Acuerdo de Tratamiento de Datos (DPA)

Acuerdo de Tratamiento de Datos (DPA) 1. Definiciones y Alcance Este Acuerdo de Tratamiento de Datos ("DPA") complementa los Términos de Servicio de MyRentist y regula el tratamiento de datos personales por parte de MEDITERRAN-IA LTD ("Encargado" o "MyRentist") en nombre del cliente ("Responsable"). El Responsable es una empresa o profesional que contrata los servicios de la plataforma MyRentist para la gestión de alojamientos turísticos y de las actividades asociadas a dicha gestión. El Encargado es una empresa especializada en la prestación de servicios tecnológicos para la gestión integral de alojamientos turísticos, mediante una plataforma SaaS que permite gestionar reservas, huéspedes, incidencias, proveedores y otros servicios asociados a la estancia. Que en virtud de los Términos del Servicio que el Responsable ha aceptado, es posible que el Encargado pueda acceder a datos personales con respecto a los cuales el cliente es el Responsable del tratamiento. Que de acuerdo con lo dispuesto en el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (RGPD) las partes han acordado suscribir el presente Acuerdo de Tratamiento de Datos. 2. Objeto del Acuerdo El objeto del presente Acuerdo es regular el tratamiento por parte del Encargado de los datos personales titularidad del cliente, con la finalidad de prestar servicios definidos en los términos y condiciones (en adelante, los "Servicios") encomendados por el Responsable. El presente Acuerdo da lugar a un acceso a los datos por cuenta de tercero y no a una cesión o comunicación de datos de carácter personal, de modo que el cliente sigue teniendo bajo su control los usos y los fines del tratamiento de los datos personales sobre los cuales ostenta la condición de Responsable. 3. Duración El tratamiento de los datos personales se llevará a cabo durante la vigencia de los Términos del Servicio. Tras su terminación, los datos podrán conservarse durante un periodo máximo de sesenta (60) días exclusivamente a efectos de recuperación, devolución o exportación de la información, quedando bloqueados para cualquier otra finalidad. Transcurrido dicho plazo, serán eliminados de forma segura, salvo que su conservación resulte exigible en virtud de una obligación legal. 4. Tratamiento de datos de carácter personal Mediante las presentes estipulaciones se habilita al Encargado, para tratar por cuenta del Responsable, los datos de carácter personal necesarios para prestar los Servicios. El Encargado ha sido seleccionado comprobando que ofrece garantías suficientes para aplicar medidas técnicas y organizativas apropiadas, de manera que el tratamiento sea conforme con los requisitos legales garantizando la protección de los derechos de los usuarios. Las categorías de interesados incluyen propietarios, gestores, personal de mantenimiento y huéspedes (nombres, correos, números, datos de registro de viajeros e identificadores fiscales). El Encargado va a realizar las siguientes operaciones de tratamiento: recogida, registro, organización, estructuración, almacenamiento, consulta, utilización y supresión. 5. Obligaciones del Encargado 2.1 Tratamiento bajo instrucciones: MyRentist tratará los datos personales únicamente conforme a las instrucciones documentadas del Responsable. Asimismo, el Encargado tratará los datos únicamente con la finalidad de prestar los Servicios al Responsable. En ningún caso podrá utilizar los datos para finalidades distintas a las previstas en este Acuerdo. 2.2 Confidencialidad y Seguridad: El Encargado garantizará que todo el personal autorizado a acceder a los datos esté sujeto a obligaciones de confidencialidad. Tomará medidas para garantizar que cualquier persona que actúe bajo su autoridad y tenga acceso a datos personales solo pueda tratarlos siguiendo las instrucciones del Responsable. Asimismo, tampoco comunicará los datos a terceros, salvo que cuente con la autorización expresa del Responsable. El Encargado implementará medidas técnicas y organizativas apropiadas según el artículo 32 del RGPD y alineadas con el esquema Cyber Essentials (cifrado en tránsito y reposo, autenticación multifactor y control de accesos basado en roles) y realizará una descripción general de dichas medidas. 