Acuerdo de encargo del tratamiento

Introducción y aceptación

Este Acuerdo se celebra entre UNIVERSOWEB MARKETING COMUNICACIONES, S.L.U. (en adelante, UNIVERSOWEB o el ENCARGADO), con CIF B02975068 y domicilio social en Calle Manuel Azuaga, 6, 29740 Torre del Mar (Málaga), correo electrónico soporte@universoweb.es, y la persona física o jurídica que contrata los Servicios de UNIVERSOWEB (en adelante, el CLIENTE o el RESPONSABLE), identificada en su contrato, pedido o presupuesto.

Aceptación. Este Acuerdo forma parte integrante de las Condiciones de contratación de UNIVERSOWEB. El CLIENTE lo acepta al contratar los Servicios y aceptar esas Condiciones, o al firmarlo expresamente. Cuando el CLIENTE y UNIVERSOWEB firmen una copia individualizada, esa copia prevalece sobre esta versión pública.

Exponen.

1. Que el CLIENTE contrata a UNIVERSOWEB servicios de alojamiento, administración y mantenimiento de servidores (incluidos servidores virtuales privados, VPS) y servicios asociados.
2. Que, para prestarlos, UNIVERSOWEB puede acceder o tratar datos personales de los que el CLIENTE es responsable, por lo que actúa como encargado del tratamiento (artículo 4.8 del Reglamento (UE) 2016/679, RGPD).
3. Que el artículo 28.3 del RGPD exige que el tratamiento por un encargado se rija por un contrato u otro acto jurídico escrito, que puede constar en formato electrónico.

Por ello, las partes acuerdan las siguientes cláusulas.

1. Objeto, definiciones y roles

1.1. Objeto. Este Acuerdo regula el tratamiento de datos personales que UNIVERSOWEB realiza por cuenta del CLIENTE, como encargado, al prestar los Servicios contratados: alojamiento, administración y mantenimiento de servidores, seguridad y copias de seguridad.

1.2. Roles. El CLIENTE es el responsable del tratamiento: decide los fines y los medios del tratamiento de los datos que aloja o gestiona a través de los Servicios. UNIVERSOWEB es el encargado del tratamiento: solo trata esos datos para prestar los Servicios y siguiendo las instrucciones documentadas del CLIENTE.

1.3. Datos de categorías especiales. Si el CLIENTE aloja datos relativos a la salud u otros de categorías especiales (artículo 9 del RGPD), le corresponde acreditar la base jurídica de ese tratamiento y comunicarlo a UNIVERSOWEB. UNIVERSOWEB lo tendrá en cuenta al aplicar las medidas de seguridad del Anexo II.

1.4. Normativa aplicable. RGPD; Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD); y la demás normativa aplicable, incluida la sectorial que corresponde al CLIENTE.

1.5. Responsabilidad sobre la aplicación. El contenido, el código y el funcionamiento de las aplicaciones y portales alojados, y la decisión de qué datos se recogen y con qué base legal, son responsabilidad del CLIENTE.

1.6. Prevalencia. En materia de protección de datos, este Acuerdo prevalece sobre las Condiciones de contratación en caso de contradicción.

2. Duración y descripción del tratamiento

2.1. Duración. El Acuerdo está vigente mientras UNIVERSOWEB preste los Servicios. Las cláusulas de confidencialidad, devolución y supresión (4 y 10) siguen vigentes hasta su completo cumplimiento.

2.2. Descripción. El objeto, la naturaleza y la finalidad del tratamiento, los tipos de datos y las categorías de interesados constan en el Anexo I.

2.3. Tratamientos permitidos. UNIVERSOWEB solo realizará los siguientes tratamientos: almacenamiento de los datos en el servidor; copia de seguridad y restauración; acceso para administración, mantenimiento y soporte, limitado a lo estrictamente necesario; y análisis de seguridad automatizado del servidor (por ejemplo, detección de malware). No realizará ningún otro tratamiento.

3. Obligaciones del encargado

UNIVERSOWEB se obliga a:

1. Instrucciones documentadas. Tratar los datos solo siguiendo las instrucciones documentadas del CLIENTE (este Acuerdo, el contrato de servicios y las peticiones que el CLIENTE curse por escrito por los canales de soporte), también en lo relativo a transferencias a terceros países, salvo que lo exija una norma de la Unión o de España; en ese caso, informará previamente al CLIENTE, salvo que la norma lo prohíba.
2. Sin uso propio. No utilizar los datos para fines propios ni comunicarlos a terceros, salvo a los subencargados autorizados (cláusula 6) o por obligación legal. Si UNIVERSOWEB usase los datos para fines propios, sería considerado responsable del tratamiento (artículo 33.2 LOPDGDD).
3. Aviso de instrucciones ilícitas. Informar de inmediato al CLIENTE si considera que una instrucción infringe el RGPD, la LOPDGDD u otra norma de protección de datos.
4. Sin relación directa con los interesados. No contactar con los interesados ni responderles, salvo instrucción expresa del CLIENTE.
5. Registro de actividades. Llevar por escrito un registro de las categorías de tratamientos efectuados por cuenta del CLIENTE (artículo 30.2 RGPD y artículo 31 LOPDGDD).
6. Punto de contacto. Mantener como punto de contacto en protección de datos soporte@universoweb.es (tel. 639 344 815) y comunicar al CLIENTE, si llegara a designarlo, el delegado de protección de datos.

