ÚLTIMA ACTUALIZACIÓN: 23 de mayo de 2018
El presente Acuerdo de Protección de Datos («DPA») modifica la versión actual de dicho acuerdo suscrito entre la Parte Interesada y GumGum («GumGum»), cada una de ellas denominada «Parte» o, colectivamente, las «Partes». El presente DPA se aplica y prevalece sobre dicho documento y cualquier documento contractual asociado entre las partes, como un formulario de pedido, una declaración de trabajo u otra adenda aplicable en virtud del mismo (en conjunto, el«Acuerdo Principal»), en la medida en que exista cualquier conflicto.
La Parte Interesada y GumGum acuerdan lo siguiente:
1. Definición
1.1 Por«Legislación aplicable»se entiende las leyes, normas, directivas y reglamentos emitidos o promulgados por cualquier entidad gubernamental (incluidos los gobiernos nacionales o extranjeros, supranacionales, estatales, provinciales, municipales, locales, territoriales o de otro tipo, lo que incluye, en la medida en que sea aplicable, la Directiva 95/46/CE, la Directiva 2002/58/CE, las decisiones y orientaciones de la Comisión Europea), tal y como se hayan transpuesto a la legislación nacional de cada Estado miembro u otro país y tal y como se hayan modificado, sustituido o derogado periódicamente, incluso por el RGPD y las leyes que lo aplican o complementan, así como cualquier principio de autorregulación del sector que sea aplicable en la localidad o región donde se presten o reciban los Servicios, en relación con el tratamiento de datos personales o la interceptación, grabación o supervisión de las comunicaciones.
1.2 Por«Acuerdo principal»se entiende cualquier acuerdo entre la Parte interesada y GumGum en virtud del cual GumGum presta los Servicios y, en relación con la prestación de dichos Servicios, lleva a cabo el tratamiento de los datos personales de los interesados en nombre del responsable del tratamiento.
1.3 «RGPD»(Reglamento General de Protección de Datos) se refiere al Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de dichos datos, y por el que se deroga la Directiva 95/46/CE; Los términos«responsable del tratamiento»,«encargado del tratamiento»,«interesado»,«Estado miembro»,«datos personales» o «datos»,«violación de la seguridad de los datos personales»,«tratamiento»y«autoridades de control»tendrán el mismo significado que en el RGPD, y sus términos afines se interpretarán en consecuencia.
1.4 Por«cláusulas modelo de la UE»se entienden las cláusulas contractuales tipo aprobadas por la Comisión Europea relativas a la transferencia de datos personales a encargados del tratamiento o responsables del tratamiento establecidos en terceros países (quedando excluidas, no obstante, aquellas cláusulas contractuales que la Comisión Europea haya calificado como opcionales en dicha decisión), en su versión modificada o sustituida periódicamente por la Comisión Europea.
1.5 Por«publicidad basada en intereses»se entiende: (i) la recopilación de datos en múltiples propiedades digitales u otras fuentes con el fin de elaborar perfiles y ofrecer publicidad basada en las preferencias o intereses conocidos o deducidos a partir de los datos recopilados, y (ii) la recopilación de datos sobre la actividad de un usuario en una propiedad digital o fuente con el fin de elaborar perfiles y ofrecer publicidad basada en dichos datos en una propiedad digital diferente.
1.6 Por«Parte interesada»se entiende la parte del presente Acuerdo en cuyo nombre GumGum trata los datos personales de la Parte interesada o de los clientes de esta, ya sean recibidos de los interesados, de terceros o de la propia Parte interesada.
1.7 Por«Servicios»se entienden los servicios tal y como se definen en el Contrato principal entre la Parte interesada y GumGum.
1.8 Por«subencargado del tratamiento»se entiende cualquier tercero (incluidas las filiales del encargado del tratamiento) designado por el encargado del tratamiento o en su nombre para tratar datos personales en nombre de la parte interesada en el marco de un contrato.
