Tratamiento de datos personales

1.1 Roles de las partes. Las partes reconocen y aceptan que, en relación con el tratamiento de datos personales, el Suscriptor es el Responsable, Plecto es el Encargado del tratamiento y que Plecto contratará Subencargados conforme a los requisitos establecidos en la Sección 5 "Subencargados" a continuación. En el Apéndice B, sección 4.1, se hace referencia únicamente a la actividad de tratamiento basada en el consentimiento. Los clientes de Plecto pueden retirar su consentimiento en cualquier momento.

1.2 Tratamiento de datos personales por el Suscriptor. El Suscriptor deberá, en su uso de los Servicios, tratar los datos personales de conformidad con los requisitos de las leyes y reglamentos de protección de datos. Para evitar dudas, las instrucciones del Suscriptor para el tratamiento de datos personales deberán cumplir con las leyes y reglamentos de protección de datos. El Suscriptor será el único responsable de la exactitud, calidad y legalidad de los datos personales y de los medios por los cuales el Suscriptor obtuvo los datos personales.

1.3 Tratamiento de datos personales por Plecto. Plecto solo tratará datos personales siguiendo instrucciones documentadas del Suscriptor, a menos que así lo exija el derecho de la UE o la legislación nacional de los Estados miembros a los que Plecto esté sujeto; en ese caso, Plecto notificará al Suscriptor sobre este requisito legal antes del tratamiento, a menos que un tribunal competente prohíba dicha notificación por razones de importantes intereses públicos, conforme al artículo 28, apartado 3, letra a.

1.4 Deber de información de Plecto. Plecto informará inmediatamente al Responsable del tratamiento si, en opinión de Plecto, las instrucciones del Responsable infringen el Reglamento General de Protección de Datos o las disposiciones de protección de datos contenidas en el derecho de la UE o la legislación nacional de los Estados miembros a los que Plecto esté sujeto.

1.5 Detalles del tratamiento. El objeto del tratamiento de datos personales por parte de Plecto es la prestación de los Servicios conforme al Acuerdo. La duración del tratamiento, la naturaleza y finalidad del tratamiento, los tipos de datos personales y las categorías de interesados tratados se especifican en el Apéndice B (Detalles del tratamiento).

1.6 Clientes de prueba gratuita. El cliente también será considerado el responsable del tratamiento a este respecto. Los clientes que solo utilicen el período de prueba gratuita de Plecto estarán sujetos a este acuerdo de procesamiento de datos, a menos que Plecto haya firmado el propio acuerdo de procesamiento de datos del cliente. La base legal de Plecto para tratar los datos personales del cliente es el artículo 6, apartado 1, letra b, del RGPD. Si el cliente no continúa con una suscripción tras el período de prueba, todos los datos personales serán eliminados de los servidores de Plecto en un plazo de tres (3) meses, contados en días naturales.

2. Derechos de los interesados

2.1 Plecto deberá, teniendo en cuenta la naturaleza del tratamiento, asistir en la medida de lo posible al Suscriptor, mediante medidas técnicas y organizativas apropiadas, con la obligación del Suscriptor de responder a las solicitudes de ejercicio de los derechos de los interesados establecidos en el Capítulo 3 del Reglamento de protección de datos.

2.2 Plecto asistirá al Suscriptor para garantizar el cumplimiento de las obligaciones del Suscriptor conforme a los artículos 33 a 36 del Reglamento de protección de datos, teniendo en cuenta la naturaleza del tratamiento y la información disponible para Plecto, como se menciona en el artículo 28, apartado 3, letra f.

2.3 Si el Suscriptor necesita la asistencia de Plecto para garantizar el cumplimiento de las obligaciones establecidas en los artículos 33 a 36, Plecto se reserva el derecho de cobrar al Suscriptor los costes razonables asociados a la asistencia, incluidas las horas dedicadas por el personal de Plecto.

3. Personal de Plecto

3.1 Plecto se asegurará de que su personal involucrado en el tratamiento de datos personales esté informado sobre la naturaleza confidencial de los datos personales, haya recibido la formación adecuada sobre sus responsabilidades y haya firmado acuerdos de confidencialidad por escrito. Plecto se asegurará de que dichas obligaciones de confidencialidad sobrevivan a la terminación del vínculo laboral. 3.2 Plecto tomará medidas razonables desde el punto de vista comercial para garantizar la fiabilidad del personal de Plecto involucrado en el tratamiento de datos personales.

3.3 Plecto se asegurará de que el acceso a los datos personales esté limitado al personal que presta Servicios de conformidad con el Acuerdo.

4. Seguridad del tratamiento

4.1 Plecto implementará todas las medidas requeridas por el artículo 32 del Reglamento de protección de datos, que incluirán medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado a estos riesgos. Plecto ha implementado, entre otras, las siguientes medidas de seguridad:

(i) Medidas técnicas (la lista no es exhaustiva), incluyendo cortafuegos, software antivirus, cifrado, soluciones de copia de seguridad, registro, autenticación de dos factores para el acceso al sistema, protección con contraseña y gestión de control de acceso/autorización.

