Acord d'Encàrrec de Tractament

Parts

Encarregat del tractament («l'Encarregat» o «el Proveïdor»):

• Raó social: Intermediatours, S.L.N.E. (marca comercial «Lyzard OPS»)
• NIF: B65621740
• Domicili: Carrer Tarragona, 47, 5è 1a – 25005 Lleida (Espanya)
• Contacte en matèria de protecció de dades: info@lyzardops.com

Responsable del tractament («el Responsable» o «el Client»): l'empresa que contracta el servei Lyzard OPS i les dades de la qual es consignen a continuació:

• Raó social / nom:  
• NIF / CIF:  
• Domicili:  
• Email de contacte en protecció de dades:  

Ambdues parts es reconeixen capacitat suficient per obligar-se i subscriuen el present Acord, que forma part inseparable del contracte de subscripció del servei Lyzard OPS (els «Termes del Servei»). En cas de contradicció entre aquest Acord i els Termes del Servei pel que fa a la protecció de dades personals, prevaldrà aquest Acord.

1. Objecte

El Responsable utilitza la plataforma Lyzard OPS (programari com a servei de gestió i motor de reserves) per tractar dades personals dels seus propis clients, viatgers, proveïdors i personal. En la prestació d'aquest servei, l'Encarregat tracta aquestes dades per compte i seguint les instruccions del Responsable. Aquest Acord regula aquest encàrrec conforme a l'article 28 del RGPD. El Responsable és l'únic responsable del tractament respecte d'aquestes dades; l'Encarregat no les tracta per a finalitats pròpies.

2. Naturalesa, finalitat, durada i dades

L'objecte, la naturalesa i la finalitat del tractament, els tipus de dades personals i les categories d'interessats es descriuen a l'Annex I. La durada de l'encàrrec coincideix amb la vigència de la subscripció al servei, més els terminis de conservació i devolució/supressió previstos a la clàusula 9.

3. Instruccions del Responsable

L'Encarregat tractarà les dades personals únicament conforme a les instruccions documentades del Responsable, incloses les relatives a transferències internacionals, llevat que l'obligui el Dret de la Unió o d'un Estat membre; en tal cas informarà d'aquesta exigència legal abans del tractament, llevat de prohibició legal per raons d'interès públic. Es consideren instruccions documentades del Responsable la contractació i l'ús del servei conforme als Termes del Servei, la configuració que el Responsable realitza a la plataforma i les instruccions addicionals que cursi per escrit a info@lyzardops.com. Si l'Encarregat considera que una instrucció infringeix la normativa de protecció de dades, informarà immediatament el Responsable.

4. Obligacions de l'Encarregat

L'Encarregat s'obliga a:

1. Tractar les dades només per prestar el servei i conforme a les instruccions de la clàusula 3; no aplicar-les ni utilitzar-les amb finalitats diferents ni cedir-les a tercers, ni tan sols per a la seva conservació, llevat d'autorització o exigència legal.
2. Confidencialitat: mantenir el deure de secret respecte de les dades, que subsistirà després de la finalització de l'encàrrec, i garantir que les persones autoritzades a tractar-les s'hagin compromès a respectar la confidencialitat o estiguin subjectes a una obligació de confidencialitat de naturalesa estatutària.
3. Seguretat: aplicar les mesures tècniques i organitzatives apropiades de l'article 32 del RGPD, descrites a l'Annex II, per garantir un nivell de seguretat adequat al risc.
4. Assistència en els drets dels interessats: assistir el Responsable, en la mesura del possible i tenint en compte la naturalesa del tractament, mitjançant mesures tècniques i organitzatives apropiades, perquè pugui atendre les sol·licituds d'exercici dels drets d'accés, rectificació, supressió, oposició, limitació i portabilitat (arts. 12 a 22 RGPD). Quan els interessats exerceixin drets davant de l'Encarregat, aquest ho comunicarà al Responsable amb la major brevetat perquè resolgui.
5. Assistència en obligacions de seguretat i avaluació: ajudar el Responsable a complir les seves obligacions de seguretat, notificació de violacions a l'autoritat de control i als interessats, avaluació d'impacte (EIPD) i consulta prèvia (arts. 32 a 36 RGPD), tenint en compte la naturalesa del tractament i la informació de què disposi.
6. Notificació de violacions de seguretat: notificar al Responsable, sense dilació indeguda i com a molt tard en 48 hores des que en tingui coneixement, les violacions de la seguretat de les dades que afectin dades tractades per compte del Responsable, amb la informació disponible (naturalesa de la violació, categories i nombre aproximat d'interessats i de registres afectats, conseqüències probables i mesures adoptades o proposades).
7. Registre d'activitats: mantenir, quan escaigui, un registre de les categories d'activitats de tractament efectuades per compte del Responsable (art. 30.2 RGPD) i posar-lo a la seva disposició.
8. Posada a disposició d'informació i auditories: posar a disposició del Responsable tota la informació necessària per demostrar el compliment de les obligacions de l'article 28 i permetre i contribuir a auditories, incloses inspeccions, realitzades pel Responsable o per un auditor autoritzat per ell, amb preavís raonable, en horari laboral, sense comprometre la seguretat ni la confidencialitat d'altres clients de l'Encarregat, i a càrrec del Responsable llevat que l'auditoria reveli un incompliment imputable a l'Encarregat.