2. Obligaciones de GumGum
GumGum se compromete a:
2.1 Tratar los datos personales objeto del presente documento exclusivamente para la finalidad prevista y de conformidad con las instrucciones documentadas del editor (las instrucciones definidas en el contrato y/o cualquier otra instrucción por escrito que sea coherente con el contrato);
2.2 Cuando GumGum considere que una instrucción incumple la legislación aplicable, lo comunicará inmediatamente a la parte interesada;
2.3 Proteger la confidencialidad de los datos tratados en virtud del presente; y
2.4 Adoptar medidas razonables para garantizar la fiabilidad de los empleados, filiales, subcontratistas o agentes («Personal») que participen en el tratamiento de los datos. GumGum confirma que los datos a los que tenga acceso solo serán accesibles para su Personal que: (i) necesite tener acceso a ellos, y (ii) esté sujeto a obligaciones contractuales de privacidad, seguridad y confidencialidad con respecto a dichos datos personales.
3. Consentimiento y derecho a la información de los interesados
3.1 Cada Parte confirma que, en caso de ser operadora de un activo digital —como, por ejemplo, sitios web y aplicaciones— a través del cual se recogen datos:
a. Dicha Parte cuenta con mecanismos —y puede demostrarlo— para obtener el consentimiento adecuado para dicha recogida de datos personales mediante los medios y con los fines establecidos en el Acuerdo; e incluye un enlace claro e inequívoco a un mecanismo fácil de usar que ofrece al interesado la posibilidad de darse de baja, incluida, cuando proceda, la posibilidad de que el interesado se dé de baja de la publicidad basada en intereses
b. Dicha Parte se asegurará de disponer de una política de privacidad que cumpla con la legislación aplicable.
3.2 Cada Parte confirma que, en caso de que facilite el suministro de datos procedentes de propiedades digitales gestionadas por terceros:
a. Dicha Parte deberá haber establecido obligaciones legalmente exigibles con dichos terceros que les obliguen a obtener el consentimiento adecuado y a permitir que dicha Parte pueda aportar pruebas de dicho consentimiento a la otra Parte, en los términos y con la finalidad necesarios para que la Parte Interesada utilice dichos Datos tal y como se establece en el Acuerdo. GumGum será responsable de facilitar a la Parte Interesada cualquier información relevante destinada a dichos terceros que gestionen propiedades digitales de las que se generen los Datos; y
b. Dicha Parte exigirá contractualmente a sus contrapartes pertinentes que se aseguren de que cada propiedad digital correspondiente cuente con un aviso de privacidad que cumpla con la legislación aplicable.
3.3 Si GumGum es un proveedor de datos de la parte interesada:
a. GumGum confirma que dispone de pruebas del consentimiento adecuado (cuando proceda) de cualquier interesado cuyos datos personales comparta con la parte interesada y que, en todos los casos, se haya ofrecido a dichos interesados una opción clara e inequívoca mediante un mecanismo fácil de usar para darse de baja, incluida, cuando proceda, la posibilidad de que el interesado se dé de baja de la publicidad basada en intereses; y
b. GumGum garantiza que todas las partes que recopilen o reciban Datos Personales que ella ponga a disposición de la Parte Interesada («Datos del Proveedor») dispongan de un aviso de privacidad que describa de forma clara e inequívoca la recopilación, el suministro y el uso de los Datos del Proveedor —incluidas, entre otras cosas, descripciones de la recopilación de datos para cualquier publicidad basada en intereses que la Parte Interesada pueda llevar a cabo—, de conformidad con la legislación aplicable, y que ofrezca un mecanismo de fácilque permita al interesado darse de baja (incluida, cuando proceda, la posibilidad de que el interesado se dé de baja de la publicidad basada en intereses) a través de los servicios prestados por GumGum o sus fuentes de datos.
3.4 GumGum se asegurará de mantener una política de privacidad accesible y actualizada política de privacidad en la que se explique la tecnología que utiliza y cómo trata los datos personales.
4. Derechos de los interesados
GumGum prestará asistencia a la Parte Interesada, en la medida de lo posible, para el cumplimiento de su obligación de responder a las solicitudes de ejercicio de los derechos del interesado (y, en particular, el derecho de acceso, rectificación, supresión y oposición, el derecho a la limitación del tratamiento, el derecho a la portabilidad de los datos y el derecho a no ser objeto de una decisión individual automatizada, incluida la elaboración de perfiles).
