Cláusulas de subcontratación que completan las Condiciones generales de venta de TRACKFORCE

Las soluciones de software comercializadas por Trackforce se diseñan y desarrollan internamente, sin recurrir en absoluto a la subcontratación. No obstante, Trackforce puede verse en la necesidad de recurrir a empresas externas para determinados servicios, como el alojamiento de datos o el suministro de software específico, en particular para la gestión de la relación con el cliente, la gestión comercial, la fuerza de ventas, la gestión de la producción o la gestión de proyectos.

Las presentes Cláusulas de subcontratación definen, por tanto, las condiciones en las que Trackforce podrá, bien confiar este tipo de servicios a terceros subcontratistas, bien prestarlos ella misma, en calidad de subcontratista, los servicios por cuenta del Cliente, responsable del tratamiento en el sentido del Reglamento europeo n.º 2016/679, de 27 de abril de 2016, relativo a la protección de datos personales, a partir de su entrada en vigor el 25 de mayo de 2018 (en lo sucesivo, el «RGPD»).

Por ello, las presentes Cláusulas de subcontratación complementan las Condiciones Generales de Venta de Trackforce en materia de subcontratación, tal y como se establece a continuación.

Cláusula n.º 1: Subcontratación entre TRACKFORCE y terceros subcontratistas

El Cliente autoriza expresamente a TRACKFORCE a subcontratar la totalidad o parte de los servicios previstos en las Condiciones Generales de Venta a cualquier tercero subcontratista de su elección.

La compra por parte del Cliente de los productos a los que se hace referencia y que se comercializan en las Condiciones Generales de Venta de TRACKFORCE implica la aceptación por parte del Cliente de la subcontratación y de las condiciones generales de prestación de servicios del subcontratista.

Corresponde a TRACKFORCE asegurarse de que el subcontratista elegido ofrezca garantías suficientes en cuanto a la aplicación de medidas técnicas y organizativas adecuadas, de modo que el tratamiento cumpla con los requisitos del RGPD.

Cláusula n.º 2: Subcontratación entre TRACKFORCE y el Cliente

De conformidad con el presente artículo 2, TRACKFORCE es el encargado del tratamiento y el Cliente es el responsable del tratamiento, en el sentido del RGPD, en lo que respecta a todos los datos de carácter personal tratados por TRACKFORCE por cuenta del Cliente en cumplimiento de las Condiciones Generales de Venta de TRACKFORCE.

Cláusula n.º 2-1: Objeto

La presente cláusula n.º 2.1 y sus distintas subsecciones tienen por objeto definir las condiciones en las que TRACKFORCE (en calidad de encargado del tratamiento del Cliente) se compromete a llevar a cabo, por cuenta del Cliente (en calidad de responsable del tratamiento), las operaciones de tratamiento de datos de carácter personal que se definen a continuación.

En el marco de sus relaciones contractuales, las Partes se comprometen a respetar la normativa vigente aplicable al tratamiento de datos personales y, en particular, el RGPD, que entrará en vigor el 25 de mayo de 2018.

Cláusula n.º 2-2: Tratamientos por encargo

TRACKFORCE y cualquier persona que actúe bajo su autoridad y tenga acceso a los datos de carácter personal del Cliente, se comprometen a tratar dichos datos únicamente siguiendo instrucciones documentadas del Cliente, incluso, en su caso, en lo que respecta a las transferencias de dichos datos a un tercer país o a una organización internacional, salvo que TRACKFORCE esté obligada a hacerlo en virtud del Derecho de la Unión o del Derecho del Estado miembro al que esté sujeta. En tal caso, TRACKFORCE informará al Cliente de dicha obligación legal antes del tratamiento, salvo que la legislación en cuestión prohíba dicha información por motivos importantes de interés público.

TRACKFORCE informará inmediatamente al Cliente si, a juicio de TRACKFORCE, una instrucción del Cliente constituye una infracción de la legislación europea en materia de protección de datos personales.

Cláusula n.º 2-3: Descripción del tratamiento objeto de la subcontratación

TRACKFORCE está autorizada a tratar, por cuenta del Cliente, los datos de carácter personal necesarios para prestar el servicio o los servicios definidos de común acuerdo entre las Partes, incluyendo la duración del tratamiento, la naturaleza y la finalidad del mismo, el tipo de datos de carácter personal y las categorías de personas afectadas, así como las obligaciones y los derechos del Cliente en su calidad de responsable del tratamiento.

