DOCUMENTO 1: CLÁUSULAS CONTRACTUALES TIPO

DOCUMENTO 1: CLÁUSULAS CONTRACTUALES TIPO

SECCIÓN I

Cláusula 1

Finalidad y alcance

a. El objetivo de estas cláusulas contractuales tipo es garantizar el cumplimiento de los requisitos del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 xx xxxxx de 2016, relativo a la protección de las personas físicas en lo que respecta al procesamiento de datos personales y a la libre circulación de dichos datos (Reglamento General de Protección de Datos) para la transferencia de datos personales a un tercer país.

b. Las Partes:

i. las personas físicas o jurídicas, las autoridades públicas, las agencias u otros organismos (en lo sucesivo, "entidades") que transfieren los datos personales, tal y como se indica en el Anexo I.A (en lo sucesivo, "exportador de datos"); y

ii. las entidades de un tercer país que reciben los datos personales del exportador de datos, directa o indirectamente a través de otra entidad que también sea Parte en estas Cláusulas, tal y como se indica en el Anexo I.A (en lo sucesivo, "Importador de datos")

han aceptado estas cláusulas contractuales tipo (en lo sucesivo, las "Cláusulas").

c. Las presentes Cláusulas se aplican con respecto a la transferencia de datos personales, tal como se especifica en el Anexo I.B.

d. El Apéndice de las presentes Cláusulas, que contiene los Anexos mencionados, forma parte integrante de estas Cláusulas.

Cláusula 2

Efecto e invariabilidad de las Cláusulas

a. Estas Cláusulas establecen las garantías adecuadas, incluidos los derechos exigibles de los sujetos de los datos y los recursos legales efectivos, de conformidad con el Artículo 46(1) y el Artículo 46(2)(c) del Reglamento (UE) 2016/679 y, con respecto a las transferencias de datos de los controladores a los procesadores o de los procesadores a los procesadores, cláusulas contractuales tipo de conformidad con el Artículo 28(7) del Reglamento (UE) 2016/679, siempre que no se modifiquen, excepto para seleccionar los módulos adecuados o para añadir o actualizar información en el Apéndice. Esto no impide que las Partes incluyan las cláusulas contractuales tipo establecidas en estas Cláusulas en un contrato más amplio o añadan otras cláusulas o garantías adicionales, siempre que no contradigan, directa o indirectamente, estas Cláusulas ni perjudiquen los derechos o libertades fundamentales de los sujetos de los datos.

b. Estas Cláusulas se entienden sin perjuicio de las obligaciones a las que está sujeto el exportador de los datos en virtud del Reglamento (UE) 2016/679.

Cláusula 3

Terceros beneficiarios

a. Los sujetos de los datos pueden invocar y hacer cumplir estas Cláusulas, como terceros beneficiarios, al exportador de los datos o al Importador de los datos, con las siguientes excepciones:

i. Cláusula 1, Cláusula 2, Cláusula 3, Cláusula 6, Cláusula 7;

ii. Cláusula 8: Cláusula 8.1(b), 8.9(a), (c), (d) y (e);

iii. Cláusula 9: Cláusula 9(a), (c), (d) y (e);

iv. Cláusula 12: Cláusula 12(a), (d) y (f);

v. Cláusula 13;

vi. Cláusula 15.1(c), (d) y (e);

vii. Cláusula 16(e);

viii. Cláusula 18: Cláusula 18(a), y (b);

b. El párrafo (a) se entenderá sin perjuicio de los derechos de los sujetos de los datos en virtud del Reglamento (UE) 2016/679.

Cláusula 4

Interpretación

a. Cuando estas Cláusulas utilicen términos definidos en el Reglamento (UE) 2016/679, tendrán el mismo significado que en dicho Reglamento.

b. Estas Cláusulas se leerán e interpretarán a la luz de las disposiciones del Reglamento (UE) 2016/679.

c. Estas Cláusulas no se interpretarán de forma que entren en conflicto con los derechos y obligaciones previstos en el Reglamento (UE) 2016/679.

Cláusula 5

Jerarquía

En caso de contradicción entre estas Cláusulas y las disposiciones de los acuerdos relacionados entre las Partes, existentes en el momento en que se acuerden o suscriban posteriormente estas Cláusulas, prevalecerán estas Cláusulas.

Cláusula 6

Descripción de las transferencias

Los detalles de las transferencias y, en particular, las categorías de datos personales que se transfieren y los fines para los que se transfieren se especifican en el Anexo I.B.

