La presente Adenda de Contrato de Encargo del Tratamiento de Datos (en adelante, la “Adenda”), regula el tratamiento de datos personales realizado por Blip en nombre y por cuenta del Anunciante que contrate o utilicen el Servicio regulado en las Condiciones de Uso. Mediante la contratación, activación o utilización del Servicio, el Anunciante acepta quedar vinculado por los términos de esta Adenda, que forma parte integrante de las Condiciones.
De una parte, el Anunciante (en adelante, el “Responsable del Tratamiento” o el “Responsable”) y de otra parte, GUS TECHNOLOGIES, S.L.U. «Blip» (en adelante, el “Encargado del Tratamiento” o el “Encargado”), en lo sucesivo, individualmente cada “Parte”, y conjuntamente las “Partes”, manifiestan:
I. Que, en virtud de la prestación de servicios acordada por las partes y conforme se recoge en las Condiciones, el Encargado del Tratamiento se ha comprometido a prestar al Responsable del Tratamiento los servicios descritos en el Apéndice I (en adelante, los “Servicios”).
II. Que, para la ejecución de dichos Servicios, el Encargado del Tratamiento necesita tratar los datos personales responsabilidad del Responsable del Tratamiento.
III. Que, para regular dicho acceso, ambas Partes acuerdan el otorgamiento de la presente Adenda, que se regirá por Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 y su normativa de desarrollo, (en adelante, “RGPD” o la “Normativa Aplicable”), y, en especial, por las siguientes
CLÁUSULAS
1. OBJETO
I. La presente Adenda tiene por objeto definir las condiciones conforme a las cuales el Encargado del Tratamiento llevará a cabo el tratamiento de datos personales necesario para la correcta prestación de los Servicios proporcionados al Responsable del Tratamiento.
II. La prestación de los Servicios contratados implica la realización del tratamiento de datos descrito en la cláusula 3 por el Encargado.
2. DURACIÓN
La presente Adenda estará vigente durante todo el tiempo de prestación de los Servicios contratados al Encargado del Tratamiento. No obstante, lo anterior, ambas Partes acuerdan que las estipulaciones de la presente Adenda, con intención expresa o implícita de que continúen en vigor tras el momento de resolución o vencimiento del mismo, se mantendrán en vigor y continuarán vinculando a ambas Partes según lo estipulado.
3. NATURALEZA Y FINALIDAD DEL TRATAMIENTO
El tratamiento de datos que el Encargado del Tratamiento se compromete a realizar se limitará a las actuaciones que resulten necesarias para proporcionar los servicios de conformidad con las Condiciones y la presente Adenda. Concretamente, se proporcionará al Anunciante la solución tecnológica necesaria para que este utilice el servicio y funcionalidades de Google Message Ads.
En este contexto, el Encargado del Tratamiento tratará la siguiente información, incluyendo, cuando esté disponible, correo electrónico y teléfono de los Usuarios:
– Datos de la campaña (Message Ads Campaign Data): ID de clic de Google (Gclid) o GBRAID, ID del chat, ID del anuncio e ID de la campaña.
– Datos de conversión (Conversion Data): marcas de fecha y hora (timestamps) de la conversión, valores de la conversión, moneda de la conversión, nombre de la conversión e ID de clic de Google (Gclid) o GBRAID y, en su caso y en la medida en que estén disponibles, dirección de correo electrónico y número de teléfono del usuario final del Anunciante.
Los datos personales tratados podrán corresponder a las siguientes categorías de interesados:
● Usuarios finales del Responsable del Tratamiento que interactúen con campañas de Google Message Ads y utilicen los canales de comunicación habilitados por el Responsable.
● Potenciales clientes, clientes o usuarios del Responsable que interactúen con campañas publicitarias gestionadas mediante el Servicio.
El Encargado realizará las operaciones de tratamiento necesarias para la ejecución del Servicio, incluyendo: recogida y recepción de datos, registro, consulta, uso, almacenamiento y conservación, comunicación, destrucción.
