Contrato de encargo del tratamiento de datos personales (DPA)

celebrado entre:

la entidad definida como «Cliente», que ha decidido contratar y utilizar los servicios ofrecidos por la agencia RYS SP. Z O.O.,

en lo sucesivo denominada en el presente Contrato «Responsable»

y

RYS spółka z ograniczoną odpowiedzialnością (sociedad de responsabilidad limitada) con domicilio social en Bielsko-Biała (43-300), ul. Podwale 47, Polonia, inscrita en el registro de empresarios llevado por el Tribunal de Distrito de Bielsko-Biała, Sección VIII de lo Mercantil del Registro Judicial Nacional, con el número KRS: 0001006923, NIP (NIF): 5472234742, REGON: 523865502, con un capital social de 5.000,00 PLN,

en lo sucesivo denominada en el presente Contrato «Encargado del tratamiento»

en lo sucesivo denominadas conjuntamente las «Partes» y cada una por separado la «Parte»

Considerando que:

1. las Partes han celebrado un contrato de prestación de servicios de fecha (en lo sucesivo, el Contrato Principal), en relación con cuya ejecución el Responsable encargará al Encargado del tratamiento el tratamiento de datos personales, en el ámbito definido por el presente Contrato,
2. las Partes, al celebrar el presente Contrato, pretenden regular los principios del tratamiento de datos personales de modo que se ajusten plenamente a las disposiciones del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (en lo sucesivo, el RGPD),

las Partes han decidido celebrar un Contrato con el siguiente contenido:

§ 1. Disposiciones generales

1. En las condiciones establecidas en el presente Contrato y en el Contrato Principal, el Responsable encarga al Encargado del tratamiento el tratamiento de datos personales de personas físicas (en lo sucesivo, los Datos personales).
2. El Responsable declara que trata todos los Datos personales en calidad de responsable del tratamiento de dichos datos y que el tratamiento se realiza conforme a la ley.
3. El Responsable encarga al Encargado del tratamiento los Datos personales de personas físicas de las siguientes categorías:
   a) empleados del Responsable,
   b) colaboradores del Responsable,
   c) clientes del Responsable,
4. El encargo de los Datos personales se realiza con el fin de que el Encargado del tratamiento preste al Responsable los servicios relacionados con la ejecución del Contrato Principal, en particular los servicios de gestión integral de las ventas en plataformas marketplace, atención posventa a los clientes (reclamaciones y devoluciones) y gestión y optimización de campañas publicitarias.
5. El tratamiento de los Datos personales por parte del Encargado del tratamiento, en lo que respecta a la naturaleza del tratamiento:
   a) se realizará en la sede del Encargado del tratamiento,
   b) se realizará de forma continuada, hasta la extinción del contrato.
6. El tratamiento de los datos personales por parte del Encargado del tratamiento se realizará únicamente siguiendo instrucciones documentadas del Responsable. Para que las Partes consideren documentada una instrucción determinada, esta deberá derivarse directamente del presente Contrato o del Contrato Principal, o bien deberá enviarse en forma de mensaje de correo electrónico, de conformidad con las reglas de comunicación establecidas en el § 8, apartado 2, del Contrato.
7. El Encargado del tratamiento tratará, sobre la base del presente Contrato, en particular los siguientes tipos de Datos personales:

8. El Responsable podrá encargar al Encargado del tratamiento también otros Datos personales no mencionados en el § 1, apartado 7, del Contrato, así como Datos personales de categorías de personas distintas de las mencionadas en el § 1, apartado 3, del Contrato, incluidos datos no estructurados, es decir, aquellos que se derivan de contenidos que potencial y probablemente contienen datos personales (publicaciones, documentos de texto, grabaciones, imágenes, vídeos). El encargo de dichos Datos personales requiere su envío de conformidad con la regla de comunicación establecida en el § 8, apartado 2, del Contrato y no se considerará una modificación del presente Contrato que requiera un anexo por escrito.
9. El presente Contrato entra en vigor el día de su firma por ambas Partes (en lo sucesivo, la «Fecha de Entrada en Vigor»).
10. En los casos en que proceda, en particular cuando el Responsable actúe a su vez como encargado del tratamiento respecto de los datos personales que encarga al Encargado del tratamiento, el presente Contrato de encargo del tratamiento de datos personales se considerará también un contrato de subencargo del tratamiento de datos personales.

§ 2. Duración del tratamiento de los Datos personales

1. El Encargado del tratamiento tratará los Datos personales durante la vigencia del Contrato Principal.
2. La vigencia del presente Contrato coincide con la vigencia del Contrato Principal y el presente Contrato se extinguirá automáticamente en el momento de la resolución del Contrato Principal.

