Contrato de encargado del tratamiento

La organización que contrata el servicio (el «Responsable») encarga a [RAZÓN SOCIAL], con NIF [CIF] y domicilio en [DOMICILIO] (el «Encargado»), el tratamiento de los datos personales necesarios para prestar el servicio VoxSafes: la puesta a disposición y el alojamiento de su sistema interno de información.

Este contrato forma parte de las condiciones del servicio y se acepta al darse de alta.

• Naturaleza y finalidad: recogida, registro, conservación, consulta y supresión de las comunicaciones recibidas en el canal y de su tramitación.
• Categorías de interesados: informantes, personas afectadas por las comunicaciones, testigos y terceros mencionados, y personas usuarias del panel.
• Categorías de datos: identificativos y de contacto, datos laborales o profesionales y el contenido de las comunicaciones y de los archivos adjuntos, que puede incluir categorías especiales de datos y datos relativos a infracciones.
• Duración: la del contrato de servicio.

El Encargado se obliga a:

• tratar los datos solo siguiendo las instrucciones documentadas del Responsable y nunca para fines propios;
• garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad;
• aplicar las medidas de seguridad del artículo 32 del RGPD descritas en la cláusula 5;
• asistir al Responsable en la atención de los derechos de las personas interesadas y en las evaluaciones de impacto y consultas previas;
• notificar al Responsable, sin dilación indebida y en un máximo de 48 horas desde que tenga constancia, las violaciones de seguridad de los datos, con la información del artículo 33.3 del RGPD;
• poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables;
• informar al Responsable si considera que una instrucción infringe la normativa de protección de datos.

El Responsable autoriza con carácter general la contratación de subencargados para el alojamiento de la plataforma, el envío de correo transaccional y la gestión de pagos. El Encargado impondrá a cada uno las mismas obligaciones de este contrato, mantendrá una relación actualizada a disposición del Responsable y le comunicará cualquier alta o sustitución con una antelación mínima de 30 días para que pueda oponerse.

• cifrado de los datos en tránsito y en reposo;
• alojamiento de los datos en la Unión Europea;
• control de acceso por roles y separación lógica de los datos de cada organización;
• registro de auditoría de las actuaciones sobre cada expediente;
• eliminación de los metadatos de los archivos adjuntos antes de almacenarlos;
• copias de seguridad y procedimientos de restauración.

El Encargado no transferirá los datos fuera del Espacio Económico Europeo sin la autorización previa del Responsable y sin las garantías del capítulo V del RGPD.

Corresponde al Responsable designar al Responsable del Sistema interno de información, informar a las personas interesadas, determinar los plazos de conservación conforme al artículo 32 de la Ley 2/2023, gestionar los permisos de las personas usuarias de su panel y atender el ejercicio de derechos.

Al terminar el servicio, el Encargado pondrá a disposición del Responsable la exportación de sus datos durante 30 días y después los suprimirá, junto con las copias existentes, salvo que una norma exija su conservación, en cuyo caso permanecerán bloqueados.

Las comunicaciones relativas a este contrato y a la protección de datos deben dirigirse a [EMAIL DPD].