4. Confidencialidad del personal

4.1. UNIVERSOWEB garantiza que las personas autorizadas a tratar los datos del CLIENTE (empleados y colaboradores externos) se han comprometido por escrito a respetar la confidencialidad, o están sujetas a una obligación legal de confidencialidad de naturaleza análoga (artículo 28.3.b RGPD y artículo 5 LOPDGDD).

4.2. El acceso se limita a las personas que lo necesiten para prestar los Servicios, con el mínimo privilegio necesario y con credenciales personales e intransferibles. UNIVERSOWEB mantiene la relación de personas autorizadas y la pone a disposición del CLIENTE si la solicita.

4.3. UNIVERSOWEB conserva los compromisos de confidencialidad firmados y los pone a disposición del CLIENTE si los solicita, y da instrucciones a su personal sobre sus obligaciones de protección de datos.

4.4. El deber de confidencialidad subsiste aunque haya finalizado la relación con el CLIENTE o con UNIVERSOWEB (artículo 5.3 LOPDGDD).

5. Medidas de seguridad

5.1. UNIVERSOWEB aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (artículo 32 RGPD), teniendo en cuenta el estado de la técnica, los costes, la naturaleza de los datos y los riesgos para los interesados. Las medidas mínimas constan en el Anexo II.

5.2. UNIVERSOWEB puede actualizar las medidas del Anexo II para adaptarlas a la evolución técnica, sin reducir el nivel de protección. Verifica de forma periódica que siguen siendo eficaces.

5.3. Reparto de responsabilidades. UNIVERSOWEB es responsable de la seguridad del servidor, del sistema operativo y de los servicios de infraestructura que administra. El CLIENTE es responsable de la seguridad de sus aplicaciones y portales (código, gestión de usuarios y contraseñas de la aplicación, validación de los archivos que se suben) y de decidir qué datos se recogen.

5.4. Evaluación de riesgos. Corresponde al CLIENTE, como responsable, evaluar los riesgos del tratamiento y realizar, si procede, la evaluación de impacto (artículo 35 RGPD). UNIVERSOWEB colaborará facilitando la información técnica de la que disponga.

6. Subencargados

6.1. Autorización general. El CLIENTE autoriza por escrito a UNIVERSOWEB a recurrir a los subencargados que constan en el Anexo III, necesarios para prestar los Servicios (infraestructura de alojamiento, almacenamiento de copias y servicios auxiliares).

6.2. Cambios. UNIVERSOWEB informará al CLIENTE por correo electrónico, con al menos 30 días de antelación, de cualquier incorporación o sustitución de subencargados, indicando la identidad, la ubicación y las garantías aplicables. El CLIENTE puede oponerse por motivos razonables de protección de datos en un plazo de 15 días desde la comunicación. Si la oposición no se resuelve, el CLIENTE podrá dar de baja el servicio afectado sin penalización, y se aplicará la cláusula 10.

6.3. Obligaciones del subencargado. UNIVERSOWEB formaliza con cada subencargado un contrato u otro acto jurídico escrito que le imponga obligaciones de protección de datos equivalentes a las de este Acuerdo, en particular garantías suficientes de medidas técnicas y organizativas (artículo 28.4 RGPD). UNIVERSOWEB responde frente al CLIENTE si un subencargado incumple esas obligaciones.

6.4. Personal externo. Los colaboradores externos de UNIVERSOWEB que accedan a los sistemas actúan bajo su autoridad y sus instrucciones, están vinculados por un compromiso de confidencialidad y por las obligaciones de este Acuerdo, y constan en el Anexo III.

7. Transferencias internacionales

7.1. Regla general. Los datos alojados en el servidor y sus copias se tratan dentro del Espacio Económico Europeo, en los términos del Anexo III. UNIVERSOWEB no realizará transferencias a terceros países u organizaciones internacionales sin instrucción documentada del CLIENTE y sin las garantías del Capítulo V del RGPD (artículos 44 a 49).

