Acuerdo de procesamiento de datos para MSP

Este Acuerdo de procesamiento de datos ("Acuerdo") forma parte del Acuerdo de proveedor de servicios gestionados (el "Acuerdo principal") entre Proton AG, Route de la Galaise 32, 1228 Plan-les-Ouates, Suiza, número de identificación de la empresa CHE-354.686.492 (denominado el "Encargado del tratamiento") y el MSP identificado en el Acuerdo principal (denominado la "Empresa", entendiéndose como el proveedor de servicios gestionados que utiliza los Servicios para aprovisionar, facturar y dar soporte a sus propios Clientes gestionados, independientemente de su forma jurídica).

Este Acuerdo rige los requisitos específicos de las Leyes de protección de datos en la medida en que el uso de los Servicios por parte de la Empresa, incluido el aprovisionamiento de los Servicios a los Clientes gestionados por parte de la Empresa, implique el Tratamiento de datos personales sujetos a las Leyes de protección de datos.

El plazo de este Acuerdo seguirá el plazo del Acuerdo Principal. Los términos no definidos en el presente documento tendrán el significado establecido en el Acuerdo principal.

CONSIDERANDO

A) La Empresa actúa como Responsable del tratamiento o, cuando un Cliente gestionado instruya directamente el Tratamiento de sus propios Datos personales, como Encargado del tratamiento en nombre de dicho Cliente gestionado (en cualquiera de los casos, el "Responsable del tratamiento").

B) La Empresa desea subcontratar ciertos Servicios, que implican el Tratamiento de datos personales, a Proton AG, que actúa como Encargado del tratamiento (el "Encargado del tratamiento").

C) Las Partes buscan implementar un acuerdo de procesamiento de datos que cumpla con los requisitos del marco legal vigente en relación con el tratamiento de datos, incluido el Reglamento (UE) 2016/679 (el "RGPD") y la Ley federal suiza sobre protección de datos ("FADP"), así como otras Leyes de protección de datos aplicables.

D) Las Partes desean establecer sus respectivos derechos y obligaciones.

SE ACUERDA LO SIGUIENTE:

1. Definiciones, funciones y alcance

1.1 Definiciones. A menos que se defina lo contrario en este documento, los términos en mayúscula tendrán el significado otorgado en el Acuerdo principal o, cuando no estén definidos allí, el siguiente significado:

• "Datos personales de la Empresa" se refiere a cualquier Dato personal relacionado con la Empresa, los Clientes gestionados de la Empresa o sus respectivos clientes o empleados, que sea Tratado en relación con el Acuerdo principal.
• "Encargado contratado" se refiere a un Subencargado del tratamiento.
• "Leyes de protección de datos" se refiere al RGPD, la FADP y, en la medida en que sea aplicable, las leyes de privacidad o protección de datos de cualquier otro país.
• "Transferencia de datos" se refiere a (i) una transferencia de Datos personales de la Empresa desde la Empresa hacia el Encargado del tratamiento o un Encargado contratado, o (ii) una transferencia posterior de Datos personales de la Empresa desde el Encargado del tratamiento hacia un Subencargado del tratamiento, o entre dos establecimientos de un Subencargado del tratamiento.
• "Cliente gestionado" tiene el significado otorgado en el Acuerdo principal: una entidad de usuario final a la que la Empresa aprovisiona y proporciona los Servicios como parte de la propia oferta de servicios gestionados de la Empresa.
• “Subencargado del tratamiento” se refiere a cualquier persona designada por o en nombre del Encargado del tratamiento para Tratar datos personales en relación con el Acuerdo.
• Los términos "Comisión", "Responsable del tratamiento", "Interesado", "Estado miembro", "Datos personales", "Violación de la seguridad de los datos personales", "Tratamiento" y "Autoridad de control" tienen el mismo significado que en el RGPD u otra Ley de protección de datos aplicable.

1.2 Funciones de las Partes. En la relación entre Proton y la Empresa, la Empresa es el Responsable del tratamiento (o, según corresponda, el Encargado del tratamiento que actúa según las instrucciones de un Cliente gestionado) y Proton es el Encargado del tratamiento, con respecto a todos los Datos personales de la Empresa Tratados en virtud del Acuerdo principal, incluidos los Datos personales de o relativos a los Clientes gestionados y sus respectivos usuarios finales. Este Acuerdo constituye el acuerdo de tratamiento de datos completo y exclusivo entre Proton y cualquier parte en la cadena de Clientes gestionados. Proton no tiene ninguna relación contractual directa, de Responsable-Encargado o de Encargado-Subencargado con ningún Cliente gestionado, y ningún Cliente gestionado es parte de este Acuerdo ni tercero beneficiario del mismo. La Empresa es la única responsable de sus acuerdos con, y de sus obligaciones hacia, sus Clientes gestionados, incluidos los términos de protección de datos que la Empresa deba cumplir con ellos en virtud de la ley aplicable o del contrato.

