3.        OBLIGACIONES DE CUMPLIMIENTO DE PRAGMACHARGE

3.1.        PragmaCharge cumplirá con sus obligaciones directas bajo las Leyes Europeas de Protección de Datos en relación con el tratamiento de Datos Personales. Salvo que se acuerde expresamente en los Detalles del Pedido para un pedido fuera del EEE, PragmaCharge no tendrá ninguna obligación de cumplir con las Leyes de Protección de Datos No europeas.

3.2.        PragmaCharge no accederá, utilizará, ni revelará a ningún tercero ningún Dato Personal, salvo en los casos cuando sea necesario para suministrar los Servicios eTaaS, o cuando sea necesario para cumplir las Leyes Aplicables o una orden válida y vinculante de un organismo gubernamental (como una citación u orden judicial).

3.3.        PragmaCharge no tiene ninguna obligación de evaluar Datos Personales para identificar información sujeta a requisitos legal específico. 

 

4.        DERECHOS Y OBLIGACIONES DEL CLIENTE

4.1.        Los derechos y obligaciones del Cliente se establecen en el AM, que incluye este PTD.

4.2.        El Cliente conserva el control sobre los Datos Personales a través de la configuración que seleccione mediante Servidor en la nube de PC.

4.3.        El Cliente cumplirá con sus obligaciones directas en virtud de las Leyes de Protección de Datos y de la legislación laboral en relación con el tratamiento de los Datos Personales, y con cualquier acción que lleve a cabo basándose en los conocimientos proporcionados por Servidor en la nube de PC.

4.4.        El Cliente se asegurará de que cuenta con todos los consentimientos y avisos apropiados necesarios para permitir el tratamiento legal de los Datos Personales por parte de PragmaCharge para el suministro del eTaaS. En particular, informará a todos los Usuarios Conductores de las categorías implicadas en el tratamiento de datos descritas anteriormente.

4.5.        Si el Cliente es un encargado del tratamiento (y PragmaCharge un sud-encargado del tratamiento): (a) El Cliente garantiza de forma continua que el responsable del tratamiento pertinente ha autorizado: (i) el uso de los datos personales por parte del Cliente; (ii) la designación por parte del Cliente de PragmaCharge como encargado del tratamiento; y (iii) la contratación por parte de PragmaCharge de sub-encargados del tratamiento; y (b) El Cliente remitirá inmediatamente al responsable del tratamiento pertinente cualquier notificación proporcionada por PragmaCharge en virtud de este PTD.

4.6.        El Cliente confirma: (a) que ha actuado con diligencia razonable para cumplir con sus obligaciones bajo las Leyes de Protección de Datos y leyes laborales aplicables en su contratación de PragmaCharge, y su elección y uso del eTaaS bajo el AM; y (b) que ha evaluado su uso previsto de eTaaS (incluido por los Representantes del Cliente) y que las medidas técnicas y organizativas establecidas en los Detalles del Tratamiento proporcionan un nivel de seguridad adecuado al riesgo para los Datos Personales (teniendo en cuenta el Cliente el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento de los Datos Personales, así como los riesgos para los interesados).

4.7.        El Cliente es responsable ante PragmaCharge y los individuos de proporcionar Datos Personales correctos y conformes y su decisión sobre la base legal del tratamiento y cualquier aviso de transparencia a los sujetos de datos que los Datos Personales serán tratados por PragmaCharge.

 

5.        INSTRUCCIONES DE TRATAMIENTO

5.1.        El Cliente da instrucciones a PragmaCharge para que trate los datos personales únicamente de conformidad con las Leyes de Protección de Datos: (a) para proporcionar, proteger y supervisar los servicios eTaaS; (b) según se especifique en adelante mediante el uso por parte del Cliente o del Representante del Cliente de los servicios eTaaS (incluida la administración de cuentas y otras funcionalidades de los servicios eTaaS); (c) según lo documentado en el AM; y (d) según se documente en adelante en cualquier otra instrucción por escrito dada por el Cliente y reconocida por PragmaCharge como constitutiva de instrucciones a efectos de este PTD (colectivamente, las Instrucciones).