§ 3. Subencargo

1. El Encargado del tratamiento podrá subencargar operaciones concretas de tratamiento de Datos personales a otros encargados del tratamiento, siempre que el Responsable haya aceptado previamente a la entidad a la que vayan a subencargarse los Datos personales.
2. El subencargo del tratamiento de Datos personales al que se refiere el § 3, apartado 1, del Contrato requiere que se comunique este hecho al Responsable para que pueda oponerse. La comunicación del subencargo deberá realizarse de conformidad con las reglas de contacto entre las Partes indicadas en el § 8, apartado 2, del Contrato. El Responsable podrá, por motivos justificados, oponerse al subencargo de los datos a un encargado del tratamiento concreto en el plazo de 7 días desde la fecha de recepción de la comunicación a la que se refiere la frase anterior. En caso de oposición, el Encargado del tratamiento no tendrá derecho a encargar los Datos personales al encargado del tratamiento objeto de la oposición. Si el Responsable no responde de ningún modo al mensaje de correo electrónico del Encargado del tratamiento sobre el subencargo previsto, las Partes considerarán el silencio como consentimiento del Responsable para realizar el subencargo. El Encargado del tratamiento comunicará al Responsable las dudas sobre la procedencia de la oposición y sus posibles consecuencias negativas con la antelación suficiente para garantizar la continuidad del tratamiento de los Datos personales.
3. El Responsable da por el presente su consentimiento para que el Encargado del tratamiento subencargue los Datos personales a las siguientes entidades:
4. • proveedores de servicios de alojamiento (hosting) y de infraestructura de servidores y en la nube,
   • proveedores de sistemas informáticos para la gestión de las relaciones con los clientes (CRM), la automatización de procesos de negocio y la analítica de marketing,
   • proveedores de herramientas de ciberseguridad, incluidos los sistemas de gestión cifrada de credenciales y contraseñas (gestores de contraseñas),
   • proveedores de sistemas avanzados de analítica, elaboración de informes y SEO, así como de herramientas para la agregación, integración y tratamiento de datos de marketing,
   • proveedores de servicios y software para la firma electrónica de documentos y la gestión del flujo digital de contratos.
4. Al realizar el subencargo, el Encargado del tratamiento está obligado a exigir a la entidad a la que subencarga el tratamiento de los Datos personales que aplique medidas adecuadas de protección de dichos Datos.
5. El Encargado del tratamiento no tiene derecho a transferir íntegramente al subencargado la ejecución del presente Contrato.

§ 4. Declaraciones y obligaciones del Encargado del tratamiento

1. El Encargado del tratamiento declara por el presente que:
   1) ha implantado procedimientos que garantizan la conformidad del tratamiento de datos personales con el RGPD,
   2) dispone de los conocimientos especializados y los recursos que garantizan la correcta aplicación de los procedimientos de protección de datos personales, de conformidad con el RGPD,
   3) aplica las medidas organizativas y técnicas para el tratamiento de datos personales de conformidad con el RGPD descritas en el Anexo n.º 1 del presente Contrato,
2. El Encargado del tratamiento, sobre la base del presente Contrato, está obligado a:
   1) tratar los Datos personales encargados únicamente de conformidad con las instrucciones documentadas del Responsable,
   2) colaborar en el ejercicio de los derechos de los interesados, teniendo en cuenta que el único responsable de tramitar las solicitudes de las personas físicas es el Responsable y que el Encargado del tratamiento debe informar al Responsable de todas las solicitudes recibidas; asimismo, las Partes deben informarse mutuamente de litigios o reclamaciones, con el fin de resolverlos de forma amistosa lo antes posible,
   3) colaborar con el Responsable en el cumplimiento de las obligaciones en materia de protección de datos personales a las que se refieren los artículos 32 a 36 del RGPD,
   4) informar al Responsable, sin dilación indebida, de las dudas sobre la legalidad de las instrucciones impartidas por el Responsable, so pena de perder la posibilidad de reclamar al Responsable por este concepto,
3. El Responsable está obligado a cooperar con el Encargado del tratamiento en la ejecución del presente Contrato. Asimismo, está obligado a facilitar al Encargado del tratamiento las aclaraciones necesarias, especialmente en caso de dudas sobre la legalidad de las instrucciones del Responsable, así como a cumplir sus propias obligaciones.

§ 5. Seguridad de los Datos personales

1. El Encargado del tratamiento ha realizado un análisis de riesgos del tratamiento de los Datos personales encargados y se atiene a sus resultados en lo que respecta a las medidas organizativas y técnicas de protección de los Datos personales.
2. El Encargado del tratamiento notificará al Responsable toda sospecha de violación de la seguridad de los Datos personales a más tardar en el plazo de 24 horas desde el primer aviso, permitiendo al Responsable participar en las actuaciones de esclarecimiento e informándole de las conclusiones en cuanto se alcancen, en particular de la constatación de la violación o de su inexistencia.
3. El Encargado del tratamiento está obligado a enviar al Responsable la notificación de la violación constatada junto con toda la documentación necesaria relativa a la violación, para que el Responsable pueda cumplir la obligación de notificación a la autoridad de control.

