Condiciones de uso AI Trust Audit

Acuerdo de tratamiento de datos por encargo entre Trusted Shops SE y el usuario

En la medida en que el usuario, al realizar la Auditoría de Confianza de IA en el sitio web a revisar, trate datos personales mediante la herramienta proporcionada por Trusted Shops SE, Trusted Shops SE actúa como encargado del tratamiento. Se aplicarán las siguientes regulaciones sobre el tratamiento de datos por encargo. Cláusulas contractuales tipo Sección 1 Cláusula 1 – Objeto y ámbito de aplicación a) El objeto de las presentes cláusulas contractuales tipo (en lo sucesivo, «las cláusulas») es garantizar el cumplimiento de lo dispuesto en el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos). b) Los responsables y encargados del tratamiento que figuran en el anexo I han aceptado las presentes cláusulas con el fin de garantizar el cumplimiento del artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 y/o el artículo 29, apartados 3 y 4, del Reglamento (UE) 2018/1725. c) Las presentes cláusulas se aplican al tratamiento de datos personales especificado en el anexo II. d) Los anexos I a IV forman parte integrante de las cláusulas. e) Las presentes cláusulas se entienden sin perjuicio de las obligaciones que incumben al responsable del tratamiento en virtud del Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725. f) Las presentes cláusulas no garantizan por sí solas el cumplimiento de las obligaciones relativas a las transferencias internacionales de datos con arreglo al capítulo V del Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725. Cláusula 2 – Inalterabilidad de las cláusulas a) Las Partes se comprometen a no modificar las cláusulas, salvo para añadir o actualizar la información de los anexos. b) Ello no impide que las Partes incluyan las cláusulas contractuales tipo establecidas en las presentes cláusulas en un contrato más amplio ni que añadan otras cláusulas o garantías adicionales, siempre que estas no contradigan, directa o indirectamente, las cláusulas ni menoscaben los derechos o libertades fundamentales de los interesados. Cláusula 3 – Interpretación a) Cuando las presentes cláusulas utilicen los términos definidos en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725, respectivamente, dichos términos tendrán el mismo significado que en el Reglamento correspondiente. b) Las presentes cláusulas se interpretarán a la luz de las disposiciones del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725, respectivamente. c) Las presentes cláusulas no se interpretarán de manera que entren en conflicto con los derechos y obligaciones previstos en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725 ni de manera que menoscaben los derechos o libertades fundamentales de los interesados. Cláusula 4 – Prevalencia En caso de contradicción entre las presentes cláusulas y las disposiciones de los acuerdos conexos existentes entre las Partes o celebrados o firmados con posterioridad, prevalecerán las presentes cláusulas. Cláusula 5 – Cláusula de adhesión a) Una entidad que no sea Parte en las presentes cláusulas podrá, con el consentimiento de todas las Partes, adherirse a las presentes cláusulas en cualquier momento como responsable o como encargado del tratamiento, cumplimentando los anexos y firmando el anexo I. b) Una vez que haya cumplimentado y firmado los anexos mencionados en la letra a), la entidad adherente será tratada como Parte en las presentes cláusulas y tendrá los derechos y obligaciones de un responsable o un encargado del tratamiento, según su designación en el anexo I. c) La entidad adherente no tendrá derechos ni obligaciones derivados de las presentes cláusulas correspondientes al período anterior a su adhesión como Parte. Sección 2 – Obligaciones de las Partes Cláusula 6 – Descripción del tratamiento Los pormenores de las operaciones de tratamiento, en particular las categorías de datos personales y los fines para los que se tratan los datos personales por cuenta del responsable del tratamiento, se especifican en el anexo II. Cláusula 7 – Obligaciones de las Partes 7.1 Instrucciones a) El encargado del tratamiento tratará los datos personales únicamente siguiendo instrucciones documentadas del responsable del tratamiento, a no ser que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable. En tal caso, el encargado del tratamiento informará al responsable del tratamiento acerca de esa exigencia legal antes de proceder al tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público. El responsable del tratamiento podrá dar nuevas instrucciones durante todo el período de tratamiento de los datos personales. Dichas instrucciones deberán documentarse siempre. b) El encargado del tratamiento informará inmediatamente al responsable del tratamiento si, en su opinión, cualquiera de las instrucciones dadas por este infringe el Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o las disposiciones aplicables de la Unión o de los Estados miembros en materia de protección de datos. 