Contrato de procesamiento de pedidos

Contrato de Procesamiento de Datos (CPD)

Versión: Septiembre 2023

Este Contrato de Procesamiento de Datos regula las obligaciones de protección de datos en las relaciones contractuales entre el proveedor de PassSecuriumALPEIN Software SWISS AG, Obergass 23, CH-8260 Stein am Rhein (en adelante "Proveedor") y los usuarios del producto/clientes (en adelante "Encargado"), denominados individualmente como "Parte" y conjuntamente como "Partes".
En caso de discrepancia entre la versión en alemán e inglés de este documento, prevalecerá siempre la versión alemana. El idioma del contrato es el alemán.

1. Objeto
1.1. Entre las Partes existe una relación jurídica sobre la transferencia de datos personales del cliente al procesador de datos ("Contrato Principal"). Para las relaciones jurídicas entre las Partes se aplican los Términos y Condiciones Generales ("TCG") del Proveedor. Este contrato se celebra entre las Partes para garantizar una protección adecuada en la transferencia de datos personales.
1.2. Salvo que se defina lo contrario en este acuerdo, todos los términos tendrán el mismo significado que en la Ley Suiza de Protección de Datos ("LPD"). Además, este acuerdo ayuda a las Partes a cumplir con el Reglamento General de Protección de Datos de la UE ("RGPD") cuando se traten datos personales de clientes de la UE.

2. Descripción del procesamiento de datos
2.1. El Proveedor procesa datos personales por cuenta del Encargado. El contenido y duración de la relación contractual, así como el tipo y propósito del procesamiento, se derivan generalmente de los Términos y Condiciones Generales ("TCG") y del Anexo A del presente Contrato de Procesamiento de Datos. Además, los procesos de tratamiento de datos pueden consultarse en la política de privacidad vigente en el sitio web del producto del Proveedor. 2.2. Al completar el formulario de pedido y crear una cuenta de usuario en el portal de clientes de PassSecurium, el Encargado solicita el correspondiente procesamiento de datos al Proveedor. Los clientes pueden añadir, modificar o retirar sus pedidos a través del portal de clientes de PassSecurium o notificando al Proveedor. Se considerarán solicitudes de modificación de servicios aquellas instrucciones del Encargado que no estén reguladas en los TCG. Las órdenes o instrucciones verbales deben confirmarse por escrito por el Encargado o mediante depósito correspondiente en el portal de clientes.

3. Obligaciones del Proveedor
3.1. El Proveedor organizará su estructura interna dentro de su ámbito de responsabilidad para cumplir con los requisitos de protección de datos. El Proveedor tomará las medidas técnicas y organizativas adecuadas ("MTO") descritas en el Anexo C, considerando la naturaleza del procesamiento, para apoyar al Encargado en su obligación de responder a solicitudes de los interesados según la LPD y el RGPD. 3.2. Teniendo en cuenta la naturaleza del procesamiento y la información disponible, el Proveedor ayudará al Responsable a cumplir sus obligaciones según la LPD y el RGPD. En particular, en seguridad del procesamiento, notificación de violaciones a la autoridad de supervisión, comunicación a los afectados en caso de violación, evaluación de impacto de protección de datos y consulta con la autoridad de supervisión competente.
3.3. El Proveedor solo empleará para los trabajos necesarios a personas obligadas a confidencialidad, familiarizadas con las normas de protección de datos relevantes para ellas antes de su asignación, y que se hayan comprometido por escrito a cumplirlas.
3.4. El Proveedor apoyará al Encargado en el cumplimiento de solicitudes y derechos de los interesados según la normativa de protección de datos, dentro de sus posibilidades.
3.5. Si el Proveedor tiene conocimiento de violaciones a la protección de datos personales, tomará las medidas razonables para asegurar los datos y mitigar posibles consecuencias adversas para los afectados. Además, el Proveedor cumplirá plenamente con las disposiciones legales aplicables sobre notificación de violaciones de protección de datos.
3.6. Si un interesado o autoridad de protección de datos contacta directamente al Proveedor en relación con datos personales procesados bajo este acuerdo, el Proveedor informará inmediatamente al Encargado y coordinará los siguientes pasos con él.
3.7. Además, el Proveedor garantiza respecto al procesamiento de datos personales del cliente que:

• los datos personales se procesan según el Contrato de Procesamiento de Datos celebrado y exclusivamente para los fines perseguidos por elEncargado,
• los fines perseguidos por el Encargado se derivan del Anexo A (punto 1.2) o deinstrucciones expresas del Encargado u otros acuerdos con el Encargado, 
• en cuanto a herramientas de trabajo, productos, infraestructura TI y serviciosdel Proveedor se aplican los principios de "Privacidad desde el Diseño" y "Privacidad por Defecto",
• se informará al Encargado si el Proveedor no puede cumplir los acuerdos o ya no estáen condiciones de cumplirlos,
• el Proveedor, si fuera necesario, cooperará con las autoridades de supervisión competentes dentro del marco legal permitido, en consulta y siguiendo instrucciones del Encargado.