5.2.        El Cliente garantiza de forma continua que sus Instrucciones, y por lo tanto la realización del tratamiento por parte de PragmaCharge de acuerdo con las Instrucciones, cumplen con las Leyes de Protección de Datos.

5.3.        A menos que las Leyes Aplicables lo prohíban, PragmaCharge: (a) solo tratará los Datos Personales conforme a las Instrucciones (incluso con respecto a las transferencias internacionales de Datos Personales); y (b) cumplirá las Instrucciones.

5.4.        PragmaCharge notificará al Cliente si, en opinión de PragmaCharge: (a) las Leyes Aplicables prohíben a PragmaCharge cumplir con una Instrucción, a menos que dicha notificación esté prohibida por las Leyes Aplicables por motivos importantes de interés público; o (b) PragmaCharge no pueda cumplir de otro modo con la Instrucción.

5.5.        PragmaCharge podrá suspender la totalidad o parte de los Servicios eTaaS mediante notificación por escrito al Cliente con efecto inmediato si PragmaCharge considera (a su discreción razonable) que: (a) es incapaz de adherirse, realizar o implementar cualquier Instrucción emitida por el Cliente debido a las limitaciones técnicas de sus sistemas, equipos y/o instalaciones; y/o (b) adherirse, realizar o implementar cualquiera de dichas Instrucciones requeriría un esfuerzo desproporcionado (ya sea en términos de tiempo, coste, tecnología disponible, mano de obra u otros). Si PragmaCharge hace esto, las Partes intentarán de buena fe superar la objeción (sin coste o gasto adicional para PragmaCharge).

 

6.        PERSONAL DE PRAGMACHARGE

6.1.        PragmaCharge se asegurará de que todas las personas de PragmaCharge (incluidos los contratistas) que tengan acceso a los Datos Personales sean informadas de la naturaleza confidencial de los Datos Personales y estén sujetas a las obligaciones de confidencialidad y restricciones de uso según se indica en la Parte A. anterior.

6.2.        PragmaCharge tomará medidas razonables para asegurar la fiabilidad, integridad y honradez de las personas de PragmaCharge (incluyendo contratistas) con acceso a Datos Personales.

 

7.        SEGURIDAD DEL TRATAMIENTO

7.1.        PragmaCharge implementará medidas técnicas y organizativas apropiadas contra el tratamiento no autorizado o ilegal, acceso, revelación, copia, modificación, almacenamiento, reproducción, exhibición o distribución de los Datos Personales, y contra la pérdida accidental o ilegal, destrucción, alteración, revelación o daño de los Datos Personales. Las medidas son las identificadas en los Detalles del Tratamiento y/o en la Parte A. anterior.

7.2.        PragmaCharge aplicará las medidas que sean razonables para garantizar un nivel de seguridad adecuado al riesgo que conlleva la prestación de eTaaS a sus clientes, incluyendo, según proceda: (a) la seudonimización y el cifrado de los datos personales; (b) la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resistencia continuas de los sistemas y servicios de procesamiento; (c) la capacidad de restaurar la disponibilidad y el acceso a los datos personales de manera oportuna en caso de un incidente físico o técnico; y (d) un proceso para probar, evaluar y valorar periódicamente la eficacia de las medidas de seguridad.

 

8.        GESTIÓN DE INCIDENTES

8.1.        "Incidente de datos" significa una violación de la seguridad de PragmaCharge que lleve a la destrucción accidental o ilegal, pérdida, alteración, divulgación no autorizada de, o acceso a, datos personales en sistemas gestionados por, o bajo control de PragmaCharge. Se excluyen expresamente los intentos infructuosos en los que no haya habido acceso no autorizado a datos personales o a cualquiera de los equipos o instalaciones de PragmaCharge que almacenen datos personales (por ejemplo, pings y otros ataques de difusión en cortafuegos o servidores de borde, escaneos de puertos, intentos infructuosos de inicio de sesión, ataques de denegación de servicio, rastreo de paquetes u otros accesos no autorizados a datos de tráfico que no resulten en acceso más allá de las cabeceras o incidentes similares).

8.2.        PragmaCharge tomará las medidas apropiadas para tratar y mitigar cualquier Incidente de Datos.

8.3.        PragmaCharge, sin retraso indebido, notificará al Cliente de cualquier Incidente de Datos (Notificación de Incidente de Datos).

