Política de privacidad

Protección de datos Nebelung Studios

De conformidad con el artículo 28, apartado 3, del Reglamento general de protección de datos (RGPD) y con el artículo 33 de la
Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD)
Objeto y duración del tratamiento
1.1 Constituyen el objeto del presente Acuerdo los derechos y obligaciones de las Partes en el ámbito de la prestación de servicios, de
conformidad con la Descripción del Servicio y con las Condiciones Generales y Condiciones Particulares que resulten de aplicación (en adelante,
Contrato Principal), en la medida en que se lleve a cabo un tratamiento de datos personales por parte de IONOS Cloud S.L.U. (en adelante, el
Proveedor) como encargado del tratamiento, actuando el Cliente como responsable del tratamiento, de conformidad con el Art. 28 RGPD y 33
LOPDGDD. Esto incluye todas las actividades que el Proveedor lleva a cabo para cumplir con la prestación de sus servicios y que constituyen un
tratamiento de datos personales. También se aplicará con independencia que las condiciones del servicio no incluyan una referencia expresa a
este acuerdo de encargo de tratamiento de datos.
1.2 La duración del tratamiento dependerá del tipo de tratamiento realizado por el Proveedor y del servicio contratado por el Cliente.
Naturaleza y finalidad del tratamiento
2.1 La naturaleza del tratamiento incluye todos los tipos de tratamiento, en el sentido del RGPD y de la LOPDGDD necesarios para la ejecución del
contrato.
2.2 Las finalidades del tratamiento las constituyen aquellos fines necesarios para la prestación del servicio contratado (véase el anexo 1
Descripción del servicio), en particular en el ámbito de los servicios en la nube, el alojamiento, el software como servicio (SaaS) y el soporte
informático.
Tipo de datos personales y categoría de los interesados
3.1 El Cliente determina el tipo de datos tratados mediante la elección del producto, la configuración, el uso de los servicios y la transmisión de
los datos. Véase también el Anexo 1 del pliego de condiciones al respecto.
3.2 El Cliente determina las categorías de personas afectadas por la elección del producto, la configuración, el uso de los servicios y la transmisión
de datos. Véase también el Anexo 1 del pliego de condiciones al respecto.
Responsabilidad y tramitación según instrucciones documentadas
4.1 En el ámbito de este acuerdo, el Cliente es el único responsable del cumplimiento de las disposiciones legales en materia de protección de
datos, en particular de la legalidad de la transferencia de datos al Proveedor, así como de la legalidad del tratamiento de datos («Responsable del
tratamiento» en el sentido del Art. 4, Nº 7 del RGPD). Esto también aplica en relación a los fines y medios de tratamiento regulados en el presente
acuerdo.
4.2 Las instrucciones y los detalles del tratamiento se determinarán inicialmente en el contrato principal y posteriormente podrán ser modificadas
por el Cliente por escrito o en formato electrónico (forma de texto) mediante instrucciones individuales (instrucción individual). Las instrucciones
verbales se confirmarán inmediatamente por escrito o en forma de texto. En el caso de cambios propuestos, el Proveedor informará al Cliente de
los efectos sobre los servicios contratados, en particular sobre la posibilidad de prestar los servicios, los plazos de duración y la remuneración. Si
no se puede esperar razonablemente que el Proveedor ejecute la instrucción, el Proveedor tendrá derecho a poner fin a la tramitación y a notificar
de forma extraordinaria la rescisión del contrato. La obligación de pago del Cliente cesará con la finalizaciónde la ejecución por parte del
Proveedor, salvo que existieran conceptos pendientes de pago.. Se considerará que no es razonable, en particular, si los servicios se prestan en
una infraestructura que es utilizada por varios clientes del Proveedor (servicios compartidos) y cuando un cambio en el tratamiento no es posible,
o no resulta razonablemente posible para los clientes de forma individualizada.
4.3 El tratamiento de datos acordado contractualmente tendrá lugar en un Estado miembro de la Unión Europea o en otro Estado contratante del
Acuerdo sobre el Espacio Económico Europeo, a menos que la transferencia de datos a terceros países sea necesaria para la prestación del
servicio. En el caso de que tenga lugar una transferencia a un tercer país, el Proveedor se asegurará de que se cumplen los requisitos de
conformidad con el Art. 44 y ss. Del RGPD.
Derechos del cliente, deberes del proveedor
5.1 El Proveedor sólo podrá tratar los datos de los interesados sobre la base de instrucciones documentadas del cliente. Las instrucciones se
especificarán al principio en el contrato. No obstante, el Proveedor no estará obligado por las instrucciones si se da un caso excepcional en el
sentido del artículo 28 (3) a) del RGPD y 8.1 de la LOPDGDD (obligación en virtud de la legislación de la Unión Europea o de un Estado miembro).
