Acuerdo de tratamiento de datos

Partes 

(1) El Cliente (en lo sucesivo, el «Responsable del tratamiento»), y 

(2) Tandem Health AB, sociedad constituida y registrada en Suecia con el número de registro 559444-6857, con domicilio social en Kungsgatan 14, 111 35 Estocolmo, Suecia («Tandem» o el «encargado del tratamiento»), 

cada una de ellas una parte y, en conjunto, las partes. 

1. Antecedentes y finalidad 

1.1 El presente Acuerdo de Tratamiento de Datos (el «ATD») forma parte del contrato de cliente celebrado entre el Responsable del tratamiento y el Encargado del tratamiento (el «Contrato de cliente»), que se rige por y está sujeto a las condiciones de servicio del Encargado del tratamiento (las «Condiciones»). El presente ATD deberá leerse e interpretarse en dicho contexto. El presente ATD regula el tratamiento de datos personales por parte del Encargado en nombre del Responsable en relación con los servicios prestados en virtud del Contrato de Cliente y de las Condiciones, así como el nivel de protección de datos que debe mantenerse. 

1.2 El presente ATD tiene por objeto garantizar los derechos y libertades de los interesados cuando el responsable del tratamiento contrate a un encargado del tratamiento para el tratamiento de datos personales, así como cumplir los requisitos del artículo 28, apartado 3, del Reglamento (UE) 2016/679 (el Reglamento General de Protección de Datos, «RGPD»), o, cuando el responsable del tratamiento esté sujeto a él, el Reglamento General de Protección de Datos del Reino Unido (el «RGPD del Reino Unido»), la Ley Federal Suiza de Protección de Datos y la Ordenanza de Protección de Datos asociada, o las leyes cantonales suizas de protección de datos. 

1.3 Formarán parte del ATD los siguientes elementos: 

(a) Descripción del tratamiento 

(b) Medidas técnicas y organizativas 

(c) Subencargados del tratamiento 

1.4 Si alguna disposición del presente ATD fuera incompatible con cualquiera de los términos y condiciones de las Condiciones, prevalecerán las disposiciones del presente ATD. Los términos en mayúsculas no definidos en el presente documento (si los hubiera) tendrán el significado que se les atribuye en las Condiciones. 

2. Definiciones 

Las siguientes definiciones se aplican a lo largo de todo el presente ATD, tanto si se utilizan en singular como en plural. 

Responsable del tratamiento: la persona física o jurídica, autoridad pública, organismo u otra entidad que, por sí sola o conjuntamente con otros, determina los fines y los medios del tratamiento de los datos personales. 

Legislación en materia de protección de datos: tiene el significado que se le atribuye en las Condiciones. 

Interesado: Una persona física cuyos datos personales sean objeto de tratamiento (incluidos los usuarios, los participantes y los participantes de apoyo, tal y como se definen con más detalle en la «Descripción del tratamiento»). 

ATD: El presente Acuerdo de Tratamiento de Datos, incluidos sus anexos (que puedan incluirse o incorporarse por referencia). 

RGPD: El RGPD o el RGPD del Reino Unido (tal y como se definen en las Condiciones), según sea aplicable al Responsable del tratamiento. 

Instrucciones: Las instrucciones documentadas emitidas por el responsable del tratamiento en las que se especifican el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados, tal y como se establece en el ATD y en las Condiciones. 

Encargado del tratamiento: La persona física o jurídica, autoridad pública, agencia u otro organismo que trata datos personales por cuenta del responsable del tratamiento. 

Subencargado del tratamiento: cualquier encargado del tratamiento contratado por el Encargado del tratamiento con el fin de tratar los datos personales en virtud del presente acuerdo. 

Datos personales: cualquier información relativa a una persona física identificada o identificable. 

Violación de datos personales: un incidente de seguridad que dé lugar a la destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado, de forma accidental o ilícita, a los datos personales transmitidos, almacenados o tratados de cualquier otra forma. 

País tercero: un Estado que no es miembro de la Unión Europea («UE») ni del Espacio Económico Europeo («EEE»). 

3. Tratamiento de datos personales 

3.1 El responsable del tratamiento designa al encargado del tratamiento para que lleve a cabo el tratamiento en nombre del responsable del tratamiento, tal y como se establece en el presente ATD y en las Condiciones. El responsable del tratamiento emitirá instrucciones documentadas, tal y como se establece en la «Descripción del tratamiento», al encargado del tratamiento, y lo establecido en las Condiciones en lo que respecta a la prestación del servicio formará parte de las instrucciones por referencia. El encargado del tratamiento solo tratará los datos personales en nombre del responsable del tratamiento de conformidad con dichas instrucciones documentadas. 

