Anexo de tratamiento de datos

Anexo de tratamiento de datos (DPA)

1. Alcance, prioridad y roles

Este Anexo forma parte del acuerdo B2B entre el cliente como responsable/empresa y Daniel Rödl como encargado/proveedor de servicios cuando ProfileOS trata datos personales por instrucciones documentadas del cliente. Dura mientras se realice el tratamiento correspondiente conforme al contrato principal. Prevalece la ley imperativa de protección de datos y, en lo demás, este Anexo prevalece sobre las cláusulas de tratamiento contradictorias del contrato principal.

2. Detalles del tratamiento

El objeto es alojar y operar ProfileOS. La naturaleza y finalidad son almacenar, organizar, transmitir, consultar, asistir, proteger, respaldar y borrar datos de espacios de trabajo, modelos, contactos, reservas, documentos, chats y medios controlados por el cliente. Los interesados pueden ser personal del cliente, modelos o talento, personas que aparecen en medios, contactos del cliente y participantes en chats. Los datos pueden incluir identificación, contacto, actividad profesional, reservas, comunicaciones, medios, cuenta, consentimiento y datos técnicos. Las categorías especiales de datos solo aparecen si el cliente decide tratarlas lícitamente y da instrucciones adecuadas.

3. Instrucciones y cumplimiento

El Proveedor trata datos personales solo por instrucciones documentadas, incluidas las del contrato y el uso configurado por el cliente, salvo que la ley exija otra cosa. Avisará al cliente antes de un tratamiento exigido por la ley, salvo prohibición, y le informará si una instrucción parece infringir la normativa de protección de datos aplicable. El cliente responde de que las instrucciones sean lícitas, de la transparencia, la minimización de datos, las bases jurídicas y los derechos sobre los datos subidos.

4. Confidencialidad y seguridad

El personal autorizado está sujeto a confidencialidad. El Proveedor mantiene medidas técnicas y organizativas adecuadas al riesgo, incluidas la gestión de identidades y accesos, el mínimo privilegio, los controles por cliente, la seguridad del transporte, el almacenamiento protegido cuando se ofrece, las copias de seguridad, la gestión de cambios y vulnerabilidades, los registros, la respuesta a incidentes y la recuperación. Las medidas pueden evolucionar sin reducir de forma significativa la protección global.

5. Subencargados

El cliente autoriza con carácter general a los subencargados del Proveedor; la lista actual está disponible previa solicitud. El Proveedor les impondrá obligaciones de protección de datos materialmente equivalentes y seguirá siendo responsable de ellos en la medida exigida por la ley. Las incorporaciones o sustituciones relevantes se comunicarán a través del contacto empresarial configurado o de un aviso del servicio, con una oportunidad razonable de oponerse por motivos legítimos de protección de datos. Si no existe una solución razonable, cualquiera de las partes puede poner fin al servicio afectado conforme al contrato principal.

6. Asistencia e incidentes

Teniendo en cuenta el tratamiento y la información disponible, el Proveedor ayudará razonablemente con las solicitudes de los interesados, la seguridad, la evaluación y notificación de brechas, las evaluaciones de impacto, la consulta previa y las consultas de las autoridades. Notificará al cliente sin dilación indebida tras conocer una brecha de datos personales que afecte a datos del cliente y facilitará la información disponible por fases. La notificación no supone admitir culpa.

7. Devolución, borrado, auditorías y pruebas

Al finalizar el servicio, el Proveedor borrará o devolverá los datos personales del cliente según la elección realizada o las funciones del servicio, salvo que la ley exija conservarlos. El borrado de las copias de seguridad sigue el ciclo documentado. Previa solicitud escrita razonable, el Proveedor facilitará la información necesaria para demostrar el cumplimiento. Las auditorías deben ser proporcionales, proteger a otros clientes y la seguridad, usar primero los informes independientes existentes cuando sean adecuados y evitar interrupciones irrazonables; los derechos de auditoría obligatorios no se ven afectados.

8. Transferencias internacionales y solicitudes de autoridades

Cuando sea necesario, las partes incorporarán las cláusulas o addenda de transferencia aprobados que correspondan y las medidas complementarias. El Proveedor evaluará las solicitudes gubernamentales jurídicamente vinculantes, remitirá al solicitante al cliente cuando sea lícito, comunicará solo lo legalmente exigido y avisará al cliente salvo prohibición.

9. Anexos regionales

UE/EEE

Para los tratamientos sujetos al RGPD se aplican los requisitos correspondientes al artículo 28. El cliente es responsable y el Proveedor encargado, salvo que los hechos exijan otro rol. Cuando sea necesario, las partes usarán un mecanismo de transferencia aplicable del capítulo V.

Reino Unido

Para los tratamientos sujetos a la legislación británica de protección de datos se aplican las obligaciones de responsable y encargado con la terminología británica necesaria. Cuando sea necesario, se utilizará un addendum británico de transferencia aprobado u otra garantía válida.

Estados Unidos

Cuando se aplique una ley estatal de privacidad, el Proveedor actúa como processor, service provider o contractor respecto de los datos personales cubiertos del cliente; no los venderá ni compartirá para publicidad conductual intercontextual ni los conservará, utilizará o comunicará fuera de los fines empresariales contratados, salvo que la ley lo permita. Prevalecen las condiciones estatales específicas aplicables.

Canadá

Las partes respaldarán la protección, responsabilidad, salvaguardas, acceso y obligaciones ante brechas comparables que exija la legislación canadiense de privacidad aplicable. El cliente sigue siendo responsable del consentimiento u otra autorización legal.

Australia

Las partes respaldarán los Australian Privacy Principles aplicables y las obligaciones de seguridad y de notificación de brechas. Las comunicaciones transfronterizas se gestionarán según los roles reales del cliente y del Proveedor.

Otros países

Se aplican los requisitos locales imperativos sobre encargo, localización, transferencias o derechos de los interesados en la medida en que rijan el tratamiento. Ninguna nota regional garantiza que un único mecanismo contractual sea suficiente en todos los países.

10. Anexos de tratamiento

Anexo A — Tratamiento

El objeto, la duración, la naturaleza, los fines, los tipos de datos y las categorías de interesados son los descritos en las secciones 1 a 3 para el uso real de ProfileOS por parte del cliente.

Anexo B — Medidas técnicas y organizativas

Las medidas de la sección 4 constituyen las medidas técnicas y organizativas de base. El Proveedor documenta sus controles detallados, los revisa en función del riesgo y facilita pruebas adecuadas previa solicitud.

Anexo C — Alojamiento y subencargados aprobados

La lista actual está disponible previa solicitud.

Anexo D — Transferencias internacionales

La información sobre los lugares y las garantías de las transferencias está disponible previa solicitud.

11. Responsabilidad y contacto

La responsabilidad se rige por el contrato principal, sin perjuicio de la ley imperativa de protección de datos. Nada en este Anexo limita derechos o responsabilidades que legalmente no puedan limitarse. Contacto de privacidad: daniel.roedl@getprofileos.com. La ley aplicable y la jurisdicción siguen el contrato principal, salvo que la ley imperativa de privacidad exija otra cosa.