Acuerdo de Encargo del Tratamiento (DPA) — Okeanun Manager

Partes y manifestaciones

De una parte, el Centro de buceo que contrata el servicio Okeanun Manager, identificado con su razón social, NIF/CIF, domicilio y representante en el flujo de alta y suscripción (en adelante, el «Responsable» o el «Centro»); y de otra parte, Munaeko Development Software Solutions, S.L., con NIF B88989868, domicilio en Calle Gran Vía 1, 2º, 30180 Bullas (Murcia), España, y correo de contacto [email protected] (en adelante, el «Encargado» u «Okeanun»). Ambas Partes se reconocen capacidad suficiente para obligarse.

El Centro contrata el servicio Okeanun Manager para la gestión de su actividad, lo que implica que el Centro puede introducir, alojar, organizar y consultar en el Servicio datos personales relativos a buceadores, clientes, contactos de reserva y personal del Centro, pudiendo incluir categorías especiales, como datos relativos a la salud, según el uso que haga el Centro del Servicio. Respecto de esos datos, el Centro determina los fines y medios principales del tratamiento y actúa como responsable, mientras que Okeanun los trata por cuenta del Centro y actúa como encargado, debiendo el encargo formalizarse por escrito, incluyendo soporte electrónico.

El presente Acuerdo se integra en la contratación del Servicio y se acepta por el Centro en el flujo de alta/suscripción mediante una acción afirmativa (checkbox) con registro de versión y fecha, constituyendo el instrumento jurídico que regula el acceso a datos por cuenta de terceros en el sentido exigible en la normativa de protección de datos. El Centro puede autorizar a Okeanun a recurrir a subencargados para la prestación del Servicio, con el régimen de autorización y oposición que se acuerde, imponiendo al subencargado obligaciones equivalentes a las asumidas por Okeanun.

1. Objeto, naturaleza, finalidad y duración del encargo

El objeto del presente Acuerdo es regular el tratamiento de datos personales que Okeanun realiza por cuenta del Centro al prestar el Servicio Okeanun Manager, incluyendo operaciones de recogida, registro, organización, estructuración, almacenamiento, consulta, comunicación a subencargados autorizados (cuando sea necesario para la prestación) y supresión o devolución al término de la prestación. La naturaleza del encargo es la de un tratamiento instrumental y necesario para permitir al Centro gestionar su operativa (reservas, participantes, personal, inventario vinculado a personas cuando proceda, certificaciones, seguros y documentación asociada) mediante una plataforma SaaS. La finalidad del encargo es exclusivamente prestar el Servicio al Centro conforme a sus instrucciones documentadas (estos Términos, el presente Acuerdo y el uso ordinario del Servicio), sin que Okeanun pueda tratar los datos para fines propios distintos de la prestación. La duración del encargo se extiende durante la vigencia de la suscripción del Centro al Servicio y por el tiempo estrictamente necesario para ejecutar las operaciones de finalización, devolución/exportación y supresión o bloqueo que correspondan.

2. Categorías de interesados y categorías de datos

Las categorías de interesados cuyos datos pueden tratarse por cuenta del Centro incluyen, principalmente: (i) buceadores y clientes del Centro (registrados o no, incluyendo «guest divers»); (ii) contactos asociados a reservas; y (iii) personal del Centro en la medida en que el Centro lo gestione dentro del Servicio. Las categorías de datos pueden incluir, según lo que el Centro decida introducir o gestionar: datos identificativos y de contacto; datos de reservas, participación en actividades y cursos; certificaciones de buceo; datos de seguro; y, cuando el Centro lo incorpore, datos relativos a la salud y documentación médica (categoría especial), así como información asociada a pagos en la medida necesaria para la operativa (sin perjuicio de que el proveedor de pagos gestione los datos de tarjeta conforme a su propio régimen). El Centro asume la responsabilidad de introducir únicamente datos necesarios y pertinentes para sus finalidades, conforme al principio de minimización y al enfoque de protección de datos desde el diseño y por defecto en sus procesos.