7.2 Limitación de la finalidad El encargado del tratamiento tratará los datos personales únicamente para el/los fin(es) específico(s) especificado(s) en el anexo II, a menos que reciba nuevas instrucciones del responsable del tratamiento. 7.3 Duración del tratamiento de datos personales Los datos serán tratados por el encargado del tratamiento únicamente durante el período especificado en el anexo II. 7.4 Seguridad del tratamiento a) El encargado del tratamiento aplicará, como mínimo, las medidas técnicas y organizativas especificadas en el anexo III para garantizar la seguridad de los datos personales. Ello incluye la protección de los datos contra una violación de la seguridad que provoque, de manera accidental o ilícita, la destrucción, pérdida o alteración de datos personales, o la comunicación o acceso no autorizados a dichos datos (en lo sucesivo, «violación de la seguridad de los datos personales»). Al evaluar el nivel de seguridad adecuado, las Partes tendrán debidamente en cuenta el estado de la técnica, los costes de aplicación, y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los interesados. b) El encargado del tratamiento concederá acceso a los datos personales objeto de tratamiento a los miembros de su personal únicamente en la medida estrictamente necesaria para la ejecución, la gestión y el seguimiento del contrato. El encargado del tratamiento velará por que las personas autorizadas para tratar los datos personales recibidos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal. 7.5 Datos sensibles Si el tratamiento se refiere a datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, o la afiliación sindical, o a datos genéticos o datos biométricos dirigidos a identificar de manera unívoca a una persona física, datos relativos a la salud, a la vida sexual o a la orientación sexual de una persona, o datos relativos a condenas e infracciones penales (en lo sucesivo, «datos sensibles»), el encargado del tratamiento aplicará limitaciones específicas y/o garantías adicionales. 7.6 Documentación y cumplimiento a) Las Partes deberán poder demostrar el cumplimiento de las presentes cláusulas. b) El encargado del tratamiento atenderá las consultas del responsable del tratamiento relativas al tratamiento de datos con arreglo a las presentes cláusulas de forma rápida y adecuada. c) El encargado del tratamiento pondrá a disposición del responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en las presentes cláusulas y que se derivan directamente del Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725. A petición del responsable del tratamiento, el encargado del tratamiento también permitirá la realización de auditorías de las actividades de tratamiento cubiertas por las presentes cláusulas a intervalos razonables o si existen indicios de incumplimiento, y contribuirá a tales auditorías. Al decidir sobre una revisión o auditoría, el responsable del tratamiento podrá tener en cuenta las certificaciones pertinentes del encargado del tratamiento. d) El responsable del tratamiento podrá realizar la auditoría por sí mismo o encomendarla a un auditor independiente. Las auditorías también podrán incluir inspecciones en los locales o instalaciones físicas del encargado del tratamiento y se llevarán a cabo, en su caso, con un preaviso razonable. e) Las Partes pondrán a disposición de la(s) autoridad(es) de control competente(s) la información mencionada en la presente cláusula, incluidos los resultados de las auditorías, previa solicitud. 