8.4.        En el momento de la Notificación del Incidente de Datos o tan pronto como sea razonablemente práctico después, PragmaCharge también proporcionará al Cliente la siguiente información: (a) descripción de la naturaleza del Incidente de Datos; (b) las consecuencias probables para los Usuarios del Cliente; y (c) descripción de las medidas tomadas o propuestas para abordar el Incidente de Datos (incluyendo medidas para mitigar sus posibles efectos adversos para los Usuarios de Datos) (Informe de Incidente de Datos).

8.5.        La Notificación de Incidente de Datos y el Informe de Incidente de Datos serán entregados al Contacto de Privacidad del Cliente en la Hoja de Portada. Es responsabilidad exclusiva del Cliente asegurarse de que PragmaCharge dispone de una dirección de correo electrónico precisa y actualizada del Cliente para comunicaciones relacionadas con la privacidad. 

8.6.        El Cliente reconoce que el nivel de divulgación en el Informe de Incidentes de Datos necesitará tener en cuenta la naturaleza del tratamiento, la información disponible para PragmaCharge en ese momento, y cualquier restricción en la divulgación de la información, como la confidencialidad o los requisitos de aseguradores, investigadores forenses y/o agencias de aplicación de la ley.

8.7.        El Cliente acepta que, con respecto a los Datos Personales, es quien mejor puede determinar las consecuencias probables de un Incidente de Datos y las notificaciones que pueda requerir, ya sea a una Autoridad Supervisora o a los Usuarios del Cliente afectados. El Cliente proporcionará a PragmaCharge cualquier copia, que haga referencia a PragmaCharge, que deba enviarse a cualquier Autoridad de Supervisión o Usuario del Cliente antes del envío, e implementará cualquier modificación razonable requerida por PragmaCharge para la exactitud de los hechos.

8.8.        La notificación de PragmaCharge en virtud de esta cláusula 8 no se interpretará como un reconocimiento por parte de PragmaCharge de culpa o responsabilidad alguna con respecto al Incidente de Datos.

 

9.        SUBPROCESAMIENTO

9.1.        PragmaCharge no contratará a un tercero encargado del tratamiento de los datos personales sin la previa autorización escrita específica o general del Cliente.

9.2.        El Cliente consiente, mediante una autorización general, que PragmaCharge designe a cualquier tercero encargado del tratamiento de los datos personales como parte de su infraestructura tecnológica y de servicios común para el eTaaS y la prestación general de sus servicios (véase la URL en los Detalles del Tratamiento para una lista actualizada).

9.3.        En lo que respecta a los sub-encargados: (a) PragmaCharge confirma que ha celebrado o (según sea el caso) celebrará acuerdos por escrito con cualquier sub-encargado en cumplimiento de las Leyes Europeas de Protección de Datos, con respecto a las cuales el Cliente reconoce y acepta: (i) que la designación de los sub-encargados está sujeta a los términos del acuerdo de procesamiento de datos estándar de cada sub-encargado (Términos PTD del sub-encargado) y que PragmaCharge depende de cada sub-encargado  para garantizar que los Términos PTD del sub-encargado cumplen con las Leyes europeas de protección de datos; y (ii) cualquier obligación de PragmaCharge con el Cliente con respecto a los sub-encargados está sujeta a los Términos PTD del sub-encargado; (b) PragmaCharge restringirá el acceso del sub-encargado a los Datos Personales sólo a lo que sea necesario para suministrar los Servicios eTaaS, y prohibirá al sub-encargado acceder a los Datos Personales para cualquier otro propósito; (c) PragmaCharge se asegurará de que existan salvaguardas apropiadas antes de que se realice una Transferencia de Datos a un sub-encargado; y (d) PragmaCharge seguirá siendo responsable de su cumplimiento con las obligaciones de este PTD y de cualquier acto u omisión del sub-encargado que cause que PragmaCharge viole cualquiera de las obligaciones de PragmaCharge al Cliente bajo este PTD.

9.4.        PragmaCharge informará al Cliente de cualquier sub-encargado adicional o sustituto de los Datos Personales que pueda haber mediante la actualización de la lista de sub-encargado en la URL en los Detalles de Tratamiento (Cambio de Sub-encargado).

