Acuerdo de Tratamiento de Datos Personales

1. Introducción

El presente Acuerdo de Tratamiento de Datos Personales («Anexo») forma parte inseparable de las Condiciones Generales de Uso suscritas entre Liid Oy («Proveedor») y usted («Cliente») en el momento en que descargó la Aplicación denominada «Liid for CRM» y aceptó las Condiciones Generales anteriormente mencionadas («Acuerdo»).

La finalidad de este Anexo es acordar las condiciones de privacidad y protección de los Datos Personales del Responsable del Tratamiento en los servicios del Proveedor. Este Anexo constituye un acuerdo escrito conforme al Reglamento General de Protección de Datos de la Unión Europea (679/2016) («Reglamento») relativo al tratamiento de datos personales. Las obligaciones y los derechos que se deriven directamente del Reglamento General de Protección de Datos de la Unión Europea entrarán en vigor únicamente cuando comience su aplicación, el 25 de mayo de 2018.

Si las disposiciones relativas al Tratamiento de Datos Personales contenidas en este Anexo entran en conflicto con las del Acuerdo, las partes aplicarán con carácter prioritario las disposiciones de este Anexo.

2. Definiciones

De conformidad con el Reglamento General de Protección de Datos de la Unión Europea, los términos siguientes se definen de la siguiente manera:

«Responsable del Tratamiento» significa el Cliente o el cliente del Cliente, quien determinará los fines y medios del Tratamiento de Datos Personales.

«Encargado del Tratamiento» significa el Proveedor, quien tratará los Datos Personales por cuenta del Responsable del Tratamiento conforme al Acuerdo.

«Tratamiento» o «Actividades de Tratamiento» significa cualquier operación o conjunto de operaciones realizadas sobre Datos Personales o conjuntos de datos personales, por medios automatizados o manuales, como la recogida, el registro, la organización, la estructuración, la conservación, la adaptación o modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, la difusión o cualquier otra forma de puesta a disposición, el cotejo o interconexión, la limitación, la supresión o la destrucción.

«Datos Personales» significa toda información sobre una persona física identificada o identificable, denominada en adelante «Interesado». Se considerará persona física identificable toda persona cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador como un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios elementos propios de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona.

«Violación de la Seguridad de los Datos Personales» significa toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales transmitidos, conservados o tratados de cualquier otra forma, así como la comunicación o el acceso no autorizados a dichos datos.

3. Protección de datos y Tratamiento de Datos Personales

3.1 Obligaciones del Proveedor y del Cliente

El Proveedor tratará los Datos Personales del Responsable del Tratamiento por cuenta del Cliente y siguiendo sus instrucciones, sobre la base del Acuerdo. Los Datos Personales tratados por el Proveedor podrán estar relacionados, por ejemplo, con empleados o clientes. El Cliente o el cliente del Cliente actuará como Responsable del Tratamiento y el Proveedor actuará como Encargado del Tratamiento de los Datos Personales tratados en el servicio. Las partes se comprometen a cumplir en todo momento la legislación, los reglamentos, las resoluciones de las autoridades y las directrices aplicables al Tratamiento de Datos Personales vigentes tanto en Finlandia como en la Unión Europea.

El Responsable del Tratamiento será responsable de disponer de los derechos y fundamentos jurídicos necesarios y de haber obtenido los consentimientos necesarios para el Tratamiento de Datos Personales. También será responsable de redactar la política de privacidad y de informar a los Interesados. El Cliente será responsable de la exactitud y validez de los datos personales que haya facilitado al Proveedor.

El Responsable del Tratamiento tendrá el derecho y la obligación de determinar los fines y medios del Tratamiento de Datos Personales. El objeto, la naturaleza y la finalidad del Tratamiento se definen con mayor detalle en el Acuerdo. Los tipos de Datos Personales y las categorías de Interesados tratados en los servicios se definen en el formulario que especifica las operaciones de Tratamiento, incluido como Anexo 1.

El Proveedor solo tendrá derecho a tratar los Datos Personales y demás datos del Responsable del Tratamiento sobre la base del Acuerdo, de este Anexo y de las instrucciones escritas del Cliente, y únicamente en la medida y del modo necesarios para prestar los servicios. El Proveedor notificará al Cliente si detecta que alguna instrucción entra en conflicto con la legislación de protección de datos de la Unión Europea o Finlandia y, en tal caso, podrá rechazar o suspender de inmediato la aplicación de las instrucciones del Cliente.

El Proveedor mantendrá una descripción del servicio u otro registro de las Actividades de Tratamiento del servicio cuando así lo exija el Reglamento General de Protección de Datos de la Unión Europea. El Proveedor tendrá derecho a recopilar, de conformidad con el Acuerdo, datos anónimos y estadísticos sobre el uso de los servicios que no identifiquen al Cliente ni a los Interesados, y a utilizarlos para analizar y desarrollar sus servicios.

3.2 Supresión o devolución de datos

Tras la expiración del Acuerdo, el Proveedor devolverá o eliminará, siguiendo las instrucciones del Cliente, todos los Datos Personales del Responsable del Tratamiento y eliminará todas sus copias, salvo que la legislación aplicable exija conservar dichos Datos Personales.