(ii) Medidas organizativas, incluyendo una política de seguridad informática, formación en concienciación sobre seguridad, evaluaciones de riesgos del sistema, control de acceso físico en forma de entrada principal cerrada con tarjetas de acceso individuales emitidas a todos los empleados y cláusulas de confidencialidad en los contratos de trabajo.

5. Subencargados

5.1 Plecto cumplirá con las condiciones mencionadas en el artículo 28, apartados 2 y 4, del Reglamento de protección de datos para utilizar otro Encargado del tratamiento (Subencargado).

5.2 Plecto mantiene una lista actualizada de Subencargados en este MSA en el Apéndice B, sección 5.

5.3 El Suscriptor otorga a Plecto una aprobación general para utilizar los Subencargados definidos en el Apéndice B, sección 5.

5.4 Plecto notificará a sus clientes siguiendo la autorización general conforme a la Sección 6.3 y de acuerdo con el artículo 28, apartado 2, del Reglamento de protección de datos. Tras dicha notificación, los clientes de Plecto dispondrán de un mes natural para plantear objeciones razonadas al nuevo encargado del tratamiento designado. Si no se reciben objeciones dentro de este período, el nombramiento del nuevo encargado del tratamiento se considerará aceptado por el/los responsable(s) del tratamiento.

5.5 El Suscriptor puede objetar el uso de un nuevo Subencargado por parte de Plecto notificando a Plecto de inmediato por escrito dentro de los diez (10) días hábiles posteriores a la recepción del aviso de Plecto de acuerdo con el mecanismo establecido en la Sección 5.4, en caso de que el Suscriptor objete a un nuevo Subencargado como se permite en la oración anterior, Plecto realizará esfuerzos razonables para poner a disposición del Suscriptor un cambio en los Servicios o recomendar un cambio comercialmente razonable a la configuración o uso de los Servicios por parte del Suscriptor para evitar el tratamiento de datos personales por el nuevo Subencargado objetado sin que ello suponga una carga irrazonable para el Suscriptor. Si Plecto no puede realizar dicho cambio en un plazo razonable que no exceda de treinta (30) días, el Suscriptor podrá rescindir el Acuerdo. Plecto reembolsará al Suscriptor las tarifas prepagadas que cubran el período restante del Acuerdo tras la fecha efectiva de rescisión.

5.6 Plecto será plenamente responsable de los actos y omisiones de sus Subencargados en la misma medida en que Plecto sería responsable si prestara los servicios de cada Subencargado, salvo que se establezca lo contrario en el Acuerdo.

6. Transferencia de información a terceros países u organizaciones internacionales.

6.1 Plecto solo podrá tratar datos personales siguiendo instrucciones documentadas del Suscriptor, incluyendo lo relativo a la transferencia y uso interno de datos personales a terceros países u organizaciones internacionales, a menos que así lo exija el derecho de la UE o la legislación nacional de los Estados miembros a los que Plecto esté sujeto; en ese caso, Plecto notificará al Suscriptor sobre este requisito legal antes del tratamiento, a menos que un tribunal competente prohíba dicha notificación por razones de importantes intereses públicos, conforme al artículo 28, apartado 3, letra a.

6.2 Si la lista de Subencargados de conformidad con la Sección 5.2 contiene empresas ubicadas en terceros países, al firmar el Acuerdo, o respecto a una adición a la lista de Subencargados al no plantear objeciones a ese Subencargado conforme a la Sección 5.5, el Suscriptor aprueba el uso de estos por parte de Plecto. 6.3 Para las transferencias a Subencargados ubicados en los Estados Unidos, se aplican los siguientes mecanismos de transferencia: el Marco de Privacidad de Datos UE-EE.UU., siempre que el Subencargado de Plecto esté certificado bajo el mismo. Cuando el Subencargado no esté certificado bajo el Marco de Privacidad de Datos UE-EE.UU., la transferencia se basa en las Cláusulas Contractuales Tipo de la UE (CCT).

7. Notificación de brechas

7.1 Plecto mantiene políticas y procedimientos de gestión de incidentes de seguridad y notificará al Suscriptor sin demora injustificada tras tener conocimiento de la destrucción accidental o ilícita, pérdida, alteración, divulgación no autorizada o acceso a los datos del Suscriptor, incluidos los datos personales, transmitidos, almacenados o tratados de otro modo por Plecto o sus Subencargados de los que Plecto tenga conocimiento (un "Incidente de datos del cliente").

7.2 Plecto realizará esfuerzos razonables para identificar la causa de dicho Incidente de datos del cliente y tomará las medidas que Plecto considere necesarias y razonables para remediar la causa de dicho Incidente de datos del cliente en la medida en que la remediación esté dentro del control razonable de Plecto. Las obligaciones aquí contenidas no se aplicarán a los incidentes causados por el Suscriptor o la Licencia del Suscriptor.