1.3 Responsabilidad descendente de la Empresa. La Empresa suscribirá un acuerdo por escrito con cada Cliente gestionado que imponga a la Empresa obligaciones de protección de datos no menos protectoras de los Datos personales de ese Cliente gestionado que las obligaciones que Proton asume con la Empresa en virtud de este Acuerdo, en la medida en que sean aplicables a la naturaleza de los Servicios que la Empresa presta a ese Cliente gestionado. Las obligaciones de Proton en virtud de este Acuerdo se aplican exclusivamente a la Empresa; la Empresa sigue siendo la única responsable ante sus Clientes gestionados por el Tratamiento de sus Datos personales, incluidos los actos u omisiones de Proton, en la relación entre la Empresa y sus Clientes gestionados.

2. Tratamiento de Datos Personales de la Empresa

El Procesador deberá:

• cumplir con todas las Leyes de protección de datos aplicables en el Tratamiento de los Datos personales de la Empresa; y
• no Tratar los Datos personales de la Empresa salvo siguiendo las instrucciones documentadas de la Empresa, según se establece a continuación.

La Empresa instruye al Encargado del tratamiento para que Trate los Datos personales de la Empresa con el fin de:

• proporcionar los Servicios y el soporte técnico relacionado a la Empresa y, a través de la Empresa, a los Clientes gestionados;
• cumplir obligaciones legales o resolver controversias;
• ejecutar cualquier tarea interna destinada a optimizar la seguridad, privacidad, confidencialidad y funcionalidad de los Servicios; y
• realizar informes internos, informes financieros y otras tareas internas similares.

3. Personal del Procesador

El Encargado del tratamiento tomará medidas razonables para garantizar la fiabilidad de cualquier empleado, agente o contratista de cualquier Encargado contratado que pueda tener acceso a los Datos personales de la Empresa, garantizando en cada caso que el acceso esté estrictamente limitado a aquellas personas que necesiten conocer o acceder a los Datos personales de la Empresa pertinentes, según sea estrictamente necesario para los fines del Acuerdo principal y/o para cumplir con las Leyes de protección de datos, y asegurando que todas esas personas estén sujetas a compromisos de confidencialidad u obligaciones profesionales o legales de confidencialidad.

4. Seguridad

De conformidad con el Artículo 32(1) del RGPD, el Encargado del tratamiento implementará las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad apropiado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del Tratamiento. Estas medidas están diseñadas para proteger los derechos y libertades de las personas físicas, teniendo en cuenta los riesgos de probabilidad y gravedad variables, incluido el riesgo de una Violación de la seguridad de los datos personales. La Empresa implementará las medidas técnicas y organizativas adecuadas para su propio Tratamiento de los Datos personales de la Empresa, incluida su administración de las cuentas de Clientes gestionados a través de Licencias de administrador de MSP, y garantizará que el acceso a dichas cuentas esté limitado al personal de la Empresa que lo necesite, protegido por controles de autenticación adecuados y revocado sin demora cuando ya no sea necesario.

5. Subprocesamiento

Sujeto a este Acuerdo, la Empresa otorga una autorización general al Encargado del tratamiento para contratar Subencargados del tratamiento y para divulgar o transferirles Datos personales de la Empresa. La Empresa reconoce y aprueba la lista de Subencargados del tratamiento detallada en la Política de privacidad del Encargado del tratamiento, entendiéndose que dicha lista puede ser actualizada periódicamente por el Encargado del tratamiento, en cuyo caso se informará a la Empresa conforme al proceso de notificación de la Política de privacidad. La Empresa autoriza asimismo al Encargado del tratamiento a comunicar y transferir Datos personales a cualquier empresa dentro de su grupo corporativo. El Encargado del tratamiento se asegurará de que los Subencargados del tratamiento estén sujetos a un acuerdo con el Encargado del tratamiento que no sea menos restrictivo ni protector que este Acuerdo con respecto a la protección de los Datos personales de la Empresa, en la medida en que sea aplicable a la naturaleza de los servicios prestados por dicho Subencargado del tratamiento. Para evitar cualquier duda, la Empresa no es un Subencargado del tratamiento de Proton y esta Sección no se aplica a la contratación que la propia Empresa haga de ningún Cliente gestionado o tercero.

6. Derechos del Sujeto de Datos

Teniendo en cuenta la naturaleza del Tratamiento, el Encargado del tratamiento asistirá razonablemente a la Empresa en el cumplimiento de las obligaciones de la Empresa de responder a las solicitudes de ejercicio de los derechos de los Interesados en virtud de las Leyes de protección de datos, incluidas las solicitudes que la Empresa reciba de, o en nombre de, un Cliente gestionado o de los propios usuarios finales de dicho Cliente gestionado.

