Acuerdo de encargo de tratamiento conforme al RGPD — borrador

1. Partes

1.1 Responsable del tratamiento

Responsable del tratamiento: el cliente empresarial que encarga a Computer Repair Twente servicios que pueden implicar el tratamiento de datos personales.

• nombre de la empresa;
• la forma jurídica;
• dirección;
• código postal y lugar;
• Número de la Cámara de Comercio (KvK);
• Número de IVA, si procede;
• persona de contacto;
• Dirección de correo electrónico;
• Teléfono.

En adelante: responsable del tratamiento o cliente.

1.2 Encargado del tratamiento

Encargado del tratamiento: Computer Repair Twente, con sede en Enschede.

• nombre de la empresa: Computer Repair Twente;
• email: contact@computerrepairtwente.nl;
• teléfono / WhatsApp: 06-55734000;
• Sitio web: www.computerrepairtwente.nl.

En adelante: encargado del tratamiento o Computer Repair Twente.

1.3 Las partes conjuntamente

El responsable y el encargado del tratamiento se denominan conjuntamente las partes.

2. Propósito de este Acuerdo

2.1 Acuerdos sobre datos personales

Este acuerdo de encargo del tratamiento establece las condiciones bajo las que Computer Repair Twente trata datos personales por cuenta del responsable del tratamiento.

2.2 RGPD

Este acuerdo pretende cumplir las obligaciones del RGPD en la medida en que Computer Repair Twente actúa como encargado del tratamiento.

2.3 Complemento de otros acuerdos

Este acuerdo de encargo del tratamiento se aplica junto con el presupuesto, acuerdo, condiciones generales, SLA, acuerdos de soporte u otros acuerdos escritos entre las partes. En caso de contradicción, prevalecen sus disposiciones en lo relativo al tratamiento de datos personales en calidad de encargado del tratamiento.

3. Funciones de las partes

3.1 Responsable del tratamiento

El cliente es responsable del tratamiento cuando determina:

• qué datos personales se procesan;
• por qué estos datos personales se procesan;
• cuánto tiempo se requieren estos datos;
• quién puede tener acceso;
• las personas afectadas;
• qué fundamento jurídico se aplica;
• qué instrucciones debe seguir Computer Repair Twente.

3.2 Encargado del tratamiento

Computer Repair Twente actúa como encargado del tratamiento cuando tratamos datos personales exclusivamente por encargo del cliente y según sus instrucciones.

3.3 No se actúa como encargado del tratamiento en la administración propia

Computer Repair Twente no actúa como encargado del tratamiento para su propia administración de clientes, facturación, presupuestos, gestión de cobros, marketing, seguridad de sus sistemas u obligaciones legales. Para esos tratamientos, Computer Repair Twente es responsable independiente del tratamiento. Estas situaciones se rigen por nuestra declaración de privacidad.

4. Objeto y duración del tratamiento

4.1 Asunto

El tratamiento se refiere a los datos personales que Computer Repair Twente puede tratar al prestar servicios informáticos empresariales, soporte, gestión, mantenimiento, seguridad, copias de seguridad, recuperación, migración, resolución de incidencias o trabajos similares.

4.2 Duración

Este acuerdo rige durante la prestación del servicio en el que Computer Repair Twente trata datos personales por encargo del cliente.

4.3 Final

El tratamiento termina cuando:

• el servicio termina;
• se rescinde el acuerdo;
• los datos personales ya no son necesarios;
• el cliente solicita por escrito la eliminación o devolución;
• una obligación legal de conservación o un motivo legítimo hace necesaria una conservación más prolongada.

5. Naturaleza y finalidad del tratamiento

5.1 Naturaleza del tratamiento

Computer Repair Twente puede procesar datos personales por ejemplo:

• consulta;
• almacenar temporalmente;
• copia;
• transferencia;
• recuperarse;
• seguro;
• hacer copias de seguridad;
• Suprimir;
• analizar para resolver errores;
• configurar en los sistemas;
• tratar en las comunicaciones de asistencia;
• temporalmente ser visible durante el soporte remoto.

5.2 Finalidades

El procesamiento sólo tiene lugar en la medida necesaria para la prestación de servicios al cliente.