2.3 Asistencia y Derechos: MyRentist ayudará activamente al Responsable a cumplir sus obligaciones relacionadas con los derechos de los titulares (acceso, rectificación, supresión, portabilidad y oposición), así como a realizar evaluaciones de impacto (DPIA), y en la realización de consultas previas a la autoridad de control, cuando proceda. En este sentido, cuando las personas afectadas ejerzan los referidos derechos ante el Encargado, éste debe comunicarlo por correo electrónico al Responsable, de forma inmediata y en ningún caso más allá del día laborable siguiente al de la recepción de la solicitud. A la comunicación se acompañará el resto de información que pueda ser relevante para resolver la solicitud. Asimismo, el Encargado deberá poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente Acuerdo. 2.4 Notificación de Brechas (Plazos Estrictos): MyRentist notificará al Responsable cualquier violación de seguridad sin dilación indebida y, en la medida de lo posible, en un plazo máximo de 24-48 horas desde que tenga conocimiento del incidente. La notificación incluirá la naturaleza de la brecha, los datos afectados, las consecuencias y las medidas paliativas. El Responsable mantiene la responsabilidad de notificar a la autoridad competente (ej. la Agencia Española de Protección de Datos) en un plazo máximo de 72 horas. 6. Obligaciones del Responsable Corresponde al Responsable: 6.1 Velar por el cumplimiento de todas las medidas técnicas y organizativas necesarias con la finalidad de garantizar la seguridad de los datos de carácter personal, evitando su alteración, pérdida, tratamiento o acceso no autorizado. 6.2 Comunicar al Encargado cualquier variación que se produzca en los datos de carácter personal facilitados, para poder actualizarlos. 6.3 Recabar los datos personales objeto de tratamiento cumpliendo con la legislación aplicable en materia de Protección de Datos. 6.4 El Responsable garantiza: a. Que los datos de carácter personal que se contienen en sus bases de datos han sido obtenidos directamente de los interesados, y se les ha informado de forma previa a recabar del dato de modo expreso, preciso e inequívoco, de: • La existencia de una base de datos de carácter personal. • La finalidad de la recogida de los datos. • De los destinatarios de la información. • De las consecuencias de la obtención de los datos o de la negativa a suministrarlos. • De la posibilidad de ejercitar los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y olvido. • De la identidad y dirección del Responsable. b. Que ha informado al interesado de las finalidades explícitas y legítimas para las que va a utilizar sus datos. c. Que ofrece a los interesados o destinatarios la posibilidad de oponerse al tratamiento de sus datos mediante un procedimiento sencillo y gratuito. d. Que ha implantado las medidas de seguridad necesarias para garantizar la salvaguarda de los datos personales. e. Que los datos personales son tratados únicamente por aquellos empleados cuya intervención sea precisa para la finalidad contractual y les ha advertido y formado en sus obligaciones con respecto a la protección de datos de carácter personal. f. Que el tratamiento de datos que realiza es legítimo. g. Que, en caso de ser preceptivo para su organización, ha nombrado un Delegado de Protección de Datos. h. Que cuenta con un Registro de Actividades. 7. Sub-encargados y Derecho de Oposición 3.1 Autorización general y oposición: El Responsable otorga una autorización general a MyRentist para contratar sub-encargados. MyRentist notificará por escrito cualquier cambio en la lista de sub-encargados con una antelación de 30 días, permitiendo al Responsable oponerse. La ausencia de oposición en dicho plazo se entenderá como consentimiento. Todo sub-encargado estará sujeto a obligaciones equivalentes a este DPA. 3.2 Lista Actual: Los sub-encargados esenciales a la fecha son: (a) Amazon Web Services (AWS) (datos alojados en el Reino Unido y el EEE - Irlanda); (b) Stripe, Inc. (pasarela de pago y prevención de fraude); (c) Matomo (analítica anonimizada). 8. Transferencias Internacionales y Auditorías 4.1 Salvaguardias: En caso de que se realicen transferencias internacionales de datos personales fuera del Reino Unido o del Espacio Económico Europeo (EEE), se adoptarán las garantías adecuadas exigidas por la normativa aplicable, incluyendo, cuando proceda, el International Data Transfer Agreement (IDTA), las Cláusulas Contractuales Tipo de la Comisión Europea (SCCs) y/o el correspondiente UK Addendum, así como la realización de las evaluaciones de riesgo de transferencia que resulten necesarias para garantizar un nivel adecuado de protección de los datos personales. 4.2 Derecho a Auditar: MyRentist permitirá auditorías e inspecciones razonables por parte del Responsable o un auditor independiente, proporcionando la información necesaria para demostrar el cumplimiento, debiendo notificarse con 30 días de antelación. 