El Procesador deberá:

• notificar puntualmente a la Empresa si recibe una solicitud de un Sujeto de Datos bajo cualquier Ley de Protección de Datos respecto a los Datos Personales de la Empresa; y

• garantizar que no responda a dicha solicitud excepto siguiendo las instrucciones documentadas de la Empresa o según lo exija la legislación aplicable, en cuyo caso el Encargado del tratamiento, en la medida en que esté legalmente permitido, informará a la Empresa de dicho requisito legal antes de responder.

La Empresa es la única responsable de responder y de coordinarse con cualquier Cliente gestionado con respecto a cualquier solicitud de los Interesados relacionada con los Datos personales de ese Cliente gestionado; el Encargado del tratamiento no tiene la obligación de identificar ni de comunicarse directamente con ningún Cliente gestionado.

7. Vulneración de Datos Personales

El Encargado del tratamiento gestionará cualquier Violación de la seguridad de los datos personales de conformidad con las Leyes de protección de datos aplicables y sus procedimientos internos para Violaciones de la seguridad de los datos personales. En caso de una Violación de la seguridad de los datos personales que afecte a los Datos personales de la Empresa, el Encargado del tratamiento notificará a la Empresa sin demora, facilitando información suficiente para que la Empresa pueda cumplir sus propias obligaciones en virtud de las Leyes de protección de datos, incluyendo, cuando corresponda, informar a los Clientes gestionados y a los Interesados afectados. El Encargado del tratamiento cooperará con la Empresa y adoptará medidas comerciales razonables según lo indique la Empresa para colaborar en la investigación, mitigación y subsanación de cada una de dichas Violaciones de la seguridad de los datos personales. Cada Parte asumirá los costes de investigación, subsanación, mitigación y otros costes relacionados en la medida en que dicha Parte haya causado la Violación de la seguridad de los datos personales. Cada Parte asumirá los costes de cualquier multa, sanción, indemnización u otros importes relacionados impuestos por una autoridad reguladora competente en la medida en que se deriven del incumplimiento por parte de dicha Parte de sus obligaciones en virtud de este Acuerdo. La Empresa es la única responsable de las notificaciones de violaciones de seguridad a sus Clientes gestionados y a sus Interesados, así como de los plazos y el contenido de dichas notificaciones.

8. Evaluación de Impacto en la Protección de Datos y Consulta Previa

El Encargado del tratamiento prestará asistencia razonable a la Empresa con las evaluaciones de impacto relativas a la protección de datos y las consultas previas con las autoridades de control que la Empresa considere razonablemente necesarias en virtud de los Artículos 35 o 36 del RGPD o disposiciones equivalentes de cualquier otra Ley de protección de datos, en cada caso únicamente en relación con el Tratamiento de Datos personales de la Empresa por parte de los Encargados contratados y teniendo en cuenta la naturaleza del Tratamiento y la información a su disposición.

9. Supresión o devolución de los Datos personales de la Empresa

Al cesar cualquier Servicio que implique el Tratamiento de Datos personales de la Empresa, el Encargado del tratamiento suprimirá todos los Datos personales de la Empresa en la medida permitida por la legislación aplicable y de conformidad con los Términos y condiciones y la Política de privacidad del Encargado del tratamiento. Si la Empresa necesita una copia de los Datos personales de la Empresa, debe solicitarla antes de la supresión; las solicitudes realizadas después de la supresión ya no se podrán atender. Tras la resolución del Acuerdo principal, la Empresa sigue siendo la única responsable de gestionar la supresión, devolución o transición de los Datos personales de cualquier Cliente gestionado entre la Empresa y dicho Cliente gestionado, de conformidad con la Sección 5.4 del Acuerdo principal (Asistencia para la transición).

10. Derechos de auditoría

Sujeto a esta Sección 10, el Encargado del tratamiento pondrá a disposición de la Empresa, previa solicitud, toda la información necesaria para demostrar el cumplimiento de este Acuerdo, y permitirá y facilitará la realización de auditorías, incluidas inspecciones, por parte de la Empresa o de un auditor designado por la Empresa, en relación con el Tratamiento de los Datos personales de la Empresa por parte de los Encargados contratados. La Empresa no ejercerá sus derechos de auditoría en virtud de esta Sección más de una vez por año natural, excepto tras una Violación de la seguridad de los datos personales o una instrucción de una autoridad reguladora. La Empresa notificará al Encargado del tratamiento por escrito con al menos sesenta (60) días de antelación su intención de realizar una auditoría. La auditoría se llevará a cabo durante el horario comercial del Encargado del tratamiento, no perturbará las operaciones del Encargado del tratamiento y garantizará la protección de los Datos personales de la Empresa, del Encargado del tratamiento y de otros Interesados. Las Partes acordarán previamente y de mutuo acuerdo la fecha, el alcance, la duración y los controles de seguridad y confidencialidad aplicables a la auditoría; el Encargado del tratamiento podrá exigir un acuerdo de confidencialidad antes de la auditoría. Los derechos de información y auditoría en virtud de esta Sección solo surgen en la medida en que este Acuerdo no otorgue de otro modo a la Empresa derechos de información y auditoría que cumplan con los requisitos pertinentes de la Ley de protección de datos. Cuando un Cliente gestionado solicite información sobre el Tratamiento de Proton como parte de las obligaciones de diligencia debida de la propia Empresa hacia dicho Cliente gestionado, la Empresa puede acogerse a esta Sección para obtener la información necesaria del Encargado del tratamiento y transmitirla, pero el Cliente gestionado no tiene un derecho de auditoría independiente contra el Encargado del tratamiento.