7.7 Recurso a subencargados del tratamiento a) El encargado del tratamiento cuenta con la autorización general del responsable del tratamiento para recurrir a subencargados del tratamiento que figuren en una lista acordada. El encargado del tratamiento informará al responsable del tratamiento expresamente por escrito de cualquier cambio previsto en dicha lista mediante la adición o sustitución de subencargados del tratamiento con una antelación mínima de 1 mes, concediendo así al responsable del tratamiento tiempo suficiente para poder oponerse a dichos cambios antes de la contratación del/de los subencargado(s) del tratamiento en cuestión. El encargado del tratamiento proporcionará al responsable del tratamiento la información necesaria para que este pueda ejercer su derecho de oposición. b) Cuando el encargado del tratamiento recurra a un subencargado del tratamiento para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable del tratamiento), lo hará por medio de un contrato que imponga al subencargado del tratamiento, en esencia, las mismas obligaciones en materia de protección de datos que las impuestas al encargado del tratamiento con arreglo a las presentes cláusulas. El encargado del tratamiento velará por que el subencargado del tratamiento cumpla las obligaciones a las que está sujeto el encargado del tratamiento de conformidad con las presentes cláusulas y con el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725. c) El encargado del tratamiento facilitará al responsable del tratamiento, previa solicitud, una copia de dicho acuerdo de subcontratación y de cualquier modificación posterior. En la medida en que sea necesario para proteger secretos comerciales u otra información confidencial, incluidos los datos personales, el encargado del tratamiento podrá expurgar el texto del acuerdo antes de compartir una copia. d) El encargado del tratamiento seguirá siendo plenamente responsable ante el responsable del tratamiento del cumplimiento por parte del subencargado de las obligaciones que le incumben en virtud del contrato celebrado con el encargado del tratamiento. El encargado del tratamiento notificará al responsable del tratamiento cualquier incumplimiento por parte del subencargado de sus obligaciones contractuales. e) El encargado del tratamiento acordará con el subencargado una cláusula de tercero beneficiario por la que —en caso de que el encargado del tratamiento haya desaparecido de hecho, haya dejado de existir en derecho o se haya vuelto insolvente— el responsable del tratamiento tendrá derecho a resolver el subcontrato y a ordenar al subencargado del tratamiento que suprima o devuelva los datos personales. 7.8 Transferencias internacionales de datos a) Toda transferencia de datos por parte del encargado del tratamiento a un tercer país o a una organización internacional se hará únicamente sobre la base de instrucciones documentadas del responsable del tratamiento o para cumplir una disposición específica del Derecho de la Unión o de los Estados miembros a la que esté sujeto el encargado del tratamiento, y se ajustará al capítulo V del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725. b) El responsable del tratamiento acepta que, cuando el encargado del tratamiento recurra a un subencargado del tratamiento de conformidad con la cláusula 7.7 para llevar a cabo actividades de tratamiento específicas (por cuenta del responsable del tratamiento) y esas actividades de tratamiento impliquen una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado y el subencargado del tratamiento podrán garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 utilizando cláusulas contractuales tipo adoptadas por la Comisión de conformidad con el artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan las condiciones para la aplicación de dichas cláusulas contractuales tipo. Cláusula 8 – Asistencia al responsable del tratamiento a) El encargado del tratamiento informará sin demora al responsable del tratamiento de toda solicitud que haya recibido del interesado. No responderá a la solicitud por sí mismo, a menos que haya sido autorizado para ello por el responsable del tratamiento. b) Teniendo en cuenta la naturaleza del tratamiento, el encargado del tratamiento ayudará al responsable del tratamiento a cumplir su obligación de responder a las solicitudes de los interesados para el ejercicio de sus derechos. En el cumplimiento de sus obligaciones con arreglo a las letras a) y b), el encargado del tratamiento seguirá las instrucciones del responsable del tratamiento. c) Además de la obligación del encargado del tratamiento de prestar asistencia al responsable del tratamiento de conformidad con la cláusula 8, letra b), el encargado del tratamiento también ayudará al responsable del tratamiento a cumplir las siguientes obligaciones, teniendo en cuenta la naturaleza del tratamiento de datos y la información de que disponga el encargado del tratamiento: 1) la obligación de realizar una evaluación del impacto de las operaciones de tratamiento previstas en la protección de los datos personales (en lo sucesivo, «evaluación de impacto relativa a la protección de