7.2. Servicios auxiliares. Algunos subencargados del Anexo III pueden tratar datos fuera del EEE. En ese caso, la transferencia se ampara en una decisión de adecuación de la Comisión Europea, en cláusulas contractuales tipo o en otra garantía del Capítulo V, que el Anexo III identifica junto al documento que la recoge.

7.3. Marco de Privacidad de Datos UE-EE. UU. Si una garantía se basa en la certificación del proveedor en el Marco de Privacidad de Datos UE-EE. UU. (Decisión de ejecución de la Comisión de 10 de julio de 2023), UNIVERSOWEB vigilará su vigencia. Si dejara de ser válida, informará al CLIENTE y aplicará cláusulas contractuales tipo u otra garantía válida, o dejará de usar ese servicio para datos del CLIENTE.

8. Violaciones de seguridad

8.1. Plazo de aviso. UNIVERSOWEB notificará al CLIENTE cualquier violación de la seguridad de los datos personales (acceso no autorizado, pérdida, destrucción, alteración o divulgación) sin dilación indebida y, en todo caso, en un máximo de 24 horas desde que tenga conocimiento de ella (artículo 33.2 RGPD).

8.2. Canal. El aviso se enviará por correo electrónico a la dirección de contacto que el CLIENTE haya indicado a UNIVERSOWEB y, si es urgente, también por teléfono. El CLIENTE mantendrá actualizados esos datos de contacto. UNIVERSOWEB recibe las comunicaciones del CLIENTE en soporte@universoweb.es y en el teléfono 639 344 815.

8.3. Contenido. El aviso incluirá, en la medida en que se conozca: la naturaleza de la violación, con las categorías y el número aproximado de interesados y de registros afectados; las posibles consecuencias; las medidas adoptadas o propuestas para ponerle remedio; y un punto de contacto. Si no se dispone de toda la información al mismo tiempo, se facilitará por fases, sin dilación indebida (artículo 33.4 RGPD).

8.4. Actuación. UNIVERSOWEB adoptará sin demora las medidas para contener y mitigar la violación, documentará los hechos, sus efectos y las medidas adoptadas, y cooperará con el CLIENTE.

8.5. Notificaciones a la autoridad y a los interesados. Corresponde al CLIENTE, como responsable, notificar a la autoridad de control en el plazo de 72 horas (artículo 33.1 RGPD) y, si procede, comunicar la violación a los interesados (artículo 34 RGPD). UNIVERSOWEB no lo hará salvo instrucción del CLIENTE o exigencia legal.

8.6. Subencargados. UNIVERSOWEB exigirá a sus subencargados que le avisen de las violaciones sin dilación indebida. El plazo de 24 horas de la cláusula 8.1 se computa desde que UNIVERSOWEB tenga conocimiento de la violación.

9. Asistencia al responsable

9.1. Derechos de los interesados. Si un interesado ejerce ante UNIVERSOWEB un derecho de los artículos 15 a 22 del RGPD, UNIVERSOWEB no responderá por sí misma y lo trasladará al CLIENTE en un máximo de 3 días hábiles. A petición del CLIENTE, le asistirá con medidas técnicas apropiadas (localizar, exportar o suprimir datos) para que pueda atender esas solicitudes.

9.2. Otras obligaciones del responsable. UNIVERSOWEB asistirá al CLIENTE, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, en el cumplimiento de las obligaciones de seguridad (artículo 32), de notificación y comunicación de violaciones (artículos 33 y 34), de evaluación de impacto (artículo 35) y de consulta previa a la autoridad de control (artículo 36).

9.3. Autoridad de control. UNIVERSOWEB cooperará con la Agencia Española de Protección de Datos o con la autoridad de control competente cuando lo requiera (artículo 31 RGPD).

9.4. Coste. La asistencia razonable está incluida en los Servicios. Si requiere un trabajo extraordinario, UNIVERSOWEB lo presupuestará antes de realizarlo.

10. Devolución y supresión de los datos al finalizar el servicio

10.1. Desde la baja de los Servicios, el CLIENTE dispone de 15 días naturales para solicitar por escrito (a soporte@universoweb.es) una copia de sus datos y de su contenido en un formato estructurado y de uso común.

10.2. Transcurrido ese plazo, y como máximo en 30 días naturales desde la baja, UNIVERSOWEB suprimirá los datos personales del CLIENTE de los sistemas de producción. Las copias de seguridad que contengan esos datos se eliminarán conforme a su ciclo de rotación, sin que puedan ser restauradas ni utilizadas para ninguna otra finalidad mientras tanto.

10.3. A petición del CLIENTE, UNIVERSOWEB le confirmará por escrito la supresión en un plazo máximo de 5 días hábiles desde que se haya completado.

10.4. UNIVERSOWEB podrá conservar, debidamente bloqueados y únicamente a disposición de las autoridades competentes y para la atención de posibles responsabilidades, aquellos datos que deba conservar por una obligación legal (por ejemplo, la documentación contractual y fiscal propia de la relación comercial), durante el plazo exigido por la ley.