En concreto, el Encargado del Tratamiento se compromete a realizar el tratamiento de los Datos Personales ajustándose a las instrucciones que, en cada momento, le indique el Responsable del Tratamiento, así como a lo dispuesto en la Normativa Aplicable.
La duración del tratamiento de datos coincidirá con la duración de la prestación de servicios regulados en las Condiciones, así como las posibles prórrogas acordadas entre las Partes. Los plazos de conservación de los datos personales serán conforme establezca el Responsable del Tratamiento.
Asimismo, el Encargado del Tratamiento se compromete a no realizar ningún otro tratamiento sobre los Datos Personales, ni a aplicar o utilizar los datos con una finalidad distinta a la prestación del Servicio al que se hace referencia en la presente Adenda, salvo autorización expresa del Responsable del Tratamiento.
No obstante lo anterior, el Encargado podrá utilizar información agregada derivada de los Datos Personales tratados en el marco del Servicio, en la medida en que no permita la identificación de personas físicas, para fines propios, incluyendo, entre otros, el análisis de tendencias, la elaboración de estadísticas, la mejora, desarrollo y optimización de productos y servicios, así como otros fines analíticos, operativos o de negocio.
4. OBLIGACIONES DEL RESPONSABLE DEL TRATAMIENTO
Para la ejecución del Servicio, el Responsable del Tratamiento se compromete a poner a disposición del Encargado del Tratamiento los datos personales y/o la información necesaria para el adecuado tratamiento de los mismos para la prestación de los Servicios.
En particular, corresponde al Responsable del Tratamiento:
a. Entregar al encargado los datos a los que se refiere la prestación de Servicios.
b. Garantizar la procedencia lícita de los datos a tratar por el Encargado del Tratamiento y su cumplimiento con la Normativa Aplicable. En particular, garantizar que el Responsable del Tratamiento ha cumplido con el deber de información y que cuenta con la legitimación necesaria para el tratamiento de los datos.
c. Realizar una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el Encargado del Tratamiento, cuando corresponda.
d. Realizar las consultas previas a las autoridades de control que correspondan de cara a garantizar el correcto cumplimiento normativo y mitigar los riesgos asociados.
e. Velar, de forma previa y durante todo el tratamiento, por el cumplimiento de la Normativa Aplicable por parte del Encargado del Tratamiento.
f. Supervisar el tratamiento, incluida la realización de inspecciones y auditorías.
g. Garantizar que las operaciones de tratamiento del Encargado se ajustan a los fines por los cuales el Responsable propone su contratación para la prestación de los servicios acordados.
h. Por último, el Responsable reconoce que el Encargado goza de suficientes conocimientos, fiabilidad y recursos para implementar medidas técnicas y organizativas que cumplan las exigencias de la normativa vigente de protección de datos.
5. OBLIGACIONES DEL ENCARGADO DEL TRATAMIENTO
El Encargado del Tratamiento se compromete a cumplir las siguientes obligaciones:
a. Tratar los datos personales, únicamente, para llevar a cabo la prestación de los Servicios contratados, ajustándose a las instrucciones que, en cada momento, le indique, por escrito, el Responsable del Tratamiento (salvo que exista una normativa que obligue a tratamientos complementarios, en tal caso, el Encargado informará al Responsable de esa exigencia legal previa al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público).
b. Mantener el deber de secreto respecto a los datos de carácter personal a los que tenga acceso, incluso después de finalizada la relación contractual, así como a garantizar que las personas a su cargo se hayan comprometido por escrito a mantener la confidencialidad de los datos personales tratados.
c. Adoptar y mantener medidas técnicas y organizativas razonables y apropiadas para proteger los datos personales tratados en el marco de la presente Adenda, teniendo en cuenta la naturaleza de los servicios prestados y los riesgos asociados al tratamiento.
d. Guardar bajo su control y custodia los datos personales a los que acceda con motivo de la prestación del Servicio y a no divulgarlos, transferirlos, o de cualquier otra forma comunicarlos, ni siquiera para su conservación a otras personas ajenas al mismo y a la prestación del Servicio objeto de la presente Adenda.
e. El Encargado del Tratamiento deberá suprimir los datos de carácter personal y, si procede, los soportes donde consten, una vez finalizada la prestación del Servicio.