7.3 Plecto está obligado a proporcionar al Suscriptor información sobre dichas brechas según lo descrito en el punto 7.1, dentro de las 48 horas posteriores a que Plecto tenga conocimiento de la brecha, para que el Suscriptor pueda informar a la autoridad supervisora dentro de las 72 horas, según lo exige el artículo 33, apartado 1.

8. Eliminación y recuperación de información

8.1 Los datos se eliminan únicamente al finalizar la relación contractual. Tras la finalización, se aplica un período de retención de cuarenta y cinco (45) días, tras el cual todos los datos proporcionados o transmitidos por el cliente a Plecto se eliminan permanentemente.

9. Auditoría

9.1 Plecto pondrá a disposición del Suscriptor toda la información necesaria para demostrar el cumplimiento del artículo 28 del Reglamento de protección de datos y permitirá y contribuirá a las auditorías, incluidas las inspecciones realizadas por el Suscriptor u otro auditor autorizado por el Suscriptor.

9.2 Plecto está obligado a cumplir con el artículo 58, reconociendo las facultades de las autoridades supervisoras.

9.3 Cualquier auditoría por parte del Suscriptor debe anunciarse con al menos 72 horas de antelación y no puede interferir con el personal de Plecto ni con sus tareas de trabajo diarias.

9.4 El Suscriptor pagará todos sus propios costes asociados con la auditoría.

10. Legal

10.1 Plecto informará de inmediato al Suscriptor si se convierte en objeto de procedimientos que puedan derivar en una reclamación de indemnización o una sanción administrativa conforme a la legislación de la UE o la legislación nacional que complementa el RGPD de la UE. Si se iniciaran dichos procedimientos, Plecto (a) proporcionará al Suscriptor los detalles (incluidas las alegaciones de infracción específicas); (b) proporcionará al Suscriptor la información y asistencia que el Suscriptor solicite razonablemente; y (c) no impedirá ni se opondrá a que el Suscriptor participe activamente en los procedimientos (utilizando su propio asesor legal a su propio coste).

Apéndice B

1. Naturaleza y finalidad del tratamiento

1.1 Plecto tratará datos personales en la medida necesaria para prestar los Servicios conforme al Acuerdo, según se especifica con más detalle en la Documentación y según las instrucciones adicionales del Suscriptor en su uso de los Servicios.

1.2 El tratamiento se lleva a cabo en nombre del Suscriptor, quien determina la base legal.

1.3 Cuando el cliente, actuando como responsable del tratamiento, firma este Acuerdo de procesamiento de datos elaborado por Plecto, la base legal principal para el tratamiento es el artículo 6, apartado 1, letra b, del RGPD. En determinados casos, actividades de tratamiento específicas pueden basarse en cambio en otras bases legales, como el cumplimiento de una obligación legal, el consentimiento o los intereses legítimos de Plecto.

2. Duración del tratamiento

2.1 Con sujeción a la Sección 8 del Apéndice A, Plecto tratará datos personales durante la vigencia del Acuerdo, salvo que se acuerde lo contrario por escrito.

3. Categorías de interesados

3.1 El Suscriptor puede enviar datos personales a los Servicios, cuyo alcance es determinado y controlado por el Suscriptor a su entera discreción, y que puede incluir, entre otros, datos personales relativos a las siguientes categorías de interesados:

• Clientes potenciales, clientes, socios comerciales y proveedores del
• Suscriptor (que sean personas físicas)
• Empleados o personas de contacto de los clientes potenciales del Suscriptor,
• clientes, socios comerciales y proveedores
• Empleados, agentes, asesores, autónomos del Suscriptor (que
• sean personas físicas)
• Titulares de licencias del Suscriptor autorizados por el Suscriptor para usar
• los Servicios

4. Tipo de datos personales

4.1 Grabaciones de llamadas telefónicas con clientes, que se tratan con fines de formación interna. La base legal para este tratamiento es el consentimiento conforme al artículo 6, apartado 1, letra a, del RGPD. Las grabaciones de llamadas telefónicas también pueden tratarse con fines de gestión de reclamaciones y disputas de clientes, incluidos fines de documentación y probatorios. La base legal para dicho tratamiento son los intereses legítimos de Plecto conforme al artículo 6, apartado 1, letra f, del RGPD.

4.2 El Suscriptor puede enviar datos personales a los Servicios, cuyo alcance es determinado y controlado por el Suscriptor a su entera discreción, y que puede incluir, entre otras, las siguientes categorías de datos personales:

• Nombre y apellidos
• Título
• Cargo
• Empleador
• Información de contacto (empresa, correo electrónico, teléfono, dirección
• física del negocio)
• Datos de identificación
• Datos de vida profesional
• Datos de conexión