9.5.        El Cliente deberá plantear cualquier objeción a un Cambio de Sub-encargado en un plazo de 14 días a partir de la notificación, indicando los motivos, a privacy@pragmacharge.com. El Cliente reconoce que el eTaaS es un producto de infraestructura común proporcionado a muchos clientes y, por lo tanto, tratará de ser razonable en cualquier objeción que plantee.

9.6.        Si el Cliente presenta una objeción de conformidad con la cláusula 9.5, PragmaCharge realizará esfuerzos razonables para poner a disposición un cambio comercialmente razonable en la configuración de los Servicios eTaaS a costa y cargo del Cliente, que evite el uso de ese sub-encargado propuesto.

9.7.        Cuando un cambio comercialmente razonable en virtud de la cláusula 9.6 no sea posible por uno de los siguientes motivos: (i) el cambio a eTaaS no pueda realizarse en el plazo de 90 días desde la recepción por PragmaCharge de la notificación del Cliente; (ii) no sea viable ningún cambio comercialmente razonable a eTaaS; y/o (iii) el Cliente se niegue a asumir el coste del cambio propuesto, entonces cualquiera de las Partes podrá, mediante notificación por escrito a la otra Parte con efecto inmediato, rescindir parcialmente el AM en la medida en que se refiera al suministro de la parte de eTaaS que requiera el uso del sub-encargado propuesto.

 

10.        ASISTENCIA AL INTERESADO

10.1.        PragmaCharge asistirá al Cliente asegurándose de que existen las medidas técnicas y organizativas que puedan ser razonables para proporcionar información que ayude al Cliente a cumplir con los derechos de los interesados en relación con los datos personales bajo las Leyes Europeas de Protección de Datos, incluidos los derechos de acceso, rectificación y supresión de datos personales, el derecho de oposición al tratamiento y al tratamiento automatizado de datos personales, y el derecho a restringir el tratamiento de datos personales.

10.2.        Si un interesado del que el Cliente es responsable realiza una solicitud a PragmaCharge, PragmaCharge remitirá dicha solicitud al Cliente.  El Cliente autoriza a PragmaCharge, en su nombre y en nombre de sus responsables del tratamiento cuando el Cliente actúe como encargado del tratamiento, a responder a cualquier interesado que formule una solicitud a PragmaCharge, para confirmar que PragmaCharge ha remitido la solicitud al Cliente.

 

11.        ASISTENCIA A LA AUTORIDAD SUPERVISORA Y SOLICITUDES DE ORGANISMOS GUBERNAMENTALES

11.1.        PragmaCharge (a cargo y expensas del Cliente y teniendo en cuenta la naturaleza del tratamiento y la información disponible) asistirá al Cliente con sus obligaciones ante las Autoridades Supervisoras en relación con Incidentes de Datos, evaluaciones de impacto de protección de datos y consultas que afecten a Datos Personales, y con su obligación de mantener seguros los Datos Personales.

11.2.        PragmaCharge notificará al Cliente si recibe cualquier aviso de una Autoridad Supervisora que se relacione directamente con el tratamiento de Datos Personales (a menos que la autoridad supervisora solicite no hacerlo).

11.3.        Si algún organismo gubernamental envía a PragmaCharge una solicitud de datos que pueda incluir Datos Personales, PragmaCharge intentará redirigir al organismo gubernamental para que los solicite directamente al Cliente. Para hacerlo, PragmaCharge proporcionará la información básica de contacto del Cliente al organismo gubernamental. Si se ve obligado a revelar los Datos Personales a un organismo gubernamental, entonces PragmaCharge intentará dar al Cliente aviso razonable de la demanda para permitir al Cliente buscar una orden protectora u otro remedio adecuado, a menos que PragmaCharge esté impedido de hacerlo por Leyes Aplicables.

 

12.        SUPRESIÓN O DEVOLUCIÓN DE LOS DATOS PERSONALES DEL CLIENTE

12.1.        PragmaCharge cumplirá (a coste y expensas del Cliente) con cualquier instrucción escrita del Cliente que requiera que PragmaCharge enmiende, transfiera, borre o procese de otro modo los Datos Personales, o que detenga, mitigue o remedie cualquier tratamiento no autorizado.

