Legales y políticas
Acuerdo de tratamiento de datos (DPA)
Estos términos se refieren a FIRST SERVER. La entidad jurídica, la dirección registrada y los datos de contacto están publicados en nuestro Aviso Legal. Puedes contactar con nosotros a través del Página de contacto.
1. Partes, roles y aplicación
Este DPA está destinado a incorporarse a un acuerdo de servicio aceptado en el que el cliente actúa como controlador (o procesador autorizado) y FIRST SERVER procesa datos personales en su nombre. La publicación por sí sola no ejecuta un acuerdo de procesamiento. Antes de que comience el procesamiento, las partes deben registrar la información específica del servicio en la sección 11 y acordar las disposiciones de seguridad y subprocesamiento aplicables. Si el cliente es un procesador, confirma la autoridad de su controlador para nombrar a FIRST SERVER.
2. Instrucciones documentadas
El tratamiento se limita a proporcionar y asegurar la infraestructura contratada y a ejecutar instrucciones legales documentadas, incluidas instrucciones sobre transferencias. El acuerdo, el cronograma de procesamiento completo y las solicitudes de servicio autorizadas forman esas instrucciones. Si la ley exige otro procesamiento, FIRST SERVER informará al cliente de antemano a menos que esté prohibido. FIRST SERVER informará al cliente inmediatamente si considera que una instrucción infringe el RGPD u otra ley de protección de datos aplicable de la UE o de los Estados miembros.
3. Confidencialidad y seguridad
El personal autorizado debe estar sujeto a obligaciones de confidencialidad. FIRST SERVER debe implementar medidas técnicas y organizativas adecuadas según el artículo 32 del RGPD, teniendo en cuenta el riesgo, el alcance, el coste y el estado de la técnica. El cronograma de seguridad acordado debe abordar el control de acceso y privilegios mínimos, la confidencialidad, la integridad y la disponibilidad, la separación de inquilinos, el manejo de incidentes, la restauración, la seguridad física y la evaluación periódica. El cifrado específico, la frecuencia de las copias de seguridad, los tiempos de recuperación o las certificaciones se aplican solo si están documentados y acordados; Aquí no se reclama ninguna certificación no verificada.
El cliente sigue siendo responsable de su recopilación legal, instrucciones, permisos a nivel de aplicación y las tareas de seguridad que le asigna el acuerdo de servicio.
4. Subprocesadores
FIRST SERVER podrá designar subencargados sólo con la autorización previa por escrito, específica o general, del cliente. En caso de autorización general, será necesario suministrar la lista actual y notificar las propuestas de ampliación o sustitución con al menos 30 días de antelación, lo que permitirá una oposición razonada en materia de protección de datos. Las partes buscarán una solución adecuada; si esto no fuera posible, el tratamiento afectado no deberá continuar sin una solución lícita acordada, que podrá incluir la finalización del servicio afectado.
Los subencargados deben estar sujetos a obligaciones de protección de datos equivalentes a las aplicables al tratamiento delegado. FIRST SERVER sigue siendo responsable ante el cliente por el cumplimiento de esas obligaciones por parte del subprocesador. Un proveedor de entrega de sitios web no es automáticamente un subprocesador de cada carga de trabajo alojada del cliente.
5. Asistencia y violaciones de datos personales
Teniendo en cuenta la naturaleza del procesamiento, FIRST SERVER debe ayudar al cliente con las solicitudes de los interesados y con los artículos 32 a 36 del RGPD, incluida la respuesta a violaciones, evaluaciones de impacto y consultas previas. Las solicitudes recibidas directamente se enviarán de inmediato a menos que la ley requiera otra respuesta.
FIRST SERVER debe notificar al cliente sin demora indebida después de tener conocimiento de una violación de datos personales que afecte a los datos personales del cliente. Los detalles disponibles incluirán la naturaleza, las categorías afectadas y las cifras aproximadas cuando se conozcan, las posibles consecuencias, el punto de contacto y las medidas de mitigación. La información podrá suministrarse por fases sin más demoras indebidas. Los plazos de notificación legales propios del cliente siguen siendo responsabilidad suya.
6. Transferencias internacionales
Los lugares de procesamiento y las transferencias deben documentarse en el cronograma de servicios. Las transferencias fuera del EEE requieren instrucciones legales y un mecanismo válido del Capítulo V del RGPD, como una decisión de adecuación aplicable o cláusulas contractuales tipo apropiadas, con las medidas complementarias necesarias. Este DPA no sustituye en sí mismo a las cláusulas de transferencia internacional.
7. Demostrar cumplimiento y auditorías
FIRST SERVER debe poner a disposición la información necesaria para demostrar el cumplimiento del artículo 28 y permitir y contribuir a las auditorías, incluidas las inspecciones realizadas por el cliente o un auditor autorizado. Los acuerdos razonables pueden proteger la confidencialidad, otros clientes y la seguridad, pero no deben anular el derecho de auditoría o el acceso del regulador. Las partes deben coordinar el alcance y el calendario, excepto cuando la urgencia requiera lo contrario.
8. Fin del procesamiento
A elección del cliente, FIRST SERVER debe devolver o eliminar los datos personales del cliente una vez finalizado el servicio y eliminar las copias existentes, a menos que la legislación de la UE o de los Estados miembros exija su conservación. Las partes documentarán el formato de exportación y el cronograma de eliminación, incluido el vencimiento de la copia de seguridad. Las copias retenidas deben permanecer protegidas, aislarse del uso ordinario cuando corresponda y eliminarse cuando finalice el requisito de retención.
9. Responsabilidad y precedencia
La DPA prevalece sobre las condiciones generales contradictorias para el procesamiento de datos personales. Los límites contractuales se aplican entre las partes solo en la medida legal y no pueden restringir los derechos de los interesados en virtud del artículo 82 del RGPD, las obligaciones con las autoridades supervisoras u otras responsabilidades obligatorias. El procesamiento por parte de FIRST SERVER de sus propios registros de facturación y contactos comerciales como controlador se describe por separado en la Política de Privacidad.
10. Contactos
El cliente debe designar un contacto operativo de privacidad e incidentes en el cronograma de servicio. Los datos de contacto de FIRST SERVER se encuentran en la Página de contacto. Los datos de contacto deben permanecer actualizados para notificaciones urgentes.
11. Programa de procesamiento específico del servicio requerido
Se debe completar y acordar lo siguiente para cada servicio aplicable antes de que se confíe en este DPA como el acuerdo de procesamiento completo:
- Identidad del cliente/controlador y contactos autorizados; la orden aceptada y la fecha de vigencia del DPA.
- Objeto, duración, naturaleza y finalidades: por ejemplo, almacenar, transmitir, proteger y eliminar datos en el entorno de alojamiento especificado durante el plazo del servicio y el período de cierre acordado.
- Categorías de interesados y datos personales efectivamente involucrados, incluidos los datos de categorías especiales o de delitos penales y las restricciones acordadas.
- Lugares de procesamiento, subprocesadores autorizados, tareas delegadas y salvaguardias para transferencias internacionales.
- Medidas técnicas y organizativas concretas, asignación de responsabilidades y cualquier acuerdo de restauración o respaldo acordado.
- Arreglos de devolución, eliminación y vencimiento de la copia de seguridad, e instrucciones adicionales documentadas.
Esta página establece el marco contractual; no afirma que ya se haya acordado el cronograma o la lista de subprocesadores de un cliente desconocido.