Si existe una obligación de tratamiento contraria a una instrucción, el proveedor informará al cliente del requisito legal pertinente antes del
tratamiento. A menos que la ley en cuestión prohíba dicha información debido a un interés público importante. El Proveedor informará al Cliente
sin demora indebida si considera que una instrucción infringe la legislación aplicable. El Proveedor podrá suspender la ejecución de la instrucción
hasta que el cliente la haya confirmado o modificado. Las instrucciones deberán ser documentadas por el Cliente y conservadas durante al menos
la duración de la relación contractual.
5.2 Habida cuenta de la naturaleza del tratamiento, el Proveedor deberá, en la medida de lo posible, apoyar al cliente con medidas técnicas y
organizativas adecuadas en el cumplimiento de las solicitudes de los interesados en virtud del capítulo III del RGPD. El proveedor tiene derecho a
exigir al cliente una remuneración razonable por estos servicios, en la medida en que el apoyo no haya sido requerido como consecuencia de un
incumplimiento de la ley o del contrato por parte del Proveedor. El Proveedor facilitará al cliente información sobre los costes correspondientes por
adelantado.
5.3 El Proveedor apoyará al Cliente en el cumplimiento de las obligaciones establecidas en los artículos 32 a 36 del RGPD, teniendo en cuenta la
naturaleza del tratamiento y la información de que disponga. El Proveedor tendrá derecho a exigir al Cliente una remuneración razonable por
estos servicios, en la medida en que el apoyo no haya sido necesario debido a una infracción de la ley o a un incumplimiento del contrato por
parte del Proveedor. El Proveedor facilitará al Cliente información previa sobre dichos costes.
5.4 El Proveedor garantiza que los empleados que intervengan en el tratamiento de los datos del Cliente y otras personas que trabajen para el
Proveedor tienen prohibido tratar los datos para otras finalidades distintas de las acordadas entre el Proveedor y el Cliente. Además, el Proveedor
garantiza que las personas autorizadas a tratar los datos personales se han comprometido a mantener la confidencialidad o están sujetas a un
deber legal apropiado de confidencialidad. Lo mismo se aplicará al secreto empresarial, al secreto de las telecomunicaciones de conformidad con
el artículo 18.2 de la Constitución Española y al artículo 39 de la Ley 9/2014, de 9 de mayo, General de Telecomunicaciones. El deber de
confidencialidad/secreto seguirá existiendo incluso después de la finalización del encargo.
5.5 El Proveedor informará al Cliente sin demora si tiene conocimiento de cualquier violación de la protección de los datos personales del Cliente.
El Proveedor adoptará las medidas necesarias para proteger los datos y mitigar las posibles consecuencias adversas para los interesados.
5.6 El Proveedor garantizará la designación por escrito de un delegado de protección de datos que llevará a cabo sus actividades de conformidad
con los artículos 38 y 39 del RGPD, así como con los artículos 34 a 37 de la LOPDGDD. En el sitio web del Proveedor se publican los datos de
contacto.
5.7 Una vez finalizada la prestación de los servicios objeto de tratamiento, el Proveedor, a elección del Cliente, suprimirá todos los datos
personales o los devolverá al mandante, salvo que exista la obligación de conservar los datos personales en virtud del Derecho de la Unión o del
Derecho aplicable de un Estado miembro o una base de legitimación que permita su conservación. Si el Cliente no ejerce este derecho de elección
antes de la finalización del servicio, la supresión se considerará acordada. Si el Cliente opta por la devolución de los datos, el Proveedor podrá
exigir una compensación razonable. En dicho caso, El Proveedor proporcionará al Cliente información sobre los costes por adelantado.
5.8 Si los interesados hacen valer reclamaciones por daños y perjuicios de conformidad con el artículo 82 del RGPD, el Proveedor apoyará al
Cliente en la defensa de dichas reclamaciones en la medida de sus posibilidades. El Proveedor podrá exigir al Cliente una remuneración razonable
por ello, en la medida en que las reclamaciones por daños y perjuicios no se basen en una infracción de la ley o un incumplimiento de contrato por
parte del Proveedor.
Obligaciones del Cliente
6.1 El Cliente informará al Proveedor inmediatamente, aportando información completa, si descubre errores o irregularidades con respecto a las
disposiciones de protección de datos durante la ejecución del contrato o en el uso de los servicios.
6.2 En caso de terminación, el Cliente se compromete a eliminar los datos personales que haya almacenado en los Servicios antes de dicha
finalización.
