Acuerdo de tratamiento de datos (DPA)

entre
[Nombre del cliente] – en adelante denominado «Responsable del tratamiento» conforme al art. 4 n.º 7 del RGPD –
y
insiba Engineering, Käthe-Kollwitz-Ring 83, 76676 Graben-Neudorf, Alemania – en adelante denominado «Encargado del tratamiento» conforme al art. 4 n.º 8 del RGPD

I. Preámbulo

Las partes están vinculadas mediante la celebración de los Términos y Condiciones (T&C) vigentes en el momento de la celebración del contrato para el uso de la solución SaaS «eCommerce One». En el marco de esta relación contractual, el encargado del tratamiento procesa datos personales por cuenta del responsable del tratamiento.

El presente acuerdo de tratamiento de datos especifica los derechos y obligaciones de las partes en materia de protección de datos de conformidad con el art. 28 del RGPD. Regula la naturaleza, el alcance y la finalidad del tratamiento de datos personales, así como los requisitos relativos a las medidas técnicas y organizativas y al uso de subencargados del tratamiento.

El presente acuerdo complementa los Términos y Condiciones (T&C) vigentes en el momento de la celebración del contrato. En caso de contradicciones, prevalecerán las disposiciones del presente acuerdo de tratamiento de datos.

II. Ámbito de aplicación

(1) El presente acuerdo se aplica a todas las actividades del encargado del tratamiento en las que se procesen datos personales del responsable del tratamiento.

(2) El responsable del tratamiento sigue siendo el único responsable del cumplimiento de las disposiciones aplicables en materia de protección de datos.

(3) El presente acuerdo se aplica a todas las operaciones de tratamiento realizadas en el marco del uso de la plataforma SaaS «eCommerce One».

III. Objeto, naturaleza, finalidad y duración del tratamiento

(1) El objeto del tratamiento son los datos personales que se procesan en el marco del uso de la plataforma eCommerce One, en particular en relación con la importación de pedidos, la gestión de clientes y productos, la creación de documentos, la gestión de envíos y las funciones de automatización.

(2) La naturaleza del tratamiento incluye en particular la recogida, el almacenamiento, la organización, el uso, la transmisión, la limitación o la eliminación de datos personales.

(3) La finalidad del tratamiento es la prestación de los servicios SaaS acordados contractualmente.

(4) El tratamiento comienza con la activación de la cuenta del cliente y finaliza con la eliminación completa o la devolución de los datos personales tras la finalización de la relación contractual.

(5) El tratamiento se realiza, por regla general, dentro de la Unión Europea o del Espacio Económico Europeo. Las transferencias a terceros países solo se realizan de conformidad con los artículos 44 y siguientes del RGPD.

IV. Obligaciones del encargado del tratamiento

(1) El encargado del tratamiento procesa los datos personales exclusivamente sobre la base de instrucciones documentadas del responsable del tratamiento.

(2) Todas las personas autorizadas a procesar datos personales están obligadas a mantener la confidencialidad.

(3) El encargado del tratamiento implementa medidas técnicas y organizativas adecuadas de conformidad con el art. 32 del RGPD.

(4) El encargado del tratamiento apoya al responsable del tratamiento en el ejercicio de los derechos de los interesados conforme a los arts. 12–23 del RGPD.

(5) El encargado del tratamiento asiste al responsable del tratamiento en el cumplimiento de las obligaciones previstas en los arts. 32–36 del RGPD.

(6) El encargado del tratamiento informará inmediatamente al responsable del tratamiento si considera que una instrucción infringe la normativa de protección de datos.

V. Obligaciones del responsable del tratamiento

(1) El responsable del tratamiento es responsable de la licitud del tratamiento de los datos personales.

(2) El responsable del tratamiento garantiza que está autorizado para procesar datos personales.

(3) El responsable del tratamiento revisa periódicamente las medidas técnicas y organizativas implementadas por el encargado del tratamiento.

(4) El responsable del tratamiento informará inmediatamente al encargado del tratamiento sobre cualquier infracción de la protección de datos detectada.

VI. Instrucciones

(1) Las instrucciones deberán emitirse, por regla general, por escrito o en forma de texto.

(2) El encargado del tratamiento tiene derecho a suspender la ejecución de una instrucción si esta infringe la normativa de protección de datos.

(3) Las instrucciones fuera del alcance de los servicios acordados se considerarán solicitudes de modificación.

VII. Medidas técnicas y organizativas (TOM)

El encargado del tratamiento implementa medidas técnicas y organizativas adecuadas de conformidad con el art. 32 del RGPD, en particular medidas destinadas a garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, así como procedimientos para restablecer la disponibilidad de los datos personales.

VIII. Derechos de control

(1) El responsable del tratamiento tiene derecho a verificar el cumplimiento del presente acuerdo.

(2) Las pruebas adecuadas pueden incluir, en particular, certificaciones, informes de auditoría de terceros independientes o auditorías de protección de datos.

(3) Las inspecciones deberán anunciarse con antelación y no deberán afectar de forma desproporcionada a las operaciones comerciales del encargado del tratamiento.

IX. Subencargados del tratamiento

(1) El responsable del tratamiento concede una autorización general para la contratación de subencargados del tratamiento.

(2) El encargado del tratamiento obliga contractualmente a los subencargados a cumplir con el RGPD.

(3) Los cambios relativos a subencargados del tratamiento se comunicarán al responsable del tratamiento.

X. Eliminación y devolución de datos

(1) Tras la finalización de la relación contractual, los datos personales serán eliminados o devueltos al responsable del tratamiento a petición de este.

(2) Las obligaciones legales de conservación permanecen intactas.

XI. Responsabilidad

Las partes serán responsables de conformidad con las disposiciones legales del RGPD, en particular el art. 82 del RGPD.

Versión: 02.03.2026