12.2.        A la terminación del AM (o, si es más tarde, una vez que el tratamiento por PragmaCharge de cualquier Dato Personal ya no es requerido para el propósito del desempeño de PragmaCharge de sus obligaciones bajo el AM), PragmaCharge eliminará todos los datos personales de manera que ya no se consideren datos personales.

12.3.        PragmaCharge permite al Cliente (en régimen de autoservicio) recuperar o eliminar de forma segura Datos Personales de los Servicios eTaaS. El Cliente deberá utilizar el acceso de autoservicio para recuperar o eliminar Datos Personales.

12.4.        Si cualquier Ley Aplicable requiere que PragmaCharge retenga cualquier Dato Personal que PragmaCharge, de otro modo estaría obligado a devolver o destruir según las cláusulas 12.1 a 12.3podrá hacerlo.

 

13.        MANTENIMIENTO DE REGISTROS Y AUDITORÍA

13.1.        PragmaCharge mantendrá registros relativos a cualquier tratamiento de Datos Personales que lleve a cabo para el Cliente bajo esta PTD de acuerdo con las Leyes Europeas de Protección de Datos (Registros).

13.2.        PragmaCharge se asegurará de que los Registros sean suficientes para permitir al Cliente verificar el cumplimiento de PragmaCharge con sus obligaciones bajo este PTD y PragmaCharge proporcionará al Cliente copias de los Registros a petición (no más de una vez por año natural).

13.3.        El representante autorizado del Cliente, sujeto a las autorizaciones de confidencialidad y conflicto de intereses (incluyendo la confidencialidad de otros clientes de PragmaCharge) y a cargo y expensas del Cliente, podrá auditar los Registros previa notificación por escrito a PragmaCharge con 30 días de antelación (no más de una vez por año natural). El Cliente hará todo lo posible (y se asegurará de que su auditor designado también lo haga) para evitar causar daño, lesión o interrupción a las instalaciones, equipos, personal, datos y negocios de PragmaCharge (incluyendo cualquier interferencia con la confidencialidad o seguridad de los datos de otros clientes de PragmaCharge o la disponibilidad de los sistemas eTaaS para otros clientes) durante la auditoría de los Registros.

13.4.        Si es necesario para cumplir con las Leyes Europeas de Protección de Datos y sujeto a que el Cliente reembolse a PragmaCharge todos los costes incurridos y el tiempo empleado, PragmaCharge contribuirá a una auditoría realizada bajo la cláusula 13.3.

 

14.        TRANSFERENCIAS DE DATOS

14.1.        País Adecuado significa, para los datos personales tratados con arreglo a las Leyes Europeas de Protección de Datos, un país que esté sujeto a una decisión de adecuación en virtud de las Leyes Europeas de Protección de Datos aplicables. Transferencia de datos significa la transferencia de datos personales, ya sea directamente o mediante transferencia ulterior, desde el Reino Unido o el EEE a un País no Adecuado. Mecanismo de Transferencia de Datos significa un mecanismo para legitimar una Transferencia de Datos bajo las Leyes Europeas de Protección de Datos.

14.2.        Los Datos Personales pueden ser tratados en cualquier país en el que PragmaCharge o sus sub-encargados mantengan instalaciones.

14.3.        Las Partes cumplirán con las Leyes Europeas de Protección de Datos con respecto a cualquier transferencia de datos personales o datos de gestión de relaciones, lo que incluye garantizar que se apliquen las salvaguardias apropiadas para garantizar un nivel adecuado de protección con respecto a los derechos de privacidad de las personas, incluido el artículo 46 del GDPR del Reino Unido.

14.4.        Cuando haya una transferencia de datos personales o de datos de gestión de relaciones entre las partes que requiera un Mecanismo de Transferencia de datos para cumplir la legislación europea en materia de Protección de Datos, las disposiciones pertinentes identificadas en los detalles del tratamiento se incorporarán por referencia al presente PTD. Al Suscribir el Contrato AM y el presente PTD, se considerará que las Partes han firmado el Mecanismo de Transferencia de Datos, incorporado el presente PTD.