GumGum confirma que dispone de los medios necesarios y que adoptará todas las medidas razonables para que la Parte Interesada pueda atender las solicitudes razonables de los interesados (en relación con los derechos que les asisten en virtud de los artículos 12 a 22 del RGPD) en lo que respecta a sus datos personales mientras sean tratados por GumGum.
5. Gestión y notificación de incidentes de seguridad
GumGum confirma que, en caso de que se produzca una violación de la seguridad de los datos personales que afecte a los datos contemplados en el Acuerdo, GumGum:
a. Adoptar sin demora todas las medidas correctoras necesarias y adecuadas para subsanar las causas subyacentes de la violación de datos personales y realizar todos los esfuerzos comerciales razonables para garantizar que dicha violación de datos personales no vuelva a producirse;
b. Notificar a la Parte Interesada sin demora y, cuando exista una probabilidad razonable de que la violación de datos personales requiera que la Parte Interesada notifique dicha violación con arreglo a la legislación aplicable, en cualquier caso en un plazo de cuarenta y ocho (48) horas, proporcionando detalles razonables sobre la violación de datos personales y el impacto probable en los interesados. Dicha notificación se enviará junto con toda la documentación necesaria para que la Parte Interesada, en caso necesario, pueda notificar esta violación a la autoridad de control competente, en particular la información y las medidas a que se refiere el artículo 33, apartado 3, del RGPD; y
c. Adoptar cualquier medida que exija la legislación aplicable y/o a petición razonable de la parte interesada.
A petición de la Parte Interesada y a cargo de esta, GumGum notificará a los interesados, en nombre y por cuenta de la Parte Interesada, la violación de datos personales sin demora injustificada. El contenido de dicha notificación se definirá de común acuerdo entre las Partes, quedando entendido que dicha comunicación deberá describir, en un lenguaje claro y sencillo, la naturaleza de la violación de datos personales y contener, como mínimo, la información y las medidas a las que se refieren las letras b), c) y d) del apartado 3 del artículo 33 del RGPD.
6. Evaluación de impacto en materia de protección de datos
GumGum prestará asistencia razonable a la Parte Interesada en relación con cualquier evaluación de impacto relativa a la protección de datos, así como en las consultas previas con las autoridades de control u otras autoridades competentes en materia de protección de datos, que la Parte Interesada considere razonablemente necesarias en virtud de los artículos 35 y/o 36 del RGPD o de disposiciones equivalentes de cualquier otra legislación aplicable, en cada caso exclusivamente en relación con el tratamiento de los datos de la Parte Interesada por parte de GumGum, y teniendo en cuenta la naturaleza y la importancia del tratamiento, así como la información de que disponga GumGum.
7. Medidas de seguridad
GumGum se compromete a aplicar y mantener medidas administrativas, técnicas, físicas y organizativas destinadas a proteger la seguridad (incluida la protección frente al tratamiento no autorizado o ilícito, así como frente a la destrucción, pérdida, alteración o daño accidentales o ilícitos, y frente a la divulgación o el acceso no autorizados a los datos personales), la confidencialidad y la integridad de los datos personales, de conformidad con las mejores prácticas.
8. Destino de los datos
GumGum se asegurará de que cualquier dato de las partes interesadas que obre en su poder sea devuelto a la parte interesada o destruido, según elija y solicite dicha parte, en la medida en que dichos datos ya no sean necesarios para la prestación de los servicios o en la medida en que la ley permita a GumGum conservarlos.
9. Delegado de protección de datos y registro de las categorías de actividades de tratamiento
9.1 Delegado de Protección de Datos.
GumGum confirma que cuenta con un delegado de protección de datos debidamente designado, responsable de garantizar la gestión lícita de los datos personales y todas las cuestiones relacionadas con ellos en GumGum, y que estará disponible para ayudar a la parte interesada, de manera oportuna, en caso de que se reciban consultas de los interesados o de cualquier autoridad de control competente en relación con los datos. Póngase en contacto con el delegado de protección de datos de GumGum en: gdpr@gumgum.com.