4. Obligaciones del Encargado
4.1. En el marco de la relación contractual, el Encargado es responsable de cumplir las disposiciones de protección de datos, especialmente respecto a la legalidad de la transferencia de datos al Proveedor y la legalidad de su procesamiento.
4.2. El Encargado se ha asegurado de que las MTO utilizadas por el Proveedor y descritas en el Anexo C son suficientes para garantizar una protección adecuada de los datos personales transferidos.
4.3. El Encargado está obligado a notificar inmediata y completamente por escrito o a través del sitio web/portal de clientes de PassSecurium si se detectan errores o irregularidades en los datos procesados dentro del alcance prescrito. 4.4. El Encargado designará ante el Proveedor un interlocutor para cuestiones de protección de datos que surjan en el marco de la relación contractual, si difiere de la persona de contacto mencionada.
4.5. El Encargado declara que asume la responsabilidad exclusiva de informar a las personas afectadas por el procesamiento de datos sobre el posible almacenamiento, uso, procesamiento y transferencia de datos por parte del Proveedor según lo establecido en los TCG, la política de privacidad y este Contrato de Procesamiento de Datos. Si personas afectadas individuales, es decir, terceros/clientes del Encargado, no están de acuerdo con el procesamiento de datos previsto, el Encargado es responsable de eliminar los datos correspondientes de las personas afectadas en la cuenta de cliente de PassSecurium correspondiente.
4.6. Al aceptar los Términos y Condiciones Generales y el Contrato de Procesamiento de Datos, el Encargado acepta transferir sus datos al Proveedor mismo, así como a terceros o subcontratistas a quienes el Proveedor confíe la ejecución de pedidos. El Encargado exime al Proveedor de cualquier reclamo. Es responsabilidad del Encargado obtener el consentimiento de la persona afectada.

5. Subcontratistas (otros procesadores de datos)
5.1. El Proveedor puede involucrar subcontratistas o terceros para cumplir con los servicios acordados con el Encargado y utilizar los servicios de subcontratistas o terceros para prestar los servicios según el contrato acordado con el Encargado.
5.2. El Proveedor debe asegurar en el contrato que los principios acordados en este contrato también se apliquen a los subcontratistas. La celebración del contrato entre el Proveedor y los subcontratistas debe realizarse por escrito o electrónicamente.
5.3. La contratación de subcontratistas en terceros países solo se realizará si se cumplen los requisitos especiales de la LPD y el RGPD.
5.4. Cuando sea necesario, el Proveedor celebrará contratos con subcontratistas o terceros involucrados en la ejecución del pedido para garantizar el cumplimiento total de las medidas de protección de datos y seguridad de la información. Si un subcontratista no cumple con sus obligaciones de protección de datos, el Proveedor será responsable ante el Encargado por el cumplimiento de sus obligaciones por parte del subcontratista y, en su caso, liable.
5.5. El Encargado acepta la participación de los subcontratistas enumerados en el Anexo B. Si se añade un nuevo subcontratista, el Proveedor está obligado a informar inmediatamente al Encargado. El Encargado puede oponerse a cambios en la lista de subcontratistas por motivos importantes dentro de los 14 días posteriores al conocimiento. Si no hay objeción dentro de este plazo, se considerará otorgado el consentimiento para el cambio. Si existen motivos importantes de protección de datos y no se puede encontrar una solución mutua, el Encargado tendrá derecho a rescindir el contrato extraordinariamente.
5.6. Los subcontratistas o terceros tampoco tendrán acceso a datos personales. Si no procesan datos personales, no se aplicarán las regulaciones anteriores para subcontratistas.

