CONTRATO DE ENCARGO DE TRATAMIENTO

CONTRATO DE ENCARGO DE TRATAMIENTO

En Almoradí, a 17 xx Xxxx de 2019

INTERVIENEN

D. Xxxxxxx Xxxx, con DNI:0400000000 , en representación de la entidad 1DOCUMENTACION TIPO, S.L., con CIF: X00000000, con domicilio en Xxxxx Xxxxx, X.0, xx Xxxxxxxx, X.X. 00000, en calidad de responsable del tratamiento de los datos objeto del presente contrato,

Y

D. Xxxxxx Xxxxxx, con DNI: 000000000, en representación de la entidad EMPRESA DE PRUEBA, S.L., con CIF: X00000000 con domicilio en Xxxxx Xxx Xxxxx, X.0, xx Xxxxxx, X.X. 00000, en calidad de encargado del tratamiento de los datos objeto del presente contrato,

Ambas partes se reconocen mutua y recíprocamente la capacidad legal necesaria y que en derecho se requiere para la celebración del presente contrato y, en su virtud, libre y voluntariamente

MANIFIESTAN

Que EMPRESA DE PRUEBA, S.L. se encargará del tratamiento de datos personales de los que es responsable 1DOCUMENTACION TIPO, S.L., por lo que, en cumplimiento de lo previsto en el artículo 28 y concordantes del Reglamento Europeo de Protección de Datos acuerdan la firma del presente

CONTRATO DE ENCARGO DE TRATAMIENTO DE PROTECCIÓN DE DATOS

De acuerdo con las siguientes

CLÁUSULAS

1.- Objeto del encargo del tratamiento

Mediante el presente contrato de encargado de tratamiento se habilita a EMPRESA DE PRUEBA,

S.L. a tratar por cuenta de 1DOCUMENTACION TIPO, S.L. los datos de carácter personal necesarios para prestar el servicio de:

 Asesoramiento fiscal.

El tratamiento consistirá en:

 Asesoramiento y consultoría en asuntos fiscales. Gestión y tramitación de declaraciones y liquidaciones para la Hacienda Pública y resto de organismos públicos necesarios. Servicios prestados tanto en las instalaciones del responsable como en las del encargado del tratamiento.

En el ejercicio de su posición respecto al responsable, el encargado de tratamiento podrá desarrollar las siguientes actuaciones relativas al tratamiento de datos:

Recogida, Registro, Estructuración, Modificación, Conservación, Extracción, Consulta, Comunicación por transmisión, Difusión, Interconexión, Cotejo, Limitación, Supresión, Destrucción, Conservación, Comunicación

2.- Identificación de la información afectada

Para la ejecución de las prestaciones derivadas del cumplimiento del objeto de este encargo, 1DOCUMENTACION TIPO, S.L. pone a disposición de EMPRESA DE PRUEBA, S.L. la información que se describe a continuación:

 Datos relativos a clientes y proveedores.

 Datos relativos a nóminas, personal y recursos humanos.

 Datos relativos a grabaciones de videovigilancia.

3.- Duración

El presente acuerdo tiene carácter indefinido, siendo válido mientras dure la relación comercial entre ambas partes. Una vez finalizada su duración, el encargado del tratamiento deberá devolver al responsable los datos personales y suprimir cualquier copia que esté en su poder.

4.- Obligaciones del encargado de tratamiento

El encargado del tratamiento y todo su personal se obliga a:

a. Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios.

b. Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento. Si el encargado del tratamiento considera que alguna de las instrucciones infringe el RGPD o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, el encargado informará inmediatamente al responsable

c. Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable, que contenga:

1. El nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado y, en su caso, del representante del responsable o del encargado y del delegado de protección de datos.

2. Las categorías de tratamientos efectuados por cuenta de cada responsable.

3. En su caso, las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en el caso de las transferencias indicadas en el artículo 49 apartado 1, párrafo segundo del RGPD, la documentación de garantías adecuadas.

4. Una descripción general de las medidas técnicas y organizativas de seguridad relativas a:

i. La seudonimización y el cifrado de datos personales.

ii. La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

iii. La capacidad de restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.

iv. El proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

d. No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles. El encargado puede comunicar los datos a otros encargados del tratamiento del mismo responsable, de acuerdo con las instrucciones del responsable. En este caso, el responsable identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación. Si el encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.

e. El encargado se compromete a no subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios del encargado.

En caso de que el encargado tuviera la necesidad de subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al responsable, con una antelación de un mes, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto.

En este supuesto, la subcontratación podrá llevarse a cabo sólo cuando el responsable la autorice previamente por escrito.

