Anexo de tratamiento de datos

1. 1.Tratar los datos únicamente conforme a las instrucciones documentadas del responsable, salvo que una obligación legal exija otra cosa, en cuyo caso lo informamos antes de cumplirla si la ley lo permite.
2. 2.Advertir por escrito y sin ejecutar cuando una instrucción del responsable, a nuestro juicio, infrinja la normativa de protección de datos.
3. 3.Garantizar que quienes acceden a los datos están sujetos a deber de confidencialidad que subsiste tras el término de su vínculo.
4. 4.Aplicar las medidas de seguridad de la declaración de seguridad y mantenerlas actualizadas conforme al estado de la técnica.
5. 5.Asistir al responsable en la atención de solicitudes de titulares, aportando la información y las herramientas de extracción necesarias.
6. 6.Asistirlo en sus evaluaciones de impacto y en su relación con la Agencia cuando el tratamiento nos involucre.
7. 7.Notificarle toda brecha que afecte sus datos dentro de 24 horas desde su confirmación, con la información disponible en ese momento.
8. 8.Poner a su disposición la información necesaria para acreditar el cumplimiento de estas obligaciones y permitir auditorías en los términos de la sección correspondiente.
9. 9.Suprimir o devolver los datos al término del encargo, según instrucción del responsable.

• Determinar las finalidades y contar con base de licitud para cada una.
• Informar a los titulares y, cuando corresponda, obtener y gestionar su consentimiento.
• Configurar la plataforma dentro de lo que su base de licitud sostiene, incluidos los plazos de retención.
• Atender las solicitudes de sus titulares, con nuestra asistencia.
• Notificar a la Agencia y a los titulares cuando una brecha lo exija.
• Realizar la evaluación de impacto antes de activar funciones de alto riesgo, como la identificación biométrica.

El responsable autoriza de forma general el subencargo respecto de los proveedores publicados en el registro de subencargados, sujeto al procedimiento de aviso con 30 días de anticipación y derecho de objeción fundada que ese documento describe.

Todo subencargado queda sujeto por contrato a las mismas obligaciones que asumimos aquí. Mantenemos responsabilidad plena frente al responsable por el tratamiento que ejecute cualquiera de ellos.

El responsable puede verificar nuestro cumplimiento una vez al año, y además cuando haya ocurrido una brecha que afecte sus datos. La verificación puede hacerse mediante cuestionario documentado, revisión de nuestros informes de control o, si esos medios resultan insuficientes, una auditoría en terreno acordada con 30 días de anticipación.

La auditoría se realiza en horario hábil, sin afectar la operación, por personal sujeto a confidencialidad y sin acceso a datos de otros clientes. Los costos son del responsable, salvo que la auditoría revele un incumplimiento nuestro relevante, en cuyo caso los asumimos nosotros.