico con al menos siete días de antelación. El Responsable del Tratamiento podrá oponerse por correo electrónico en un plazo de siete días desde la notificación.
4. Si no se presenta oposición dentro del plazo, el Encargado del Tratamiento podrá proceder.
5. Si se presenta oposición, el Encargado del Tratamiento podrá resolver el Contrato Principal con efecto inmediato.
6. El subencargo conforme al apartado 3 no modifica el Contrato de Encargo del Tratamiento de Datos.
7. La lista de subencargados figura en el Anexo 2.

§ 6.

Confidencialidad

Las Partes utilizarán los materiales, datos e información obtenidos de la otra Parte únicamente para ejecutar el Contrato de Encargo del Tratamiento de Datos y mantendrán su confidencialidad durante su vigencia y después de su finalización.

§ 7.

Consecuencias de la finalización

Tras la finalización, el Encargado del Tratamiento devolverá al Responsable del Tratamiento y eliminará de sus soportes todos los datos personales encomendados, incluidos los soportes electrónicos, sin demora y a más tardar en un plazo de 14 días hábiles desde la finalización. Esto no se aplicará a los datos que la legislación aplicable obligue al Encargado del Tratamiento a conservar durante más tiempo.

§ 8.

Disposiciones finales

1. El Anexo 1 enumera las categorías de datos e interesados; el Anexo 2 enumera los subencargados.
2. Las modificaciones se regirán por las disposiciones de modificación de las Condiciones.
3. Las cuestiones no reguladas se regirán por las Condiciones, el RGPD y la legislación polaca aplicable.