3.2 Si el Encargado del tratamiento considera que una Instrucción infringe la legislación en materia de protección de datos, deberá notificarlo sin demora al Responsable del tratamiento. El Encargado del tratamiento podrá suspender el tratamiento en virtud de la Instrucción objeto de controversia hasta que el Responsable del tratamiento haya confirmado por escrito que dicha Instrucción es lícita. El Encargado del tratamiento no será responsable de ningún retraso derivado de dicha suspensión ni del tratamiento realizado de conformidad con las Instrucciones documentadas del Responsable del tratamiento, siempre que el Encargado del tratamiento haya informado al Responsable del tratamiento en caso de que dichas Instrucciones parezcan infringir la legislación aplicable en materia de protección de datos. 

3.3 El ATD (incluidos sus anexos) y las Condiciones constituyen en su conjunto la totalidad de las instrucciones del Responsable del tratamiento al Encargado del tratamiento para el tratamiento de datos personales en virtud de las Condiciones. 

4. Obligaciones del responsable del tratamiento 

4.1 El responsable del tratamiento asume la plena responsabilidad de garantizar que exista una base jurídica adecuada —en los casos en que sea aplicable, la condición del artículo 9 del RGPD (o el requisito equivalente en virtud de la Legislación en materia de protección de datos)— y cualquier otra autorización necesaria para todo el tratamiento contemplado en el presente ATD, incluidas las bases legales en materia de asistencia sanitaria o social, los permisos, las autorizaciones, los avisos informativos, las condiciones o los consentimientos cuando estos últimos sean legalmente exigibles; asimismo, el responsable del tratamiento es responsable de proporcionar instrucciones que sean lícitas, claras y suficientes para que el encargado del tratamiento pueda cumplir con sus obligaciones. 

4.2 El responsable del tratamiento notificará sin demora al encargado del tratamiento, por escrito, cualquier cambio en el tratamiento que afecte a las obligaciones de este último en virtud de la legislación en materia de protección de datos. Dichos cambios se considerarán instrucciones modificadas y no surtirán efecto hasta que ambas partes los hayan acordado por escrito. 

4.3 El responsable del tratamiento es el único responsable de cumplir con sus propias obligaciones en virtud de la legislación en materia de protección de datos, lo que incluye informar a los interesados, atender sus solicitudes y mantener sus propios registros de las actividades de tratamiento. Cada parte es responsable de su propio cumplimiento de la legislación aplicable en materia de protección de datos. 

5. Obligaciones del encargado del tratamiento 

5.1 El Encargado del tratamiento tratará los Datos Personales del Responsable del tratamiento únicamente de conformidad con el presente ATD y con las Instrucciones del Responsable del tratamiento, y cumplirá con la legislación aplicable en materia de protección de datos en relación con sus obligaciones como encargado del tratamiento en virtud del ATD. 

5.2 El encargado del tratamiento aplicará medidas técnicas y organizativas razonables y adecuadas, en la medida en que estén razonablemente a su alcance, para proteger los datos personales contra la destrucción, la pérdida, la alteración, la divulgación o el acceso no autorizados, ya sean accidentales o ilícitos, con el fin de garantizar un nivel de seguridad adecuado al riesgo. 

5.3 El Encargado del tratamiento, previa solicitud razonable por escrito del Responsable del tratamiento y teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, prestará asistencia razonable al Responsable del tratamiento para que este cumpla con sus obligaciones en virtud de los artículos 32 a 36 del RGPD de la UE o del RGPD del Reino Unido, según proceda, y para que responda a las solicitudes de los interesados con arreglo al capítulo III de los mismos. Dicha asistencia se limitará a la información y las medidas de las que el Encargado del tratamiento disponga razonablemente y no exigirá que el Encargado del tratamiento revele el código fuente, los pesos de los modelos, los conjuntos de datos protegidos, los secretos comerciales, la arquitectura sensible desde el punto de vista de la seguridad, la información confidencial relativa a otros clientes o cualquier otra información confidencial de terceros, siempre que el Encargado del tratamiento facilite información alternativa suficiente para demostrar el cumplimiento del presente Acuerdo de Tratamiento de Datos. El responsable del tratamiento reembolsará al encargado del tratamiento todos los costes razonables derivados de la asistencia que exceda el alcance habitual de los servicios previstos en el presente acuerdo de tratamiento de datos. 