10.5. La conservación de las historias clínicas y de cualquier otra documentación que el CLIENTE deba mantener por imperativo legal es responsabilidad exclusiva del CLIENTE, que deberá obtener su copia dentro del plazo indicado en el apartado 10.1.

11. Auditorías e información

11.1. UNIVERSOWEB pondrá a disposición del CLIENTE la información necesaria para demostrar el cumplimiento de las obligaciones de este Acuerdo, incluida la descripción de las medidas del Anexo II y la relación de subencargados del Anexo III.

11.2. El CLIENTE podrá realizar, por sí o mediante un auditor independiente sujeto a confidencialidad, una auditoría razonable de dicho cumplimiento, con un preaviso mínimo de 15 días naturales, una vez al año salvo incidente que justifique otra frecuencia, en horario laboral y sin perturbar el servicio prestado a otros clientes. Cuando sea posible, la auditoría se realizará de forma documental o remota. El CLIENTE no tendrá acceso a datos de otros clientes ni a información que comprometa la seguridad de la infraestructura.

11.3. Cada parte asumirá sus propios costes de la auditoría. Si la auditoría requiriese una dedicación extraordinaria de UNIVERSOWEB, esta podrá repercutir al CLIENTE el coste razonable y previamente comunicado.

12. Obligaciones del CLIENTE como responsable del tratamiento

12.1. El CLIENTE garantiza que dispone de base de legitimación para tratar los datos personales que aloja o gestiona mediante los Servicios, que ha informado a los interesados conforme a los artículos 13 y 14 del RGPD y que, cuando proceda, ha recabado los consentimientos necesarios (en particular para los datos de salud, que son categorías especiales de datos conforme al artículo 9 del RGPD).

12.2. El CLIENTE es responsable de la licitud, exactitud y minimización de los datos que incorpore a los Servicios; de mantener actualizadas las aplicaciones, complementos y credenciales que administre; de custodiar sus claves de acceso; y de realizar, cuando proceda, el registro de actividades de tratamiento, la evaluación de impacto y la designación de delegado de protección de datos.

12.3. El CLIENTE impartirá sus instrucciones por escrito. Las instrucciones contenidas en este Acuerdo y en el contrato de Servicios son las instrucciones documentadas iniciales. Si una instrucción posterior excede los Servicios contratados, UNIVERSOWEB podrá condicionar su ejecución a la aceptación de un presupuesto.

12.4. El CLIENTE notificará a la autoridad de control y, en su caso, a los interesados las violaciones de seguridad de los datos que le correspondan como responsable, en los plazos de los artículos 33 y 34 del RGPD.

13. Disposiciones finales

13.1. Responsabilidad. Cada parte responderá frente a la otra y frente a los interesados conforme a lo dispuesto en el artículo 82 del RGPD y en la legislación aplicable. La responsabilidad de UNIVERSOWEB frente al CLIENTE se regirá por lo establecido en las Condiciones de contratación, sin perjuicio de lo que imponga la normativa de protección de datos.

13.2. Modificaciones. UNIVERSOWEB podrá actualizar este Acuerdo para adaptarlo a cambios normativos, a la evolución de los Servicios o a modificaciones en los subencargados, comunicándolo al CLIENTE con una antelación mínima de 30 días naturales. Si el CLIENTE no estuviera conforme, podrá oponerse conforme a la cláusula 6 o resolver los Servicios afectados.

13.3. Prevalencia. En lo relativo al tratamiento de datos personales, este Acuerdo prevalece sobre las Condiciones de contratación y sobre cualquier otro documento contractual entre las partes. Si las partes hubieran firmado individualmente un acuerdo de encargo del tratamiento, prevalecerá la copia firmada.

13.4. Ley aplicable y jurisdicción. Este Acuerdo se rige por la legislación española y por el RGPD. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Vélez-Málaga, salvo que la normativa imperativa de consumidores establezca otro fuero.

13.5. Formalización. Este Acuerdo se formaliza electrónicamente. Se entiende aceptado por el CLIENTE desde la contratación de los Servicios con la aceptación de las Condiciones de contratación o, en su caso, desde su firma individual, y permanecerá vigente mientras UNIVERSOWEB trate datos personales por cuenta del CLIENTE.

Anexo I — Descripción del tratamiento

Anexo II — Medidas técnicas y organizativas

Anexo III — Subencargados del tratamiento autorizados

El CLIENTE autoriza estos subencargados. Los cambios se comunicarán conforme a la cláusula 6. UNIVERSOWEB mantiene con ellos las condiciones contractuales exigidas por el artículo 28.4 del RGPD.