Acuerdo de Encargo del Tratamiento de Datos (DPA)

1. Definiciones

• «Datos Personales del Cliente» significa los datos personales que Nebs-Creative trata por cuenta del Cliente en virtud del Contrato.
• «Leyes de Protección de Datos» significa el UK GDPR, la Data Protection Act 2018 y, cuando resulten aplicables al tratamiento, el GDPR de la UE, las leyes estatales de privacidad de EE. UU. aplicables y otras leyes aplicables de privacidad o protección de datos, en su versión modificada o sustituida.
• «CCT de la UE» significa las cláusulas contractuales tipo de la Comisión Europea aprobadas mediante la Decisión de Ejecución (UE) 2021/914.
• «Transferencia Restringida» significa una transferencia que las Leyes de Protección de Datos aplicables prohibirían sin una garantía adecuada.
• «Subencargado del Tratamiento» significa un tercero o una empresa afiliada contratada por Nebs-Creative para tratar Datos Personales del Cliente.
• «Mecanismo de Transferencia» significa el Acuerdo Internacional de Transferencia de Datos del Reino Unido (UK International Data Transfer Agreement), el Anexo del Reino Unido a las Cláusulas Contractuales Tipo de la UE, las Cláusulas Contractuales Tipo de la UE u otro mecanismo reconocido por las Leyes de Protección de Datos aplicables.
• «Día Hábil» significa de domingo a jueves, excluidos los festivos oficiales de Bangladés y cualquier cierre del estudio que se haya notificado.

Los términos responsable del tratamiento, encargado del tratamiento, interesado, datos personales, violación de la seguridad de los datos personales, tratamiento y autoridad de control tienen el significado que les atribuye el UK GDPR o los términos jurídicos equivalentes aplicables.

2. Funciones y alcance

El Cliente es el responsable del tratamiento y Nebs-Creative es el encargado del tratamiento de los Datos Personales del Cliente. Si el Cliente es a su vez encargado del tratamiento por cuenta de otro responsable, Nebs-Creative actúa como subencargado del tratamiento y el Cliente confirma que está autorizado para dar las instrucciones contenidas en este DPA. El Anexo 1 describe el tratamiento. Cada parte sigue siendo responsable del tratamiento independiente respecto de los datos de contacto profesional ordinarios que trate para la gestión de la relación.

3. Responsabilidades del Cliente

• Asegurarse de que existe una base jurídica y de que se han facilitado los avisos y obtenido los consentimientos exigidos para el tratamiento.
• Facilitar únicamente los datos personales razonablemente necesarios para los servicios y utilizar datos de muestra, anonimizados o seudonimizados siempre que sea posible.
• Informar por escrito a Nebs-Creative antes de facilitar datos de categoría especial, datos relativos a infracciones penales o datos de menores.
• Asegurarse de que las instrucciones dadas a Nebs-Creative cumplen las Leyes de Protección de Datos aplicables.

4. Obligaciones de Nebs-Creative

• Tratar los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del cliente, incluidas las relativas a transferencias internacionales, salvo que la ley exija otra cosa.
• Informar al Cliente si una instrucción parece infringir las Leyes de Protección de Datos aplicables, en la medida en que la ley lo permita.
• Asegurarse de que el personal autorizado está sujeto a obligaciones de confidencialidad.
• Mantener medidas técnicas y organizativas apropiadas, incluidas las medidas descritas en el Anexo 2 una vez verificadas.
• Prestar asistencia razonable en relación con los derechos de los interesados, las obligaciones de seguridad, las violaciones de seguridad, las evaluaciones de impacto relativas a la protección de datos (DPIA) y las consultas a la autoridad reguladora, teniendo en cuenta la naturaleza del tratamiento y la información disponible.
• Poner a disposición información razonable sobre el cumplimiento y permitir auditorías conforme a la cláusula 9.
• No vender los Datos Personales del Cliente ni utilizarlos para fines propios de Nebs-Creative, incluido el entrenamiento de modelos de IA de Nebs-Creative.

5. Subencargados del tratamiento

El Cliente otorga una autorización general para el uso de Subencargados del Tratamiento. Los Subencargados del Tratamiento actuales deben figurar en el Anexo 3. Nebs-Creative dará un preaviso de al menos 14 días de cualquier incorporación o sustitución prevista. El Cliente podrá oponerse por motivos razonables de protección de datos. Si la objeción no puede resolverse razonablemente, el Cliente podrá resolver los servicios afectados y recibir el reembolso de las tarifas prepagadas correspondientes a los servicios no prestados. Nebs-Creative impondrá a cada Subencargado del Tratamiento obligaciones de protección de datos sustancialmente equivalentes y seguirá siendo responsable ante el Cliente del cumplimiento de dichas obligaciones por parte del Subencargado del Tratamiento, según lo dispuesto en la ley aplicable y en el Contrato.

6. Transferencias internacionales

El Cliente reconoce que el equipo de Nebs-Creative trabaja desde Bangladés y que los Subencargados del Tratamiento aprobados pueden tratar Datos Personales del Cliente en las ubicaciones indicadas en el Anexo 3. Cada Transferencia Restringida debe estar respaldada por un Mecanismo de Transferencia válido u otra base jurídica lícita y, cuando se exija, por una evaluación de riesgos de la transferencia adecuada o una evaluación equivalente.