Cláusula 7

Cláusula de inclusión de nuevas partes del contrato (docking clause)

a. Una entidad que no sea Parte en estas Cláusulas podrá, con el acuerdo de las Partes, adherirse a estas Cláusulas en cualquier momento, ya sea como Exportador de datos o como Importador de datos, completando el Apéndice y firmando el Anexo I.A.

b. Una vez que haya completado el Apéndice y firmado el Anexo I.A, la entidad que se adhiera pasará a ser Parte en las presentes Cláusulas y tendrá los derechos y obligaciones de un

exportador de los datos o importador de los datos de conformidad con su designación en el Anexo I.A.

c. La entidad que se adhiera no tendrá derechos ni obligaciones derivados de estas Cláusulas del periodo anterior a su adhesión.

SECCIÓN II – OBLIGACIONES DE LAS PARTES

Cláusula 8

Garantías de protección de datos

El exportador de los datos garantiza que ha hecho todo lo posible para determinar que el importador de los datos puede, mediante la aplicación de las medidas técnicas y organizativas adecuadas, cumplir sus obligaciones en virtud de estas Cláusulas.

8.1 Instrucciones

a. El importador de los datos procesará los datos personales únicamente siguiendo instrucciones documentadas del exportador de los datos. El exportador de los datos podrá dar dichas instrucciones durante la duración del contrato.

b. El importador de los datos informará inmediatamente al exportador de los datos si no puede seguir dichas instrucciones.

8.2 Limitación de la finalidad

El importador de los datos procesará los datos personales únicamente para los fines específicos de la transferencia, tal como se establece en el Anexo I.B, a menos que se reciban instrucciones adicionales del exportador de los datos.

8.3 Transparencia

Previa solicitud, el exportador de los datos pondrá a disposición del sujeto de los datos gratuitamente una copia de estas Cláusulas, incluido el Apéndice, tal como las Partes lo hayan cumplimentado. En la medida en que sea necesario para proteger los secretos comerciales u otra información confidencial, incluidas las medidas descritas en el Anexo II y los datos personales, el exportador de los datos podrá redactar parte del texto del Apéndice de estas Cláusulas antes de compartir una copia, sin embargo, proporcionará un resumen significativo en el que el sujeto de los datos no pueda comprender su contenido ni ejercer sus derechos. Previa solicitud, las Partes comunicarán al sujeto de los datos los motivos de las exclusiones, en la medida de lo posible, sin revelar la información redactada. La presente Xxxxxxxx se entiende sin perjuicio de las obligaciones del exportador de los datos en virtud de los artículos 13 y 14 del Reglamento (UE) 2016/679.

8.4 Precisión

Si el importador de los datos tiene conocimiento de que los datos personales que ha recibido son inexactos o están obsoletos, informará al exportador de los datos sin demora indebida. En este caso, el importador de los datos cooperará con el exportador de los datos para borrar o rectificar los datos.

8.5 Duración del procesamiento y borrado o devolución de los datos

El procesamiento por parte del importador de los datos solo tendrá lugar durante el tiempo especificado en el Anexo I.B. Una vez finalizada la prestación de los servicios de procesamiento, el importador de los datos eliminará, a elección del exportador de los datos, todos los datos personales procesados en nombre del exportador de los datos y certificará al exportador de los datos que lo ha hecho, o devolverá al exportador de los datos todos los datos personales procesados en su nombre y eliminará las copias existentes. Hasta que se eliminen o se devuelvan los datos, el importador de los datos seguirá garantizando el cumplimiento de estas Cláusulas. En caso de que las leyes locales aplicables al importador de los datos prohíban la devolución o eliminación de los datos personales,

el importador de los datos confirma que seguirá garantizando el cumplimiento de estas Cláusulas y que solo los procesará en la medida y durante el tiempo que lo exija la legislación local. Esto se entiende sin perjuicio de la cláusula 14, en particular del requisito de que el importador de los datos, en virtud de la cláusula 14(e), notifique al exportador de los datos durante el periodo de vigencia del contrato si tiene motivos para creer que está sujeto a leyes o prácticas que no se ajustan a los requisitos de la Cláusula 14(a).

