Acuerdo de Encargo de Tratamiento

Partes

Encargado del tratamiento («el Encargado» o «el Proveedor»):

• Razón social: Intermediatours, S.L.N.E. (marca comercial «Lyzard OPS»)
• NIF: B65621740
• Domicilio: Calle Tarragona, 47, 5.º 1.ª – 25005 Lleida (España)
• Contacto en materia de protección de datos: info@lyzardops.com

Responsable del tratamiento («el Responsable» o «el Cliente»): la empresa que contrata el servicio Lyzard OPS y cuyos datos se consignan a continuación:

• Razón social / nombre:  
• NIF / CIF:  
• Domicilio:  
• Email de contacto en protección de datos:  

Ambas partes se reconocen capacidad suficiente para obligarse y suscriben el presente Acuerdo, que forma parte inseparable del contrato de suscripción del servicio Lyzard OPS (los «Términos del Servicio»). En caso de contradicción entre este Acuerdo y los Términos del Servicio en lo relativo a la protección de datos personales, prevalecerá este Acuerdo.

1. Objeto

El Responsable utiliza la plataforma Lyzard OPS (software como servicio de gestión y motor de reservas) para tratar datos personales de sus propios clientes, viajeros, proveedores y personal. En la prestación de ese servicio, el Encargado trata dichos datos por cuenta y siguiendo las instrucciones del Responsable. Este Acuerdo regula ese encargo conforme al artículo 28 del RGPD. El Responsable es el único responsable del tratamiento respecto de esos datos; el Encargado no los trata para fines propios.

2. Naturaleza, finalidad, duración y datos

El objeto, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados se describen en el Anexo I. La duración del encargo coincide con la vigencia de la suscripción al servicio, más los plazos de conservación y devolución/supresión previstos en la cláusula 9.

3. Instrucciones del Responsable

El Encargado tratará los datos personales únicamente conforme a las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que le obligue el Derecho de la Unión o de un Estado miembro; en tal caso informará de esa exigencia legal antes del tratamiento, salvo prohibición legal por razones de interés público. Se consideran instrucciones documentadas del Responsable la contratación y el uso del servicio conforme a los Términos del Servicio, la configuración que el Responsable realiza en la plataforma y las instrucciones adicionales que curse por escrito a info@lyzardops.com. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, informará de inmediato al Responsable.

4. Obligaciones del Encargado

El Encargado se obliga a:

1. Tratar los datos solo para prestar el servicio y conforme a las instrucciones de la cláusula 3; no aplicarlos ni utilizarlos con fines distintos ni cederlos a terceros, ni siquiera para su conservación, salvo autorización o exigencia legal.
2. Confidencialidad: mantener el deber de secreto respecto de los datos, que subsistirá tras la finalización del encargo, y garantizar que las personas autorizadas a tratarlos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria.
3. Seguridad: aplicar las medidas técnicas y organizativas apropiadas del artículo 32 del RGPD, descritas en el Anexo II, para garantizar un nivel de seguridad adecuado al riesgo.
4. Asistencia en los derechos de los interesados: asistir al Responsable, en la medida de lo posible y teniendo en cuenta la naturaleza del tratamiento, mediante medidas técnicas y organizativas apropiadas, para que pueda atender las solicitudes de ejercicio de los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad (arts. 12 a 22 RGPD). Cuando los interesados ejerzan derechos ante el Encargado, este lo comunicará al Responsable a la mayor brevedad para que resuelva.
5. Asistencia en obligaciones de seguridad y evaluación: ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de violaciones a la autoridad de control y a los interesados, evaluación de impacto (EIPD) y consulta previa (arts. 32 a 36 RGPD), teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
6. Notificación de violaciones de seguridad: notificar al Responsable, sin dilación indebida y a más tardar en 48 horas desde que tenga conocimiento de ellas, las violaciones de la seguridad de los datos que afecten a datos tratados por cuenta del Responsable, con la información disponible (naturaleza de la violación, categorías y número aproximado de interesados y de registros afectados, consecuencias probables y medidas adoptadas o propuestas).
7. Registro de actividades: mantener, cuando proceda, un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable (art. 30.2 RGPD) y ponerlo a su disposición.
8. Puesta a disposición de información y auditorías: poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 y permitir y contribuir a auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor autorizado por él, con preaviso razonable, en horario laboral, sin comprometer la seguridad ni la confidencialidad de otros clientes del Encargado, y a costa del Responsable salvo que la auditoría revele un incumplimiento imputable al Encargado.

5. Subencargados (art. 28.2 y 28.4)

El Responsable autoriza con carácter general al Encargado a recurrir a los subencargados (subprocesadores) relacionados en el Anexo III, necesarios para la prestación del servicio. El Encargado:

• impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que las estipuladas en este Acuerdo, en particular garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas;
• seguirá siendo plenamente responsable ante el Responsable del cumplimiento por parte del subencargado;
• informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados con una antelación razonable, dándole la oportunidad de oponerse por motivos razonables relativos a la protección de datos. Si el Responsable se opone y la discrepancia no se resuelve, podrá resolver la parte del servicio afectada.

6. Transferencias internacionales

Cuando la prestación del servicio implique el tratamiento de datos por subencargados situados fuera del Espacio Económico Europeo (véase el Anexo III), el Encargado garantizará que dichas transferencias se amparen en un mecanismo válido del Capítulo V del RGPD: decisión de adecuación de la Comisión Europea, adhesión del importador a un marco de adecuación aplicable, o cláusulas contractuales tipo (SCC) con las medidas complementarias que procedan. El Encargado no realizará transferencias internacionales no previstas sin instrucción o autorización del Responsable.

7. Obligaciones del Responsable

El Responsable se obliga a: (i) determinar la base jurídica del tratamiento y recabar, cuando proceda, el consentimiento e informar a los interesados; (ii) facilitar únicamente datos adecuados, pertinentes y limitados a lo necesario, y no introducir en la plataforma categorías especiales de datos (art. 9 RGPD) salvo que sea imprescindible, esté amparado y se informe al Encargado; (iii) cursar instrucciones lícitas; (iv) supervisar el tratamiento y velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD; (v) custodiar sus credenciales de acceso y gestionar adecuadamente los permisos de sus usuarios. El Responsable es el único titular y responsable del certificado de firma (FNMT u otro) que suba a la plataforma y de las facturas que se emitan con él.

8. Devolución o supresión al finalizar

Finalizada la prestación (por terminación, resolución o no renovación de la suscripción), el Encargado, a elección del Responsable, le devolverá los datos personales en un formato estructurado y de uso común o los suprimirá, junto con las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación. En particular, las facturas y los registros fiscales emitidos deben conservarse durante los plazos legalmente exigidos (obligaciones fiscales y del sistema Veri*factu), por lo que su supresión queda condicionada a dichos plazos. Salvo instrucción distinta, el Encargado suprimirá los datos en un plazo razonable tras la finalización.

9. Responsabilidad

Cada parte responde de los daños y perjuicios que cause por el incumplimiento de sus obligaciones bajo este Acuerdo y el RGPD, conforme al artículo 82 del RGPD. Los límites de responsabilidad pactados en los Términos del Servicio se aplican en la medida permitida por la ley, sin que puedan excluir la responsabilidad frente a los interesados ni las sanciones administrativas.

10. Duración, legislación y jurisdicción

Este Acuerdo entra en vigor con la contratación del servicio y permanece vigente mientras dure el encargo. Se rige por la legislación española y por el RGPD. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de la ciudad de Lleida, salvo fuero imperativo distinto.