El presente Anexo tiene por objeto definir las condiciones en las que FYGR, en su calidad de subcontratista y en el marco de las prestaciones definidas en el documento, se compromete a realizar operaciones de tratamiento de datos personales por cuenta de sus usuarios de conformidad con las disposiciones aplicables en materia de protección de datos personales, en particular la Ley de 6 de enero de 1978 modificada relativa a la informática, a los ficheros y a las libertades y el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo de 27 de abril de 2016 aplicable desde el 25 de mayo de 2018 (en adelante "RGPD").
Por lo tanto, a efectos del presente documento, FYGR actúa como "subcontratista" en los siguientes casos: cuando el cliente almacena o proporciona acceso a información personal relativa a terceros mediante el uso del servicio Powens, Bridge API o Fintecture.
Se presume que el usuario actúa como "responsable del tratamiento" en el sentido de las definiciones dadas por el RGPD.
En el marco de sus relaciones contractuales, las partes se comprometen así, cada una en lo que le concierne, a respetar la normativa en vigor aplicable al tratamiento de los datos de carácter personal.
En el marco de sus relaciones contractuales, las partes se comprometen así, cada una en lo que le concierne, a respetar la normativa en vigor aplicable al tratamiento de los datos de carácter personal.
Datos personales: cualquier información relativa a una persona física identificada o identificable (en lo sucesivo, el "interesado"); una "persona física identificable" es aquella que puede ser identificada, directa o indirectamente, en particular por referencia a un identificador, como un nombre, un número de identificación, datos de localización, un identificador en línea, o a uno o más factores específicos de su identidad física, fisiológica, genética, mental, económica, cultural o social.
Datos sensibles o categorías especiales de datos: datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como los datos genéticos, los datos biométricos destinados a identificar de manera unívoca a una persona física, los datos relativos a la salud o los datos relativos a la vida sexual o a la orientación sexual de una persona física (artículo 9 del RGPD).
Tratamiento: cualquier operación o conjunto de operaciones, efectuadas o no mediante procedimientos automatizados, y aplicadas a datos o conjuntos de datos personales, como la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción.
Responsable del tratamiento : la persona física o jurídica, autoridad pública, agencia u otro organismo que, solo o conjuntamente con otros, determine los fines y medios del tratamiento; Subencargado del tratamiento: la persona física o jurídica, autoridad pública, agencia u otro organismo que trate datos personales por cuenta del responsable del tratamiento.
Destinatario : la persona física o jurídica, autoridad pública, departamento o cualquier otro organismo que reciba datos personales, ya sea un tercero o no. No obstante, no se consideran destinatarios las autoridades públicas que puedan recibir datos personales en el contexto de una investigación específica de conformidad con la legislación de la UE o de un Estado usuario; el tratamiento de dichos datos por las autoridades públicas en cuestión cumple las normas de protección de datos aplicables en función de los fines del tratamiento.
FYGR está autorizada, como Subcontratista que actúa bajo las instrucciones del usuario, a tratar los Datos Personales del Responsable del Tratamiento en la medida necesaria para la prestación de los servicios.
La naturaleza de las operaciones llevadas a cabo por FYGR en relación con los Datos Personales puede ser el almacenamiento de información y/o cualquier otro servicio descrito en las CDS. El tipo de Datos Personales y las categorías de personas afectadas son determinados y controlados por el usuario a su entera discreción. Las actividades de tratamiento son llevadas a cabo por FYGR durante el tiempo establecido en las CGU.
Como subcontratista, FYGR se compromete a :
1. Tratar los Datos Personales con el único fin de prestar los Servicios;
2. No acceder ni utilizar los Datos Personales para fines distintos de los necesarios para la prestación de los servicios;
3. Tratar los Datos Personales de acuerdo con las instrucciones documentadas del usuario;
4. Informar al usuario si, en su opinión y teniendo en cuenta la información de que disponga, alguna de las instrucciones constituye una infracción del GDPR o de cualquier otra disposición del Derecho de la Unión o de la legislación de los Estados usuarios relativa a la protección de datos;
5. Garantizar la confidencialidad de los datos personales tratados en el ejercicio de sus funciones;
6. En su caso, garantizar que los usuarios de su personal autorizado para el tratamiento de Datos Personales :
7. Tener en cuenta los principios de protección de datos desde el diseño y protección de datos por defecto en sus herramientas, productos, aplicaciones y servicios;
8.
Subcontratistas Subsiguientes: FYGR podrá contratar a otro subcontratista para el tratamiento de los Datos Personales para la realización de los servicios ("Subcontratista Subsiguiente").