8.6 Seguridad del procesamiento

a. El importador de los datos y, durante la transmisión, también el exportador de los datos aplicarán las medidas técnicas y organizativas adecuadas para garantizar la seguridad de los datos, incluida la protección contra un incumplimiento de la seguridad que provoque la destrucción accidental o ilícita, la pérdida, la alteración, la divulgación no autorizada o el acceso a dichos datos (en lo sucesivo, "violación de la seguridad de los datos personales"). Al evaluar el nivel adecuado de seguridad, las Partes tendrán en cuenta el estado, los costes de implementación, la naturaleza, el alcance, el contexto y el propósito del procesamiento y los riesgos que este implica para los sujetos de los datos. En particular, las Partes considerarán la posibilidad de recurrir al cifrado o la seudonimización, incluso durante la transmisión, cuando el propósito del procesamiento pueda cumplirse de esa manera. En caso de seudonimización, la información adicional para atribuir los datos personales a un sujeto de los datos específico permanecerá, siempre que sea posible, bajo el control exclusivo del exportador de los datos. En cumplimiento de sus obligaciones establecidas en el presente apartado, el importador de los datos aplicará al menos las medidas técnicas y organizativas especificadas en el Anexo II. El importador de los datos llevará a cabo comprobaciones periódicas para garantizar que estas medidas siguen proporcionando un nivel de seguridad adecuado.

b. El importador de los datos concederá acceso a los datos personales a los miembros de su personal únicamente en la medida estrictamente necesaria para la ejecución, gestión y supervisión del contrato. Se asegurará de que las personas autorizadas para procesar los datos personales se hayan comprometido a mantener la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada.

c. En caso de violación de la seguridad de los datos personales procesados por el importador de los datos en virtud de estas Cláusulas, el importador de los datos adoptará las medidas adecuadas para abordar la violación de la seguridad, incluidas medidas para mitigar sus efectos adversos. El importador de los datos deberá además notificar al exportador de los datos sin demora indebida después de haber tenido conocimiento de la infracción. Dicha notificación incluirá los detalles de un punto de contacto en el que se pueda obtener más información, una descripción de la naturaleza de la infracción (incluidas, cuando sea posible, las categorías y el número aproximado de sujetos de los datos y registros de datos personales afectados), sus consecuencias probables y las medidas adoptadas o propuestas para abordar la infracción, incluidas, cuando proceda, las medidas para mitigar sus posibles efectos adversos. Cuando, y en la medida en que no sea posible proporcionar toda la información al mismo tiempo, la notificación inicial contendrá la información disponible en ese momento y, a medida que se disponga de ella, se proporcionará posteriormente sin demora indebida información adicional.

d. El importador de los datos cooperará con el exportador de los datos y lo ayudará a cumplir con sus obligaciones en virtud del Reglamento (UE) 2016/679, en particular en lo que

respecta a la notificación a la autoridad de supervisión competente y a los sujetos de los datos afectados, teniendo en cuenta la naturaleza del procesamiento y la información de que dispone el importador de los datos.

8.7 Datos confidenciales

Cuando la transferencia implica datos personales que revelan el origen racial o étnico, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, datos genéticos o datos biométricos con el fin de identificar de forma única a una persona física, datos relativos a la salud o la vida sexual u orientación sexual de una persona, o datos relativos a condenas y delitos penales (en lo sucesivo, "datos confidenciales"), el importador de los datos aplicará las restricciones específicas o las garantías adicionales descritas en el Anexo I.B.

8.8 Transferencias ulteriores

El importador de los datos solo podrá divulgar los datos personales a terceros siguiendo instrucciones documentadas del exportador de los datos. Además, los datos solo podrán revelarse a un tercero fuera de la Unión Europea (en el mismo país que el importador de los datos o en otro país, en lo sucesivo, "transferencia ulterior") si el tercero está sujeto a estas Cláusulas o acepta estarlo, en virtud del Módulo correspondiente, o si:

i. la transferencia ulterior es a un país que se beneficia de una decisión de adecuación de conformidad con el Artículo 45 del Reglamento (UE) 2016/679 que cubre la transferencia ulterior;

ii. el tercero garantiza de otro modo las protecciones adecuadas de conformidad con los Artículos 46 o 47 del Reglamento (UE) 2016/679 con respecto al procesamiento en cuestión;

iii. la transferencia ulterior es necesaria para el establecimiento, el ejercicio o la defensa de reclamaciones legales en el contexto de procedimientos administrativos, reglamentarios o jurídicos específicos; o bien

iv. la transferencia ulterior es necesaria para proteger los intereses vitales del sujeto de los datos o de otra persona física.