6. Confidencialidad
6.1. El Proveedor confirma que está familiarizado con las disposiciones relevantes de protección de datos de la LPD y el RGPD necesarias para la ejecución del pedido. Mantendrá y considerará la confidencialidad al manejar datos personales del Encargado. Esta obligación continuará después de la terminación de la relación contractual.
6.2. El Proveedor asegurará que los empleados involucrados en la ejecución de los trabajos estén familiarizados con las disposiciones de protección de datos aplicables a ellos. Está obligado a comprometer a estos empleados con la confidencialidad y secreto de acuerdo con las regulaciones de seguridad. Esto sobre la base de un acuerdo por escrito durante la vigencia del contrato de trabajo y después de su terminación, a menos que estén sujetos a una obligación legal de confidencialidad. El Proveedor supervisará el cumplimiento de las disposiciones de protección de datos en su empresa.
6.3. El Proveedor solo podrá compartir información con terceros o interesados previa aprobación del Encargado.

7. Medidas técnicas y organizativas (MTO)
7.1. El Proveedor implementará las MTO correspondientes para que el procesamiento se realice de acuerdo con los requisitos de la LPD y el RGPD y al mismo tiempo se garantice la protección de los derechos de las personas afectadas. Organizará su estructura interna para cumplir con los requisitos específicos de protección de datos y lograr un nivel adecuado de protección. En particular, el Proveedor debe garantizar durante el procesamiento un nivel suficiente de seguridad, especialmente confidencialidad (incluyendo seudonimización y encriptación), disponibilidad, integridad y resistencia a ataques, fallos en sistemas y servicios de procesamiento de datos, considerando el estado actual de la tecnología.
7.2. Las MTO pueden adaptarse al desarrollo tecnológico durante la relación contractual. Las medidas adaptadas deben cumplir al menos con el nivel de seguridad de las medidas acordadas en el Anexo C.

8. Obligaciones de información del Proveedor y violación de la protección de datos personales
8.1. El Proveedor informará inmediatamente al Encargado sobre cualquier incumplimiento o presunto incumplimiento de este acuerdo o los principios de protección de datos personales.
8.2. El Proveedor apoyará al Encargado en la investigación, limitación de daños y corrección de incumplimientos.
8.3. Si los datos personales procesados bajo este acuerdo están en peligro debido a embargo o incautación por parte del Proveedor, procedimientos de quiebra o fundación, u otros eventos o medidas de terceros, el Proveedor está obligado a notificar inmediatamente al Encargado. El Proveedor informará inmediatamente a todas las partes involucradas en el asunto que el control de los datos corresponde al Encargado.
8.4. En caso de auditoría por una autoridad de protección de datos, el Proveedor se compromete a revelar al Encargado los resultados del procesamiento de datos personales según este acuerdo. El Proveedor corregirá inmediatamente las deficiencias identificadas en el informe de auditoría y lo comunicará al Encargado.

9. Medios de prueba
9.1. El Proveedor demostrará al Encargado el cumplimiento de las obligaciones enumeradas en este anexo mediante medios adecuados. Esto se realizará mediante autoauditorías, auditorías internas y/o certificación ISO.
9.2. Si en casos individuales es necesaria una auditoría por parte del Encargado o un auditor designado por él (por ejemplo, en relación con la LPD o el RGPD), esta auditoría generalmente se realizará durante el horario comercial, sin interrupción después del registro, con la instrucción correspondiente. El Proveedor puede condicionar esto a que se realice un preaviso dentro de un plazo razonable y se establezca un acuerdo sobre la confidencialidad de los datos de otros clientes, así como medidas técnicas y organizativas. Si el auditor designado por el Encargado está en relación de competencia con el Proveedor, este puede rechazar al auditor y recomendar uno neutral. El Proveedor puede facturar al cliente los costos asociados con la auditoría, especialmente si no se identifican incumplimientos.
9.3. En caso de inspección por una autoridad de protección de datos u otra autoridad supervisora del Encargado, este capítulo se aplicará en consecuencia. No se requerirá un acuerdo de confidencialidad si la autoridad de supervisión está obligada a mantener secretos profesionales o legales cuya violación sea punible según el código penal.

10. Duración y terminación
10.1. El Proveedor procesará y almacenará datos personales durante la vigencia del Contrato Principal entre el Proveedor y el Encargado. El Proveedor corregirá o eliminará datos contractuales si existe una instrucción del Encargado y está dentro del alcance de las posibilidades de instrucción. Se exceptúan los datos necesarios para un procesamiento legal continuo o para fines internos. El Proveedor tiene derecho a suspender la ejecución de instrucciones potencialmente abusivas hasta que se demuestre su legalidad. Para la provisión de datos y la remuneración asociada se aplicarán los Términos y Condiciones Generales.