Para las Transferencias Restringidas del Reino Unido realizadas por Nebs-Creative a un destinatario, como la entidad del estudio en Bangladés o un Subencargado del Tratamiento, Nebs-Creative utilizará el Acuerdo Internacional de Transferencia de Datos del Reino Unido (UK International Data Transfer Agreement) aplicable, el Anexo del Reino Unido con el módulo correspondiente de las Cláusulas Contractuales Tipo de la UE, u otro mecanismo válido. Para las transferencias del EEE en las que se exijan las Cláusulas Contractuales Tipo de la UE, se aplicará según proceda el módulo aplicable de responsable a encargado o de encargado a encargado. Si los términos obligatorios de transferencia entran en conflicto con este DPA, prevalecerán los términos obligatorios de transferencia.

7. Violaciones de la seguridad de los datos personales

Nebs-Creative notificará al Cliente sin demora indebida y, conforme al DPA estándar vigente, en cualquier caso en un plazo de 48 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos Personales del Cliente. La notificación facilitará la información disponible sobre la naturaleza, el alcance, las posibles consecuencias y las medidas de mitigación, y se irá completando con información adicional a medida que esté disponible. Nebs-Creative adoptará medidas razonables para contener y subsanar el incidente y cooperará con el Cliente. Salvo que la ley disponga otra cosa, Nebs-Creative no notificará a ningún regulador ni interesado en nombre del Cliente sin instrucciones de este.

8. Solicitudes de los interesados

Si Nebs-Creative recibe una solicitud relativa a los Datos Personales del Cliente, la remitirá al Cliente en un plazo de 5 Días Hábiles y no responderá sobre el fondo, salvo que el Cliente lo autorice o la ley lo exija.

9. Auditorías e información sobre el cumplimiento

Nebs-Creative responderá a cuestionarios de cumplimiento razonables, normalmente una vez al año, con información adicional tras una violación de seguridad relevante o una solicitud de un regulador cuando proceda. Si la información razonable facilitada por escrito no basta para demostrar el cumplimiento, el Cliente o un auditor independiente que no sea competidor y esté sujeto a confidencialidad podrá realizar una auditoría conforme a las restricciones de preaviso, frecuencia, horario laboral y no interrupción establecidas en el DPA aplicable. Cada parte asumirá sus propios costes de auditoría, salvo que el Contrato o la legislación aplicable disponga otra cosa.

10. Devolución y supresión

Cuando finalicen los servicios correspondientes, o antes si se recibe una instrucción por escrito, Nebs-Creative, a elección del Cliente, devolverá o suprimirá los Datos Personales del Cliente en un plazo de 30 días y suprimirá las copias existentes, salvo que la legislación aplicable exija su conservación. Los datos que permanezcan en copias de seguridad rutinarias quedarán protegidos por este DPA hasta que se sobrescriban en el ciclo normal de copias de seguridad. Previa solicitud, se facilitará confirmación escrita de la supresión.

11. Condiciones de privacidad de los estados de EE. UU.

En la medida en que una ley de privacidad estatal de EE. UU. aplicable considere a Nebs-Creative proveedor de servicios, contratista o encargado del tratamiento respecto de los Datos Personales del Cliente, Nebs-Creative no venderá ni compartirá esos datos en el sentido de la ley aplicable, no los conservará, utilizará ni divulgará fuera de la relación de servicios permitida, ni los combinará con otros datos personales, salvo que la ley lo permita. Nebs-Creative proporcionará el nivel de protección de la privacidad exigido a su función e informará al Cliente si deja de poder cumplir esas obligaciones. El Cliente podrá adoptar las medidas razonables exigidas por la legislación aplicable para detener y subsanar el uso no autorizado.

12. Responsabilidad, prelación y legislación aplicable

La responsabilidad en virtud de este DPA está sujeta a las condiciones de responsabilidad del Contrato en la medida en que lo permitan las Leyes de Protección de Datos. El DPA seguirá vigente mientras Nebs-Creative trate Datos Personales del Cliente y prevalecerá sobre las condiciones contractuales contradictorias en materia de datos personales. El DPA estándar se rige por la legislación de Inglaterra y Gales, salvo que las cláusulas obligatorias de transferencia exijan otra legislación aplicable o jurisdicción.

Anexo 1 - Detalles del tratamiento

Anexo 2 - Medidas técnicas y organizativas

• Autenticación multifactor (MFA) en las cuentas utilizadas para acceder a los Datos Personales del Cliente cuando el servicio lo permita.
• Controles de acceso basados en proyectos; retirada del acceso al finalizar el proyecto; revisiones periódicas de los accesos.
• Cuentas de usuario individuales; secretos compartidos conservados en un gestor de contraseñas cifrado y aprobado.
• Cifrado de disco completo, bloqueo de pantalla, sistemas operativos con soporte vigente, actualizaciones de seguridad automáticas y protección antimalware en los dispositivos utilizados para el trabajo con clientes, según lo exija la política interna.
• Los Datos Personales del Cliente se almacenan únicamente en herramientas aprobadas; no se utilizan soportes extraíbles ni almacenamiento en cuentas personales salvo aprobación específica.
• Minimización de datos y uso de datos de muestra, anonimizados o seudonimizados siempre que sea posible.
• Uso compartido de enlaces/archivos con acceso restringido y cifrado en tránsito; cifrado en reposo del proveedor de almacenamiento cuando proceda.
• Ningún Dato Personal del Cliente en herramientas de IA, salvo en una herramienta aprobada con las garantías y configuraciones exigidas y con el acuerdo del cliente.
• Acuerdos de confidencialidad y propiedad intelectual con el equipo, y formación en seguridad y protección de datos.
• Notificación interna inmediata de incidentes y registro de incidentes.
• Capacidades de copia de seguridad y recuperación del proveedor para los servicios en la nube aprobados.
• Devolución o supresión de los Datos Personales del Cliente conforme a las normas de conservación del DPA.

Anexo 3 - Subencargados del tratamiento

Bloque de firma (opcional cuando se solicite un DPA firmado)