Cualquier transferencia ulterior está sujeta al cumplimiento por parte del importador de los datos de todas las demás garantías previstas en estas Cláusulas, en particular la limitación de la finalidad.

8.9 Documentación y cumplimiento

a. El importador de los datos tratará con prontitud y de forma adecuada las consultas del exportador de datos relacionadas con el procesamiento en virtud de estas Cláusulas.

b. Las Partes deberán poder demostrar el cumplimiento de estas Cláusulas. En particular, el importador de los datos conservará la documentación adecuada sobre las actividades de procesamiento realizadas en nombre del exportador de los datos.

c. El importador de los datos pondrá a disposición del exportador de los datos toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en estas Cláusulas y, a petición del exportador de los datos, permitirá y colaborará en las auditorías de las actividades de procesamiento cubiertas por estas Cláusulas, a intervalos razonables o si hay indicios de incumplimiento. Al decidir sobre una revisión o auditoría, el exportador de los datos puede tener en cuenta las certificaciones pertinentes que posea el importador de los datos.

d. El exportador de los datos puede optar por realizar la auditoría por sí mismo o solicitar un auditor independiente. Las auditorías podrán incluir inspecciones en las instalaciones o los sitios físicos del importador de los datos y, cuando proceda, se llevarán a cabo con un aviso razonable.

e. Las Partes pondrán a disposición de la autoridad de supervisión competente, previa solicitud, la información a la que se hace referencia en los párrafos (b) y (c), incluidos los resultados de las auditorías.

Cláusula 9

Uso de subprocesadores

a. El importador de los datos cuenta con la autorización general del exportador de los datos para contratar a subprocesadores incluidos en una lista acordada. El importador de los datos informará específicamente al exportador de los datos por escrito de cualquier cambio previsto en dicha lista (adición o sustitución de subprocesadores) con al menos 15 días de antelación, de modo que el exportador de los datos disponga de tiempo suficiente para oponerse a dichos cambios antes de la contratación de los subprocesadores. El importador de datos proporcionará al exportador de los datos la información necesaria para que pueda ejercer su derecho a oponerse.

b. Cuando el importador de los datos contrate a un subprocesador para llevar a cabo actividades de procesamiento específicas (en nombre del exportador de los datos), lo hará mediante un contrato por escrito que establezca, en esencia, las mismas obligaciones de protección de datos que las que vinculan al importador de los datos en virtud de estas Cláusulas, incluidos los derechos de terceros beneficiarios para los sujetos de los datos. Las Partes acuerdan que, al cumplir con esta Cláusula, el importador de los datos cumple sus obligaciones en virtud de la Cláusula 8.8. El importador de los datos se asegurará de que el subprocesador cumple las obligaciones a las que está sujeto el importador de los datos en virtud de estas Cláusulas.

c. El importador de los datos proporcionará al exportador de los datos, a petición de este, una copia de dicho acuerdo de subprocesador y cualquier modificación posterior. En la medida en que sea necesario para proteger los secretos comerciales u otra información confidencial, incluidos los datos personales, el importador de los datos podrá redactar el texto del acuerdo antes de compartir una copia.

d. El importador de los datos seguirá siendo plenamente responsable ante el exportador de los datos del cumplimiento de las obligaciones del subprocesador en virtud de su contrato con el importador de los datos. El importador de los datos notificará al exportador de los datos cualquier incumplimiento por parte del subprocesador de sus obligaciones en virtud de dicho contrato.

e. El importador de los datos acordará una cláusula de terceros beneficiarios con el subprocesador por la cual, en caso de que el importador de los datos haya desaparecido objetivamente, haya dejado de existir legalmente o se haya declarado insolvente, el exportador de los datos tendrá derecho a rescindir el contrato del subprocesador y a instruir al subprocesador para que borre o devuelva los datos personales.

Cláusula 10

Derechos de los sujetos de los datos

a. El importador de los datos notificará sin demora al exportador de los datos cualquier solicitud que haya recibido de un sujeto de los datos. No responderá a esa solicitud por sí mismo a menos que el exportador de los datos lo autorice.

b. El importador de los datos ayudará al exportador de los datos a cumplir sus obligaciones de responder a las solicitudes de los sujetos de los datos para el ejercicio de sus derechos en virtud del Reglamento (UE) 2016/679. A este respecto, las Partes establecerán en el Anexo II las medidas técnicas y organizativas apropiadas, teniendo en cuenta la naturaleza del procesamiento, mediante el cual se prestará la asistencia, así como el ámbito y el alcance de la asistencia necesaria.

c. En cumplimiento de sus obligaciones en virtud de los párrafos (a) y (b), el importador de los datos deberá seguir las instrucciones del exportador de los datos.