§ 6. Supervisión del tratamiento de los Datos personales

1. El Responsable tiene derecho a realizar un control de la forma en que el Encargado del tratamiento trata los datos personales únicamente en la medida necesaria para verificar la conformidad del tratamiento con el presente Contrato y con el artículo 28 del RGPD.
2. El control planificado se realiza previa información al Encargado del tratamiento con al menos 7 días de antelación, en forma documental, indicando el alcance del control, su duración prevista y la composición del equipo de control.
3. El control planificado podrá realizarse como máximo una vez por año natural y se llevará a cabo en el horario de trabajo del Encargado del tratamiento, de manera que no afecte injustificadamente a la continuidad de su actividad operativa.
4. Las limitaciones a las que se refieren los apartados 2–3 no se aplican en caso de:
   1) constatación de una violación de la seguridad de los datos personales,
   2) sospecha fundada de incumplimiento de las disposiciones del presente Contrato,
   3) requerimiento o recomendaciones de la autoridad de control.
5. El control podrá ser realizado por el Responsable o por un tercero que actúe por encargo suyo, siempre que dicho tercero se haya comprometido previamente a mantener la confidencialidad al menos en el nivel que se deriva del presente Contrato y que no exista conflicto de intereses con el Encargado del tratamiento.
6. El alcance del control no comprende:
   1) la información que constituya secreto empresarial del Encargado del tratamiento, en la medida en que no esté directamente relacionada con el tratamiento de los datos personales del Responsable,
   2) los datos personales o la información de otros clientes del Encargado del tratamiento.
   La protección mencionada se lleva a cabo, en particular, mediante anonimización, seudonimización o consulta supervisada de la documentación.
7. El Encargado del tratamiento garantiza al Responsable el acceso a la información necesaria para demostrar el cumplimiento de las obligaciones derivadas del artículo 28 del RGPD, en primer lugar mediante:
   1) la puesta a disposición de la documentación actualizada en materia de protección de datos personales,
   2) los informes de auditorías internas o certificaciones,
   3) las respuestas a las consultas por escrito del Responsable.
   La realización de una auditoría in situ constituye el último recurso y se aplicará únicamente cuando no sea posible la verificación del modo antes mencionado.
8. El control documental estándar o a distancia se realiza de forma gratuita. En caso de control in situ o de un control que exceda el alcance estándar y requiera una dedicación significativa de recursos del Encargado del tratamiento, el Responsable sufragará los costes organizativos justificados y reales de dicho control, acordados previamente entre las Partes.
9. Las Partes confirman de común acuerdo que los controles se realizan respetando los principios de proporcionalidad, minimización y responsabilidad proactiva a los que se refiere el artículo 5, apartados 1 y 2, del RGPD.

§ 7. Responsabilidad

1. La responsabilidad de las Partes por el incumplimiento o el cumplimiento defectuoso del presente Contrato está sujeta a las limitaciones, exclusiones y límites de responsabilidad establecidos en el Contrato Principal, sin perjuicio de las disposiciones legales imperativas, incluido el artículo 82 del RGPD.
2. Sin perjuicio de los apartados 4–6, la responsabilidad total del Encargado del tratamiento frente al Responsable, con independencia del fundamento jurídico de la reclamación, se limita al importe correspondiente a la remuneración neta total debida al Encargado del tratamiento por el Responsable en los 12 meses anteriores al hecho que dé lugar a la responsabilidad.
3. El Encargado del tratamiento responde únicamente de los daños causados por dolo o negligencia grave, quedando excluida la responsabilidad por los daños causados por negligencia leve en la mayor medida permitida por la ley.
4. Las limitaciones de responsabilidad establecidas en el presente Contrato no se aplican a la responsabilidad del Encargado del tratamiento frente a los interesados derivada del artículo 82, apartados 1–2, del RGPD.
5. El Encargado del tratamiento no responde de las multas administrativas ni de otras sanciones de derecho público impuestas al Responsable, salvo que hayan sido impuestas como consecuencia de una infracción de la normativa de protección de datos personales imputable al Encargado del tratamiento.
6. Queda excluida la responsabilidad del Encargado del tratamiento por el lucro cesante y los daños indirectos en la relación contractual con el Responsable, en la mayor medida permitida por la ley.
7. Una vez finalizada la vigencia del Contrato, el Encargado del tratamiento devolverá o suprimirá los datos personales, de conformidad con el artículo 28, apartado 3, letra g), del RGPD, sin perjuicio de las obligaciones de conservación derivadas de la ley o de la necesidad de salvaguardar reclamaciones.
8. En caso de recibir una instrucción contraria a la ley, el Encargado del tratamiento tendrá derecho a suspender su ejecución hasta que se aclare la cuestión y no responderá de las consecuencias de dicha suspensión, dentro de los límites permitidos por la ley.
9. Las reclamaciones del Responsable frente al Encargado del tratamiento derivadas del presente Contrato se extinguen si no se presentan en el plazo de 12 meses desde el día en que se tuvo conocimiento del hecho, con excepción de las reclamaciones derivadas del artículo 82 del RGPD.