El subcontratista, que también tendrá la condición de encargado del tratamiento, está obligado

igualmente a cumplir las obligaciones establecidas en este documento para el encargado del tratamiento y las instrucciones que dicte el responsable.

Será obligación del encargado de tratamiento inicial regular la nueva relación de forma que el nuevo encargado (subencargado) quede sujeto a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad…) y con los mismos requisitos formales que él, en lo referente al adecuado tratamiento de los datos personales y a la garantía de los derechos de las personas afectadas. En el caso de incumplimiento por parte del subencargado, el encargado inicial seguirá siendo plenamente responsable ante el responsable en lo referente al cumplimiento de las obligaciones.

f. Mantener el deber xx xxxxxxx respecto a los datos de carácter personal a los que haya tenido acceso en virtud del presente encargo, incluso después de que finalice su objeto.

g. Garantizar que las personas autorizadas para tratar datos personales se comprometan, de forma expresa y por escrito, a respetar la confidencialidad y a cumplir las medidas de seguridad correspondientes, de las que hay que informarles convenientemente.

h. Mantener a disposición del responsable la documentación acreditativa del cumplimiento de la obligación establecida en el apartado anterior.

i. Garantizar la formación necesaria en materia de protección de datos personales de las personas autorizadas para tratar datos personales.

j. Asistir al responsable del tratamiento en la respuesta al ejercicio de los derechos de:

1. Acceso, rectificación, supresión y oposición

2. Limitación del tratamiento

3. Portabilidad de datos

4. A no ser objeto de decisiones individualizadas automatizadas (incluida la elaboración de perfiles)

El responsable atenderá y resolverá en tiempo y plazo las solicitudes del ejercicio de los derechos de acceso, rectificación, supresión y oposición y limitación de tratamiento, portabilidad de los datos y a no ser objeto de decisiones individualizadas, por ello, en caso de que el interesado ejercite estos derechos ante el encargado de tratamiento, éste está obligado a comunicarlo por correo electrónico a la dirección indicada por el responsable de forma inmediata, como máximo el siguiente día laborable a la fecha de recepción de la solicitud. En esta comunicación, el encargado deberá incorporar toda la información que sea relevante para que el responsable pueda atender correctamente la solicitud formulada por el interesado.

k. Derecho de información. Corresponde al responsable facilitar el derecho de información en el momento de la recogida de los datos.

l. Notificación de violaciones de la seguridad de los datos:

El encargado del tratamiento notificará al responsable, sin dilación indebida, y en cualquier caso, antes del plazo máximo de 48 horas desde que se ha conocido la incidencia, y a través de algún sistema que permita verificar la recepción de la comunicación, las violaciones de la seguridad de los datos personales a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia. No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas.

Si se dispone de ella se facilitará, como mínimo, la información siguiente:

1. Descripción de la naturaleza de la violación de la seguridad de los datos personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados.

2. El nombre y los datos de contacto del delegado de protección de datos o de otro punto de contacto en el que pueda obtenerse más información.

3. Descripción de las posibles consecuencias de la violación de la seguridad de los datos personales.

4. Descripción de las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para

mitigar los posibles efectos negativos.

Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual sin dilación indebida.

m. Dar apoyo al responsable del tratamiento en la realización de las evaluaciones de impacto relativas a la protección de datos, cuando proceda.

n. Dar apoyo al responsable del tratamiento en la realización de las consultas previas a la autoridad de control, cuando proceda.

o. Poner a disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen el responsable u otro auditor autorizado por él.

p. Implantar las medidas de seguridad que permitan:

1. Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.

2. Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.

3. Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento.

4. Seudonimizar y cifrar los datos personales, en su caso.

q. Designación del Delegado de Protección de Datos, solo si procede.

r. A la finalización del presente contrato, el encargado del tratamiento deberá devolver al responsable del tratamiento los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplida la prestación. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el encargado. No obstante, el encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de

la ejecución de la prestación.

5. Obligaciones del responsable del tratamiento

Corresponde al responsable del tratamiento:

a) Entregar al encargado los datos a los que se refiere la cláusula 2 de este documento.

b) Realizar, si procede, una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el encargado.

c) Realizar las consultas previas que corresponda.

d) Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte del encargado.

e) Supervisar el tratamiento, incluida la realización de inspecciones y auditorías que sean pertinentes para verificar dicho cumplimiento.

D/Dña. D/Dña. Xxxxxx Xxxxxx

EL RESPONSABLE DEL FICHERO EL ENCARGADO DEL TRATAMIENTO