GumGum confirma que proporcionará a la Parte Interesada la asistencia y la información que esta pueda solicitar de forma razonable, en el plazo oportuno, con el fin de ayudarla a cumplir con sus obligaciones en virtud del RGPD, en relación con cualquier Dato de la Parte Interesada.
9.2 Registro de las categorías de actividades de tratamiento.
GumGum afirma que mantiene un registro escrito de todas las categorías de actividades de tratamiento realizadas en nombre de la parte interesada, que contiene la información exigida en el artículo 30, apartado 2, del RGPD.
10. Documentación y auditoría
GumGum cumplirá con las obligaciones derivadas de toda la legislación aplicable en lo que respecta al tratamiento de datos personales en el marco del contrato.
GumGum confirma que cooperará plenamente con cualquier solicitud razonable de información por parte de la Parte Interesada en relación con el tratamiento de datos. En la medida en que sea necesario para que la Parte Interesada pueda cumplir con sus obligaciones en virtud de la legislación aplicable, GumGum permitirá a la Parte Interesada llevar a cabo una auditoría de su cumplimiento de este artículo y de la legislación aplicable. Dicha auditoría se realizará como máximo una vez por año natural durante la vigencia del Acuerdo, tendrá lugar en horario laboral habitual y previa notificación por escrito de la Parte Interesada a GumGum con una antelación mínima de diez (10) días hábiles.
11. Subencargado del tratamiento
Sin perjuicio de las disposiciones y condiciones siguientes, previstas en el artículo 28 del RGPD, GumGum podrá recurrir a otro encargado del tratamiento (en lo sucesivo, «el subencargado») para llevar a cabo actividades de tratamiento específicas.
En este caso, GumGum informará a la Parte Interesada, por escrito y con antelación, de cualquier cambio previsto relativo a la incorporación o sustitución de otros encargados del tratamiento, y la Parte Interesada dispondrá de veintiún (21) días a partir de la fecha en que reciba dicha información para oponerse a ello. Dicha subcontratación solo será posible si la Parte Interesada no se ha opuesto a ella dentro del plazo acordado.
El subencargado del tratamiento estará obligado a cumplir las obligaciones establecidas en el presente documento en nombre de la parte interesada y siguiendo sus instrucciones.
En lo que respecta a cada subencargado del tratamiento, GumGum deberá:
a. Antes de que el subencargado del tratamiento procese por primera vez los datos del editor, llevar a cabo las comprobaciones previas adecuadas para garantizar que el subencargado del tratamiento es capaz de proporcionar el nivel de protección de los datos de las partes interesadas exigido por la legislación aplicable y el acuerdo;
b. Asegurarse de que el subencargado del tratamiento celebre un contrato por escrito que incluya condiciones que ofrezcan, como mínimo, el mismo nivel de protección de los datos de las partes interesadas que el establecido en el presente artículo y que cumplan los requisitos de la legislación aplicable;
c. Previa solicitud razonable, facilitar a la Parte Interesada, para su revisión, copias de los acuerdos con los subencargados del tratamiento (que podrán ser censuradas para eliminar la información comercial confidencial que no sea relevante para los requisitos de la presente cláusula); y
d. Será responsable de los actos y omisiones de sus subencargados del tratamiento en la misma medida en que lo sería GumGum si prestara directamente los servicios de cada subencargado del tratamiento con arreglo a lo dispuesto en la presente cláusula. GumGum seguirá siendo plenamente responsable ante la Parte Interesada del cumplimiento de las obligaciones de cada subencargado del tratamiento.
12. Transferencias de datos
GumGum confirma que no transferirá, y se asegurará de que ningún subencargado del tratamiento transfiera, los datos de las partes interesadas fuera del país en el que se le hayan facilitado, salvo (a) entre Estados miembros del Espacio Económico Europeo («EEE»); o (b) siguiendo instrucciones por escrito de la parte interesada.
Además, cuando GumGum se vea obligada a transferir datos a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de la legislación de un Estado miembro a la que esté sujeta, informará a la persona interesada de dicho requisito legal antes del tratamiento, salvo que dicha legislación prohíba dicha información por motivos importantes de interés público.