6. Seguridad 

6.1 El Encargado del tratamiento se asegurará de forma continua de que sus medidas de seguridad proporcionen un nivel adecuado de confidencialidad, integridad, disponibilidad y resiliencia, acorde con el riesgo de conformidad con la Ley de Protección de Datos, y comprobará y evaluará la eficacia de dichas medidas con una periodicidad razonable. Las medidas técnicas y organizativas del Encargado del tratamiento se describen con más detalle aquí. 

6.2 El acceso a los datos personales se limitará al personal que lo necesite para desempeñar sus funciones en virtud del presente ATD. 

6.3 Cualquier requisito de seguridad nuevo o modificado que solicite el Responsable del tratamiento tras la firma del presente Acuerdo de Tratamiento de Datos se considerará una modificación de las Instrucciones y requerirá el acuerdo por escrito de las partes antes de entrar en vigor. 

7. Confidencialidad 

7.1 El Encargado del tratamiento y todo el personal que actúe bajo su autoridad mantendrán la confidencialidad con respecto a todos los datos personales tratados en virtud del presente ATD y no utilizarán ni divulgarán dichos datos para ningún fin distinto de los establecidos en el presente ATD o en las Instrucciones, salvo que el Responsable del tratamiento haya dado su consentimiento previo por escrito o que la divulgación sea exigida por la legislación aplicable (incluidas las leyes de sus Estados miembros) o por decisiones de las autoridades. 

7.2 El Encargado del tratamiento se asegurará de que todos los empleados, consultores y demás personas que actúen bajo su autoridad y que traten Datos Personales estén sujetos a las obligaciones de confidencialidad adecuadas. 

7.3 El encargado del tratamiento notificará por escrito y sin demora indebida al responsable del tratamiento cualquier contacto por parte de una autoridad de control que se refiera al tratamiento en virtud del presente ATD. El encargado del tratamiento no representará ni actuará en nombre del responsable del tratamiento ante ninguna autoridad de control sin autorización previa por escrito. 

7.4 Cuando un interesado, una autoridad de control o un tercero solicite información al Encargado del tratamiento en relación con el tratamiento previsto en el presente ATD, el Encargado del tratamiento remitirá la solicitud al Responsable del tratamiento. 

8. Auditoría y supervisión 

8.1 El Encargado del tratamiento, previa notificación por escrito con una antelación razonable (no inferior a treinta (30) días, salvo en caso de incumplimiento sustancial verificado o de requisito normativo sustancial, en cuyo caso se notificará al Encargado del tratamiento tan pronto como sea razonablemente posible), pondrá a disposición del Responsable del tratamiento la información razonablemente necesaria para demostrar el cumplimiento del presente ATD, siempre que el alcance de dicha información sea proporcionado y directamente relevante para las obligaciones del Encargado del tratamiento en virtud del ATD y de las Condiciones. El Encargado del tratamiento podrá cumplir esta obligación facilitando informes de auditoría existentes, certificaciones (por ejemplo, ISO 27001) o documentación equivalente. 

8.2 Cuando el Responsable del tratamiento requiera una auditoría in situ, dicha auditoría se llevará a cabo a cargo del Responsable del tratamiento (incluidos los costes razonables del Encargado del tratamiento relacionados con dicha auditoría, que se le reembolsarán), durante el horario laboral habitual, de manera que se minimicen las interrupciones en las operaciones del Encargado del tratamiento, y será realizada por auditores sujetos a la obligación de confidencialidad. El responsable del tratamiento se asegurará de que ningún competidor del encargado del tratamiento participe en la realización de dicha auditoría. Como alternativa a las auditorías in situ, el encargado del tratamiento podrá presentar informes de auditoría o certificaciones de terceros independientes. Las auditorías se limitarán a la información estrictamente necesaria para verificar el cumplimiento del presente ATD y no exigirán la divulgación del código fuente, los pesos de los modelos, los secretos comerciales, la arquitectura sensible desde el punto de vista de la seguridad, la información confidencial de otros clientes, la información confidencial de terceros o los sistemas utilizados por otros clientes, salvo en la medida estrictamente necesaria para verificar el cumplimiento del presente ATD y con sujeción a los controles adecuados de confidencialidad, acceso y seguridad. El Encargado del tratamiento podrá facilitar dicha información mediante resúmenes, informes de terceros, certificaciones o sesiones de revisión con el responsable del tratamiento. 

8.3 El Encargado del tratamiento permitirá el acceso a las autoridades de control u otras autoridades con derecho legítimo de acceso, en la medida en que lo exija la legislación aplicable, incluso cuando dicho acceso entre en conflicto con las disposiciones del presente ATD. Cuando el Encargado del tratamiento reciba una solicitud legalmente vinculante de divulgación de datos personales por parte de una autoridad pública, el Encargado del tratamiento, siempre que la ley lo permita, notificará al Responsable del tratamiento antes de responder a dicha solicitud. 