4.3 Eliminación o Devolución Final: A la finalización de los Servicios, el Responsable elegirá entre la devolución o eliminación permanente de sus datos. MyRentist eliminará todas las copias existentes, salvo obligación legal en contrario. Los datos en copias de seguridad se pondrán fuera de uso y se eliminarán de forma segura en el siguiente ciclo. 9. Responsabilidades en Caso de Reclamación 9.1 Si el Encargado se viese implicado en cualquier investigación o procedimiento administrativo incoado por una autoridad de control, o bien en una reclamación de un tercero, lo comunicará inmediatamente al Responsable, describiendo los hechos que se le imputan y las actuaciones realizadas. Una vez concluido el procedimiento, deberá entregarle copia de la Resolución que se dicte. 9.2 En caso de que una autoridad de control sancionase al Responsable o a cualquier tercero como consecuencia, directa o indirecta, de que el Encargado no haya cumplido las estipulaciones de este Acuerdo, el Encargado indemnizará al Responsable o, en su caso, al tercero, con un importe igual a la sanción, más los intereses legales, más los gastos de defensa y procesales que la misma origine, más la cuantificación de cualesquiera otros daños y perjuicios que pudieran ocasionarse. 9.3 Sin perjuicio de lo anterior, ambas partes, de mutuo acuerdo, se comprometen a responder de la totalidad de los daños y perjuicios que se irroguen a la otra en todos los supuestos de conducta negligente o culposa en el cumplimiento de las obligaciones contractuales y normativas que le incumben a tenor de lo pactado en el presente Acuerdo. 10. Confidencialidad 10.1 Toda la información calificada de confidencial, que sea comunicada entre las partes con motivo de la prestación de los Servicios objeto del presente Acuerdo, solo podrá ser utilizada por las partes para tal fin. Ninguna de las partes revelará a tercero alguno ni directamente ni a través de terceras personas sin el previo consentimiento por escrito de la otra, ninguna información que reciba de la otra parte en relación con el presente Acuerdo. 10.2 El Encargado aplicará todas las medidas técnicas y organizativas necesarias para mantener el deber de confidencialidad de la información, en concreto aquellas referentes al tratamiento de datos de carácter personal pertenecientes al Responsable según establece la normativa aplicable en materia de protección de datos. 10.3 Esta limitación se aplicará indefinidamente, manteniéndose en vigor con posterioridad a la finalización, por cualquier causa, del presente Acuerdo desde la comunicación de la información, independientemente de la duración del presente Acuerdo. Ambas partes acuerdan que cualquier información confidencial recibida de la otra parte debe ser utilizada a los solos efectos de prestar o recibir servicios al amparo del presente Acuerdo. 10.4 Las anteriores restricciones no se aplicarán a cualquier información: a. Que sea o devenga accesible con carácter general para el público, por un motivo diferente al incumplimiento de una obligación derivada de la presente estipulación. b. Que se obtenga de un tercero que no esté obligado a guardar confidencialidad en relación con la información. c. Que fuese por él conocida con anterioridad. d. Cuya revelación por parte del receptor venga impuesta por la ley. 11. Incumplimiento y Resolución del Acuerdo En el supuesto de incumplimiento de alguna de las obligaciones por parte del Responsable establecidas en las estipulaciones anteriores, podrá el Encargado proceder a la resolución del presente Acuerdo sin más trámite que el comunicar al Responsable su decisión. En caso de incumplimiento de alguna de las obligaciones por parte del Encargado, el Responsable podrá asimismo resolver el Acuerdo, comunicando su decisión al Encargado. 12. Fuero y Legislación Aplicable 12.1 Las partes, renuncian a su fuero propio sometiéndose expresamente a la jurisdicción de los Juzgados y Tribunales de Inglaterra y Gales para cualquier tipo de controversia judicial que pudiera suscitar el incumplimiento del presente Acuerdo, y acuerdan que la legislación aplicable será la de Inglaterra y Gales. 12.2 Si alguna de las estipulaciones de este Acuerdo fuera declarada nula, ilegal o inexigible, la validez, legalidad y exigibilidad del resto de estipulaciones no se verá afectada o perjudicada por aquella. Las estipulaciones de este Acuerdo serán interpretadas conforme a la buena fe, al sentido recto, propio y usual de las palabras con las que fueron dichas.