ANEXO B: ACUERDO DE TRATAMIENTO DE DATOS (DPA)
(Al amparo del artículo 28 del Reglamento UE 2016/679 y la Llei qualificada de protecció de dades personals del Principat d’Andorra)
REUNIDOS:
De una parte, ANDTECH SOLUTIONS JM, con NRT F-370714-T, con domicilio en C/ Pau Casals, Edif. Onix, 10, 3.º, Andorra la Vella, Principado de Andorra, y correo de contacto del Delegado de Protección de Datos (DPD) en dpd@asedigital.com (en adelante, el «ENCARGADO DEL TRATAMIENTO» o «ENCARGADO»).
Y de otra parte, la entidad cliente que suscribe el contrato principal de servicios (en adelante, el «RESPONSABLE DEL TRATAMIENTO» o «RESPONSABLE»).
Ambas partes, reconociéndose mutuamente la capacidad legal necesaria, convienen lo siguiente:
1. OBJETO Regular el tratamiento de datos personales por parte del ENCARGADO por cuenta del RESPONSABLE, con motivo de la prestación de servicios de software, mantenimiento, soporte técnico y/o alojamiento en la nube, dando cumplimiento al artículo 28 del RGPD y la normativa andorrana aplicable.
2. FUNCIONES DE LAS PARTES El ENCARGADO actuará como tal, tratando los datos únicamente siguiendo las instrucciones documentadas del RESPONSABLE. El RESPONSABLE garantiza que tiene una base legal válida para tratar los datos y que ha informado a los interesados conforme a la ley.
3. TIPO DE DATOS Y FINALIDAD
- Finalidad: Prestación de los servicios de software, soporte, mantenimiento y alojamiento contratados.
- Categorías de datos: Datos identificativos, de contacto, económicos, financieros, laborales y de navegación de empleados, clientes y proveedores del RESPONSABLE.
- Categorías de interesados: Empleados, clientes, usuarios y proveedores del RESPONSABLE.
4. OBLIGACIONES DEL ENCARGADO (ANDTECH SOLUTIONS JM)
- Tratar los datos únicamente para la finalidad descrita.
- Garantizar la confidencialidad de su personal autorizado.
- Aplicar las Medidas Técnicas y Organizativas de Seguridad descritas en el Anexo C.
- No ceder los datos a terceros sin autorización previa del RESPONSABLE, salvo subencargados necesarios para la prestación del servicio (ej. proveedores de hosting cloud), sobre los cuales el ENCARGADO responderá solidariamente.
- Notificar al RESPONSABLE cualquier violación de seguridad de los datos en un plazo máximo de 24 horas desde que tenga conocimiento de ella.
- Asistir al RESPONSABLE en la atención a los derechos de los interesados (acceso, rectificación, supresión, etc.) y en las evaluaciones de impacto.
5. DEVOLUCIÓN O SUPRESIÓN DE DATOS Al finalizar la prestación de los servicios, el ENCARGADO, a elección del RESPONSABLE, devolverá o suprimirá todos los datos personales en un plazo de treinta (30) días, eliminando también las copias existentes, salvo que la legislación aplicable exija su conservación.
6. DURACIÓN Y MODIFICACIONES Este Acuerdo tendrá la misma vigencia que el contrato principal de servicios. El ENCARGADO podrá actualizar este Acuerdo para adaptarlo a cambios legislativos o técnicos, notificándolo al RESPONSABLE con 15 días de antelación.