6.3 A petición del Proveedor, el Cliente designará a una persona de contacto en materia de protección de datos.
Solicitudes de los interesados
El Proveedor informará sin demora al Cliente de cualquier solicitud recibida de los interesados. El Proveedor no responderá por sí mismo a menos
que el Cliente le haya autorizado a hacerlo. Teniendo en cuenta la naturaleza del tratamiento, el Proveedor asistirá al Cliente en el cumplimiento
de su obligación de responder a las solicitudes de los interesados para ejercer sus derechos.
En el ejercicio de sus funciones, el Proveedor seguirá las instrucciones del Cliente. El Proveedor no será responsable si la solicitud del interesado
no es respondida, no se responde correctamente o no se responde a tiempo por el Cliente.
Medidas para la seguridad del tratamiento con arreglo al artículo 32 del RGPD
8.1 El Proveedor adoptará las medidas técnicas y organizativas apropiadas en su ámbito de responsabilidad para garantizar que el tratamiento se
lleve a cabo de conformidad con los requisitos establecidos tanto en el RGPD como en la LOPDGDD, de manera que se garantice la protección de
los derechos y libertades de los interesados. El Proveedor adoptará las medidas técnicas y organizativas apropiadas en su ámbito de
responsabilidad, de conformidad con el artículo 32 del RGPD, para garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los
sistemas y servicios en relación con el tratamiento, de forma permanente.
8.2 Las medidas técnicas y organizativas actuales del Proveedor pueden consultarse en este enlace. El Proveedor aclara que las medidas técnicas
y organizativas enumeradas en dicho enlace son meras descripciones de carácter técnico que no deben considerarse parte del presente Acuerdo.
8.3 El Proveedor aplicará un procedimiento para la revisión periódica de la eficacia de las medidas técnicas y organizativas para garantizar la
seguridad del tratamiento, de conformidad con el art. 32 (1) d) del RGPD
8.4 El Proveedor adaptará las medidas adoptadas a lo largo del tiempo a la evolución del estado de la técnica y a la situación de riesgo. El
Proveedor se reserva el derecho a modificar las medidas técnicas y organizativas adoptadas, siempre que no se menoscabe el nivel de protección,
de conformidad con el artículo 32 del RGPD.
Verificación y revisión
9.1 El Proveedor facilitará al Cliente toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo
28 del RGPD y, en casos concretos, permitirá la realización de auditorías -incluidas inspecciones- por parte del Cliente o de otro auditor encargado
por el Cliente. El proveedor tendrá derecho a exigir la previa firma de un acuerdo de confidencialidad al cliente y a su auditor designado, lo que
no impedirá, sin embargo, que el propio Cliente, llegado el caso, pueda facilitar pruebas a la autoridad de control responsable del mismo. El
Proveedor podrá rechazar como auditores a competidores directos del Cliente o a personas que trabajen para competidores directos del Cliente.
9.2 Como prueba del cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD, la certificación existente de conformidad con la
norma ISO 27001 suele ser suficiente para que el Cliente pueda acreditar que IONOS dispone de las medidas técnicas, organizativas y de
seguridad necesarias. El Proveedor publicará el certificado vigente en su sitio web.
9.3 Si el Cliente afirma dudas razonables sobre la base de indicios fácticos de que la certificación antes mencionada es suficientes o aplicable, o si
se han producidoo incidentes especiales en el sentido del artículo 33 (1) del RGPD en relación con el tratamiento de los datos en la prestación de
los servicios, el Cliente podrá realizar inspecciones in situ. Estas pueden llevarse a cabo durante el horario normal de trabajo sin que deban
producir interrupciones en la actividad comercial de IONOS , siendo necesaria notificación previa y por escrito (a menos que dicha notificación
previa no resultara posible porque de lo contrario se pondría en peligro el propósito de la inspección). El derecho de inspección del Cliente tiene
como objetivo verificar el cumplimiento de las obligaciones que incumben a IONOS como encargado del tratamiento en virtud del RGPD, de la
LOPDGDD y de este Acuerdo. El Proveedor participará activamente en la realización de la inspección.
9.4 El Proveedor podrá exigir al Cliente una remuneración razonable por las acciones de información y apoyo, en la medida en que el control no
fuera necesario debido a un incumplimiento de la ley o del contrato por parte del Proveedor. En dicho caso, el Proveedor facilitará al Cliente
información previa sobre los costes correspondientes.
Sub-encargados del tratamiento
10.1 El Cliente concede al Proveedor autorización general para utilizar otros sub-encargados del tratamiento en el sentido del artículo 28 del
RGPD para la ejecución del contrato.