3.3 Subcontratistas

El Proveedor podrá utilizar subcontratistas para tratar los Datos Personales del Responsable del Tratamiento. El Proveedor será responsable de los actos de sus subcontratistas como si fueran propios y celebrará acuerdos escritos con ellos relativos al Tratamiento de Datos Personales. Si el Cliente lo solicita, el Proveedor le informará previamente de los subcontratistas que pretenda utilizar para tratar los datos personales conforme al Acuerdo. El Cliente tendrá derecho a oponerse al uso de un nuevo subcontratista por motivos razonables. Si las partes no alcanzan un acuerdo sobre el uso de un nuevo subcontratista, el Cliente podrá resolver el Acuerdo mediante un preaviso de treinta (30) días, en la medida en que el cambio de subcontratista afecte al Tratamiento de Datos Personales conforme al Acuerdo.

3.4 Obligación de asistencia del Proveedor

El Proveedor remitirá inmediatamente al Cliente todas las solicitudes de acceso, rectificación, supresión u oposición al Tratamiento de Datos Personales, así como cualquier otra solicitud recibida de los Interesados. Si el Cliente lo solicita, el Proveedor le prestará apoyo para atender las solicitudes de los Interesados.

Teniendo en cuenta la naturaleza del Tratamiento de Datos Personales y la información disponible, el Proveedor estará obligado a ayudar al Cliente a garantizar el cumplimiento de sus obligaciones legales. Estas obligaciones podrán incluir requisitos relativos a la seguridad de los datos, la notificación de violaciones de datos, las evaluaciones de impacto relativas a la protección de datos y las obligaciones relacionadas con consultas previas. El Proveedor solo estará obligado a prestar asistencia en la medida en que la legislación aplicable imponga dicha obligación al Encargado del Tratamiento. Salvo acuerdo en contrario, el Proveedor tendrá derecho a facturar los gastos derivados de las actuaciones realizadas conforme a esta sección 3.4 de acuerdo con su lista de precios vigente.

El Proveedor remitirá directamente al Cliente todas las consultas formuladas por las autoridades de protección de datos y esperará nuevas instrucciones del Cliente. Salvo acuerdo en contrario, el Proveedor no estará autorizado a representar al Cliente ni a actuar en su nombre ante las autoridades supervisoras del Cliente.

4. Tratamiento realizado fuera de la UE/EEE

El Proveedor y sus subcontratistas podrán tratar datos personales fuera del territorio de la Unión Europea o del Espacio Económico Europeo. Cuando se produzcan dichas transferencias o actividades de Tratamiento, el Proveedor garantizará la aplicación de las cláusulas contractuales tipo de la Comisión Europea 2010/87/UE relativas a la transferencia de Datos Personales fuera de la UE/EEE, o de una garantía jurídica equivalente aprobada conforme al Reglamento.

Mediante la firma de este Anexo, el Cliente otorga un poder al Proveedor para representarlo en la firma de las cláusulas contractuales por cuenta y en nombre del Cliente. Asimismo, el Cliente acepta expresamente que el Proveedor también pueda representar al subcontratista correspondiente en relación con dichas cláusulas contractuales.

5. Auditoría

El Cliente o un auditor autorizado por el Cliente, siempre que no sea competidor del Proveedor, tendrá derecho a auditar las actividades realizadas conforme al Anexo. Las partes acordarán previamente la fecha y los demás detalles de la auditoría, como máximo catorce (14) días antes de la inspección. La auditoría se llevará a cabo de forma que no obstaculice las obligaciones del Proveedor o de sus subcontratistas frente a terceros. Los representantes del Cliente y el auditor deberán firmar compromisos habituales de confidencialidad.

El Cliente será responsable de sus propios gastos y de los gastos del Proveedor derivados de la auditoría. Si durante la auditoría se detectan deficiencias significativas, el Proveedor será responsable de los costes generados por la auditoría.

6. Seguridad de los datos

El Proveedor aplicará medidas técnicas y organizativas apropiadas para proteger los Datos Personales del Responsable del Tratamiento, teniendo en cuenta todos los riesgos asociados al Tratamiento, especialmente la destrucción, pérdida o alteración accidental o ilícita, así como la comunicación o el acceso no autorizados a Datos Personales transmitidos, conservados o tratados de cualquier otra forma. Al organizar las medidas de seguridad, se evaluarán las opciones técnicas y sus costes en relación con los riesgos específicos del Tratamiento correspondiente y con la sensibilidad de los Datos Personales tratados.

El Cliente estará obligado a garantizar que el Proveedor reciba información sobre todas las circunstancias relacionadas con los Datos Personales facilitados por el Cliente, como las evaluaciones de riesgos y el Tratamiento de categorías especiales de Interesados que afecten a las medidas técnicas y organizativas previstas en este Anexo. El Proveedor garantizará que su personal y el personal de sus subcontratistas cumplan compromisos adecuados de confidencialidad.