Cláusula n.º 2-4: Obligaciones del subcontratista TRACKFORCE frente al cliente responsable del tratamiento

En su calidad de subcontratista para los datos objeto de la subcontratación, TRACKFORCE se compromete a:

Tratar los datos personales en cuestión únicamente para la finalidad o las finalidades que sean objeto de la subcontratación.
Tratar los datos en cuestión de conformidad con las instrucciones documentadas del cliente responsable del tratamiento.
Garantizar la confidencialidad de los datos de carácter personal tratados.
Asegurarse de que las personas autorizadas a tratar datos de carácter personal en virtud del presente contrato (i) se comprometan a respetar la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad y (ii) reciban la formación necesaria en materia de protección de datos de carácter personal.
Tener en cuenta, en lo que respecta a sus herramientas, productos, aplicaciones o servicios, los principios de protección de datos desde el diseño y de protección de datos por defecto.

Cláusula n.º 2-5: Subcontratación de segundo nivel

En su calidad de encargado del tratamiento de los datos objeto de la subcontratación, TRACKFORCE podrá recurrir a otro encargado del tratamiento (en lo sucesivo, el «encargado del tratamiento de segundo nivel») para llevar a cabo actividades de tratamiento específicas.

En este caso, TRACKFORCE informará previamente y por escrito al responsable del tratamiento de cualquier cambio previsto en relación con la incorporación o sustitución de otros encargados del tratamiento. Dicha información deberá indicar claramente las actividades de tratamiento subcontratadas, la identidad y los datos de contacto del encargado del tratamiento, así como las fechas del contrato de subcontratación. El responsable del tratamiento dispone de un plazo de 10 (diez) días a partir de la fecha de recepción de dicha información para presentar sus objeciones. Dicha subcontratación solo podrá llevarse a cabo si el responsable del tratamiento no ha formulado ninguna objeción dentro del plazo acordado.

El subencargado de segundo nivel está obligado a cumplir las obligaciones del presente contrato por cuenta y siguiendo las instrucciones del responsable del tratamiento. Corresponde al subencargado inicial asegurarse de que el subencargado de segundo nivel ofrezca las mismas garantías suficientes en cuanto a la aplicación de medidas técnicas y organizativas adecuadas, de modo que el tratamiento cumpla con los requisitos del RGPD. Si el subcontratista de segundo nivel no cumple con sus obligaciones en materia de protección de datos, el subcontratista inicial seguirá siendo plenamente responsable ante el responsable del tratamiento del cumplimiento de las obligaciones por parte del otro subcontratista.

Cláusula n.º 2-6: Derecho a la información de los interesados

Corresponde al cliente, en su calidad de responsable del tratamiento, facilitar la información a las personas afectadas por las operaciones de tratamiento en el momento de la recogida de los datos.

Cláusula n.º 2-7: Ejercicio de los derechos de las personas

En la medida de lo posible, TRACKFORCE, en su calidad de encargado del tratamiento, deberá ayudar al cliente, responsable del tratamiento, a cumplir con su obligación de atender las solicitudes de ejercicio de los derechos de los interesados: derecho de acceso, de rectificación, supresión y oposición, derecho a la limitación del tratamiento, derecho a la portabilidad de los datos y derecho a no ser objeto de una decisión individual automatizada (incluida la elaboración de perfiles).

Cuando los interesados presenten al subcontratista TRACKFORCE solicitudes para ejercer sus derechos, TRACKFORCE deberá remitir dichas solicitudes, tan pronto como las reciba, por correo electrónico a la dirección de contacto del cliente que figure en su perfil.

Cláusula n.º 2-8: Notificación de violaciones de datos de carácter personal

En su calidad de subcontratista, TRACKFORCE notificará al cliente, en su calidad de responsable del tratamiento, cualquier violación de datos de carácter personal lo antes posible, de conformidad con el artículo 34 del RGPD, tan pronto como tenga conocimiento de la misma, y mediante correo electrónico a la dirección de contacto del cliente que figure en su perfil.

Esta notificación va acompañada de toda la documentación necesaria para que el cliente, en su calidad de responsable del tratamiento, pueda, en caso necesario, notificar dicha violación a la autoridad de control competente, en este caso la Comisión Nacional de Protección de Datos (CNPD) en lo que respecta a Luxemburgo, o a sus equivalentes europeos en lo que respecta a los demás países miembros de la Unión.

Cláusula n.º 2-9: Asistencia del subcontratista TRACKFORCE en el marco del cumplimiento por parte del cliente, en calidad de responsable del tratamiento, de sus obligacioness

En su calidad de subcontratista, TRACKFORCE colabora con el cliente, en su calidad de responsable del tratamiento, en la realización de evaluaciones de impacto relativas a la protección de datos y en la consulta previa a la autoridad de control.

Los servicios previstos en la presente cláusula 2-9 serán prestados por TRACKFORCE en las condiciones —en particular, las financieras y de plazos— que acuerden previamente el Cliente y TRACKFORCE.

