Acord de Tractament de Dades (DPA)

Acord de Tractament de Dades (DPA) 1. Definicions i Abast Aquest Acord de Tractament de Dades ("DPA") complementa els Termes de Servei de AdminRentist i regula el tractament de dades personals per part de MEDITERRAN-IA LTD ("Encarregat" o "AdminRentist") en nom del client ("Responsable"). El Responsable és una empresa o professional que contracta els serveis de la plataforma AdminRentist per a la gestió d'allotjaments turístics i de les activitats associades a aquesta gestió. L'Encarregat és una empresa especialitzada en la prestació de serveis tecnològics per a la gestió integral d'allotjaments turístics, mitjançant una plataforma SaaS que permet gestionar reserves, hostes, incidències, proveïdors i altres serveis associats a l'estada. Atès que, en virtut dels Termes del Servei que el Responsable ha acceptat, és possible que l'Encarregat pugui accedir a dades personals respecte de les quals el client és el Responsable del tractament. Atès que, d'acord amb el que disposa el Reglament (UE) 2016/679 del Parlament Europeu i del Consell, de 27 d'abril de 2016, relatiu a la protecció de les persones físiques pel que fa al tractament de dades personals i a la lliure circulació d'aquestes dades (RGPD), les parts han acordat subscriure aquest Acord de Tractament de Dades. 2. Objecte de l'Acord L'objecte d'aquest Acord és regular el tractament per part de l'Encarregat de les dades personals titularitat del client, amb la finalitat de prestar els serveis definits en els termes i condicions (d'ara endavant, els "Serveis") encomanats pel Responsable. Aquest Acord dóna lloc a un accés a les dades per compte de tercers i no a una cessió o comunicació de dades de caràcter personal, de manera que el client continua tenint sota el seu control els usos i les finalitats del tractament de les dades personals sobre les quals ostenta la condició de Responsable. 3. Durada El tractament de les dades personals es durà a terme durant la vigència dels Termes del Servei. Després de la seva finalització, les dades es podran conservar durant un període màxim de seixanta (60) dies exclusivament a l'efecte de recuperació, devolució o exportació de la informació, quedant bloquejades per a qualsevol altra finalitat. Un cop transcorregut aquest termini, seran eliminades de forma segura, llevat que la seva conservació sigui exigible en virtut d'una obligació legal. 4. Tractament de dades de caràcter personal Mitjançant aquestes estipulacions s'habilita l'Encarregat per tractar per compte del Responsable les dades de caràcter personal necessàries per prestar els Serveis. L'Encarregat ha estat seleccionat després de comprovar que ofereix garanties suficients per aplicar mesures tècniques i organitzatives apropiades, de manera que el tractament sigui conforme amb els requisits legals garantint la protecció dels drets dels usuaris. Les categories d'interessats inclouen propietaris, gestors, personal de manteniment i hostes (noms, correus, números, dades de registre de viatgers i identificadors fiscals). L'Encarregat durà a terme les següents operacions de tractament: recollida, registre, organització, estructuració, emmagatzematge, consulta, utilització i supressió. 5. Obligacions de l'Encarregat 2.1 Tractament sota instruccions: AdminRentist tractarà les dades personals únicament d'acord amb les instruccions documentades del Responsable. Així mateix, l'Encarregat tractarà les dades únicament amb la finalitat de prestar els Serveis al Responsable. En cap cas podrà utilitzar les dades per a finalitats diferents de les previstes en aquest Acord. 2.2 Confidencialitat i Seguretat: L'Encarregat garantirà que tot el personal autoritzat a accedir a les dades estigui subjecte a obligacions de confidencialitat. Prendre mesures per garantir que qualsevol persona que actuï sota la seva autoritat i tingui accés a dades personals només pugui tractar-les seguint les instruccions del Responsable. Així mateix, tampoc comunicarà les dades a tercers, llevat que compti amb l'autorització expressa del Responsable. L'Encarregat implementarà mesures tècniques i organitzatives apropiades segons l'article 32 del RGPD i alineades amb l'esquema Cyber Essentials (xifratge en trànsit i repòs, autenticació multifactor i control d'accessos basat en rols) i realitzarà una descripció general d'aquestes mesures. 2.3 Assistència i Drets: AdminRentist ajudarà activament el Responsable a complir les seves obligacions relacionades amb els drets dels titulars (accés, rectificació, supressió, portabilitat i oposició), així com a realitzar avaluacions d'impacte (DPIA), i en la realització de consultes prèvies a l'autoritat de control, quan escaigui. En aquest sentit, quan les persones afectades exerceixin aquests drets davant l'Encarregat, aquest ho ha de comunicar per correu electrònic al Responsable, de forma immediata i en cap cas més enllà del dia laborable següent al de la recepció de la sol·licitud, acompanyant la resta d'informació rellevant. Així mateix, l'Encarregat haurà de posar a disposició del Responsable tota la informació necessària per demostrar el compliment de les obligacions establertes en aquest Acord. 