3. Instrucciones documentadas del Centro y límites de uso

Okeanun se obliga a tratar los datos personales únicamente siguiendo las instrucciones documentadas del Centro. A estos efectos, constituyen instrucciones documentadas: (i) el presente Acuerdo, (ii) la configuración y uso del Servicio por el Centro dentro de las funcionalidades habilitadas, y (iii) las comunicaciones documentadas que el Centro dirija a Okeanun a través de los canales de soporte establecidos para solicitudes relativas al tratamiento. Okeanun no utilizará los datos para fines propios ni establecerá relaciones con los interesados en nombre propio respecto de los tratamientos del Centro; en caso de que Okeanun determinara fines y medios infringiendo este marco, podría ser considerado responsable respecto de ese tratamiento. Cuando Okeanun considere que una instrucción del Centro infringe la normativa aplicable en materia de protección de datos, lo comunicará sin dilación al Centro.

4. Confidencialidad del personal autorizado y tratamiento bajo autoridad

Okeanun garantizará que las personas autorizadas a tratar datos personales por cuenta del Centro estén sujetas a compromisos de confidencialidad y secreto profesional, y que el tratamiento se realice bajo la autoridad de Okeanun y conforme a instrucciones, evitando accesos no autorizados, divulgación o uso indebido. El Centro reconoce que esta obligación es esencial, en particular cuando el Centro introduzca en el Servicio documentación sensible o categorías especiales de datos, exigiéndose que el personal autorizado de Okeanun actúe con estricta diligencia y limitación de acceso.

5. Medidas técnicas y organizativas de seguridad

Okeanun aplicará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, atendiendo al estado de la técnica, costes, naturaleza, alcance, contexto y fines del tratamiento, y en particular cuando se traten categorías especiales de datos. Estas medidas incluirán, de forma general, controles de acceso y autenticación, segregación por roles y perfiles, y mecanismos orientados a preservar la confidencialidad, integridad, disponibilidad y capacidad de restauración ante incidentes. Asimismo, cuando el tratamiento sea automatizado, Okeanun implementará medidas de control orientadas a impedir accesos no autorizados, limitar accesos por autorización, y permitir trazabilidad razonable de introducción, consulta y comunicación, en la medida necesaria para garantizar la seguridad y el control del tratamiento. El Centro reconoce que el detalle técnico de las medidas puede evolucionar por razones de seguridad, y que Okeanun podrá actualizar dichas medidas para mantener un nivel de protección adecuado.

6. Asistencia al Centro en el ejercicio de derechos de los interesados

Teniendo en cuenta la naturaleza del tratamiento y siempre que sea posible, Okeanun asistirá al Centro mediante medidas técnicas y organizativas apropiadas para que el Centro pueda cumplir su obligación de responder a las solicitudes de ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad u oposición, cuando proceda), incluyendo, en su caso, la localización y extracción de datos, la ejecución de supresiones o limitaciones, o la aportación de información técnica necesaria para responder al interesado. Esta asistencia se prestará en la medida en que el Centro no pueda realizarla por sí mismo mediante las funcionalidades del Servicio, y sin perjuicio de que el Centro sea el obligado principal frente al interesado por ser responsable del tratamiento.

7. Asistencia en obligaciones de seguridad, brechas, evaluaciones de impacto y consulta previa

Okeanun ayudará al Centro a garantizar el cumplimiento de sus obligaciones relativas a seguridad del tratamiento, notificación y documentación de violaciones de seguridad, y realización de evaluaciones de impacto cuando proceda, atendiendo a la naturaleza del tratamiento y a la información a disposición de Okeanun. En particular, cuando el Centro trate categorías especiales de datos o realice tratamientos que, por su alcance o contexto, puedan entrañar alto riesgo, el Centro podrá requerir a Okeanun información razonable sobre medidas y arquitectura de seguridad, flujos de subencargados y transferencias, para integrar dicha información en su análisis de riesgos o evaluación de impacto. Cuando proceda la consulta previa a la autoridad de control conforme al marco aplicable, Okeanun podrá facilitar al Centro información técnica que permita evaluar la conformidad del tratamiento y las garantías aplicadas.