10.2 Los sub-encargados del tratamiento utilizados actualmente se enumeran en el Anexo 2. El Cliente acepta su uso.
10.3 El Proveedor informará al cliente si tiene la intención de realizar un cambio con respecto a la participación o sustitución de otros subencargados del tratamiento. El Cliente podrá oponerse a dichos cambios.
La forma en la que el Proveedor informará al Cliente de cada cambio en sus sub-encargados del tratamiento será la publicación, en la página web
de IONOS, de un nuevo Anexo 2 con el listado de sub-encargados.
10.4 La objeción al cambio previsto sólo puede plantearse, de forma motivada por parte del Cliente,ante el Proveedor en el plazo de 14 días tras
la recepción, por parte del Cliente, de la información sobre el cambio. En caso de objeción, el Proveedor podrá, a su discreción, prestar el servicio
sin el cambio previsto o -si la prestación del servicio sin dicho cambio previsto no es posible para el Proveedor- interrumpir el servicio afectado por
el cambio en un plazo razonable (al menos 14 días) tras la recepción de la objeción realizada por el cliente. La obligación de pago del Cliente
cesará en el momento de la interrupción de la prestación por parte del Proveedor..
10.5 Si el Proveedor realiza encargos a otros sub-encargados del tratamiento, corresponderá al Proveedor transferir sus obligaciones de
protección de datos en virtud del presente Acuerdo a los mismos. El Proveedor garantizará, en particular mediante controles periódicos, que los
sub-encargados del tratamiento cumplen las medidas técnicas y organizativas necesarias.
Responsabilidad e indemnización
11.1. En caso de que un interesado presente una reclamación por daños y perjuicios de conformidad con el artículo 82 del RGPD , las partes se
comprometen a prestarse asistencia mutua y a ayudar a aclarar los hechos subyacentes.
11.2. Las disposiciones en materia de responsabilidad acordadas entre las Partes en las Condiciones Generales de Contratación de
IONOS también se aplicarán a las reclamaciones derivadas de este acuerdo de encargo de tratamiento de datos personales y, en la relación
interna entre las Partes, a las reclamaciones de terceros, de conformidad con el artículo 82 del RGPD, a menos que se acuerde expresamente lo
contrario.
Periodo contractual, miscelánea
12.1 El presente Acuerdo entrará en vigor con su aceptación por parte del Cliente. Finalizará con la terminación del último contrato del Cliente. En
caso de que, una vez finalizado el presente acuerdo, siga teniendo lugar un encargo de tratamiento de datos personales, se aplicarán las
disposiciones del mismo hasta la finalización efectiva del tratamiento.
12.2 El Proveedor podrá modificar el presente Acuerdo, a su discreción, con un preaviso razonable. En particular, el Proveedor se reserva
expresamente el derecho a modificar unilateralmente este Acuerdo si se producen cambios legales significativos en relación con el mismo. El
Proveedor informará al Cliente de la importancia de la modificación prevista y le concederá un plazo razonable para comunicar si tiene alguna
objeción al respecto. El Proveedor indicará al Cliente la fecha en que dicha modificación entrará en vigor si el Cliente no se opone dentro del plazo
que se establezca. En caso de objeción por parte del Cliente, el Proveedor dispondrá de la facultad de finalizar el contrato sin que el Cliente tenga
derecho a indemnización alguna.
12.3 El Cliente reconoce este acuerdo como parte de las CGC para el producto o productos por él contratados. En caso de contradicciones, las
disposiciones del presente Acuerdo sobre tratamiento de datos prevalecerán sobre las disposiciones de las Condiciones Generales de IONOS. En
caso de que alguna de las partes de este Acuerdo fueran declaradas como no válidas, ello no afectará a la validez del resto de lAcuerdo.
12.4 En casode disputa sobre el presente Acuerdo, las Partes se someterán su controversia a los Juzgados y Tribunales del domicilio social del
Proveedor, sin perjuicio de cualquier otro fuero legal que resultara de aplicación en el caso de que las normas procesales correspondientes así lo
establecieran. Este contrato está sujeto, en lo no previsto de forma expresa en el mismo, a las disposiciones legales españolas.
12.5 En caso de que los datos del Cliente en poder del Proveedor se vean amenazados por embargo o incautación, por procedimientos de
insolvencia o concurso de acreedores o por otros acontecimientos o medidas de terceros, el Proveedor informará inmediatamente de ello al
Cliente. El Proveedor informará inmediatamente a todas las personas responsables en este contexto de que la soberanía y propiedad de los datos
recae exclusivamente en el Cliente como «persona responsable» en el sentido del RGPD.