5. Subencarregats (art. 28.2 i 28.4)

El Responsable autoritza amb caràcter general l'Encarregat a recórrer als subencarregats (subprocessadors) relacionats a l'Annex III, necessaris per a la prestació del servei. L'Encarregat:

• imposarà a cada subencarregat, mitjançant contracte, les mateixes obligacions de protecció de dades que les estipulades en aquest Acord, en particular garanties suficients d'aplicació de mesures tècniques i organitzatives apropiades;
• continuarà sent plenament responsable davant del Responsable del compliment per part del subencarregat;
• informarà el Responsable de qualsevol canvi previst en la incorporació o substitució de subencarregats amb una antelació raonable, donant-li l'oportunitat d'oposar-s'hi per motius raonables relatius a la protecció de dades. Si el Responsable s'hi oposa i la discrepància no es resol, podrà resoldre la part del servei afectada.

6. Transferències internacionals

Quan la prestació del servei impliqui el tractament de dades per subencarregats situats fora de l'Espai Econòmic Europeu (vegeu l'Annex III), l'Encarregat garantirà que aquestes transferències s'emparin en un mecanisme vàlid del Capítol V del RGPD: decisió d'adequació de la Comissió Europea, adhesió de l'importador a un marc d'adequació aplicable, o clàusules contractuals tipus (SCC) amb les mesures complementàries que corresponguin. L'Encarregat no realitzarà transferències internacionals no previstes sense instrucció o autorització del Responsable.

7. Obligacions del Responsable

El Responsable s'obliga a: (i) determinar la base jurídica del tractament i obtenir, quan escaigui, el consentiment i informar els interessats; (ii) facilitar únicament dades adequades, pertinents i limitades al que és necessari, i no introduir a la plataforma categories especials de dades (art. 9 RGPD) llevat que sigui imprescindible, estigui emparat i s'informi l'Encarregat; (iii) cursar instruccions lícites; (iv) supervisar el tractament i vetllar, de forma prèvia i durant tot el tractament, pel compliment del RGPD; (v) custodiar les seves credencials d'accés i gestionar adequadament els permisos dels seus usuaris. El Responsable és l'únic titular i responsable del certificat de signatura (FNMT o un altre) que pugi a la plataforma i de les factures que s'emetin amb ell.

8. Devolució o supressió en finalitzar

Finalitzada la prestació (per terminació, resolució o no renovació de la subscripció), l'Encarregat, a elecció del Responsable, li retornarà les dades personals en un format estructurat i d'ús comú o les suprimirà, juntament amb les còpies existents, llevat que el Dret de la Unió o d'un Estat membre exigeixi la seva conservació. En particular, les factures i els registres fiscals emesos s'han de conservar durant els terminis legalment exigits (obligacions fiscals i del sistema Veri*factu), per la qual cosa la seva supressió queda condicionada a aquests terminis. Llevat d'instrucció diferent, l'Encarregat suprimirà les dades en un termini raonable després de la finalització.

9. Responsabilitat

Cada part respon dels danys i perjudicis que causi per l'incompliment de les seves obligacions sota aquest Acord i el RGPD, conforme a l'article 82 del RGPD. Els límits de responsabilitat pactats als Termes del Servei s'apliquen en la mesura permesa per la llei, sense que puguin excloure la responsabilitat enfront dels interessats ni les sancions administratives.

10. Durada, legislació i jurisdicció

Aquest Acord entra en vigor amb la contractació del servei i roman vigent mentre duri l'encàrrec. Es regeix per la legislació espanyola i pel RGPD. Per a qualsevol controvèrsia, les parts se sotmeten als Jutjats i Tribunals de la ciutat de Lleida, llevat de fur imperatiu diferent.