En todo caso, el Encargado del Tratamiento podrá conservar los datos, debidamente bloqueados, en tanto pudieran derivarse responsabilidades de su relación con el Responsable del Tratamiento.
f. Llevar, por escrito, un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del Responsable del Tratamiento, cuando resulte necesario de acuerdo con la Normativa Aplicable.
g. Cooperar con la Agencia Española de Protección de Datos u otra Autoridad de Control, a solicitud de ésta, en el cumplimiento de sus atribuciones.
h. Poner a disposición del Responsable del Tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones en el marco exclusivo de los datos tratados titularidad del Responsable, siendo estos procesos susceptibles de restricción y limitación, en tanto pudieran afectar a información confidencial sobre el negocio o tratamientos de datos, internos o de otros clientes del Encargado, y permitir y contribuir a la realización de auditorías, incluidas las inspecciones, por parte del Responsable del Tratamiento o un tercero autorizado por él de acuerdo con lo previsto en la cláusula 10 del presente Acuerdo.
6. VIOLACIONES DE SEGURIDAD
El Encargado del Tratamiento deberá notificar, sin dilación indebida y, a más tardar, en el plazo de setenta y dos (72) horas al Responsable del Tratamiento las violaciones de la seguridad de los datos personales de las que tenga conocimiento, dando apoyo al Responsable del Tratamiento en la notificación a la Agencia Española de Protección de Datos u otra Autoridad de Control competente, y en su caso, a los interesados de las violaciones de seguridad que se produzcan, así como a darle apoyo, cuando sea necesario, en la realización de evaluaciones de impacto de privacidad y en la consulta previa a la Agencia Española de Protección de Datos, cuando proceda.
Para la gestión y comunicación de las posibles vulneraciones y brechas de seguridad el Encargado del Tratamiento facilitará al Responsable del Tratamiento, como mínimo, la información contenida en el apartado 3 del artículo 33 RGPD.
En el caso y en la medida de que no sea posible proporcionar toda la información al mismo tiempo, podrá ser proporcionada por fases, sin retrasos injustificados.
7. ATENCIÓN DE EJERCICIO DE DERECHOS DE PROTECCIÓN DE DATOS
En el caso de que los afectados, cuyos datos sean objeto de la prestación del Servicio al Responsable del Tratamiento, ejercitasen sus derechos ante el Encargado del Tratamiento, éste deberá dar traslado de la solicitud de forma inmediata al Responsable del Tratamiento y, a no más tardar, dentro del plazo de cinco (5) días hábiles a contar desde su recepción, para que el Responsable del Tratamiento resuelva debidamente dicha solicitud.
8. SUBCONTRATACIÓN DE LOS SERVICIOS
El Responsable del Tratamiento autoriza la subcontratación de servicios relacionados con los tratamientos regulados en la presente Adenda.
El Encargado del Tratamiento queda obligado a trasladar y comunicar a los Subencargados el conjunto de las obligaciones que para el Encargado del Tratamiento se derivan de la presente Adenda y, en particular, la prestación de garantías suficientes de que aplicará medidas técnicas y organizativas apropiadas, de manera que el tratamiento se conforme con la normativa aplicable.
El Encargado del Tratamiento y los Subencargados deberán suscribir un acuerdo de prestación de servicios con acceso a datos personales que deberá cumplir los requisitos previstos en el RGPD. Corresponderá al Encargado del Tratamiento regular la nueva relación de forma que los Subencargados queden sujetos a las mismas condiciones (instrucciones, obligaciones, medidas de seguridad, etc.) y con los mismos requisitos formales que el Encargado.
El Responsable puede consultar los Subencargados implicados en la prestación del Servicio en el Acuerdo de Encargado de Tratamiento de Blip, disponible en el siguiente link.