11. Transferencia de Datos

En la medida de lo posible, el Encargado del tratamiento solo transferirá o autorizará la transferencia de Datos personales de la Empresa a países dentro de Suiza, la UE y/o países sujetos a una decisión de adecuación, según lo previsto en el Artículo 45 del RGPD y el Artículo 16 de la FADP suiza. Si los Datos personales de la Empresa Tratados en virtud de este Acuerdo se transfieren desde Suiza, la UE o un país sujeto a una decisión de adecuación a un país fuera de ese ámbito, las Partes se asegurarán de que los Datos personales estén debidamente protegidos, basándose, a menos que se acuerde lo contrario, en las cláusulas contractuales tipo aprobadas y vigentes en ese momento por Suiza, la UE y/o el Reino Unido, u otros mecanismos de transferencia previstos por las Leyes de protección de datos. El Encargado del tratamiento estará autorizado a realizar dichas transferencias a Subencargados del tratamiento siempre que se implementen las garantías adecuadas teniendo en cuenta la naturaleza de la transferencia.

12. Términos Generales

12.1 Cumplimiento de las leyes aplicables. El Encargado del tratamiento Tratará los Datos personales de la Empresa de conformidad con este Acuerdo y las Leyes de protección de datos aplicables a su función en virtud de este Acuerdo. El Encargado del tratamiento no es responsable de cumplir con las Leyes de protección de datos aplicables exclusivamente a la Empresa, o a cualquier Cliente gestionado, en virtud de su respectiva actividad comercial o sector.

12.2 Confidencialidad. Cada Parte mantendrá la confidencialidad de cualquier información que reciba sobre la otra Parte en relación con este Acuerdo, y no la utilizará ni divulgará sin el consentimiento previo por escrito de la otra Parte, excepto en la medida en que (a) la ley exija su divulgación, o (b) la información ya sea de dominio público sin que medie culpa de las Partes.

12.3 Notificaciones. Las notificaciones en virtud de este Acuerdo se realizarán de conformidad con las disposiciones de notificación del Acuerdo principal. Las notificaciones al Encargado del tratamiento relativas a cuestiones de protección de datos deberán enviarse además con copia a legal@proton.ch

12.4 Responsabilidad. La responsabilidad de cada Parte derivada de este Acuerdo o en conexión con el mismo está sujeta a, y limitada de conformidad con, las disposiciones de limitación de responsabilidad del Acuerdo principal, incluido cualquier límite específico establecido en el mismo para infracciones de las obligaciones de confidencialidad y protección de datos. Nada en este Acuerdo limita la responsabilidad de ninguna de las Partes por multas o sanciones que le sean impuestas directamente por una autoridad de control competente derivadas del incumplimiento por dicha Parte de las Leyes de protección de datos aplicables. La Empresa reconoce que, al ser la única parte que interactúa como Responsable del tratamiento ante sus Clientes gestionados, asume la responsabilidad exclusiva de cualquier obligación o reclamación en la que incurra ante un Cliente gestionado que supere lo que la Empresa pueda recuperar del Encargado del tratamiento en virtud del límite de responsabilidad del Acuerdo principal.

12.5 Ley aplicable y jurisdicción. Este Acuerdo se rige por la legislación suiza, sin tener en cuenta las disposiciones sobre conflicto de leyes de ninguna otra jurisdicción, y cualquier disputa que surja de este Acuerdo o en relación con él estará sujeta a la jurisdicción exclusiva de los tribunales de Ginebra, Suiza.

12.6 Orden de prelación. En caso de discrepancia entre este Acuerdo y el Acuerdo principal con respecto al Tratamiento de Datos personales, prevalecerá este Acuerdo, de conformidad con la Sección 10.1 del Acuerdo principal. En caso de discrepancia entre la versión en inglés de este Acuerdo y cualquier versión traducida, prevalecerá la versión en inglés.