14.5.        A efectos del Mecanismo de Transferencia: (a) la Parte transmisora actuará como exportador de datos; y (b) el receptor actuará como importador de datos.

14.6.        La información requerida a efectos de los anexos I a IV de los CEC de la UE y de los cuadros 1-3 de la primera parte del apéndice del Reino Unido es la que figura en los datos de tratamiento.

14.7.        Para cada módulo de los CEC de la UE, cuando proceda, se aplica lo siguiente: (a) la cláusula de acoplamiento opcional de la cláusula 7 es de aplicación; (b) en la cláusula 9, se aplica la opción 2 (autorización general por escrito). Para los propósitos de la cláusula 9(a), PragmaCharge tiene la autorización general del Cliente para contratar Sub-encargados de acuerdo con la cláusula 9 de este PTD y PragmaCharge informará al Cliente de cualquier cambio en los Sub-encargados del tratamiento de acuerdo con dicha cláusula; (c) en la cláusula 11, el lenguaje opcional no se aplica; (d) la responsabilidad de PragmaCharge bajo la cláusula 12(b) se limitará a cualquier daño causado por su tratamiento cuando PragmaCharge no haya cumplido con sus obligaciones bajo las Leyes de Protección de Datos específicamente dirigidas a los encargados del tratamiento, o cuando haya actuado al margen o en contra de las instrucciones legales del Cliente, como se especifica en el Artículo 82 GDPR del Reino Unido; (e) se eliminan todos los corchetes de la cláusula 13; (f) en la cláusula 17 (opción 1), los CCE de la UE se regirán por las leyes del Reino Unido y Gales; y (f) en la cláusula 18(b), las disputas se resolverán ante los tribunales de Reino Unido y Gales.

14.8.        A efectos de la Tabla 4 de la Primera Parte del Apéndice del Reino Unido, PragmaCharge podrá poner fin al Apéndice del Reino Unido cuando este cambie. 

14.9.        Para las transferencias de datos reguladas por la FPTD de Suiza, las SCCs de la UE también se aplican a la transferencia de información relativa a una persona jurídica identificada o identificable cuando dicha información esté protegida de manera similar a los datos personales en virtud de la FPTD de Suiza hasta que dichas leyes se modifiquen para dejar de aplicarse a una persona jurídica. En tales circunstancias, las referencias generales y específicas en las SCCs de la UE al GDPR o a la legislación de la UE o de los Estados miembros tendrán el mismo significado que la referencia equivalente en la FPTD de Suiza.

14.10.        Si el Mecanismo de Transferencia de Datos es insuficiente para salvaguardar los Datos Personales transferidos, el importador de datos aplicará sin demora medidas complementarias para garantizar que los Datos Personales estén protegidos al mismo nivel que exige la legislación en materia de protección de datos.

14.11.        En ausencia de las garantías adecuadas exigidas por la cláusula 14.2las Partes cumplirán la legislación europea en materia de protección de datos con respecto a cualquier transferencia de datos personales o datos de gestión de relaciones, incluido el artículo 49 del GDPR del Reino Unido.

14.12.        Con sujeción a la cláusula 11 y los términos del Mecanismo de Transferencia de Datos correspondiente (y en caso de conflicto entre la cláusula 11 y los términos del Mecanismo de Transferencia de Datos pertinente, prevalecerá el Mecanismo de Transferencia de Datos), si el importador de datos recibe una solicitud de una autoridad pública para acceder a los Datos Personales, (si está legalmente permitido): (a) impugnará la solicitud y notificará al exportador de datos, y (b) solo revelará a la autoridad pública la cantidad mínima de Datos Personales requerida y mantendrá un registro de la divulgación.

14.13.        Las Partes reconocen que el interesado puede hacer valer el Mecanismo de Transferencia frente a las Partes.

 

15.        SUSPENSIÓN DEL TRATAMIENTO

15.1.        Si un cambio en cualquiera de las Leyes de Protección de Datos impide a una Parte cumplir todas o parte de sus obligaciones en virtud del presente PTD, las Partes suspenderán el tratamiento de los Datos Personales hasta que dicho tratamiento cumpla con los nuevos requisitos.