9. TRANSFERENCIAS INTERNACIONALES DE DATOS
El Encargado del Tratamiento no llevará a cabo tratamientos de datos personales fuera del Espacio Económico Europeo (EEE) en un país que no cuente con un nivel adecuado de protección, salvo que pueda garantizar un marco de protección adecuado, en virtud de la normativa vigente, mediante la aplicación de normas corporativas vinculantes, la formalización de cláusulas contractuales tipo adoptadas por la Comisión Europea o, en su caso, la obtención de la autorización de la transferencia por parte de la autoridad de control competente, así como cualesquiera otras medidas que resulten necesarias en virtud de la ley aplicable.
En los casos en los que haya subencargados fuera del EEE, el Encargado del Tratamiento asegurará que existe un mecanismo adecuado reconocido por la normativa aplicable en materia de protección de datos personales. En ausencia de una decisión de adecuación con arreglo al artículo 45 del RGPD, el Encargado del Tratamiento firmará las cláusulas contractuales tipo determinadas en la Decisión de Ejecución 2021/914/UE de la Comisión (en lo sucesivo, las «CCT), o cualquier otro instrumento jurídico que actualice o modifique dichas cláusulas contractuales tipo.
Si el Encargado del Tratamiento está obligado a transferir datos personales a un tercer país o a una organización internacional en virtud de la legislación de la Unión, de los Estados miembros o de otra legislación aplicable, informará previamente al Responsable del Tratamiento de este requisito legal, salvo que dicha legislación lo prohíba.
10. AUDITORÍA
El Responsable podrá auditar el cumplimiento de las obligaciones establecidas en el presente Acuerdo, directamente o a través de un auditor independiente sujeto a obligaciones de confidencialidad adecuadas, previa notificación por escrito al Encargado del Tratamiento con una antelación mínima de quince (15) días.
Salvo que exista un incidente de seguridad, un requerimiento de una autoridad competente o una obligación legal que justifique una actuación inmediata, dichas auditorías no podrán realizarse con una frecuencia superior a una vez cada doce (12) meses.
Las auditorías deberán llevarse a cabo durante el horario laboral habitual del Encargado del Tratamiento, de forma que minimicen cualquier impacto en sus operaciones, sistemas y actividades comerciales.
En ningún caso el ejercicio de los derechos de auditoría podrá implicar el acceso a información confidencial del Encargado del Tratamiento, secretos empresariales, medidas de seguridad cuya divulgación pueda comprometer su efectividad, ni información o datos relativos a otros clientes de Encargado.
11. RESPONSABILIDADES Y GARANTÍAS
Las Partes se comprometen a cumplir con las obligaciones establecidas en la presente Adenda y en la Normativa Aplicable, en relación con el presente encargo de tratamiento de datos personales.
Ambas Partes, de mutuo acuerdo, se comprometen a responder de la totalidad de los daños y perjuicios que se irroguen a la otra en todos los supuestos de conducta negligente o culposa en el cumplimiento de las obligaciones contractuales y normativas que le incumben a tenor de lo pactado en la presente Adenda.
Así mismo, ambas Partes convienen que el incumplimiento de las obligaciones de la presente Adenda, podrá ser causa de resolución de la misma, por lo que su incumplimiento por el Encargado del Tratamiento, las personas a su cargo o las que intervengan en la prestación de los servicios en nombre o a instancia del mismo, facultará al Responsable del Tratamiento para resolver el mismo y dará lugar a la correspondiente indemnización de daños y perjuicios por incumplimiento de las obligaciones contractuales.
12. LEGISLACIÓN Y FUERO APLICABLE
La presente Adenda se regirá de acuerdo con la normativa española y europea en materia de Protección de Datos de Carácter Personal, así como las resoluciones y directrices de la Agencia Española de Protección de Datos y otros organismos competentes en la materia. Para dirimir cualquier discrepancia con respecto a la interpretación y/o ejecución de lo establecido en la presente Adenda, ambas Partes se someten a la jurisdicción de los Juzgados y Tribunales de Madrid, con renuncia expresa de cualquier otra legislación o fuero que les pudiera corresponder.