Cláusula 11

Compensación

a. El importador de los datos informará a los sujetos de los datos en un formato transparente y de fácil acceso, mediante notificación individual o en su sitio web, de un punto de contacto autorizado para gestionar reclamaciones. Tratará con prontitud cualquier queja que reciba de un sujeto de los datos.

b. En caso de disputa entre un sujeto de los datos y una de las Partes en relación con el cumplimiento de estas Cláusulas, dicha Parte hará todo lo posible por resolver el problema de forma amistosa y oportuna. Las Partes se mantendrán informadas mutuamente sobre tal disputa y, cuando proceda, cooperarán para resolverla.

c. Cuando el sujeto de los datos invoque un derecho xx xxxxxxx beneficiario en virtud de la Cláusula 3, el importador de los datos aceptará la decisión del sujeto de los datos de:

i. presentar una reclamación ante la autoridad de supervisión del Estado miembro de su residencia habitual o lugar de trabajo, o ante la autoridad de supervisión competente de conformidad con la cláusula 13;

ii. remitir la disputa a los tribunales competentes en virtud de la Cláusula 18.

d. Las Partes aceptan que el sujeto de los datos puede estar representado por un organismo, organización o asociación sin ánimo de lucro en las condiciones establecidas en el Artículo 80(1) del Reglamento (UE) 2016/679.

e. El importador de los datos deberá cumplir cualquier decisión que sea vinculante en virtud de la legislación aplicable de la UE o del Estados miembro.

f. El importador de los datos acepta que la elección realizada por el sujeto de los datos no afectará a sus derechos sustantivos y procesales de buscar compensaciones de conformidad con la legislación aplicable.

Cláusula 12

Responsabilidad

a. Cada Parte será responsable ante las otras Partes por cualquier daño que pudiera causarles a causa del incumplimiento de estas Cláusulas.

b. El importador de los datos será responsable ante el sujeto de los datos y el sujeto de los datos tendrá derecho a recibir una compensación por cualquier daño material o inmaterial que el importador de los datos o su subprocesador cause al sujeto de los datos por infringir los derechos de terceros beneficiarios en virtud de estas Cláusulas.

c. Sin perjuicio del párrafo (b), el exportador de los datos será responsable ante el sujeto de los datos y el sujeto de los datos tendrá derecho a recibir una compensación por cualquier daño material o inmaterial que el exportador de los datos (o su subprocesador) cause al sujeto de los datos por infringir los derechos de terceros beneficiarios en virtud de estas Cláusulas. Esto se entiende sin perjuicio de la responsabilidad del exportador de los datos y, cuando el exportador de los datos sea un procesador que actúe en nombre de un controlador, de la responsabilidad del controlador en virtud del Reglamento (UE) 2016/679 o el Reglamento (UE) 2018/1725, según corresponda.

d. Las Partes acuerdan que, si el exportador de los datos es responsable en virtud del párrafo

(c) de los daños causados por el importador de los datos (o su subprocesador), tendrá derecho a reclamar al importador de los datos la parte de la compensación correspondiente a la responsabilidad del importador de los datos por los daños.

e. Cuando más de una Parte sea responsable de cualquier daño causado al sujeto de los datos como resultado de un incumplimiento de estas Cláusulas, todas las Partes responsables serán responsables conjunta y solidariamente y el sujeto de los datos tendrá derecho a emprender acciones judiciales contra cualquiera de estas Partes.

f. Las Partes acuerdan que, si una Parte se considera responsable en virtud del párrafo (e), tendrá derecho a reclamar a las otras Partes la parte de la compensación correspondiente a su responsabilidad por el daño.

g. El importador de los datos no podrá invocar la conducta de un subprocesador para evitar su propia responsabilidad.

Cláusula 13

Supervisión

a. La autoridad de supervisión responsable de garantizar el cumplimiento por parte del exportador de los datos del Reglamento (UE) 2016/679 en lo que respecta a la transferencia de datos, como se indica en el Anexo I.C, actuará como la autoridad de supervisión competente.