datos»), si es probable que una forma de tratamiento entrañe un alto riesgo para los derechos y libertades de las personas físicas; 2) la obligación de consultar a la(s) autoridad(es) de control competente(s) antes del tratamiento cuando una evaluación de impacto relativa a la protección de datos muestre que el tratamiento entrañaría un alto riesgo si el responsable del tratamiento no toma medidas para mitigarlo; 3) la obligación de garantizar que los datos personales sean exactos y estén actualizados, informando sin demora al responsable del tratamiento si se da cuenta de que los datos personales que está tratando son inexactos o han quedado obsoletos; 4) las obligaciones previstas en el artículo 32 del Reglamento (UE) 2016/679. d) Las Partes establecerán en el anexo III las medidas técnicas y organizativas adecuadas mediante las cuales el encargado del tratamiento deberá prestar asistencia al responsable del tratamiento en la aplicación de la presente cláusula, así como el ámbito y el alcance de la asistencia requerida. Cláusula 9 – Notificación de violaciones de la seguridad de los datos personales En caso de violación de la seguridad de los datos personales, el encargado del tratamiento cooperará con el responsable del tratamiento y le prestará asistencia para que este pueda cumplir sus obligaciones en virtud de los artículos 33 y 34 del Reglamento (UE) 2016/679 o, en su caso, de los artículos 34 y 35 del Reglamento (UE) 2018/1725, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga el encargado del tratamiento. 9.1 Violación de la seguridad de los datos tratados por el responsable del tratamiento En caso de violación de la seguridad de los datos personales en relación con los datos tratados por el responsable del tratamiento, el encargado del tratamiento asistirá al responsable del tratamiento: a) en la notificación sin dilación de la violación de la seguridad de los datos personales a la(s) autoridad(es) de control competente(s) una vez que el responsable del tratamiento tenga conocimiento de ella, si procede (a menos que no sea probable que la violación de la seguridad de los datos personales constituya un riesgo para los derechos y libertades personales de las personas físicas); b) en la obtención de la siguiente información, que se facilitará en la notificación del responsable del tratamiento de conformidad con el artículo 33, apartado 3, del Reglamento (UE) 2016/679, y que deberá incluir, como mínimo, lo siguiente: 1) la naturaleza de los datos personales, indicando, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de datos personales afectados; 2) las probables consecuencias de la violación de la seguridad de los datos personales; 3) las medidas adoptadas o propuestas por el responsable del tratamiento para poner remedio a la violación de la seguridad de los datos personales y, si procede, las medidas para mitigar sus posibles efectos adversos. Cuando no sea posible facilitar toda esta información al mismo tiempo, la notificación inicial contendrá la información disponible en ese momento y la información ulterior se facilitará sin dilación indebida tan pronto como esté disponible; c) en el cumplimiento de la obligación prevista en el artículo 34 del Reglamento (UE) 2016/679 de comunicar sin dilación indebida la violación de la seguridad de los datos personales al interesado cuando sea probable que dicha violación entrañe un alto riesgo para los derechos y libertades de las personas físicas. 9.2 Violación de la seguridad de los datos tratados por el encargado del tratamiento En caso de violación de la seguridad de los datos personales en relación con los datos tratados por el encargado del tratamiento, este lo notificará al responsable del tratamiento sin dilación indebida después de que tenga conocimiento de la violación. Esta notificación contendrá, como mínimo, la siguiente información: a) una descripción de la naturaleza de la violación (incluyendo, si es posible, las categorías y el número aproximado de interesados afectados y el número aproximado de registros de datos afectados); b) los datos de contacto de un punto de contacto en el que pueda obtenerse más información sobre la violación de la seguridad de los datos personales; c) las consecuencias probables y las medidas adoptadas o propuestas para remediar la violación de la seguridad de los datos personales, incluidas las medidas para mitigar sus posibles efectos adversos. Cuando no sea posible facilitar toda esta información al mismo tiempo, la notificación inicial contendrá la información disponible en ese momento