Los objetivos pueden incluir:

• Apoyo informático;
• gestión del lugar de trabajo;
• gestión de los sistemas;
• gestión del usuario;
• Apoyo a la cuenta;
• asistencia con el correo electrónico;
• copias de seguridad y restauración;
• recuperación de datos;
• migración de datos;
• Apoyo a la seguridad;
• resolución de incidentes;
• mantenimiento;
• resolución de problemas;
• documentación de las actividades de apoyo;
• comunicación sobre solicitudes de asistencia;
• ejecución de un acuerdo o SLA.

6. Categorías de las personas afectadas

Según el encargo, pueden tratarse datos personales de, entre otros:

• personal del cliente;
• dirección o gerencia del cliente;
• usuarios de sistemas de clientes;
• personas de contacto del cliente;
• clientes del cliente;
• proveedores del cliente;
• visitantes o contactos del cliente;
• otras personas cuyos datos están contenidos en los sistemas, archivos o copias de seguridad del cliente.

Las categorías exactas pueden variar por cliente o asignación y pueden especificarse en un anexo.

7. Tipos de datos personales

Según el encargo, Computer Repair Twente puede acceder a lo siguiente o tratarlo, entre otras cosas:

• Nombre;
• Dirección de correo electrónico de negocios;
• e-mail privado, en su caso, en sistemas;
• Número de teléfono;
• nombre de usuario;
• cuenta de usuario;
• función o departamento;
• derechos de acceso;
• sistema y datos de registro;
• Direcciones IP;
• nombre del dispositivo;
• Números de serie;
• datos sobre el lugar de trabajo;
• configuración del correo electrónico;
• archivos y documentos;
• copias de seguridad;
• calendario o datos de contacto;
• mensajes de error;
• historial de asistencia;
• Datos técnicos de configuración;
• notificaciones de seguridad;
• datos visibles durante el soporte remoto.

7.1 Categorías especiales de datos personales

Computer Repair Twente no tiene como objetivo tratar categorías especiales de datos personales. No obstante, estos datos pueden ser visibles en archivos, correos electrónicos, copias de seguridad o sistemas del cliente. El cliente sigue siendo responsable de limitar, proteger o eliminar estas categorías de datos cuando no sean necesarias para el encargo.

7.2 Datos penales

Computer Repair Twente no tiene como finalidad del servicio tratar datos penales. Si aparecen accidentalmente en sistemas o archivos del cliente, Computer Repair Twente solo los trata en la medida necesaria para el encargo técnico y según las instrucciones del cliente.

8. Instrucciones del responsable del tratamiento

8.1 Solo siguiendo instrucciones

Computer Repair Twente trata datos personales exclusivamente sobre la base de instrucciones escritas o demostrables del responsable del tratamiento, salvo que una obligación legal exija otra cosa.

8.2 Instrucciones demostrables

Se pueden impartir instrucciones a través de:

• acuerdo;
• presupuesto;
• e-mail;
• WhatsApp;
• ticket;
• confirmación del pedido;
• SLA;
• solicitud de apoyo;
• instrucción verbal que posteriormente se confirma de forma demostrable;
• documentación o acuerdo de trabajo.

8.3 Instrucciones ilegales

Si Computer Repair Twente considera que una instrucción contraviene el RGPD u otra legislación, informará al cliente en la medida razonablemente posible.

8.4 No hay uso independiente

Computer Repair Twente no utiliza datos personales procesados en nombre del cliente para sus propios fines, a menos que sea permitido por la ley o necesario para su propia administración, evidencia, seguridad o obligaciones legales.

9. Confidencialidad

9.1 Obligación de confidencialidad

Computer Repair Twente trata confidencialmente los datos personales del cliente y la información confidencial.

9.2 Personas bajo la responsabilidad del encargado del tratamiento

Computer Repair Twente garantiza que quienes tratan datos personales bajo su responsabilidad están sujetos a confidencialidad o a una obligación legal o contractual adecuada de confidencialidad.

9.3 Excepciones

La obligación de confidencialidad no se aplicará cuando la divulgación sea exigida por la ley, por una orden judicial o por una autoridad competente de supervisión.