Cuando el exportador de los datos no esté establecido en un Estado miembro de la UE, pero esté dentro del ámbito territorial de aplicación del Reglamento (UE) 2016/679 de conformidad con su Artículo 3(2) y haya nombrado un representante de conformidad con el Artículo 27(1) del Reglamento (UE) 2016/679: la autoridad de supervisión del Estado miembro en el que esté establecido el representante según se especifica en Artículo 27(1) del Reglamento (UE) 2016/679, tal como se indica en el Anexo I.C, actuará como autoridad de supervisión competente.

Cuando el exportador de los datos no esté establecido en un Estado miembro de la UE, pero esté dentro del ámbito territorial de aplicación del Reglamento (UE) 2016/679 de conformidad con su Artículo 3(2), sin tener no obstante que nombrar un representante de conformidad con el Artículo 27(2) del Reglamento (UE) 2016/679: la autoridad de supervisión de uno de los Estados miembros en los que se encuentren los sujetos de datos cuyos datos personales se transfieran en virtud de las presentes Cláusulas en relación con su

oferta de bienes o servicios, o cuyo comportamiento sea supervisado, como se indica en el anexo I.C, actuarán como la autoridad de supervisión competente.

b. El importador de los datos acepta someterse a la jurisdicción de la autoridad de supervisión competente y cooperar con ella en cualquier procedimiento destinado a garantizar el cumplimiento de estas Cláusulas. En particular, el importador de los datos acepta responder a las consultas, someterse a auditorías y cumplir las medidas adoptadas por la autoridad de supervisión, incluidas las medidas correctivas y compensatorias. Proporcionará a la autoridad de supervisión la confirmación por escrito de que se han tomado las medidas necesarias.

SECCIÓN III – LEYES Y OBLIGACIONES LOCALES EN CASO DE ACCESO POR PARTE DE LAS AUTORIDADES PÚBLICAS

Cláusula 14

Prácticas y leyes locales que afectan al cumplimiento de las Cláusulas

a. Las Partes garantizan que no tienen ningún motivo para creer que las leyes y prácticas del tercer país de destino aplicables al procesamiento de los datos personales por parte del importador de los datos, incluidos los requisitos para la divulgación de datos personales o las medidas que autorizan el acceso por parte de las autoridades públicas, impiden que el importador de los datos cumpla sus obligaciones en virtud de estas Cláusulas. Esto se basa en el entendimiento de que las leyes y prácticas que respetan la esencia de los derechos y libertades fundamentales y no exceden lo necesario y proporcionado en una sociedad democrática para salvaguardar uno de los objetivos enumerados en el Artículo 23(1) del Reglamento (UE) 2016/679, no contradicen estas Cláusulas.

b. Las Partes declaran que, al proporcionar la garantía especificada en el párrafo (a), han tenido en cuenta, en particular, los siguientes elementos:

i. las circunstancias específicas de la transferencia, incluida la longitud de la cadena de procesamiento, el número de agentes implicados y los canales de transmisión utilizados; las transferencias futuras previstas; el tipo de destinatario; la finalidad del procesamiento; las categorías y el formato de los datos personales transferidos; el sector económico en el que se produce la transferencia; el lugar de almacenamiento de los datos transferidos;

ii. las leyes y prácticas del tercer país de destino, incluidas aquellas que requieren la divulgación de datos a las autoridades públicas o que autorizan el acceso de dichas autoridades, pertinentes a la luz de las circunstancias específicas de la transferencia y las limitaciones y garantías aplicables;

iii. cualquier protección contractual, técnica u organizativa pertinente establecida para complementar las garantías aplicables en virtud de estas Cláusulas, incluidas las medidas aplicadas durante la transmisión y el procesamiento de los datos personales en el país de destino.

c. El importador de los datos garantiza que, al llevar a cabo la evaluación prevista en el párrafo (b), ha hecho todo lo posible por proporcionar al exportador de los datos la información pertinente y acepta que seguirá cooperando con el exportador de los datos para garantizar el cumplimiento de estas Cláusulas.

d. Las Partes acuerdan documentar la evaluación según el párrafo (b) y ponerla a disposición de la autoridad de supervisión competente previa solicitud.

