Anexo IV
Acuerdo de Encargo del Tratamiento
Artículo 28 RGPD
Naturaleza. El presente Anexo constituye el acuerdo de encargo del tratamiento exigido por el artículo 28.3 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y forma parte inseparable del Acuerdo Marco de Suscripción aGIS.
1. Roles de las Partes
1.1 El Cliente ostenta la condición de responsable del tratamiento respecto de los datos personales que él o sus Usuarios Finales incorporen a la Aplicación. Stratos ostenta la condición de encargado del tratamiento y actuará únicamente conforme a las instrucciones documentadas del Cliente.
1.2 Se consideran instrucciones documentadas del Cliente las contenidas en el Acuerdo Marco, en el presente Anexo y en la configuración que el Cliente realice de la Aplicación. Cualquier instrucción adicional deberá cursarse por escrito.
1.3 Stratos informará al Cliente si, a su juicio, una instrucción infringe la normativa de protección de datos, pudiendo suspender su ejecución hasta que el Cliente la confirme o modifique.
1.4 Si Stratos determinase los fines y medios de un tratamiento al margen de las instrucciones del Cliente, será considerada responsable respecto de dicho tratamiento.
2. Objeto, duración, naturaleza y finalidad
| Elemento | Contenido |
|---|---|
| Objeto | Prestación de los Servicios de la Aplicación aGIS conforme al Acuerdo Marco. |
| Duración | La vigencia del Acuerdo Marco, más los plazos de conservación del Anexo V. |
| Naturaleza | Alojamiento, almacenamiento estructurado, consulta, edición, análisis geoespacial, generación de informes, copia de seguridad y supresión. |
| Finalidad | Posibilitar al Cliente la digitalización, gestión y explotación de su infraestructura y activos. |
| Tipo de datos | Datos identificativos y de contacto de abonados, clientes o usuarios del Cliente; direcciones postales y su georreferenciación; identificadores de cliente; datos de contacto técnico y administrativo; datos identificativos de los Usuarios Finales y sus registros de actividad. |
| Categorías de interesados | Abonados, clientes y usuarios del Cliente; empleados, colaboradores y contratistas del Cliente; contactos técnicos y administrativos. |
| Categorías especiales | No previstas. El Cliente se abstendrá de incorporar a la Aplicación categorías especiales de datos del artículo 9 del RGPD sin acuerdo previo y por escrito con Stratos. |
3. Obligaciones de Stratos como encargado
Stratos se obliga a:
- Tratar los datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluso en materia de transferencias internacionales, salvo obligación legal, en cuyo caso lo informará previamente al Cliente salvo prohibición legal.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a obligación legal o profesional de confidencialidad.
- Adoptar las medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, en los términos de la cláusula 5.
- Respetar las condiciones para recurrir a subencargados conforme a la cláusula 6.
- Asistir al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para atender las solicitudes de ejercicio de derechos de los interesados.
- Asistir al Cliente en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
- Suprimir o devolver los datos personales al término de la prestación, conforme al Anexo V.
- Poner a disposición del Cliente la información necesaria para acreditar el cumplimiento de las obligaciones del artículo 28 del RGPD y permitir auditorías conforme a la cláusula 8.
- Mantener un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Cliente, conforme al artículo 30.2 del RGPD.
4. Obligaciones del Cliente como responsable
- Disponer de base jurídica válida para los tratamientos que encomienda a Stratos, y haber informado a los interesados conforme a los artículos 13 y 14 del RGPD.
- Realizar, cuando proceda, la evaluación de impacto relativa a la protección de datos y la consulta previa a la autoridad de control.
- Velar por que los datos incorporados a la Aplicación sean adecuados, pertinentes y limitados a lo necesario.
- Atender las solicitudes de ejercicio de derechos de los interesados, sin perjuicio de la asistencia de Stratos.
- Gestionar de forma diligente las altas, bajas y permisos de sus Usuarios Finales.
5. Medidas de seguridad
Stratos aplicará, atendiendo al estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento, medidas que incluyen:
- Cifrado de las comunicaciones entre el usuario y la Aplicación mediante protocolos vigentes.
- Control de acceso basado en credenciales nominativas, roles y permisos, con política de complejidad de contraseñas.
- Segregación lógica de la información entre Clientes distintos.
- Registro de trazabilidad de accesos y de actuaciones sobre la información.
