1.1 Constituye el objeto del presente contrato, establecer el deber de confidencialidad que debe mantener DATAPRIUS en su calidad de encargado del tratamiento de los Datos de Carácter Personal como consecuencia de la prestación de los Servicios descrita.

1.2 Cualquier tratamiento de los Datos de Carácter Personal al margen de los que expresamente se deriven del cumplimiento de este contrato está, salvo acuerdo en contrario por escrito de las partes, expresamente excluido del objeto del presente contrato.

1.3 A los efectos del presente contrato, se entenderá por Ficheros, aquellos que contengan datos personales o confidenciales y que puedan ser tratados por DATAPRIUS con motivos de la prestación del servicio contratado, los cuales podrán ser, bien de titularidad de [ACRONIMO] por ser éste el Responsable de dichos Ficheros, o bien, de titularidad de terceros a los que [ACRONIMO] se encuentre prestando un determinado servicio tratando sus datos.

1.4 En este último caso, queda fuera del presente contrato la regulación jurídica de la relación existente entre [ACRONIMO] y los terceros titulares de los Ficheros, garantizando [ACRONIMO] a través del presente documento que dicha relación se encuentra jurídicamente regulada con anterioridad a la firma de este contrato, conforme exige la normativa aplicable y la Agencia Española de Protección de Datos.

2.1 En virtud del presente contrato, y en aquellos casos en que DATAPRIUS pudiera tener acceso a los Datos de Carácter Personal, se obliga:

(a) No aplicar, ni utilizar, ni revelar los Datos de Carácter Personal con fines distintos a los que se derivan de este contrato.

(b) No comunicar ni permitir el acceso a los Datos de Carácter Personal a ningún tercero, a excepción de aquellos empleados y colaboradores que no puedan cumplir sus obligaciones sin tener acceso a los mismos. Dichas personas deberán obligarse a mantener el carácter confidencial. Con excepción única a la prohibición señalada en el párrafo anterior, DATAPRIUS se obliga a no comunicar a terceros los Ficheros, salvo que dicha comunicación se realizase a favor de personas físicas o jurídicas que contribuyesen al cumplimiento del Contrato. En este sentido, [ACRONIMO] reconoce y legitima expresamente con la firma del presente a DATAPRIUS para que pueda subcontratar a las personas físicas o jurídicas que considere necesarias para prestar el servicio al Cliente siempre que tal prestación se autorice expresamente por [ACRONIMO] y se formalice en un contrato que se ajuste a los términos de la legislación vigente.

(c) Destruir o eliminar los Datos de Carácter Personal o cualesquiera soportes o documentos en que estos se incorporen a la finalización del presente Contrato o por requerimiento expreso y por escrito de [ACRONIMO] (según se establece en la estipulación 6). No obstante lo previsto en el párrafo anterior, DATAPRIUS podrá conservar los datos e información tratada, debidamente bloqueados, en el caso que pudieran derivarse responsabilidades de su relación con [ACRONIMO].

3.1 DATAPRIUS se compromete a adoptar, actualizar y mantener las medidas organizativas y técnicas que estime necesarias para garantizar la seguridad y confidencialidad de los Datos de Carácter Personal, impidiendo cualquier alteración, perdida, tratamiento, procesamiento o acceso no autorizado. Esta obligación se desarrollará de conformidad con el estado de la tecnología, la naturaleza de los Datos y los riesgos a los que estén expuestos, ya provengan de la acción humana o del medio físico o natural.

3.2 [ACRONIMO] reconoce que dichas medidas se ajustan al nivel de seguridad aplicable al tipo de información que sea objeto de tratamiento como consecuencia de la prestación del servicio que DATAPRIUS realiza por cuenta de [ACRONIMO], de conformidad con lo establecido en el Reglamento General de Proteción de Datos o cualquier normativa que, en su caso, sustituya, derogue o modifique el mencionado Reglamento.

DATAPRIUS se compromete a mantener el secreto profesional respecto de los Datos de Carácter Personal y al deber de guardarlo, obligación que subsistirá aún después de finalizar la relación contractual con la Compañía. DATAPRIUS hará sus mejores esfuerzos para hacer cumplir el mismo deber de secreto a aquellos de sus empleados que intervengan en cualquier fase del tratamiento automatizado de los Datos de Carácter Personal.