e. El importador de los datos acepta notificar al exportador de los datos inmediatamente si, tras haber aceptado estas Cláusulas y mientras esté en vigor el contrato, tiene motivos para creer que está sujeto a leyes o prácticas que no se ajustan a los requisitos establecidos en el párrafo (a), incluso después de un cambio en las leyes del tercer país o de una medida (como una solicitud de divulgación) que indique una aplicación de dichas leyes en la práctica que no esté en consonancia con los requisitos del párrafo (a).

f. Tras una notificación de conformidad con el párrafo (e), o si el exportador de los datos tiene motivos para creer que el importador de los datos ya no puede cumplir sus obligaciones en virtud de estas Cláusulas, el exportador de los datos identificará inmediatamente las medidas adecuadas (por ejemplo, medidas técnicas u organizativas para garantizar la seguridad y la confidencialidad) que deberá implementar el exportador de los datos o el importador de los datos para abordar la situación. El exportador de los datos suspenderá la transferencia de los datos si considera que no pueden garantizarse las medidas de protección adecuadas para dicha transferencia, o si la autoridad de supervisión competente así lo indica. En este caso, el exportador de los datos tendrá derecho a rescindir el contrato, en la medida en que se refiera al procesamiento de datos personales en virtud de estas Cláusulas. Si el contrato involucra a más de dos Partes, el exportador de los datos podrá ejercer este derecho de rescisión solo con respecto a la Parte pertinente, a menos que las Partes hayan acordado otra cosa. Cuando el contrato se rescinda de conformidad con esta Cláusula, se aplicará la Cláusula 16(d) y (e).

Cláusula 15

Obligaciones del importador de los datos en caso de acceso por parte de las autoridades públicas

15.1 Notificación

a. El importador de los datos acepta notificar al exportador de los datos y, cuando sea posible, al sujeto de los datos de inmediato (si es necesario con la ayuda del exportador de los datos) si:

i. recibe una solicitud jurídicamente vinculante de una autoridad pública, incluidas las autoridades judiciales, en virtud de la legislación del país de destino para la divulgación de datos personales transferidos de conformidad con estas Cláusulas; dicha notificación incluirá información sobre los datos personales solicitados, la autoridad solicitante, la base jurídica de la solicitud y la respuesta proporcionada; o bien

ii. tiene conocimiento de cualquier acceso directo por parte de las autoridades públicas a los datos personales transferidos en virtud de estas Cláusulas de conformidad con las leyes del país de destino; dicha notificación incluirá toda la información disponible para el importador.

b. Si se prohíbe al importador de los datos notificar al exportador de los datos o al sujeto de los datos de acuerdo con las leyes del país de destino, el importador de los datos acepta hacer todo lo posible para obtener una renuncia a la prohibición, con el fin de comunicar tanta información como sea posible, lo antes posible. El importador de los datos acepta documentar sus mejores esfuerzos para poder demostrarlos a petición del exportador de los datos.

c. Cuando lo permita la legislación del país de destino, el importador de los datos se compromete a proporcionar al exportador de los datos, a intervalos regulares mientras esté vigente el contrato, tanta información relevante como sea posible sobre las solicitudes recibidas (en particular, el número de solicitudes, el tipo de datos solicitados, las autoridades solicitantes, si las solicitudes han sido impugnadas y el resultado de tales desafíos, etc.).

d. El importador de los datos se compromete a conservar la información de conformidad con los párrafos (a) a (c) mientras el contrato esté en vigor y a ponerla a disposición de la autoridad de supervisión competente previa solicitud.

e. Los párrafos (a) a (c) se entenderán sin perjuicio de la obligación del importador de los datos de conformidad con la Cláusula 14(e) y la Cláusula 16 de informar inmediatamente al exportador de los datos cuando no pueda cumplir con estas Cláusulas.

15.2 Revisión de la legalidad y minimización de datos

a. El importador de los datos se compromete a revisar la legalidad de la solicitud de divulgación, en particular si sigue estando dentro de los poderes otorgados a la autoridad pública solicitante, y a impugnar la solicitud si, tras una cuidadosa evaluación, llega a la conclusión de que existen motivos razonables para considerar que la solicitud es ilegal en virtud de las leyes del país de destino, las obligaciones aplicables en virtud del derecho internacional y los principios de cortesía internacional. El importador de los datos procurará, en las mismas condiciones, intentar las posibilidades de recurso. Al impugnar una solicitud, el importador de los datos procurará adoptar medidas provisionales para suspender los efectos de la solicitud hasta que la autoridad judicial competente haya decidido sobre sus méritos. No revelará los datos personales solicitados hasta que así lo exijan las normas procesales aplicables. Estos requisitos se entenderán sin perjuicio de las obligaciones del importador de los datos en virtud de la Cláusula 14(e).