8.4 El responsable del tratamiento, o cualquier auditor designado por este, podrá realizar una (1) auditoría por año natural. Podrán realizarse auditorías adicionales cuando así lo exija la legislación en materia de protección de datos, una autoridad de control o tras una violación de datos personales o una sospecha de incumplimiento sustancial, siempre que el alcance sea proporcionado y directamente relevante para las obligaciones del encargado del tratamiento en virtud del presente ATD. 

9. Rectificación y supresión 

9.1 Previa solicitud por escrito del responsable del tratamiento, el encargado del tratamiento rectificará o suprimirá los datos personales en un plazo de treinta (30) días naturales a partir de la recepción de la solicitud y de la información necesaria para atenderla. El responsable del tratamiento reembolsará al encargado del tratamiento los costes razonables derivados de las solicitudes de rectificación o supresión que excedan el alcance habitual de los servicios. El encargado del tratamiento podrá conservar los datos personales en la medida en que lo exija la legislación aplicable, en cuyo caso lo notificará al responsable del tratamiento y se asegurará de que dichos datos conservados solo se traten para los fines exigidos por la legislación aplicable. 

10. Violaciones de la seguridad de los datos personales 

10.1 El encargado del tratamiento notificará al responsable del tratamiento sin demora injustificada y, en cualquier caso, en un plazo de cuarenta y ocho (48) horas tras tener conocimiento de una violación confirmada de datos personales que afecte a los datos personales tratados en virtud del presente ATD. A efectos de la presente cláusula, se considerará confirmada una violación cuando el encargado del tratamiento haya verificado que se ha producido un incidente que afecta a los datos personales. 

10.2 El encargado del tratamiento adoptará medidas razonables para investigar, contener y subsanar cualquier violación de datos personales y mantendrá la capacidad de restablecer la disponibilidad y el acceso a los datos personales en un plazo razonable tras un incidente físico o técnico, de conformidad con el artículo 32, apartado 1, letra c), del RGPD. 

10.3 El encargado del tratamiento facilitará al responsable del tratamiento la siguiente información, en la medida en que esté disponible, ya sea en el momento de la notificación inicial o posteriormente, sin demoras indebidas: 

• la naturaleza de la violación, incluyendo, cuando sea posible, las categorías y el número aproximado de interesados y de registros de datos personales afectados; 

• las consecuencias probables de la violación; y 

• las medidas adoptadas o propuestas para hacer frente a la violación y mitigar sus efectos. 

10.4 Cuando no se disponga de toda la información en el momento de la notificación inicial, el encargado del tratamiento podrá facilitarla por fases a medida que esté disponible. 

11. Subencargados del tratamiento 

11.1 El responsable del tratamiento otorga al encargado del tratamiento una autorización general por escrito para que contrate a subencargados del tratamiento. Se mantiene una lista actualizada de los subencargados del tratamiento, disponible aquí. 

11.2 El encargado del tratamiento notificará por escrito al responsable del tratamiento cualquier intención de añadir o sustituir a un subencargado del tratamiento al menos catorce (14) días antes de que el cambio entre en vigor, identificando al subencargado del tratamiento y la naturaleza del tratamiento. Si no se formula ninguna objeción dentro de ese plazo de catorce (14) días, el cambio se considerará aceptado. Cuando el responsable del tratamiento formule una objeción razonable, las partes debatirán el asunto de buena fe. Si no existe un subencargado del tratamiento alternativo comercialmente razonable disponible y las partes no logran llegar a un acuerdo, el único remedio del Responsable del tratamiento consistirá en dejar de utilizar la parte afectada de los servicios a la que se refiera el subencargado del tratamiento objeto de la objeción, en lugar de bloquear la contratación de dicho subencargado del tratamiento para todos los clientes a nivel mundial. 

11.3 El encargado del tratamiento impondrá a cada subencargado del tratamiento obligaciones en materia de protección de datos que no sean menos estrictas que las establecidas en el presente Acuerdo de Tratamiento de Datos, y el encargado del tratamiento será responsable ante el responsable del tratamiento por el cumplimiento de las obligaciones de los subencargados del tratamiento. 

12. Transferencias internacionales 

12.1 El encargado del tratamiento se asegurará, por defecto, de que los datos personales se traten dentro de la UE/EEE. El responsable del tratamiento concede autorización general para las transferencias a terceros países, siempre que se apliquen las garantías adecuadas previstas en el capítulo V del RGPD. Dichas garantías adecuadas pueden incluir la celebración por parte del encargado del tratamiento de un contrato con un subencargado del tratamiento basado en las cláusulas contractuales tipo de la Comisión Europea para la transferencia de datos personales a un país fuera de la UE/EEE, así como medidas complementarias adecuadas. Una transferencia de datos personales a un país fuera de la UE/EEE también podrá basarse en una decisión de adecuación válida. 

