ACUERDO DE ENCARGO DEL TRATAMIENTO DE DATOS PERSONALES

Artículo 28 del Reglamento (UE) 2016/679

REUNIDOS

De una parte, [RESPONSABLE / CLIENTE], con NIF/CIF [NIF/CIF], domicilio en [DOMICILIO], representada por [REPRESENTANTE], en calidad de [CARGO], en adelante, el RESPONSABLE DEL TRATAMIENTO.

Y de otra parte, UNIVERSAN SANIDAD Y MEDIO AMBIENTE S.L., NIF B54873625, domicilio en C/ Bilbao, 3, 03181 Torrevieja (Alicante), España, en adelante, el ENCARGADO DEL TRATAMIENTO o UNIVERSAN.

Ambas partes se reconocen capacidad suficiente y acuerdan las siguientes cláusulas.

1. Objeto

El presente acuerdo regula el acceso y tratamiento por UNIVERSAN de datos personales por cuenta del RESPONSABLE en el marco de la prestación, alojamiento, mantenimiento, soporte y operación de la Guía Sanitaria contratada.

UNIVERSAN no adquirirá la condición de responsable sobre esos datos por el mero hecho de prestar el servicio y solo podrá tratarlos conforme a instrucciones documentadas del RESPONSABLE, salvo obligación legal aplicable.

2. Duración

El encargo permanecerá vigente mientras UNIVERSAN preste servicios que impliquen tratamiento de datos personales por cuenta del RESPONSABLE. Las obligaciones de confidencialidad subsistirán después de la finalización.

3. Descripción del tratamiento

4. Instrucciones del responsable

UNIVERSAN tratará los datos únicamente siguiendo las instrucciones documentadas del RESPONSABLE y para las finalidades del servicio. Si UNIVERSAN considera que una instrucción infringe el RGPD u otra normativa aplicable, informará al RESPONSABLE sin demora indebida, salvo prohibición legal.

5. Obligaciones del responsable

Corresponde al RESPONSABLE:

• garantizar que los datos se obtienen y tratan lícitamente;
• cumplir el deber de información frente a los interesados;
• aplicar los principios de minimización, exactitud y limitación de conservación;
• determinar qué usuarios pueden acceder a la Guía y mantener sus permisos actualizados;
• no ordenar tratamientos contrarios a la normativa;
• evaluar, cuando proceda, riesgos, análisis de impacto y obligaciones específicas de su actividad.

6. Confidencialidad

UNIVERSAN garantizará que las personas autorizadas para tratar datos personales hayan asumido un compromiso de confidencialidad o estén sujetas a una obligación legal equivalente y que accedan únicamente a la información necesaria para sus funciones.

7. Medidas de seguridad

UNIVERSAN implantará medidas técnicas y organizativas apropiadas al riesgo, teniendo en cuenta el estado de la técnica, costes de aplicación, naturaleza, alcance, contexto y fines del tratamiento. Las medidas previstas se describen en el Anexo II y podrán evolucionar para mantener un nivel de seguridad adecuado.

8. Subencargados

El RESPONSABLE concede autorización general para que UNIVERSAN utilice proveedores necesarios para alojamiento, infraestructura, copias de seguridad, correo, comunicaciones, mantenimiento o soporte, siempre que dichos proveedores ofrezcan garantías suficientes y queden vinculados por obligaciones de protección de datos equivalentes a las aplicables a UNIVERSAN.

UNIVERSAN mantendrá una relación actualizada de subencargados y comunicará los cambios materiales con antelación razonable cuando sea posible, permitiendo al RESPONSABLE formular objeciones fundadas relacionadas con protección de datos.

9. Transferencias internacionales

UNIVERSAN no realizará ni permitirá transferencias internacionales de los datos tratados por cuenta del RESPONSABLE salvo que exista un mecanismo válido conforme al capítulo V del RGPD o resulte exigido por el Derecho de la Unión o de un Estado miembro. Cuando proceda, informará al RESPONSABLE de la garantía utilizada, salvo prohibición legal.