b. El importador de los datos acepta documentar su evaluación legal y cualquier impugnación de la solicitud de divulgación y, en la medida en que lo permita la legislación del país de destino, poner la documentación a disposición del exportador de los datos. También la pondrá a disposición de la autoridad de supervisión competente previa solicitud.

c. El importador de los datos acepta proporcionar la cantidad mínima de información permitida al responder a una solicitud de divulgación, basándose en una interpretación razonable de la solicitud.

SECCIÓN IV – DISPOSICIONES FINALES

Cláusula 16

Incumplimiento de las Cláusulas y rescisión

a. El importador de los datos informará sin demora al exportador de los datos si, por cualquier motivo, no puede cumplir con estas Cláusulas.

b. En caso de que el importador de los datos infrinja estas Cláusulas o no pueda cumplirlas, el exportador de los datos suspenderá la transferencia de datos personales al importador de los datos hasta que se vuelva a garantizar el cumplimiento o se rescinda el contrato. Esto se entiende sin perjuicio de la Cláusula 14(f).

c. El exportador de los datos tendrá derecho a rescindir el contrato, en la medida en que se refiera al procesamiento de datos personales en virtud de estas Cláusulas, cuando:

i. el exportador de los datos haya suspendido la transferencia de Datos personales al importador de datos de conformidad con el párrafo (b) y el cumplimiento de estas Cláusulas no se restablece en un plazo razonable y, en cualquier caso, en el plazo de un mes a partir de la suspensión;

ii. el importador de los datos incumpla de forma sustancial o persistente estas Cláusulas; o

iii. el Importador de datos incumpla una decisión vinculante de un tribunal o autoridad de supervisión competente en relación con sus obligaciones en virtud de estas Cláusulas.

En estos casos, deberá informar a la autoridad de supervisión competente de dicho incumplimiento. Si el contrato involucra a más de dos Partes, el exportador de los datos podrá ejercer este derecho de rescisión solo con respecto a la Parte pertinente, a menos que las Partes hayan acordado otra cosa.

d. Los datos personales que se hayan transferido antes de la rescisión del contrato de conformidad con el párrafo (c) se devolverán inmediatamente al exportador de los datos, a elección del exportador de los datos, o se eliminarán en su totalidad. Lo mismo se aplicará a cualquier copia de los datos. El importador de los datos certificará la eliminación de los datos al exportador de los datos. Hasta que se eliminen o se devuelvan los datos, el importador de los datos seguirá garantizando el cumplimiento de estas Cláusulas. En caso de que las leyes locales aplicables al importador de los datos prohíban la devolución o eliminación de los datos personales transferidos, el importador de los datos confirma que seguirá garantizando el cumplimiento de estas Cláusulas y que solo procesará los datos en la medida y durante el tiempo que lo exija la legislación local.

e. Cualquiera de las Partes podrá revocar su acuerdo de cumplimiento de estas Cláusulas cuando (i) la Comisión Europea adopte una decisión de conformidad con el Artículo 45(3) del Reglamento (UE) 2016/679 que cubra la transferencia de datos personales a los que se aplican estas Cláusulas; o (ii) el Reglamento (UE) 2016/679 pase a formar parte del marco jurídico del país al que se transfieren los datos personales. Esto se entiende sin perjuicio de otras obligaciones aplicables al procesamiento en cuestión en virtud del Reglamento (UE) 2016/679.

Cláusula 17

Ley aplicable

Estas Cláusulas se regirán por la legislación de uno de los Estados miembros de la UE, siempre que dicha legislación permita los derechos de terceros beneficiarios. Las Partes acuerdan que esta será la ley de la República Federal de Alemania.

Cláusula 18

Elección del foro y la jurisdicción

a. Cualquier disputa que surja de estas Cláusulas será resuelta por los tribunales de un Estado miembro de la UE.

b. Las Partes acuerdan que serán los tribunales de Berlín, República Federal de Alemania.

c. Un sujeto de los datos también podrá iniciar acciones judiciales contra el exportador de los datos o el importador de los datos ante los tribunales del Estado miembro en el que tenga su residencia habitual.

d. Las Partes acuerdan someterse a la jurisdicción de dichos tribunales.