8. Notificación de violaciones de seguridad

Okeanun notificará al Centro, sin dilación indebida, cualquier violación de seguridad de los datos personales de la que tenga conocimiento y que afecte a datos tratados por cuenta del Centro en el Servicio, aportando información suficiente para que el Centro pueda cumplir sus obligaciones de evaluación del riesgo, documentación y, en su caso, notificación a la autoridad de control y comunicación a interesados, conforme a la normativa aplicable. Okeanun documentará las incidencias en la medida necesaria para la trazabilidad y facilitar al Centro la información esencial sobre hechos, efectos y medidas correctivas adoptadas o previstas.

9. Subencargados autorizados y régimen de autorización general

El Centro otorga a Okeanun una autorización general para recurrir a subencargados necesarios para la prestación del Servicio (por ejemplo, proveedores de alojamiento, base de datos, almacenamiento de documentos, email transaccional, diagnósticos de errores, proveedor de pagos y servicios de notificaciones o mapas cuando aplique), siempre que Okeanun: (i) imponga al subencargado, mediante contrato u otro instrumento jurídico, las mismas obligaciones de protección de datos establecidas en este Acuerdo; (ii) mantenga un control razonable de garantías, medidas de seguridad y cumplimiento; y (iii) informe al Centro de cualquier cambio previsto relativo a la adición o sustitución de subencargados, otorgándole oportunidad de oponerse por motivos justificados. El Centro reconoce que, si el subencargado incumpliera sus obligaciones, Okeanun seguirá siendo plenamente responsable frente al Centro por el cumplimiento de dichas obligaciones en el marco del encargo.

10. Transferencias internacionales vinculadas a subencargados

Cuando la prestación del Servicio implique transferencias de datos personales a terceros países u organizaciones internacionales, Okeanun tratará dichos datos por cuenta del Centro únicamente conforme a instrucciones documentadas del Centro y con las garantías adecuadas aplicables, y pondrá a disposición del Centro información razonable sobre la existencia de transferencias y el marco de garantías utilizado, en la medida necesaria para la documentación de cumplimiento del Centro como responsable, incluidos su registro de actividades y, en su caso, evaluaciones de impacto.

11. Prohibición de comunicación de datos a terceros y límites de divulgación

Okeanun no cederá ni comunicará datos personales tratados por cuenta del Centro a terceros, salvo en la medida en que sea necesario para la prestación del Servicio a través de subencargados autorizados o cuando exista obligación legal aplicable a Okeanun. El Centro reconoce que la contratación de un encargado no crea vínculo jurídico directo entre Okeanun y los interesados del Centro, por lo que las comunicaciones a interesados, la información de privacidad y la base de legitimación corresponden al Centro, salvo en los tratamientos en que Okeanun actúe como responsable por cuenta propia.

12. Destino de los datos al finalizar la prestación

A la finalización de la prestación del Servicio por cualquier causa, y a elección del Centro, Okeanun (i) suprimirá los datos personales tratados por cuenta del Centro, o (ii) los devolverá al Centro o a un tercero designado por el Centro, en un formato razonable y conforme a las capacidades técnicas del Servicio, y suprimirá las copias existentes, salvo que el Derecho de la Unión o la legislación española exijan conservación. El presente Acuerdo establece que la elección operativa por defecto será supresión/devolución, sin perjuicio de que el Centro pueda solicitar la opción alternativa dentro del periodo operativo de exportación habilitado por el Servicio. Cuando exista obligación legal de conservación de determinados datos (por ejemplo, logs mínimos de seguridad o información estrictamente necesaria para defensa de reclamaciones), dichos datos quedarán limitados, bloqueados o restringidos conforme proceda, y no serán objeto de uso para finalidades incompatibles.