10. Ejercicio de derechos

Si UNIVERSAN recibe directamente una solicitud relativa a datos cuyo responsable sea el cliente, la comunicará al RESPONSABLE sin dilación indebida y no responderá en nombre de este salvo instrucción o habilitación. UNIVERSAN prestará asistencia razonable para que el RESPONSABLE pueda atender los derechos de los interesados.

11. Violaciones de seguridad

UNIVERSAN notificará al RESPONSABLE, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad de los datos personales tratados por su cuenta, aportando la información disponible necesaria para que el RESPONSABLE evalúe sus obligaciones de notificación y comunicación. La notificación no será exigible cuando resulte improbable que la incidencia afecte a datos del RESPONSABLE.

12. Evaluaciones de impacto y consulta previa

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, UNIVERSAN prestará asistencia razonable al RESPONSABLE para el cumplimiento de las obligaciones relativas a seguridad, evaluación de impacto y consulta previa cuando resulten aplicables.

13. Información, auditoría y cumplimiento

UNIVERSAN pondrá a disposición del RESPONSABLE la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD y permitirá auditorías o inspecciones razonables relacionadas con este encargo, coordinadas para minimizar riesgos de seguridad, afectación a terceros y perturbación del servicio.

14. Registro de actividades

UNIVERSAN mantendrá, cuando resulte exigible, el registro de categorías de actividades de tratamiento efectuadas por cuenta de responsables, conforme al artículo 30.2 del RGPD.

15. Destino de los datos al finalizar

Al finalizar el servicio, UNIVERSAN, a elección del RESPONSABLE, devolverá o suprimirá los datos personales y las copias existentes, salvo que una norma exija su conservación. Cuando exista obligación de conservación, los datos quedarán limitados a dicha finalidad durante el plazo correspondiente.

16. Responsabilidad

Cada parte responderá de las obligaciones que le correspondan conforme al RGPD, la LOPDGDD, el contrato de servicio y demás normativa aplicable. Este acuerdo no altera la distribución de responsabilidades impuesta por normas de carácter imperativo.

17. Comunicaciones

Las comunicaciones relativas a protección de datos podrán dirigirse a UNIVERSAN en gerencia@universan.es. El RESPONSABLE comunicará a UNIVERSAN un contacto válido para incidencias y solicitudes de privacidad.

18. Ley aplicable

El acuerdo se regirá por el Derecho de la Unión Europea y la legislación española aplicable. Las controversias se someterán a los órganos jurisdiccionales competentes conforme a las reglas imperativas de competencia.

ANEXO I. Detalle del tratamiento

• Servicio: Guía Sanitaria digital / sistema de autocontrol.
• Frecuencia: tratamiento continuado durante la prestación del servicio.
• Ubicación: infraestructura y proveedores declarados por UNIVERSAN para la prestación.
• Personas con acceso: usuarios autorizados por el RESPONSABLE y personal/proveedores de UNIVERSAN estrictamente necesarios para operación y soporte.
• Finalidad adicional propia del encargado: ninguna respecto de los datos tratados exclusivamente por cuenta del RESPONSABLE, salvo obligaciones legales.

ANEXO II. Medidas técnicas y organizativas de referencia

• autenticación y control de acceso según perfiles;
• principio de mínimo privilegio para administración y soporte;
• uso de HTTPS/TLS en comunicaciones públicas;
• actualización y mantenimiento de sistemas, dependencias y servidor;
• protecciones frente a accesos no autorizados y ataques comunes;
• copias de seguridad y procedimientos de recuperación adecuados al servicio;
• registro de eventos relevantes de seguridad cuando proceda;
• gestión de credenciales y revocación de accesos;
• procedimiento de gestión y escalado de incidentes;
• confidencialidad del personal y proveedores con acceso;
• revisión periódica de riesgos y adecuación de medidas.

Las medidas concretas deben corresponder con la arquitectura real de la plataforma. Este anexo no debe utilizarse para declarar medidas que no estén efectivamente implantadas.

ANEXO III. Subencargados

FIRMA

Firmado en fecha [FECHA].