10. Medidas de seguridad

10.1 Medidas apropiadas

Computer Repair Twente toma las medidas técnicas y organizativas adecuadas para proteger los datos personales contra la pérdida, el acceso no autorizado, la alteración, la divulgación o el procesamiento ilícito.

10.2 Ejemplos de medidas

Dependiendo del servicio y las posibilidades técnicas, las medidas pueden incluir:

• contraseñas sólidas;
• MFA, cuando sea posible;
• El acceso restringido por necesidad de conocer;
• dispositivos seguros;
• las conexiones seguras cuando estén disponibles;
• transferencia encriptada cuando proceda;
• actualizaciones de software y parcheo cuando sea posible;
• medidas de seguridad o antivirus cuando proceda;
• registro de eventos cuando proceda;
• almacenamiento cuidadoso de la información del cliente;
• limitación del acceso a la información de asistencia;
• Acuerdos de confidencialidad;
• eliminación segura de los datos cuando sea posible;
• uso de herramientas y proveedores fiables;
• protección física del equipo y los lugares de trabajo.

10.3 Ninguna garantía de seguridad absoluta

Ningún sistema está completamente libre de riesgos. Computer Repair Twente no garantiza que cualquier forma de acceso no autorizado, violación de datos, malware, hack, error humano o fallo del sistema puede ser evitado por completo.

10.4 Dependencia del entorno del cliente

La seguridad también depende del entorno del cliente, los ajustes existentes, la política de contraseñas, la gestión de permisos, las actualizaciones, el comportamiento de los usuarios, la seguridad de la red y el cumplimiento de los consejos por parte del cliente.

11. Subencargados del tratamiento

11.1 Contratación

Computer Repair Twente puede contratar subencargados del tratamiento cuando sea necesario o conveniente para prestar el servicio.

Los ejemplos de subencargados del tratamiento o servicios de terceros pueden incluir:

• proveedores de alojamiento;
• proveedores de servicios en la nube;
• proveedores de correo electrónico;
• instrumentos de apoyo remoto;
• servicios de copias de seguridad;
• software contable o administrativo;
• software de seguridad;
• sistemas de tickets de asistencia o documentación;
• proveedores de herramientas de TI;
• Socios de TI especializados.

11.2 Acuerdos adecuados

Computer Repair Twente establece, cuando es necesario, acuerdos adecuados con los subencargados del tratamiento sobre la protección de datos personales.

11.3 Relación a petición

A petición, Computer Repair Twente puede facilitar una lista de los subencargados pertinentes que intervienen en la prestación del servicio al cliente.

11.4 Objeción

Si el cliente se opone a un subencargado concreto, debe comunicarlo por escrito y con motivos. Las partes dialogarán para buscar una solución razonable.

12. Transmisión fuera del Espacio Económico Europeo

12.1 Tratamiento dentro del EEE

Computer Repair Twente se esfuerza por procesar los datos personales tanto como sea posible dentro del Espacio Económico Europeo.

12.2 Servicios externos

Algunos servicios externos o proveedores pueden procesar datos personales fuera del Espacio Económico Europeo.

12.3 Salvaguardias adecuadas

Cuando los datos personales se procesan fuera del Espacio Económico Europeo, esto sólo se hará si hay una base o garantía apropiada, en la medida requerida por la ley.

13. Brechas de datos e incidentes de seguridad

13.1 Notificación al cliente

Cuando Computer Repair Twente detecte o sospeche razonablemente una brecha que afecte a datos personales del cliente, lo comunicará sin demora indebida al responsable del tratamiento.

13.2 Información al notificar

Cuando esté disponible, Computer Repair Twente proporciona información relevante, como:

• la naturaleza del incidente;
• fecha o fecha probable;
• los sistemas de que se trate;
• tipo de datos personales;
• categorías de interesados;
• causa probable;
• medidas adoptadas o propuestas;
• posibles consecuencias;
• persona de contacto para preguntas posteriores.

13.3 Obligación de notificar a la autoridad de control

El responsable del tratamiento sigue siendo responsable de evaluar si debe notificarse una brecha de datos a la Autoridad de Protección de Datos neerlandesa o a los interesados, salvo acuerdo escrito en contrario.

