El Encargado del Tratamiento trata Datos Personales exclusivamente para prestar los servicios acordados al Responsable del Tratamiento. Respecto de dichos Datos Personales, el Responsable del Tratamiento actúa como responsable y Nashua como encargado. Cada parte cumple con sus propias obligaciones conforme a la legislación aplicable en materia de protección de datos. Los detalles del tratamiento, las categorías de interesados y los tipos de Datos Personales se recogen en el Anexo A.

El Encargado del Tratamiento trata los Datos Personales únicamente conforme a las instrucciones documentadas del Responsable del Tratamiento, incluidos el acuerdo y el presente DPA, y en la medida necesaria para prestar los servicios, salvo que esté obligado a tratarlos en virtud del Derecho de la Unión o de los Estados miembros, en cuyo caso informa previamente al Responsable del Tratamiento, salvo que dicho Derecho lo prohíba. El Encargado del Tratamiento informa al Responsable del Tratamiento si, en su opinión, una instrucción infringe la legislación en materia de protección de datos.

El Encargado del Tratamiento garantiza que las personas autorizadas a tratar los Datos Personales estén sujetas a un deber de confidencialidad adecuado y traten los datos únicamente conforme a las instrucciones recibidas. El acceso se limita al personal que lo necesite para prestar los servicios.

El Encargado del Tratamiento aplica las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, según exige el artículo 32 del GDPR. Estas medidas se describen en el Anexo B y reflejan un programa de seguridad de la información alineado con la norma ISO/IEC 27001 y los SOC 2 Trust Services Criteria, y tienen en cuenta las obligaciones del Encargado del Tratamiento en virtud de DORA y NIS2 según su transposición al Derecho neerlandés. El Encargado del Tratamiento podrá actualizar las medidas siempre que no se reduzca el nivel de protección.

El Responsable del Tratamiento otorga al Encargado del Tratamiento una autorización general para recurrir a subencargados con el fin de prestar los servicios, incluidos los proveedores de alojamiento e infraestructura enumerados en el Anexo C. El Encargado del Tratamiento impone a cada subencargado, mediante contrato, obligaciones en materia de protección de datos equivalentes a las del presente DPA, y sigue siendo plenamente responsable ante el Responsable del Tratamiento del cumplimiento de cada subencargado. El Encargado del Tratamiento informa al Responsable del Tratamiento de los cambios previstos en los subencargados, otorgándole una oportunidad razonable para oponerse por motivos razonables de protección de datos.

El Encargado del Tratamiento no transfiere Datos Personales fuera del Espacio Económico Europeo sin una decisión de adecuación o garantías apropiadas conforme al Capítulo V del GDPR, en particular las Cláusulas Contractuales Tipo de la Comisión Europea junto con las medidas complementarias que resulten necesarias. Por defecto, los Datos Personales se alojan dentro de los Países Bajos y del EEE.

Teniendo en cuenta la naturaleza del tratamiento, el Encargado del Tratamiento asiste al Responsable del Tratamiento mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para el cumplimiento de la obligación del Responsable del Tratamiento de responder a las solicitudes de los interesados que ejerzan sus derechos, y asiste al Responsable del Tratamiento a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del GDPR, incluidas la seguridad, la notificación de violaciones, las evaluaciones de impacto relativas a la protección de datos y la consulta previa, teniendo en cuenta la información de que disponga el Encargado del Tratamiento.

El Encargado del Tratamiento notifica al Responsable del Tratamiento sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos Personales del Responsable del Tratamiento, y facilita la información que el Responsable del Tratamiento necesite razonablemente para cumplir sus propias obligaciones de notificación a las autoridades de control y a los interesados. El Encargado del Tratamiento documenta las violaciones y las medidas correctoras adoptadas.

A la finalización de los servicios, y a elección del Responsable del Tratamiento, el Encargado del Tratamiento suprime o devuelve todos los Datos Personales y suprime las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija su conservación. A petición del Responsable del Tratamiento, el Encargado del Tratamiento confirma por escrito que así lo ha hecho.

El Encargado del Tratamiento pone a disposición del Responsable del Tratamiento la información necesaria para demostrar el cumplimiento del artículo 28 del GDPR, y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Responsable del Tratamiento o de un auditor por él mandatado. El Encargado del Tratamiento podrá atender las solicitudes de auditoría facilitando certificaciones y atestaciones vigentes, como un certificado ISO/IEC 27001 o un informe SOC 2, y las auditorías se realizan con un preaviso razonable, en horario laboral, con sujeción a la confidencialidad y sin perturbación injustificada de las operaciones del Encargado del Tratamiento.

La responsabilidad de cada parte en virtud del presente DPA está sujeta a las limitaciones de responsabilidad acordadas en el acuerdo principal, en la medida en que lo permita la legislación imperativa. Nada de lo dispuesto en el presente DPA limita los derechos de los interesados en virtud del GDPR ni la responsabilidad de cualquiera de las partes frente a una autoridad de control.

El presente DPA entra en vigor junto con el acuerdo y permanece vigente mientras el Encargado del Tratamiento trate Datos Personales por cuenta del Responsable del Tratamiento. Se rige por la legislación de los Países Bajos, y los litigios quedan sujetos a la jurisdicción acordada en el acuerdo principal. En caso de conflicto entre el presente DPA y el acuerdo principal en materia de protección de datos, prevalece el presente DPA.

Objeto y duración: la prestación de los servicios acordados durante la vigencia del acuerdo. Naturaleza y finalidad: alojamiento, almacenamiento, tratamiento, análisis, soporte y operación de la Nashua 360 Enterprise Platform y de los servicios relacionados, conforme a las instrucciones del Responsable del Tratamiento. Categorías de interesados: las que determine el Responsable del Tratamiento, que pueden incluir a los empleados, clientes, proveedores y contactos del Responsable del Tratamiento. Tipos de Datos Personales: los que determine el Responsable del Tratamiento mediante su uso de los servicios, que pueden incluir datos de identidad, de contacto, contractuales, financieros, laborales y transaccionales. El Responsable del Tratamiento no instruye el tratamiento de categorías especiales de Datos Personales salvo acuerdo expreso y con la cobertura de medidas adicionales apropiadas.

El Encargado del Tratamiento mantiene medidas apropiadas al riesgo, entre ellas: un sistema de gestión de la seguridad de la información alineado con la norma ISO/IEC 27001 y los SOC 2 Trust Services Criteria; control de acceso basado en roles y privilegio mínimo con autenticación multifactor; cifrado de los Datos Personales en tránsito y en reposo; segmentación de red y controles perimetrales; registro, supervisión y alertas centralizados; desarrollo seguro de software, revisión de código y gestión de cambios; gestión de vulnerabilidades y pruebas de penetración; copias de seguridad y recuperación ante desastres probada, alineadas con los objetivos de recuperación acordados; gestión de riesgos de proveedores y subencargados; continuidad de negocio y resiliencia operativa conforme a DORA; verificación del personal, obligaciones de confidencialidad y formación de concienciación en seguridad; y un proceso documentado de gestión de incidentes y notificación de violaciones. Las medidas detalladas y vigentes están a disposición del Responsable del Tratamiento a petición.

El Encargado del Tratamiento recurre a un conjunto limitado de subencargados para prestar los servicios, principalmente para alojamiento e infraestructura dentro de los Países Bajos y del EEE, y para herramientas de comunicación y soporte. Una lista actualizada de subencargados, con su función y ubicación, está a disposición del Responsable del Tratamiento a petición, y el Encargado del Tratamiento notifica al Responsable del Tratamiento las incorporaciones o sustituciones previstas de conformidad con la cláusula 5.