- Copias de seguridad periódicas conforme a los parámetros de RPO y RTO del Anexo III, con procedimientos de restauración verificables.
- Gestión de vulnerabilidades y aplicación de actualizaciones de seguridad.
- Procedimientos de gestión de incidentes de seguridad y de continuidad del servicio.
Stratos podrá modificar las medidas de seguridad siempre que el nivel de protección resultante no sea inferior al descrito.
6. Subencargados
6.1 El Cliente autoriza de forma general a Stratos para recurrir a subencargados del tratamiento. Stratos mantendrá una relación actualizada de los mismos, accesible al Cliente, con indicación de su identidad, servicio prestado y ubicación del tratamiento.
6.2 Stratos comunicará al Cliente cualquier incorporación o sustitución de subencargado con una antelación mínima de treinta (30) días. El Cliente podrá oponerse por motivos razonables y fundados dentro de dicho plazo. En caso de oposición no resuelta de mutuo acuerdo, el Cliente podrá resolver el Acuerdo sin penalización, con reembolso de la parte proporcional de las Tarifas no consumidas.
6.3 Stratos impondrá a sus subencargados, mediante contrato, obligaciones de protección de datos equivalentes a las asumidas en el presente Anexo, respondiendo frente al Cliente del incumplimiento de aquellos.
6.4 Categorías de subencargados actualmente empleadas:
| Categoría | Servicio prestado | Ubicación del tratamiento |
|---|---|---|
| Proveedor de infraestructura | Alojamiento y cómputo de la Aplicación | Unión Europea |
| Pasarela de pago | Procesamiento de pagos de la Suscripción | Unión Europea / con garantías adecuadas |
| Proveedor de comunicaciones | Envío de notificaciones y correo transaccional | Unión Europea / con garantías adecuadas |
| Soporte y mantenimiento | Asistencia técnica bajo control de Stratos | Unión Europea |
Relación nominativa. La identidad concreta de cada subencargado, actualizada en cada momento, se facilitará al Cliente a solicitud cursada por el canal de soporte, y se publicará en el portal de clientes.
7. Transferencias internacionales
El tratamiento se realizará, con carácter general, dentro del Espacio Económico Europeo. Cuando resulte necesaria una transferencia internacional, Stratos garantizará que se ampara en una decisión de adecuación, en cláusulas contractuales tipo aprobadas por la Comisión Europea o en otro mecanismo válido conforme al capítulo V del RGPD, adoptando las medidas suplementarias que resulten procedentes.
8. Auditoría
8.1 Stratos pondrá a disposición del Cliente la información razonablemente necesaria para acreditar el cumplimiento del presente Anexo, incluidas, en su caso, certificaciones o informes de terceros independientes de que disponga.
8.2 Cuando dicha información resulte insuficiente, el Cliente podrá realizar una auditoría anual, previo preaviso de treinta (30) días, en horario laboral y sin perturbar la actividad de Stratos. Las auditorías adicionales derivadas de una violación de seguridad acreditada no computarán a efectos de dicho límite.
8.3 La obligación de información no alcanzará a: los precios internos de Stratos; la información relativa a otros clientes; los informes internos o externos de carácter confidencial; los derechos de Propiedad Intelectual de Stratos; ni cualquier información cuya revelación infringiese la normativa de protección de datos.
8.4 Los costes de la auditoría serán de cuenta del Cliente, salvo que de la misma resulte un incumplimiento sustancial imputable a Stratos.
9. Violaciones de la seguridad
9.1 Stratos notificará al Cliente, sin dilación indebida y en todo caso dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento efectivo de ella, cualquier violación de la seguridad de los datos personales tratados por cuenta del Cliente.
9.2 La notificación describirá la naturaleza de la violación, las categorías y número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas, en la medida en que dicha información esté disponible. La información no disponible en el momento de la notificación se facilitará de manera progresiva.
9.3 Corresponde al Cliente, en su condición de responsable, la notificación a la autoridad de control y, en su caso, la comunicación a los interesados. Stratos prestará la asistencia razonable a tal efecto.
10. Terminación
A la extinción de la prestación de los Servicios, Stratos procederá a la devolución o supresión de los datos personales conforme al Anexo V, salvo obligación legal de conservación, en cuyo caso aplicará el régimen de bloqueo previsto en el mismo.