Cláusula n.º 2-10: Medidas de seguridad

Dado que el artículo 32 del RGPD establece que la aplicación de las medidas de seguridad es responsabilidad del responsable del tratamiento y del encargado del tratamiento, cada Parte se compromete, en lo que respecta a los datos personales de los que es responsable, a aplicar las medidas de seguridad técnicas y organizativas que garanticen un nivel de seguridad adecuado al riesgo, incluyendo, entre otras cosas y según sea necesario:

La seudonimización y el cifrado de los datos personales;
Los medios que permiten garantizar en todo momento la confidencialidad, la integridad, la disponibilidad y la resiliencia de los sistemas y servicios de tratamiento;
Las medidas que permitan restablecer la disponibilidad de los datos personales y el acceso a los mismos en un plazo adecuado en caso de incidente físico o técnico;
Un procedimiento destinado a comprobar, analizar y evaluar periódicamente la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

La aplicación de un código de conducta aprobado, tal y como prevé el artículo 40 del RGPD, o de un mecanismo de certificación aprobado, tal y como prevé el artículo 42 del RGPD, puede servir como elemento para demostrar el cumplimiento de los requisitos de seguridad previstos en el apartado 1 del artículo 32 del RGPD, tal y como se ha señalado anteriormente.

Cláusula n.º 2-11: Destino de los datos

TRACKFORCE se compromete a destruir los datos de carácter personal una vez finalizado su plazo de conservación, fijado en función de la naturaleza de dichos datos, si bien cabe recordar que el Cliente debe realizar periódicamente sus propias copias de seguridad utilizando las herramientas de software que se ponen a su disposición en la plataforma Guardtek.

Cláusula n.º 2-12: Delegado de Protección de Datos

En su calidad de subcontratista, TRACKFORCE facilitará al cliente, en su calidad de responsable del tratamiento, el nombre y los datos de contacto de su delegado de protección de datos (o Data Protection Officer, en lo sucesivo «DPO»), designado de conformidad con el artículo 37 del RGPD, si el cliente así lo solicita.

Cláusula n.º 2-13: Registro de categorías de actividades de tratamiento

En su calidad de subcontratista, TRACKFORCE declara que mantiene un registro por escrito de todas las categorías de actividades de tratamiento realizadas por cuenta del cliente responsable del tratamiento, que incluye:

El nombre y los datos de contacto del cliente responsable del tratamiento en cuyo nombre actúa el encargado del tratamiento TRACKFORCE, de los posibles encargados del tratamiento de segundo nivel y, en su caso, del delegado de protección de datos;
Las categorías de tratamientos realizados por cuenta del cliente responsable del tratamiento;
En su caso, las transferencias de datos personales a un tercer país o a una organización internacional, incluida la identificación de dicho tercer país o de dicha organización internacional y, en el caso de las transferencias a que se refiere el artículo 49, apartado 1, párrafo segundo, del RGPD, los documentos que acrediten la existencia de garantías adecuadas;
En la medida de lo posible, una descripción general de las medidas de seguridad técnicas y organizativas, incluyendo, entre otras, según sea necesario: (i) la seudonimización y el cifrado de los datos personales; (ii) los medios que garanticen la confidencialidad, la integridad, la disponibilidad y la resiliencia constantes de los sistemas y servicios de tratamiento; (iii) los medios que permitan restablecer la disponibilidad de los datos personales y el acceso a los mismos en un plazo adecuado en caso de incidente físico o técnico; (iv) un procedimiento destinado a probar, analizar y evaluar periódicamente la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento.

Cláusula n.º 2-14: Documentación

En su calidad de subcontratista, TRACKFORCE pone a disposición del cliente responsable del tratamiento la documentación necesaria para demostrar el cumplimiento de todas sus obligaciones y para permitir la realización de auditorías, incluidas las inspecciones, por parte del cliente responsable del tratamiento o de cualquier otro auditor designado por este, así como para colaborar en dichas auditorías.

Cláusula n.º 3: Obligaciones del cliente, en su calidad de responsable del tratamiento, frente al encargado del tratamiento TRACKFORCE

En su calidad de responsable del tratamiento, el Cliente se compromete a:

Facilitar al subcontratista TRACKFORCE la información y los datos a los que se refiere la cláusula 2-3 del presente contrato.
Documentar por escrito todas las instrucciones relativas al tratamiento de datos por parte del encargado del tratamiento TRACKFORCE.
Velar, tanto antes como durante todo el periodo de tratamiento, por el cumplimiento de las obligaciones previstas en el RGPD por parte del subcontratista TRACKFORCE.
Supervisar el tratamiento, lo que incluye realizar auditorías e inspecciones al subcontratista TRACKFORCE.

Cláusula n.º 4: Mantenimiento de las disposiciones no contrarias de las Condiciones Generales de Venta de TRACKFORCE

Las presentes Cláusulas de subcontratación complementan las Condiciones Generales de Venta de TRACKFORCE, cuyas disposiciones que no sean contrarias a las presentes seguirán siendo aplicables.