13. Información para demostrar cumplimiento, auditorías e inspecciones

Okeanun pondrá a disposición del Centro la información necesaria para demostrar el cumplimiento de las obligaciones derivadas del presente Acuerdo y permitirá y contribuirá a la realización de auditorías razonables, incluidas inspecciones, por parte del Centro o de un auditor autorizado por este, siempre que (i) exista preaviso razonable, (ii) se limite el alcance a lo estrictamente necesario para verificar el cumplimiento del encargo, (iii) se preserve la seguridad y confidencialidad de otros clientes y sistemas de Okeanun, y (iv) se acuerden de buena fe condiciones operativas de acceso, horarios y medidas de seguridad. La entrega de documentación podrá realizarse por medios electrónicos y podrá incluir evidencias de contratos con subencargados, políticas de seguridad aplicables y descripciones generales de medidas técnicas y organizativas, en la medida compatible con la seguridad del Servicio.

14. Registro de actividades del encargado y trazabilidad

Okeanun mantendrá los registros de actividades de tratamiento que correspondan a su condición de encargado respecto de tratamientos realizados por cuenta del Centro, con el contenido y alcance aplicable, y cooperará con la autoridad de control cuando sea requerido, sin perjuicio de las obligaciones de documentación y registro que corresponden al Centro como responsable. El Centro reconoce la necesidad de trazabilidad documental para acreditar diligencia y responsabilidad proactiva en cumplimiento de la normativa de protección de datos.

15. Obligaciones del Centro como responsable del tratamiento

El Centro garantiza que dispone de base jurídica suficiente para tratar los datos personales que introduzca o gestione en el Servicio y que ha cumplido con sus obligaciones de información a los interesados, incluyendo, cuando trate categorías especiales de datos (p. ej., datos de salud), la obtención de la legitimación reforzada que resulte exigible y la implementación de salvaguardas apropiadas. El Centro será responsable de definir y documentar sus finalidades, de mantener su registro de actividades, de atender el ejercicio de derechos, y de establecer procedimientos internos para notificación de brechas y gestión de riesgos, pudiendo requerir a Okeanun la asistencia pactada en este Acuerdo.

16. Punto de contacto y comunicaciones en materia de protección de datos

A efectos de la coordinación operativa del encargo, el punto de contacto de Okeanun para cuestiones relacionadas con el presente Acuerdo será [email protected]. El Centro designará un punto de contacto interno para solicitudes operativas relacionadas con el encargo, mediante el email que indique en el proceso de alta o en sus comunicaciones. Las comunicaciones podrán realizarse por medios electrónicos, conservándose trazabilidad razonable de solicitudes e instrucciones.

17. Integración, prevalencia y modificaciones

El presente Acuerdo forma parte integrante de los Términos del Servicio Okeanun Manager y regula, con carácter específico, el tratamiento de datos por cuenta del Centro. En caso de contradicción entre este Acuerdo y otras condiciones contractuales respecto del tratamiento por encargo, prevalecerá lo establecido en este Acuerdo. Okeanun podrá actualizar el presente Acuerdo cuando resulte necesario para adaptarlo a cambios normativos, de seguridad o de la prestación, comunicando la nueva versión al Centro con antelación razonable y quedando su vigencia vinculada al mantenimiento de la suscripción, con registro de versión y fecha de aceptación.

18. Cláusulas contractuales tipo como base del Acuerdo

Cuando resulte adecuado, el presente Acuerdo podrá apoyarse, total o parcialmente, en las cláusulas contractuales tipo aprobadas por la Comisión Europea para las relaciones entre responsable y encargado del tratamiento, que se integrarán como elemento estandarizado y prevalecerán, en lo que resulten aplicables, sobre disposiciones contradictorias relativas al encargo, manteniendo la coherencia con el resto del clausulado.

19. Formalización y detalle reforzado de instrucciones del responsable

Las Partes podrán completar este Acuerdo con un anexo técnico de tratamientos y flujos que detalle, por módulo del Manager, los datos tratados, los subencargados que intervienen y las comunicaciones que se producen, reforzando la precisión de las instrucciones documentadas del Centro y la trazabilidad de la diligencia de ambas Partes. Dicho anexo, cuando exista, formará parte integrante del Acuerdo.