Contrato de encargado del tratamiento

Partes

De una parte, Camaltec Inbound Marketing, S.L. (Grupo Camaltec), con NIF B54920160 y domicilio en Plaza de San Cristóbal, 14 – Centro ULAB – 03002 Alicante (España), inscrita en el Registro Mercantil de Alicante, tomo 3931, folio 116, sección 8.ª, hoja A-149149, inscripción 1.ª (en adelante, «Camaltec» o «el Encargado»). No ha designado delegado de protección de datos; las consultas sobre protección de datos pueden dirigirse a info@cookiesmarcablanca.es. Contacto de privacidad: info@cookiesmarcablanca.es.

De otra parte, la empresa o profesional que acepta este contrato al contratar el servicio o al darse de alta en el programa de distribuidores (en adelante, «el Cliente»), identificado con los datos que figuran en su alta.

Este contrato se aplica en dos modalidades:

• Contratación directa: el Cliente es el titular de la web en la que se instala el banner y actúa como responsable del tratamiento. Camaltec actúa como encargado del tratamiento.
• Contratación a través de un distribuidor: el Cliente es el distribuidor, que presta el servicio a sus propios clientes, titulares de las webs. El titular de cada web es el responsable del tratamiento; el distribuidor es su encargado; y Camaltec actúa como subencargado del distribuidor, conforme al artículo 28.4 del Reglamento (UE) 2016/679 (RGPD). En esta modalidad, las referencias de este contrato al «responsable» se entienden hechas al distribuidor en su relación con Camaltec, y el distribuidor debe haber impuesto al Encargado, a través de este contrato, las mismas obligaciones de protección de datos que haya asumido frente a cada titular.

Este contrato se celebra por escrito, en formato electrónico, conforme al artículo 28.9 del RGPD, y forma parte de las condiciones del servicio y de las condiciones del programa de distribuidores.

Objeto

El objeto de este contrato es regular el tratamiento de datos personales que Camaltec realiza por cuenta del Cliente para prestar el servicio de banner de cookies y gestión del consentimiento (en adelante, «el servicio») en las webs dadas de alta por el Cliente, conforme al artículo 28 del RGPD y a la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Conforme al artículo 33.1 de la LOPDGDD, el acceso del Encargado a estos datos no se considera una comunicación de datos.

Duración

Este contrato estará vigente mientras el Cliente tenga al menos una licencia activa del servicio y, después, hasta que el Encargado haya suprimido o devuelto los datos conforme a este contrato.

Naturaleza y finalidad del tratamiento

El banner se carga en las webs del Cliente desde un servidor de Camaltec (cookies.sslcamaltec.com.es). Por cada visita a esas webs, el Encargado:

• Muestra el aviso de cookies y el sistema de configuración con los textos, categorías y políticas definidos por el Cliente.
• Recoge y registra la decisión de consentimiento del visitante por categorías.
• Aplica esa decisión en la carga de las cookies y los scripts gestionados a través del servicio.
• Obtiene una localización aproximada del visitante (ciudad) a partir de su dirección IP en los propios servidores del Encargado, con una base de datos descargada (DB-IP Lite), sin enviar la IP a terceros, y guarda la dirección IP truncada, sin su último bloque.
• Conserva los registros para que el Cliente pueda acreditar el consentimiento (artículo 7.1 del RGPD) y consultar estadísticas del servicio en el panel.

Las operaciones de tratamiento son: recogida, registro, conservación, consulta, localización aproximada en los servidores del Encargado, elaboración de estadísticas para el Cliente y supresión.

Tipo de datos personales

• Dirección IP del visitante, que se guarda truncada (sin su último bloque); la IP completa solo se usa en el momento de la visita para calcular la localización.
• Datos técnicos del navegador y del dispositivo que el navegador envía con la visita, como el agente de usuario.
• Localización aproximada obtenida a partir de la IP (país, región o ciudad).
• Decisión de consentimiento por categorías (necesarias, análisis, marketing, publicidad y funcionalidad), con su fecha y hora.
• Web y página en la que se produce la visita.

El servicio no está diseñado para tratar categorías especiales de datos (artículo 9 del RGPD). El Cliente no debe configurar el banner de forma que se recojan datos de ese tipo.

Categorías de interesados

Personas que visitan las webs del Cliente en las que está instalado el banner.

Obligaciones del Encargado

Instrucciones documentadas

El Encargado tratará los datos únicamente siguiendo las instrucciones documentadas del Cliente. Se consideran instrucciones documentadas este contrato, las condiciones del servicio y la configuración que el Cliente establezca en el panel.

Si el Encargado considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará inmediatamente al Cliente (artículo 28.3 del RGPD).

El Encargado no tratará los datos para fines propios. Si lo hiciera, se le consideraría responsable de ese tratamiento (artículo 28.10 del RGPD y artículo 33.2 de la LOPDGDD).

Confidencialidad

El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido por escrito a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad (artículo 28.3.b del RGPD). Esta obligación se mantiene tras la finalización del contrato.

Seguridad

El Encargado aplicará las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, conforme al artículo 32 del RGPD. Las medidas se describen en el apartado «Medidas de seguridad».