13.4 Cooperación

Computer Repair Twente proporciona una cooperación razonable al cliente en la evaluación y manejo de una brecha de datos, en la medida en que esto entra dentro del alcance de la provisión de servicios y posibilidades razonables.

13.5 Costos

Si una violación de datos o un incidente es causado por circunstancias ajenas a la responsabilidad de Computer Repair Twente, se pueden cobrar costos de investigación, reparación, presentación de informes o apoyo.

14. Derechos de los interesados

14.1 Apoyo

Computer Repair Twente presta ayuda razonable al cliente con las solicitudes de los interesados, en la medida en que afecten a datos personales que Computer Repair Twente trate como encargado del tratamiento.

Piense en las solicitudes sobre:

• acceso;
• corrección;
• eliminación;
• limitación;
• portabilidad;
• Objeción;
• retiro del consentimiento.

14.2 Responsabilidad del cliente

El cliente sigue siendo responsable de evaluar y responder a las solicitudes de los interesados.

14.3 Remisión de la solicitud

Si un interesado contacta directamente con Computer Repair Twente sobre datos tratados por cuenta del cliente, Computer Repair Twente remitirá la solicitud al cliente, salvo que se exija otra cosa.

15. Colaboración en las obligaciones del RGPD

Computer Repair Twente colabora razonablemente con el cliente en las obligaciones del RGPD relacionadas con el tratamiento por Computer Repair Twente. Esto puede incluir información sobre medidas de seguridad, ayuda ante brechas de datos y con los derechos de los interesados, información para evaluaciones de impacto (DPIA), información sobre subencargados y la finalización o eliminación de datos.

Este apoyo se aplicará en la medida en que sea razonable, técnicamente posible y dentro del servicio acordado. Si el trabajo está fuera del alcance normal, los costos pueden ser cargados.

16. Auditoría y control

16.1 control razonable

El responsable del tratamiento puede solicitar información razonablemente para comprobar si Computer Repair Twente cumple este acuerdo de encargo del tratamiento.

16.2 Solicitud de auditoría

Una auditoría o comprobación solo puede realizarse tras acordar previamente por escrito su objetivo, alcance, planificación, confidencialidad, seguridad y costes.

16.3 Limitación

Las auditorías no deben interrumpir indebidamente el negocio, la seguridad, la privacidad de otros clientes o información confidencial de Computer Repair Twente.

16.4 Costos

Los costos de las auditorías, las solicitudes de información extensivas o los auditores externos serán sufragados por el cliente, a menos que se convenga por escrito otra cosa.

17. Plazos de conservación

17.1 Según instrucciones

Computer Repair Twente no conserva los datos personales tratados por cuenta del cliente durante más tiempo del necesario para el encargo o según las instrucciones del cliente.

17.2 Obligaciones legales de conservación

Algunos datos pueden almacenarse más tiempo cuando sea necesario para obligaciones legales, administración, pruebas, disputas, seguridad o negocios propios.

17.3 Datos de soporte y registro

La historia de soporte, las entradas, los datos de registro o la documentación pueden conservarse siempre que sea necesario para el servicio, la garantía, la seguridad, la administración o la evidencia, a menos que se acuerde otra cosa.

18. Fin del tratamiento

18.1 Eliminación o devolución

Después de la terminación del servicio, Computer Repair Twente borrará o devolverá los datos personales procesados en nombre del cliente, dependiendo de la instrucción del cliente y las posibilidades técnicas.

18.2 Excepciones

Se puede omitir la eliminación o devolución cuando:

• se aplican obligaciones legales de conservación;
• los datos son necesarios para la administración;
• los datos se necesitan a los efectos de las pruebas;
• los datos se incluyen en copias de seguridad que no pueden ser inmediatamente eliminadas selectivamente;
• La eliminación es técnicamente imposible o desproporcionada;
• Es necesario un almacenamiento más largo para la seguridad o solución de controversias.

18.3 Copias de seguridad

Los datos pueden permanecer en las copias de seguridad durante un ciclo normal de respaldo hasta que se sobrescriban o eliminen automáticamente.

19. Responsabilidad

19.1 Limitación general

La responsabilidad de Computer Repair Twente es limitada como se incluye en los términos y condiciones generales, oferta, acuerdo o acuerdos escritos específicos.

