Anexo D — Contrato de Encargo de Tratamiento (DPA) Firmable

Objeto

El presente Contrato de Encargo de Tratamiento (en adelante, "DPA") regula el tratamiento de datos personales que el Encargado realizará por cuenta del Responsable en el marco del servicio Cloud Alfa, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD).

Duración

El DPA tiene la misma duración que el contrato principal de servicio Cloud. Se extinguirá automáticamente al término del contrato, sin perjuicio de las obligaciones de confidencialidad y de supresión o devolución de datos.

Naturaleza y finalidad del tratamiento

• Naturaleza: tratamiento automatizado en entorno cloud multiusuario.
• Finalidad: gestión de socios, cuotas, reservas, inventario, libro de tiro, recarga, competiciones, etc.
• Categorías de datos: identificativos, de contacto, económicos, operativos.
• Categorías de interesados: socios, clientes, empleados del Responsable.
• Duración del tratamiento: la del contrato + 30 días para devolución o supresión.

Instrucciones del Responsable

El Encargado tratará los datos únicamente conforme a las instrucciones documentadas del Responsable. Si el Encargado considera que una instrucción infringe el RGPD, informará de inmediato al Responsable y podrá suspender su ejecución hasta recibir confirmación.

Obligaciones del Encargado

1. Tratar los datos solo para las finalidades del contrato.
2. Garantizar la confidencialidad del personal autorizado.
3. Aplicar medidas técnicas y organizativas del art. 32 RGPD.
4. No subcontratar sin autorización del Responsable.
5. Asistir al Responsable en la atención de derechos de los interesados.
6. Asistir en el cumplimiento de los arts. 32 a 36 RGPD.
7. Notificar violaciones de seguridad en 48 horas máximo.
8. Suprimir o devolver los datos al finalizar el contrato.
9. Poner a disposición del Responsable la información para demostrar cumplimiento.
10. Permitir auditorías razonables.
11. Designar un punto de contacto para protección de datos.
12. Mantener un registro de actividades de tratamiento (art. 30.2 RGPD).

Subencargados

El Responsable autoriza los subencargados listados en la Política de Subencargados. El Encargado informará de cualquier cambio con 30 días de antelación. Si el Responsable se opone y no se alcanza un acuerdo, podrá resolver el contrato sin penalización.

Transferencias internacionales

El Encargado no realizará transferencias fuera del EEE sin garantías adecuadas (CCT, decisión de adecuación o equivalentes conforme al Capítulo V del RGPD).

Medidas de seguridad

Se aplican las medidas detalladas en la Política de Seguridad y en el Anexo A.

Violaciones de seguridad

El Encargado notificará al Responsable en 48 horas máximo desde el conocimiento, con la información del art. 33.3 RGPD, conforme al Anexo C.

Auditoría

El Responsable podrá auditar el cumplimiento una vez al año o tras incidente grave, previo aviso de 15 días y sin interferir en la operativa.

Finalización

Al término del contrato, el Encargado devolverá o suprimirá los datos en un plazo máximo de 30 días, a elección del Responsable, salvo obligación legal de conservación. Se emitirá certificado de borrado.

Responsabilidad

Se aplica el régimen del art. 82 RGPD.

Ley aplicable y jurisdicción

Legislación española y europea en materia de protección de datos. Jurisdicción conforme al contrato principal.