DATAPRIUS está obligado, siempre que [ACRONIMO] lo solicite por requerimiento expreso y por escrito, a borrar o destruir los Datos de [ACRONIMO] que, como consecuencia de los servicios contratados, pudiera tener almacenados a la extinción del presente Contrato. Debido al servicio de copias de seguridad prestado y al periodo de retención estipulado en el mismo, DATAPRIUS garantiza que dicha destrucción o eliminación total de los Datos se llevará a cabo en un plazo no superior un mes, siendo durante ese plazo de tiempo convertidos en inaccesibles.

Cada parte responderá de las sanciones administrativas y de los daños y perjuicios causados por el incumplimiento de las obligaciones que la legislación en materia de protección de datos establece a cada parte, acordando indemnizar a la otra parte por todas y cada una de las pérdidas y/o responsabilidades que la parte no infractora pueda sufrir como resultado del incumplimiento de la normativa de protección de datos de carácter personal de la parte infractora.

Los términos de este Contrato, así como aquella información que las partes adquieran en virtud de la celebración del presente Contrato son de naturaleza confidencial. Ninguna de las partes podrá revelar, comunicar, difundir, distribuir, almacenar la Información Confidencial, ni en todo ni en parte, ni transformarla, ni aplicarla a ningún fin distinto de los contemplados en este Contrato, ni por sí ni por tercero alguno, sin el previo consentimiento de la otra.

Las partes serán responsables, de que sus empleados, subcontratistas, proveedores y consultores, y, en general, todas las personas que tengan acceso a la información confidencial, respeten la confidencialidad de la información, así como de los daños y perjuicios causados por el mal uso o revelación de dicha. A la terminación del presente Contrato cada parte destruirá o devolverá a la otra parte la Información Confidencial a requerimiento de la otra parte.

8.1 Para cualquier disputa que surgiese entre las partes relativas a la interpretación o ejecución de este contrato, ambas partes, con renuncia a su propio fuero, se someten a la jurisdicción de los Juzgados y Tribunales de Málaga.

3.1 Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios.

3.2 Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento.

Si el encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, el encargado informará inmediatamente al responsable.

3.3 Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable, que contenga:

1. El nombre y los datos de contacto del encargado y de cada responsable por cuenta del cual actúe el encargado y, en su caso, del representante del responsable o del encargado y del delegado de protección de datos.
2. Las categorías de tratamientos efectuados por cuenta de cada responsable.
3. En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49 apartado 1, párrafo segundo del RGPD, la documentación de garantías adecuadas
4. Una descripción general de las medidas técnicas y organizativas de seguridad relativas a:
   • La seudonimización y el cifrado de datos personales (en caso de que sean aplicados).
   • La capacidad de garantizar la confidencialidad, integridad y disponibilidad de los sistemas y servicios de tratamiento.
   • La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.
   • El proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

3.4 No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles.

El encargado puede comunicar los datos a otros encargados del tratamiento del mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación.

Si el encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.

3.5 El encargado del tratamiento notificará al responsable del tratamiento, sin dilación indebida, y en cualquier caso antes del plazo máximo de 48 horas desde que se tiene conocimiento, de las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia.

Cuando se produzca este supuesto, el Encargado del tratamiento deberá notificárselo al Responsable del tratamiento y será éste el que decida, en su concepto de Responsable del tratamiento, si dicha quiebra de seguridad deberá notificarla a la AEPD o no, en función de que considere si la misma constituye un riesgo para los derechos y libertades de las personas físicas.

Si se dispone de ella se facilitará, como mínimo, la información siguiente:

1. Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.
2. El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información.
3. Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.
4. Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.

Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.

• Dar apoyo al responsable del tratamiento en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda.
• Dar apoyo al responsable del tratamiento en la realización de las consultas previas a la autoridad de control, cuando proceda.
• Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen el responsable u otro auditor autorizado por él.
• Implantar las medidas de seguridad siguientes que se detallan en el documento de relación de actividades de tratamientos efectuados por el encargado de tratamiento que se especifican en el apartado 3.3 del presente documento y que se pondrá a disposición del responsable del tratamiento a petición de éste.

3.6 En todo caso, deberá implantar mecanismos para:

1. Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
2. Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.
3. Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento.
4. Seudonimizar y cifrar los datos personales, en su caso.
5. En su caso, designar un delegado de protección de datos y comunicar su identidad y datos de contacto al responsable.
6. Destino de los datos. Una vez cumplida la prestación a la que se refiere el presente contrato, el encargado de tratamiento devolverá al responsable del tratamiento o al encargado que éste designe, los datos de carácter personal. El plazo que tendrá el responsable del tratamiento para descargar toda su información una vez finalizada la relación contractual será como máximo un mes.