El usuario autoriza expresamente a FYGR a contratar a estas empresas como Subcontratistas Subsiguientes. En todo caso, el Subcontratista Subsiguiente se obliga a cumplir las obligaciones de este contrato por cuenta y siguiendo las instrucciones de FYGR. Es responsabilidad de FYGR que el Subcontratista Posterior presente las mismas garantías suficientes en cuanto a la implantación de las medidas técnicas y organizativas adecuadas para que el tratamiento cumpla con los requisitos del Reglamento Europeo de Protección de Datos. Si el Subcontratista Subsiguiente no cumpliera con sus obligaciones en materia de protección de datos, FYGR seguiría siendo plenamente responsable ante el usuario del cumplimiento por parte del otro subcontratista de sus obligaciones.
9.
Derecho de información de los interesados: El usuario, como responsable del tratamiento, es plenamente responsable de informar a los interesados de sus derechos y de garantizar el respeto de los mismos, incluidos los derechos de acceso, rectificación, supresión, limitación o portabilidad.
10.
Ejercicio de los derechos de los particulares: FYGR prestará la cooperación y asistencia que sean razonablemente necesarias para responder a las solicitudes de los interesados. Dicha cooperación y asistencia razonables podrán incluir (a) comunicar al usuario cualquier solicitud recibida directamente del titular de los datos y (b) permitir al Responsable del tratamiento diseñar y desplegar las medidas técnicas y organizativas necesarias para responder a las solicitudes de los titulares de los datos.
El usuario, como Responsable del Tratamiento, es el único responsable de las respuestas a dichas solicitudes. El usuario reconoce y acepta que, en el caso de que dicha cooperación y asistencia requiera recursos significativos por parte de FYGR, ello podrá ser repercutido al usuario siempre que se le notifique y consienta previamente.
11.
Notificación de violaciones de datos personales: FYGR se compromete a notificar al usuario por cualquier medio cualquier violación de datos personales en un plazo máximo de 72 (setenta y dos) horas tras tener conocimiento de la misma. Esta notificación irá acompañada de toda la documentación útil para que el usuario pueda, en su caso, notificar esta violación a la autoridad de control competente (CNIL).
12.
Asistencia de FYGR en el marco del cumplimiento de las obligaciones del usuario: FYGR se compromete, en la medida de lo posible y si fuera necesario, a asistir al usuario en la realización de análisis de impacto relativos a la protección de datos. FYGR también se compromete, si fuera necesario, a asistir al usuario en la realización de consultas previas a la autoridad de control (CNIL).
13.
Medidas de seguridad: FYGR aplica las medidas técnicas y organizativas apropiadas para garantizar la seguridad, confidencialidad e integridad del tratamiento de los datos y para protegerlos contra la destrucción, pérdida, alteración, difusión o acceso no autorizado a los datos personales transmitidos, conservados o tratados de otra forma.
14.
Destino de los datos: Al final del servicio (incluyendo la terminación de las CDS), FYGR se compromete a eliminar cualquier contenido (incluyendo datos, archivos, etc..
) reproducidos, almacenados, alojados o utilizados de otro modo por el usuario en el contexto de los servicios, a menos que una solicitud emitida por una autoridad legal o judicial competente, o la legislación aplicable de la Unión Europea o de un Estado usuario de la Unión Europea, exija lo contrario. El usuario es el único responsable de garantizar que las operaciones necesarias (como copias de seguridad, transferencia a una solución de terceros, etc..) para la conservación de los Datos Personales se lleven a cabo, en particular antes de finalizar o expirar los servicios, y antes de realizar cualquier operación de supresión, actualización o reinstalación de los servicios.
A este respecto, se informa al usuario de que la terminación y expiración del servicio por cualquier motivo, así como determinadas operaciones de actualización o reinstalación de los servicios, pueden dar lugar automáticamente a la eliminación irreversible de cualquier contenido reproducido, almacenado, alojado o utilizado de otro modo por el usuario como parte de los servicios, incluida cualquier posible copia de seguridad.
15.
Registro de categorías de actividades de tratamiento: FYGR declara que mantiene un registro escrito de todas las categorías de actividades de tratamiento llevadas a cabo en nombre del usuario, incluyendo:
16.
Documentación: FYGR pondrá a disposición de sus usuarios la documentación necesaria para demostrar el cumplimiento de todas sus obligaciones y para permitir y ayudar en las auditorías, incluidas las inspecciones, que lleve a cabo el usuario u otro auditor designado por éste. No obstante, en el marco de dichas auditorías, el usuario o el auditor designado por éste no podrán acceder a los secretos comerciales de FYGR, a la información estratégica de FYGR o a la información que FYGR se haya comprometido a mantener confidencial en relación con sus otros clientes y/o socios. FYGR podrá oponerse a cualquier medida de control por parte del usuario o del auditor designado por FYGR que le permita acceder a dichos datos o información. En todo caso, FYGR se asegurará de que el auditor y, en general, el personal que lleve a cabo la auditoría estén sujetos a las obligaciones de confidencialidad adecuadas.
El usuario se compromete a cumplir con las obligaciones que le incumben como responsable del tratamiento de datos en virtud del RGPD. En este sentido, es responsabilidad del usuario garantizar que:
Además, el usuario se compromete a :