13. Responsabilidad 

13.1 En la medida en que lo permita la legislación aplicable, la responsabilidad total acumulada de cada parte frente a la otra parte que se derive de este ATD o esté relacionada con él (ya sea por contrato, por responsabilidad extracontractual o de otro tipo) estará sujeta a las limitaciones y exclusiones de responsabilidad establecidas en las Condiciones, y se incluirá en ellas. 

13.2 Si alguna de las partes tiene conocimiento de circunstancias que puedan dar lugar a pérdidas o a una responsabilidad para la otra parte, deberá informar de ello sin demora a dicha parte y cooperar de buena fe para prevenir o minimizar dichas pérdidas. 

13.3 Las cláusulas 13.1 y 13.2 del presente ATD prevalecerán sobre cualquier disposición contradictoria de las Condiciones relativa a la atribución de responsabilidad en relación con el tratamiento. 

14. Modificaciones 

14.1 Para que cualquier adición o modificación del presente ATD sea válida, deberá ser acordada por escrito por ambas partes. 

14.2 Sin perjuicio de lo dispuesto en la cláusula 14.1, el Encargado del tratamiento podrá modificar el presente ATD o parte del mismo previa notificación por escrito con treinta (30) días de antelación al Responsable del tratamiento, cuando dicha modificación sea necesaria (i) para que las partes sigan cumpliendo con la Ley de Protección de Datos, o (ii) para reflejar cambios operativos o relacionados con la seguridad en los servicios o en las medidas técnicas y organizativas del Encargado del tratamiento, siempre que dicha modificación no reduzca de manera sustancial el nivel de protección otorgado a los datos personales en virtud del presente ATD. 

15. Vigencia y rescisión 

15.1 El presente ATD permanecerá en vigor mientras el Encargado del tratamiento trate Datos Personales en nombre del Responsable del tratamiento con arreglo a las Condiciones. Tras la rescisión del ATD, por cualquier motivo, el Encargado del tratamiento, a petición por escrito del Responsable del tratamiento, devolverá todos los Datos Personales en un formato acordado mutuamente o los suprimirá, según elija el Responsable del tratamiento. Salvo que se especifique lo contrario en las Instrucciones, el Encargado del tratamiento eliminará de forma segura todos los datos personales tratados en virtud del presente ATD en un plazo de treinta (30) días naturales a partir de la rescisión, siempre que, si fuera necesario, haya devuelto previamente los datos personales solicitados por el Responsable del tratamiento. El Encargado del tratamiento podrá conservar los datos personales en la medida en que lo exija la legislación aplicable, en cuyo caso lo notificará al Responsable del tratamiento (salvo que la legislación aplicable lo prohíba). La supresión de los datos personales de los sistemas de copia de seguridad podrá producirse de conformidad con los ciclos habituales de eliminación de copias de seguridad del Encargado del tratamiento. Cualquier dato personal conservado en copias de seguridad en espera de su eliminación programada estará protegido frente a cualquier tratamiento ulterior, salvo en la medida en que sea necesario para fines de restauración o continuidad del negocio. 

15.2 El presente ATD se rescindirá automáticamente tras la rescisión o el vencimiento de los Términos, si bien sus disposiciones seguirán aplicándose a cualquier Dato Personal que el Encargado del tratamiento continúe tratando tras dicha rescisión o vencimiento, hasta que dichos Datos Personales hayan sido devueltos o eliminados de conformidad con la cláusula 15.1 (o, en caso de que se conserven en virtud de la legislación aplicable, mientras se mantengan conservados). 

16. Legislación aplicable y resolución de litigios 

16.1 El presente ATD se regirá por la legislación sueca, con exclusión de sus normas de conflicto de leyes. 

16.2 Cualquier controversia relativa a la interpretación o aplicación del presente ATD se resolverá de conformidad con las disposiciones sobre resolución de controversias recogidas en las Condiciones. 

16.3 Este Acuerdo de Tratamiento de Datos podrá estar disponible en idiomas distintos del inglés. En la medida en que existan inconsistencias o conflictos entre la versión en inglés de este Acuerdo de Tratamiento de Datos y cualquier versión en otro idioma, prevalecerá la versión más reciente en inglés. Todo procedimiento relativo a una controversia derivada de este Acuerdo de Tratamiento de Datos se llevará a cabo en el idioma especificado en los Términos.