11. Responsabilidad
11.1. El Proveedor será responsable por daños resultantes de incumplimientos culpables de las disposiciones de protección de datos o este acuerdo de protección de datos en el alcance legal permitido. También será responsable por el comportamiento culposo de sus subcontratistas y contratistas.
11.2. La responsabilidad se regirá por las disposiciones correspondientes en los TCG.

12. Disposiciones varias
12.1. Por lo demás, se aplicarán las disposiciones de los Términos y Condiciones Generales y la política de privacidad de PassSecurium. En caso de conflicto entre el Contrato de Procesamiento de Datos y los Términos y Condiciones Generales, prevalecerán las disposiciones de estos últimos. Si partes individuales del Contrato de Procesamiento de Datos son inválidas, esto no afectará la validez de los Términos y Condiciones Generales ni las demás disposiciones del contrato.
12.2. Los Anexos A, B y C son partes integrales del presente Contrato de Procesamiento de Datos.

1. Anexo A: Objeto, tipo y propósito
2. Anexo B: Subcontratistas
3. Anexo C: Medidas técnicas y organizativas (MTO)

1. Anexo A – Objeto, tipo y propósito
1.1. Objeto del encargo:
Procesamiento de datos personales del Encargado en el marco de su uso de los servicios de Software como Servicio.
1.2. Alcance y propósito del procesamiento de datos:
Los datos personales procesados por el Encargado se transfieren al Proveedor en el marco de la oferta de Software como Servicio. El Proveedor procesa estos datos exclusivamente según los Términos y Condiciones Generales y las respectivas descripciones de servicios en el sitio web del Proveedor.
1.3. Tipo de datos personales:

1.4. Grupo de afectados:

2. Anexo B – Subcontratistas
2.1. Lista de subcontratistas:

3. Anexo C: Medidas técnicas y organizativas (MTO) 
3.1. Control de acceso
Se impedirá el acceso no autorizado a instalaciones de procesamiento de datos donde se procesen o utilicen datos personales mediante:

• Sistema de control de acceso
• Seguridad de puertas (cerraduras de seguridad, puertas con pomo exterior)
• Asignación controlada y documentada de llaves, llaves no duplicables
• Rejas en ventanas
• Registro de visitantes
• Cuidado en selección de servicios de limpieza
• Los datos de clientes se encuentran exclusivamente en servidores en centros de datos altamente seguros
• Para centros de datos existen controles de acceso separados con estándares de seguridad elevados (como escáner de iris, esclusas personales, videovigilancia, etc.)

3.2. Control de accesos
Prevención de lectura, copia, modificación o eliminación no autorizada dentro del sistema de procesamiento de datos, mediante:

• Cuentas personalizadas (ID de usuario único/asignación de usuario), sin uso compartido de cuentas
• Configuración individual de derechos de acceso (los derechos de acceso de los empleados están limitados a los programas que deben usar para realizar sus tareas asignadas)
• Número de administradores del sistema limitado al mínimo necesario
• Inicio de sesión con ID de usuario, contraseña y MFA
• Políticas de contraseñas (requisitos estrictos de seguridad, cambio regular de contraseñas)
• Uso de gestor de contraseñas centralizado según principio de roles y permisos mínimos
• Creación solo de registros maestros de usuario
• Bloqueo automático (timeout)/bloqueo de pantalla) de registros maestros de usuario (ej. contraseña por o Usuario / desconexión separada en pausas
• Encriptación de soportes de datos
• Separación de red y accesos a red vinculados a personas
• Capacitación de empleados, formación en concienciación
• Diseño orientado a necesidades del concepto de autorizaciones y derechos de acceso, así como su monitoreo y registro (por ejemplo mediante permisos diferenciados (perfiles, roles, transacciones y objetos), evaluaciones, conocimiento, modificación, eliminación)
• Medidas para transporte, transmisión y transferencia o almacenamiento en soportes de datos (manual o electrónico) así como para verificación posterior (por ejemplo encriptación / conexión túnel (VPN = Red Privada Virtual), Firma electrónica, registro, seguridad en transporte) 

3.3. Control de entrada
Medidas que permitan verificar posteriormente si y por quién se introdujeron, modificaron o eliminaron datos:

• Registro de inicio y cierre de sesión
• Documentación de trabajos de mantenimiento, mantenimiento remoto o reparación en sistemas TI
• Garantía de integridad de nuevos programas y actualizaciones (uso de MDM, los programas se instalan y actualizan exclusivamente a través de la gestión central de dispositivos o individualmente por el administrador)
• Verificación de malware para soportes de datos recibidos y entregados
• Copia de seguridad completa de los sistemas afectados antes de trabajos mayores de mantenimiento/remotos o reparación 

3.4. Control de encargos
Medidas que garanticen el procesamiento de datos por encargo/por terceros según instrucciones: 

• Criterios para selección cuidadosa de subcontratistas
• Redacción clara de contratos, establecimiento por escrito de instrucciones
• Medidas que garanticen que el procesamiento de datos personales por encargo se realice según las instrucciones del Encargado, ej. instrucciones por escrito, documentación de instrucciones, oferta y confirmación de pedido, garantía de compromiso de empleados del Proveedor con la confidencialidad de protección de datos, responsabilidades contractuales (personas autorizadas para dar instrucciones y destinatarios), controles regulares en la empresa
• Contratos de procesamiento por encargo
• Encargo por escrito
• Control de las MTO de los Proveedores
• Controles de subcontratistas (especialmente de medidas técnicas y organizativas)
• Garantía de destrucción de datos tras finalización del encargo
• En colaboraciones que se extiendan más de un año, los subcontratistas y su nivel de protección se revisarán anualmente

3.5. Control de separación
Los datos recopilados para diferentes propósitos deben procesarse por separado:

• Separación de datos que conciernen a diferentes clientes/encargados
• Separación de datos que se procesan para diferentes propósitos
• Uso de sistemas diferentes, específicos para clientes o multiinquilino
• Separación funcional (desarrollo/prueba/producción)
• Separación física o lógica
• Cumplimiento de plazos de eliminación según LPD suiza

3.6. Control de transferencia
Sin lectura, copia, modificación o eliminación no autorizada durante transmisión electrónica o transporte:

• Encriptación
• Conexión túnel (VPN = Red Privada Virtual)
• Registro
• Provisión de datos solo a través del propio sistema en la nube encriptado

3.7. Disponibilidad y resiliencia
Protección contra destrucción o pérdida accidental o intencional, ej. medidas para copias de seguridad (físicas/lógicas). Garantía de que todas las funciones del sistema estén disponibles y se notifiquen fallos:

• Propia infraestructura de servidores en centros de datos certificados (resistencia/resiliencia de sistemas TI)
• Plan de emergencia para desastres TI (Disaster Recovery Plan) y para violaciones de protección de datos
• Procedimientos de backup (online, offline), plan de backups
• Sistemas redundantes
• Espejado de discos (procedimiento RAID)
• Suministro eléctrico ininterrumpido (UPS)
• Separación física del almacenamiento de datos
• Antivirus / firewall 

3.8. Control organizacional
La organización sin problemas de protección de datos y seguridad de la información se garantiza mediante las siguientes medidas:

• Compromiso por escrito de todos los empleados con la confidencialidad de protección de datos
• Directrices para uso de acceso a internet corporativo y cuenta de correo corporativo
• Capacitación/sensibilización regular de empleados, directrices / manuales para empleados
• Organización de implementación de protección de datos (delegado externo de protección de datos y empleados internos que lo apoyen)
• Auditoría de procesos internos
• Elaboración de concepto de protección de datos
• Existencia de concepto de seguridad TI
• Directrices/instrucciones de trabajo para manejo de datos personales en teletrabajo/oficina móvil
• Directrices para uso de dispositivos privados para actividades laborales (Bring-Your-Own-Device)

3.9. Configuración predeterminada respetuosa con la privacidad (Privacidad por Defecto / Privacidad desde el Diseño)

• No se recopilan más datos personales de los necesarios para el propósito respectivo
• En desarrollo de software se asegura que el software solicite/requiera la menor cantidad de datos posible para el procesamiento
• Ejercicio sencillo del derecho de revocación del afectado mediante medidas técnicas
• Principio Zero Knowledge – sin acceso a datos de clientes 

3.10. Control de eficacia
La organización sin problemas de protección de datos y seguridad de la información se garantiza mediante las siguientes medidas:

• Controles regulares de la eficacia de las medidas organizativas implementadas
• Control regular del funcionamiento del software antivirus y firewall
• Control y documentación regular de la gestión de autorizaciones
• Certificación de seguridad TI según ISO:27001
• Auditoría por proveedor externo
• Pruebas de penetración