y la información ulterior se facilitará sin dilación indebida tan pronto como esté disponible. Las Partes establecerán en el anexo III cualquier otra información que deba facilitar el encargado del tratamiento para ayudar al responsable del tratamiento a cumplir las obligaciones que le incumben en virtud de los artículos 33 y 34 del Reglamento (UE) 2016/679. Cláusula 10 – Incumplimiento de las cláusulas y rescisión del contrato a) Si el encargado del tratamiento no cumple sus obligaciones con arreglo a las presentes cláusulas, el responsable del tratamiento podrá —sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725— ordenar al encargado del tratamiento que suspenda el tratamiento de datos personales hasta que este cumpla las presentes cláusulas o se rescinda el contrato. El encargado del tratamiento informará sin demora al responsable del tratamiento si, por cualquier motivo, no puede cumplir las presentes cláusulas. b) El responsable del tratamiento tendrá derecho a resolver el contrato en la medida en que se refiera al tratamiento de datos personales con arreglo a las presentes cláusulas si 1) el responsable del tratamiento ha suspendido el tratamiento de datos personales por parte del encargado del tratamiento de conformidad con la letra a) y el cumplimiento de las presentes cláusulas no se ha restablecido en un plazo razonable, pero en cualquier caso en el plazo de un mes a partir de la suspensión; 2) el encargado del tratamiento incumple de forma sustancial o persistente las presentes cláusulas o sus obligaciones en virtud del Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725; 3) el encargado del tratamiento no cumple una decisión vinculante de un tribunal competente o de la(s) autoridad(es) de control competente(s) relativa a sus obligaciones con arreglo a las presentes cláusulas, al Reglamento (UE) 2016/679 y/o al Reglamento (UE) 2018/1725. c) El encargado del tratamiento tendrá derecho a resolver el contrato en la medida en que se refiera al tratamiento de datos personales con arreglo a las presentes cláusulas si, tras haber sido informado por el encargado del tratamiento de que sus instrucciones infringen los requisitos legales aplicables de conformidad con la cláusula 7.1, letra b), el responsable del tratamiento insiste en el cumplimiento de sus instrucciones. d) Tras la rescisión del contrato, el encargado del tratamiento, a elección del responsable del tratamiento, suprimirá todos los datos personales tratados por cuenta del responsable del tratamiento y certificará al responsable del tratamiento que lo ha hecho, o devolverá todos los datos personales al responsable del tratamiento y suprimirá las copias existentes, a menos que el Derecho de la Unión o de los Estados miembros exija la conservación de los datos personales. Hasta que se supriman o devuelvan los datos, el encargado del tratamiento seguirá garantizando el cumplimiento de las presentes cláusulas. Anexo I – Lista de las Partes A. Responsable(s) del tratamiento El responsable del tratamiento es el usuario del servicio de acuerdo con los términos de uso. B. Encargado del tratamiento Nombre: Trusted Shops SE Dirección: Subbelrather Str. 15C, 50823 Köln Correo electrónico: privacy@trustedshops.com Anexo II – Descripción del tratamiento A. Categorías de interesados Personas publicadas en el sitio web (directores generales, RPD, responsables editoriales); empleados del responsable del tratamiento. B. Categorías de datos personales que se tratan Nombre; dirección; dirección de correo electrónico; número de teléfono. C. Naturaleza del tratamiento Cuando se proporciona una URL de un sitio web para la Auditoría de Confianza de IA, el encargado del tratamiento recupera automáticamente las páginas de acceso público del dominio auditado y analiza su contenido. En este proceso, también pueden tratarse los datos personales que el propio operador del sitio web haya publicado allí. D. Fines del tratamiento Creación y visualización del resultado de la auditoría, realización de la auditoría del sitio web encargada. E. Duración del tratamiento Corresponde a la duración del uso del servicio. Anexo III – Medidas técnicas y organizativas Se aplican las medidas técnicas y organizativas de Trusted Shops SE. Trusted Shops publica siempre las MTO actuales en https://help.etrusted.com/hc/de/articles/360021040178. Anexo IV – Subencargados del tratamiento Lovable Labs Incorporate — Proveedor de SaaS como plataforma técnica para la realización del escaneo — Duración del tratamiento: corresponde a la duración del uso del servicio.