19.2 No hay responsabilidad por instrucciones cliente

Computer Repair Twente no responde de daños derivados de instrucciones del cliente, datos incorrectos, información incompleta, un entorno del cliente inseguro, gestión de accesos insuficiente, contraseñas débiles, ausencia de copias de seguridad o actuaciones de empleados o terceros del cliente.

19.3 Sin responsabilidad por daños consecuenciales

Computer Repair Twente no responde de daños indirectos, daños consecuentes, interrupción del negocio, pérdida de ingresos, lucro cesante, daños a la reputación, pérdida de datos o reclamaciones de terceros, en la medida permitida por la ley.

20. Fuerza mayor

Computer Repair Twente no responde de incumplimientos por fuerza mayor, incluidos fallos de proveedores, servicios en la nube o Internet, ciberataques, cortes de electricidad, enfermedad, medidas gubernamentales, problemas de transporte u otras circunstancias fuera de su control razonable.

21. Secreto después de la terminación

Las obligaciones de confidencialidad siguen vigentes tras finalizar el servicio o este acuerdo de encargo del tratamiento, mientras la información siga siendo confidencial.

22. Enmiendas

Los cambios en este acuerdo de encargo del tratamiento solo son válidos si ambas partes los confirman por escrito.

Computer Repair Twente puede modificar este borrador en la web cuando cambien la legislación, los servicios, las medidas de seguridad o la gestión empresarial. Para los acuerdos ya firmados rige la versión firmada, salvo que las partes acuerden otra cosa por escrito.

23. Derecho aplicable

Este acuerdo de encargo del tratamiento se rige por el derecho neerlandés. Las controversias se someterán al tribunal competente según los acuerdos principales entre las partes, salvo que una norma imperativa disponga otra cosa.

24. Firma

Este proyecto de acuerdo no será vinculante hasta que haya sido completado y firmado o confirmado por escrito por ambas partes.

Anexo 1 — Descripción del tratamiento

Este Anexo puede completarse por cliente.

• Apoyo informático;
• gestión del lugar de trabajo;
• gestión de los sistemas;
• apoyo remoto;
• mantenimiento;
• copias de seguridad y restauración;
• recuperación de datos;
• migración de datos;
• Apoyo a la seguridad;
• resolución de incidentes;
• Servicios de TI de negocios.

Categorías de interesados
Empleados, usuarios, personas de contacto, clientes del cliente, proveedores y otras personas cuyos datos figuren en los sistemas del cliente.

Tipos de datos personales
Nombre, dirección de correo electrónico, número de teléfono, cuentas de usuario, datos del sistema, datos de registro, archivos, copias de seguridad, datos técnicos, datos de comunicación y derechos de acceso.

Plazo de conservación
Según el encargo, acuerdo o instrucciones del cliente, salvo obligaciones legales de conservación o limitaciones técnicas.

Anexo 2 — Medidas de seguridad

Dependiendo del servicio y de las posibilidades técnicas, se pueden aplicar, entre otras, las siguientes medidas:

• contraseñas sólidas;
• MFA, cuando sea posible;
• Acceso restringido;
• conexiones seguras;
• transferencia encriptada cuando esté disponible;
• parche y actualizaciones cuando proceda;
• herramientas antivirus y de seguridad cuando proceda;
• registro de eventos cuando proceda;
• almacenamiento cuidadoso de la información del cliente;
• confidencialidad;
• seguridad de sus propios dispositivos;
• limitación del acceso a la información de asistencia;
• eliminación segura cuando sea posible.

Anexo 3 — Subencargados del tratamiento

Cuando proceda, puede incluirse aquí una lista de subencargados del tratamiento o de sus categorías, como:

• proveedor de alojamiento;
• proveedor de correo electrónico;
• proveedor de servicios en la nube;
• software de soporte remoto;
• servicio de copias de seguridad;
• Programas informáticos de contabilidad;
• sistema de documentación o tickets de asistencia;
• software de seguridad;
• Socio especializado en TI.

Páginas jurídicas y empresariales relacionadas

• Declaración de privacidad
• Condiciones generales
• SLA y acuerdos de asistencia
• Procedimiento de servicio
• Política de garantía y servicio
• Procedimiento de reclamaciones