Subencargados

El Cliente otorga al Encargado una autorización general para recurrir a los subencargados siguientes:

El Encargado informará al Cliente de cualquier cambio previsto en la incorporación o sustitución de subencargados con al menos 15 días de antelación, para que el Cliente pueda oponerse de forma motivada (artículo 28.2 del RGPD). Si el Cliente se opone y las partes no llegan a un acuerdo, el Cliente podrá dar de baja el servicio sin penalización.

El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que establece este contrato y seguirá siendo plenamente responsable ante el Cliente de su cumplimiento (artículo 28.4 del RGPD).

Transferencias internacionales

El Encargado no transferirá datos fuera del Espacio Económico Europeo sin instrucción del Cliente y sin las garantías del capítulo V del RGPD. Todos los tratamientos del servicio, incluida la localización aproximada, se realizan en servidores situados en la Unión Europea.

Asistencia en el ejercicio de derechos

El Encargado ayudará al Cliente, con medidas técnicas y organizativas apropiadas, a responder a las solicitudes de ejercicio de los derechos de los artículos 15 a 22 del RGPD (artículo 28.3.e del RGPD). Como el banner no muestra la marca del Encargado, si un visitante se dirige directamente a él, el Encargado trasladará la solicitud al Cliente en un plazo máximo de 5 días hábiles y no la resolverá por su cuenta, salvo instrucción del Cliente.

Asistencia en el cumplimiento de otras obligaciones

El Encargado ayudará al Cliente a cumplir las obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga (artículo 28.3.f del RGPD), en particular en las evaluaciones de impacto y las consultas previas que el Cliente deba realizar.

Notificación de violaciones de seguridad

El Encargado notificará al Cliente, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos personales (artículo 33.2 del RGPD). La notificación incluirá, como mínimo y en la medida en que disponga de ella, la información del artículo 33.3 del RGPD: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, datos de contacto, posibles consecuencias y medidas adoptadas o propuestas. Si no puede facilitarla toda a la vez, la facilitará de forma gradual.

Corresponde al Cliente, como responsable, notificar la violación a la autoridad de control y, en su caso, comunicarla a los interesados (artículos 33 y 34 del RGPD).

Registro de actividades

El Encargado mantendrá un registro de las actividades de tratamiento que realiza por cuenta del Cliente, conforme al artículo 30.2 del RGPD.

Supresión o devolución de los datos

Al terminar el servicio, el Encargado suprimirá los datos o se los devolverá al Cliente, según elija este (artículo 28.3.g del RGPD y artículo 33.3 de la LOPDGDD). Si el Cliente no indica su elección, el Encargado suprimirá los datos.

No procederá la supresión cuando una norma obligue a conservar los datos. Además, el Encargado podrá conservarlos debidamente bloqueados mientras puedan derivarse responsabilidades de su relación con el Cliente (artículo 33.4 de la LOPDGDD).

Información y auditorías

El Encargado pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de un auditor autorizado por él (artículo 28.3.h del RGPD). Las auditorías se solicitarán con un preaviso razonable, se realizarán en horario laboral, sin perjudicar la seguridad ni la confidencialidad de los datos de otros clientes, y su coste será a cargo de quien la solicite.

Obligaciones del Cliente

• Disponer de una base legal para el tratamiento e informar a los visitantes de sus webs, en su política de privacidad y de cookies, conforme a los artículos 13 y 14 del RGPD y al artículo 22.2 de la Ley 34/2002 (LSSI).
• Configurar el banner de forma veraz, con las categorías y las cookies que realmente usa cada web, y mantener esa configuración actualizada.
• Dar instrucciones lícitas y documentadas al Encargado, y no configurar el servicio de manera que se traten datos no necesarios.
• Supervisar el tratamiento, incluida la realización de las auditorías previstas en este contrato.
• En la modalidad de distribuidor, firmar con cada titular de web un contrato de encargado del tratamiento que le autorice a recurrir a Camaltec como subencargado, e informar al titular de los subencargados de la lista anterior.
• Comunicar al Encargado, sin demora, cualquier cambio que afecte al tratamiento.

Medidas de seguridad

El Encargado aplica medidas técnicas y organizativas apropiadas al riesgo, conforme al artículo 32 del RGPD, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento. Entre ellas:

• Los servidores del servicio están situados en centros de datos de la Unión Europea.
• Las comunicaciones entre el navegador del visitante y el servidor del banner se cifran mediante HTTPS.

El Encargado revisará periódicamente la eficacia de estas medidas, conforme al artículo 32.1.d del RGPD, y facilitará su detalle al Cliente que lo solicite.

Plazo de conservación de los datos

Mientras el contrato esté vigente, los registros de visitas y de consentimiento se conservan 13 meses, salvo que el Cliente indique un plazo menor, y después se suprimen automáticamente. La dirección IP se guarda truncada, sin su último bloque, desde el momento en que se registra.

Responsabilidad

Cada parte responde de los daños y perjuicios que cause por incumplir el RGPD, la LOPDGDD o este contrato, conforme al artículo 82 del RGPD.

Ley aplicable y jurisdicción

Este contrato se rige por el RGPD, la LOPDGDD y el resto de la legislación española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de la ciudad de Alicante, con renuncia a cualquier otro fuero que pudiera corresponderles.

Aceptación

El Cliente acepta este contrato al contratar el servicio o al darse de alta en el programa de distribuidores. El Encargado conservará constancia de la aceptación y de la versión del contrato aceptada. Cualquier modificación se comunicará al Cliente con antelación y podrá rechazarla dando de baja el servicio.