§ 8. Disposiciones finales

1. Cada una de las Partes se compromete a notificar sin demora a la otra Parte todas las violaciones de la confidencialidad de las que tenga conocimiento en relación con el presente Contrato. El Encargado del tratamiento se compromete a adoptar las medidas oportunas para recuperar y proteger los Datos personales o la Información Confidencial y para impedir nuevas actuaciones no autorizadas o incumplimientos del presente Contrato.
   a) A efectos de la ejecución del presente Contrato, las Partes se comunicarán a través de las direcciones de correo electrónico de las personas designadas para el contacto y la coordinación de la colaboración, indicadas en el Contrato Principal o facilitadas a la otra Parte durante la puesta en marcha del servicio (onboarding).
2. En caso de que surja entre las Partes un litigio derivado del presente Contrato, será competente el tribunal del lugar principal de ejercicio de la actividad económica del Encargado del tratamiento.
3. En lo no regulado por el presente Contrato se aplicarán las disposiciones del RGPD y las demás disposiciones de general aplicación del Derecho polaco.

Anexo n.º 1 Descripción de las medidas técnicas y organizativas de seguridad de los datos personales

1. Medidas organizativas

1. Los datos personales son tratados únicamente por personas que disponen de autorizaciones por escrito para su tratamiento.
2. Las personas autorizadas están obligadas a mantener la confidencialidad de los datos personales y de las formas de protegerlos.
3. El Encargado del tratamiento lleva un registro de las personas autorizadas para el tratamiento de datos personales.
4. Los empleados y colaboradores reciben formación en materia de protección de datos personales y RGPD.
5. Los datos personales se tratan únicamente en la medida necesaria para cumplir los fines establecidos (principio de minimización).
6. El Encargado del tratamiento ha implantado procedimientos de respuesta ante violaciones de la seguridad de los datos personales, incluidas las reglas para su notificación y documentación.

2. Medidas técnicas

1. El acceso a los sistemas informáticos está protegido mediante:
2. • nombres de usuario y contraseñas individuales,
   • contraseñas seguras,
   • autenticación de dos factores,
   • gestión de permisos (se aplica el principio de mínimo privilegio: los empleados/colaboradores solo tienen acceso a las herramientas y a los datos de clientes necesarios para el desempeño de sus tareas).
2. Los sistemas informáticos disponen de mecanismos de control de acceso que limitan el acceso a los datos únicamente a los usuarios autorizados.
3. Se utilizan cuentas nominativas, sin cuentas compartidas, si la plataforma lo permite.
4. Los datos personales tratados en los sistemas informáticos están protegidos mediante:
5. • cifrado de la transmisión de datos (SSL/TLS),
   • cortafuegos (firewall),
   • software antivirus y antimalware actualizado,
   • MFA/2FA (especialmente para el acceso remoto y las cuentas privilegiadas),
   • bloqueo automático de cuentas tras intentos fallidos de inicio de sesión,
   • cifrado y seudonimización: cifrado de los datos en reposo (AES-256) y en tránsito (TLS 1.2+), seudonimización de los datos en entornos de prueba y de análisis.
5. Se realizan periódicamente copias de seguridad (backup) de los datos, que se conservan en un entorno seguro.
6. Los dispositivos utilizados para el tratamiento de datos (ordenadores, portátiles) están:
7. • protegidos con contraseña,
   • protegidos frente al acceso de terceros,
   • bloqueados en caso de inactividad del usuario.

3. Medidas que garantizan la continuidad y la integridad de los datos

1. El Encargado del tratamiento aplica procedimientos que garantizan la continuidad del funcionamiento de los sistemas informáticos.
2. Los datos están protegidos frente a:
3. • la destrucción accidental o no autorizada,
   • la pérdida,
   • la modificación,
   • la divulgación no autorizada.
3. Copias de seguridad y continuidad del funcionamiento:
4. • copias de seguridad periódicas (regla 3-2-1),
   • pruebas de restauración de datos.

4. Verificación periódica de las medidas de seguridad

1. El Encargado del tratamiento realiza una verificación y actualización periódicas de las medidas técnicas y organizativas aplicadas.
2. Las medidas de seguridad se adaptan:
3. • a la naturaleza de los datos tratados,
   • al alcance del tratamiento,
   • al riesgo de vulneración de los derechos o libertades de los interesados.