7. Violaciones de datos

El Proveedor deberá notificar al Cliente todas las Violaciones de la Seguridad de los Datos Personales sin dilación indebida y dentro de un plazo de 72 horas desde que el Proveedor o uno de sus subcontratistas tenga conocimiento de la violación.

Si el Cliente lo solicita, el Proveedor le facilitará sin dilación indebida toda la información pertinente relacionada con la violación de datos. En la medida en que dicha información esté disponible para el Proveedor, este describirá al Cliente al menos lo siguiente:

• (a) la violación de datos ocurrida;

• (b) cuando sea posible, las categorías y el número de Interesados afectados, así como las categorías de Datos Personales y el número estimado de registros afectados;

• (c) una descripción de las posibles consecuencias de la violación de datos; y

• (d) una descripción de las medidas correctivas aplicadas o que aplicará el Proveedor para prevenir futuras violaciones de datos y, cuando sea necesario, las medidas destinadas a minimizar los efectos perjudiciales de la violación.

El Proveedor documentará y comunicará al Cliente los resultados de la investigación y las medidas adoptadas.

El Cliente será responsable de realizar las notificaciones necesarias a las autoridades de protección de datos.

8. Otras disposiciones

Si una persona sufre daños materiales o inmateriales como consecuencia de un incumplimiento del Reglamento General de Protección de Datos de la Unión Europea o de este Anexo, el Proveedor solo será responsable en la medida en que no haya cumplido expresamente las obligaciones impuestas a los Encargados del Tratamiento de Datos Personales por el Reglamento General de Protección de Datos de la Unión Europea o por este Anexo.

Cada parte estará obligada a pagar únicamente la parte de los daños o de la sanción administrativa que corresponda a su grado de responsabilidad, según se determine en una resolución firme de una autoridad de protección de datos o de un tribunal. En todos los casos, la responsabilidad de las partes se determinará conforme al Acuerdo.

El Proveedor notificará por escrito al Cliente cualquier cambio que pueda afectar a su capacidad o posibilidad de cumplir este Anexo y las instrucciones escritas del Cliente. Las partes acordarán por escrito todas las adiciones y modificaciones de este Anexo.

Este Anexo entrará en vigor después de que ambas partes lo hayan firmado. Permanecerá vigente: (i) mientras el Acuerdo permanezca en vigor; o (ii) mientras las partes mantengan obligaciones recíprocas relacionadas con actividades de Tratamiento de Datos Personales.

Las obligaciones que, por su naturaleza, estén destinadas a continuar después de la expiración de este Anexo permanecerán vigentes tras dicha expiración.

Anexo: Especificación del Tratamiento de Datos

1. Aplicabilidad

El presente formulario de especificación del Tratamiento forma parte inseparable del Anexo relativo al Tratamiento de Datos Personales. El formulario de especificación del Tratamiento detalla el encargo de tratamiento que el Encargado del Tratamiento realiza en beneficio del Responsable del Tratamiento conforme al Acuerdo y a este Anexo.

2. Servicios

El Tratamiento estará relacionado con los siguientes servicios de automatización y enriquecimiento de los datos CRM de las empresas clientes de LiiD.

3. Ubicación geográfica de los Datos Personales

Los Datos Personales se tratan tanto dentro como fuera del territorio de la UE/EEE, incluidos, entre otros países, los Estados Unidos de América.

4. Categorías de Interesados

Los Datos Personales tratados corresponden a las siguientes categorías de Interesados:

• Empleados de las empresas clientes de LiiD

• Usuarios de la Aplicación LiiD

• Personas de contacto de los clientes de empresas clientes de LiiD

• Clientes consumidores de las empresas clientes de LiiD

5.  Tipos de Datos Personales

Los tipos de datos personales tratados podrán incluir, por ejemplo, datos de clientes y datos de proveedores, como nombre, cargo, domicilio particular, número de teléfono, dirección de correo electrónico, fecha de nacimiento, sexo, número de cliente e historial de compras y uso de servicios; datos financieros; datos de empleados y personal; así como datos de gestión informática, como datos del sistema relacionados con el servicio ofrecido, incluidos identificadores técnicos, nombres de usuario, ubicación, información de contacto y acciones técnicas relacionadas con los servicios ofrecidos, como registros del sistema y de las aplicaciones, registros de seguridad, datos de vigilancia de instalaciones y sistemas y datos relativos a violaciones de la seguridad de los datos. Debe tenerse en cuenta en esta sección la recopilación de números de la seguridad social o la realización de verificaciones de antecedentes.

Los Datos Personales tratados en el servicio se componen de los siguientes tipos de Datos Personales:

• Nombre

• Empresa

• Cargo

• Dirección de correo electrónico

• Número de teléfono

• Dirección y otros datos de contacto

• Información relacionada con actividades con clientes, como llamadas telefónicas, conversaciones por correo electrónico y citas de calendario

INFORMACIÓN DE CONTACTO 

Para cualquier consulta relacionada con el Acuerdo de Tratamiento de Datos Personales, envíanos un correo electrónico a info@liid.com.