MASS SECURITY COMO ENCARGADO DE TRATAMIENTO
Conforme al artículo 28 RGPD y concordantes de la LOPDGDD, MASS SECURITY trata los datos personales respecto a los cuales el CLIENTE ostentara la condición de responsable y MASS SECURITY actúa como encargado del tratamiento, conforme a los términos que a continuación se indican:
- MASS SECURITY sólo trata los datos conforme a las instrucciones del CLIENTE (responsable del tratamiento), no utilizándolos para un fin distinto al que figura en las presentes condiciones contractuales.
- MASS SECURITY lleva por escrito un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable, que contenga el nombre y los datos de contacto del encargado o encargados y de cada responsable por cuenta del cual actúe el encargado y, en su caso, del representante del responsable o del encargado y del delegado de protección de datos; las categorías de tratamientos efectuados por cuenta del responsable y una descripción general de las medidas técnicas y organizativas de seguridad apropiadas que esté aplicando.
- MASS SECURITY informa al CLIENTE lo antes posible, de las brechas de seguridad de los datos bajo su protección, de forma que el CLIENTE disponga de tiempo suficiente para informar, en su caso, a la Agencia Española de Protección de Datos (AEPD) o a los interesados.
- MASS SECURITY asiste al CLIENTE, cuando corresponda, en evaluaciones de impacto relacionadas con la protección de datos, en caso de solicitudes para ejercer los derechos de protección de datos y consultas previas con la autoridad supervisora.
- MASS SECURITY pone a disposición del CLIENTE toda la información necesaria para demostrar el cumplimiento de sus obligaciones de protección de datos.
- Cumplida la prestación de los servicios que motiven el tratamiento de los datos personales, estos se destruyen, al igual que cualquier soporte o documentos en los que conste algún dato de carácter personal o cualquier tipo de información que se haya generado durante, para y/o por la prestación de los servicios objeto de las correspondientes condiciones. No obstante, MASS SECURITY podrá mantener debidamente bloqueados los citados datos durante el período en el cual se puedan derivar responsabilidades de su relación con el CLIENTE.
- En el caso de que MASS SECURITY destine los datos para su propia finalidad será considerado responsable del tratamiento. MASS SECURITY se obliga, de conformidad con la normativa vigente, a mantener el debido secreto profesional respecto de los datos personales a los que deba acceder y/o tratar con el fin de cumplir en cada caso con el objeto del contrato del servicio que le sea de aplicación, tanto durante como después de la terminación de los mismos, comprometiéndose a utilizar dicha información únicamente para la finalidad prevista en cada caso y a exigir el mismo nivel de compromiso a cualquier persona que dentro de su organización participe en cualquier fase del tratamiento de los datos personales responsabilidad del CLIENTE.
- En el caso de que MASS SECURITY acceda a los recursos en las instalaciones del CLIENTE, éste será responsable de establecer e implementar la política y medidas de seguridad; así como, de comunicar las mismas a MASS SECURITY, quien se compromete a respetarlas y a exigir su cumplimiento a su personal. Cuando MASS SECURITY acceda vía remota a los recursos de tratamiento de datos responsabilidad del CLIENTE, éste deberá establecer e implementar la política y medidas de seguridad en sus sistemas de tratamiento remotos, siendo MASS SECURITY responsable de establecer e implementar la política y medidas de seguridad en sus propios sistemas locales. Cuando el servicio fuera prestado por MASS SECURITY en sus propias instalaciones recoge en su registro de actividades las circunstancias relativas al tratamiento de datos en los términos exigidos por la normativa vigente, incluyendo las medidas de seguridad correspondientes a dicho tratamiento.
- El CLIENTE autoriza a MASS SECURITY, en su calidad de encargado del tratamiento, a subcontratar con terceros, en nombre y por cuenta del CLIENTE, los servicios que fueran necesarios para posibilitar la prestación de los servicios contratados, respetando en todo caso las obligaciones impuestas por el RGPD y su normativa de desarrollo. En cualquier momento, el CLIENTE podrá dirigirse a MASS SECURITY para conocer la identidad de las entidades subcontratadas para la prestación de los servicios indicados, actuándose de conformidad con los términos previstos en este documento y previa formalización con MASS SECURITY de un contrato de tratamiento de datos conforme a la normativa vigente.
- El CLIENTE autoriza a MASS SECURITY a realizar las acciones que sean necesarias para la prestación de cada servicio con una duración máxima vinculada a la vigencia de los contratos, como:
- tratar datos personales en dispositivos portátiles fuera de los locales de ambas partes;
- asignar a personal autorizado; controlar la entrada y salida de los soportes y documentos;
- recuperar los datos necesarios, entre otras.
- MASS SECURITY no se hace responsable del incumplimiento de las obligaciones derivadas del RGPD por parte del CLIENTE. Cada parte deberá hacer frente a la responsabilidad que se derive de su propio incumplimiento de las obligaciones contractuales y de la propia normativa.
- Las medidas de seguridad adoptadas por MASS SECURITY en el tratamiento de los datos de carácter personal por cuenta del CLIENTE, a título enunciativo son:
1. Medidas organizativas
Todo el personal con acceso a los datos personales tiene conocimiento y ha sido informado de sus obligaciones; en especial de confidencialidad y secreto que persiste incluso cuando finalice la relación laboral del trabajador con la empresa.
2. Medidas técnicas de identificación
Se dispone de perfiles con derechos de administración para la instalación y configuración del sistema y usuarios sin privilegios o derechos de administración para el acceso a los datos personales.
Se garantiza la existencia de contraseñas para el acceso a los datos personales almacenados en sistemas electrónicos.
Cuando a los datos personales accedan distintas personas, para cada persona con acceso a los datos personales, se dispone de un usuario y contraseña específicos (identificación inequívoca).
Se garantiza la confidencialidad de las contraseñas, evitando que queden expuestas a terceros.
3. Medidas técnicas de salvaguarda
- Actualización de ordenadores y dispositivos: Los dispositivos y ordenadores utilizados para el almacenamiento y el tratamiento de los datos personales se mantienen actualizados.
- Antivirus: En los ordenadores y dispositivos donde se realice el tratamiento automatizado de los datos personales se dispone de un sistema de antivirus que garantice en la medida posible el robo y destrucción de la información y datos personales. El sistema de antivirus es actualizado de forma periódica.
- Cortafuegos o firewall: Para evitar accesos remotos indebidos a los datos personales se garantiza la existencia de un firewall activado en aquellos ordenadores y dispositivos en los que se realice el almacenamiento y/o tratamiento de datos personales.
- Cifrado de datos: Cuando se precise realizar la extracción de datos personales fuera del recinto donde se realiza su tratamiento, ya sea por medios físicos o por medios electrónicos, se deberá valorar la posibilidad de utilizar un método de encriptación para garantizar la confidencialidad de los datos personales en caso de acceso indebido a la información.
- Copia de seguridad: Periódicamente se realiza una copia de seguridad en un soporte distinto del que se utiliza para el trabajo diario. La copia se almacena en lugar seguro, distinto de aquél en que esté ubicado el ordenador con los ficheros originales, con el fin de permitir la recuperación de los datos personales en caso de pérdida de la información.
Las medidas de seguridad son revisadas de forma periódica.
El CLIENTE declara haber sido informado de las condiciones sobre protección de datos de carácter personal, aceptando y consintiendo el tratamiento de los mismos por parte de MASS SECURITY, en la forma y para las finalidades indicadas en estas condiciones de contratación.