2.4 Notificació de Bretxes (Terminis Estrictes): AdminRentist notificarà al Responsable qualsevol violació de seguretat sense dilació indeguda i, en la mesura del possible, en un termini màxim de 24-48 hores des que tingui coneixement de l'incident. La notificació inclourà la naturalesa de la bretxa, les dades afectades, les conseqüències i les mesures pal·liatives. El Responsable manté la responsabilitat de notificar l'autoritat competent en un termini màxim de 72 hores. 6. Obligacions del Responsable Correspon al Responsable: 6.1 Vetllar pel compliment de totes les mesures tècniques i organitzatives necessàries amb la finalitat de garantir la seguretat de les dades personals, evitant-ne l'alteració, pèrdua, tractament o accés no autoritzat. 6.2 Comunicar a l'Encarregat qualsevol variació que es produeixi en les dades facilitades, per poder actualitzar-les. 6.3 Recollir les dades personals complint amb la legislació aplicable en matèria de Protecció de Dades. 6.4 El Responsable garanteix: a. Que les dades personals s'han obtingut directament dels interessats, informant-los prèviament de manera expressa i precisa sobre: • L'existència d'una base de dades personals. • La finalitat de la recollida. • Els destinataris de la informació. • Les conseqüències de la negativa a subministrar-les. • L'exercici dels drets d'accés, rectificació, supressió, oposició, limitació i portabilitat. • La identitat i adreça del Responsable. b. Que ha informat l'interessat de les finalitats explícites i legítimes del tractament. c. Que ofereix la possibilitat d'oposar-se al tractament mitjançant un procediment senzill i gratuït. d. Que ha implantat les mesures de seguretat necessàries. e. Que les dades són tractades únicament per empleats formats i sotmesos al deure de confidencialitat. f. Que el tractament que realitza és legítim. g. Que ha nomenat un Delegat de Protecció de Dades si escau. h. Que compta amb un Registre d'Activitats de Tractament. 7. Subencarregats i Dret d'Oposició 3.1 Autorització general i oposició: El Responsable atorga una autorització general a AdminRentist per contractar subencarregats. AdminRentist notificarà per escrit qualsevol canvi amb una antelació de 30 dies, permetent al Responsable oposar-s'hi. L'absència d'oposició s'entendrà com a consentiment. Tot subencarregat estarà subjecte a obligacions equivalents a aquest DPA. 3.2 Llista Actual: Els subencarregats essencials són: (a) Amazon Web Services (AWS) (dades allotjades al Regne Unit i l'EEE - Irlanda); (b) Stripe, Inc. (passarel·la de pagament i prevenció del frau); (c) Matomo (analítica anonimitzada). 8. Transferències Internacionals i Auditories 4.1 Salvaguardes: En cas de transferències internacionals fora del Regne Unit o de l'EEE, s'adoptaran les garanties adequades (IDTA, Clàusules Contractuals Tipus de la Comissió Europea (SCCs), UK Addendum i avaluacions de risc de transferència). 4.2 Dret a Auditar: AdminRentist permetrà auditories raonables per part del Responsable o d'un auditor independent, amb un preavís de 30 dies. 4.3 Eliminació o Devolució Final: A la finalització dels Serveis, el Responsable triarà entre la devolució o eliminació permanent de les dades. Les còpies de seguretat es posaran fora d'ús i s'eliminaran en el cicle següent. 9. Responsabilitats en Cas de Reclamació 9.1 Si l'Encarregat es veiés implicat en procediments administratius o reclamacions de tercers, ho comunicarà immediatament al Responsable facilitant còpia de les resolucions dictades. 9.2 En cas que una autoritat sancioni el Responsable per incompliments imputables a l'Encarregat, aquest indemnitzarà l'import de la sanció, interessos legals, despeses de defensa i danys causats. 9.3 Ambdues parts es comprometen a respondre dels danys causats per conducta negligent o culpable. 10. Confidencialitat 10.1 La informació confidencial comunicada només podrà ser utilitzada per a la prestació dels Serveis i no es revelarà a tercers sense consentiment previ per escrit. 10.2 L'Encarregat aplicarà les mesures necessàries per mantenir el secret professional i la confidencialitat. 10.3 Aquest deure s'aplicarà indefinidament després de la finalització del present Acord. 10.4 Aquestes restriccions no s'aplicaran a la informació: a. Que sigui o esdevingui accessible al públic sense incompliment contractual. b. Que s'obtingui legítimament d'un tercer no obligat a confidencialitat. c. Que fos coneguda amb anterioritat. d. La revelació de la qual vingui imposada per la llei. 11. Incompliment i Resolució de l'Acord En cas d'incompliment d'obligacions per qualsevol de les parts, l'altra podrà procedir a la resolució d'aquest Acord mitjançant comunicació escrita. 12. Fuero i Legislació Aplicable 12.1 Les parts se sotmeten expressament a la jurisdicció dels Jutjats i Tribunals d'Anglaterra i Gal·les per a qualsevol controvèrsia, acordant que la legislació aplicable serà la d'Anglaterra i Gal·les. 12.2 Si alguna estipulació fos declarada nul·la, la validesa de la resta no es veurà afectada. Les estipulacions s'interpretaran d'acord amb la bona fe i el sentit recte de les paraules.