Acuerdo de tratamiento de datos de Finom

Versión: 1.0.2

El presente Acuerdo de tratamiento de datos («ATD») forma parte del acuerdo entre el Usuario y el Proveedor de servicios — Términos y condiciones — por el que se rige la provisión de Servicios al Usuario y que puede ser objeto de actualizaciones por parte del Proveedor de servicios cada cierto tiempo.

El presente ATD constituye un contrato que regula la relación entre Usted (el Usuario), en calidad de responsable del tratamiento de datos, y Nosotros (el «Proveedor de servicios»), en calidad de encargado del tratamiento de datos, según se define en el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679) («RGPD»).

Salvo por los cambios que se introduzcan en virtud del presente ATD, los Términos y condiciones y la Política de Privacidad se mantienen inalterados y plenamente vigentes. Si existiese cualquier conflicto entre este ATD y los Términos y condiciones o la Política de Privacidad, prevalecerá lo dispuesto en este ATD en lo que respecta a dicho conflicto.

Sus datos personales y de empresa se trasvasan automáticamente a este ATD desde Su Cuenta de Usuario en el momento en que acepta la Política de Privacidad y los Términos y condiciones con el presente ATD anexo. Sus datos se mostrarán siempre como Usted nos los proporcione a Nosotros y la consideraremos «actualizada» salvo que Usted Nos facilite información modificada.

El presente ATD se celebra entre:

{{companyData}} (el «Usuario» o Responsable del tratamiento de datos), y

PNL Fintech BV (que opera bajo el nombre comercial «FINOM»), Jachthavenweg 109H, 1081 KM Ámsterdam, Países Bajos (el "Proveedor de servicios" o "Encargado del tratamiento de datos"),

a los que se hace referencia individual como «la parte», y colectiva como «las partes».

Las partes acuerdan LO SIGUIENTE:

Objeto

Las partas desean otorgar este ATD para cumplir los requisitos de tratamiento de datos personales y el RGPD.

Por consiguiente, las partes ACUERDAN los términos de este «ATD» para regular su relación como responsable del tratamiento de datos y encargado del tratamiento de datos de conformidad con el RGPD.

Naturaleza y finalidad del tratamiento

El Proveedor de servicios presta los Servicios definidos en los Términos y condiciones y acordados con el Usuario. Cuando el Usuario actúa en calidad de empresa/empresario/empleador/asesor puede efectuar el tratamiento de los datos personales de los titulares de datos, que son clientes, empleados, socios, representantes, asesores del Usuario (las "Relaciones del Usuario") para lo cual podrá cargar, modificar, compartir y eliminar dicha información a través de la Plataforma del Proveedor de servicios. Para la provisión de los Servicios puede ser necesario que el Proveedor de servicios realice el tratamiento de datos personales de las Relaciones del Usuario. Por consiguiente, el Usuario actuará como responsable del tratamiento de datos tal y como se define en el RGPD. El Proveedor de servicios actuará por tanto como encargado del tratamiento de datos y realizará dicho tratamiento en nombre del Usuario.

El objetivo del tratamiento de los datos personales es la prestación y recepción de los Servicios con arreglo a los Términos y condiciones.

El Responsable del tratamiento de datos, por consiguiente, encomienda al Encargado del tratamiento de datos el tratamiento de los datos personales como se indica en el presente ATD y con arreglo al RGPD y la legislación aplicable.

Duración del tratamiento de datos

La duración del tratamiento de datos se corresponde con los términos de la prestación de Servicios por parte del Encargado del tratamiento de datos al Responsable del tratamiento de datos con arreglo a los Términos y condiciones, salvo que se requiera un periodo más largo para que las partes puedan cumplir sus obligaciones en virtud del RGPD y la legislación que sea de aplicación.

Tipo de datos personales y categorías de titulares de datos

Los términos "Datos personales" (denominados en este ATD datos o "datos personales") y tratamiento (denominado en este ATD "tratamiento") se emplean con el sentido que se les atribuye en el RGPD. No se tratan datos considerados "datos personales sensibles", según se definen en el RGPD.

1. Categorías de datos personales que pueden ser objeto de tratamiento:

   — Véase el Anexo I del presente Acuerdo

2. Categorías de titulares de datos cuyos datos personales pueden ser objeto de tratamiento:

   — Véase el Anexo I del presente Acuerdo

Responsabilidades

El Encargado del tratamiento de datos:

• gestionará todos los datos personales en nombre del Responsable del tratamiento de datos siguiendo las instrucciones proporcionadas por este, y velará por que también lo hagan todos sus subencargados del tratamiento de datos:

  1. tal y como se describe en el presente ATD;
  2. con arreglo al RGPD;
  3. según las instrucciones explícitas adicionales que pueda proporcionar el Responsable del tratamiento de datos;
• actuará en observancia del RGPD, adoptará todas las medidas necesarias y cumplirá todas sus obligaciones a tenor de lo dispuesto en el RGPD y la legislación aplicable;
• en lo que respecta a los datos personales, adoptará, teniendo en cuenta el estado de la técnica, los costes de la implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento de datos y los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas, medidas técnicas y organizativas oportunas para garantizar un nivel de seguridad adecuado a dicho riesgo, que podrá incluir cuando proceda las medidas recogidas en el artículo 32, apartado 1 del RGPD;
• notificará al Responsable del tratamiento de datos sin demora injustificada cualquier violación de la seguridad de los datos personales de la que adquiera conocimiento;
• asistirá, en la medida de lo posible, al Responsable del tratamiento de datos en el desempeño de las obligaciones de este en lo que respecta a las solicitudes de los titulares de datos de ejercer sus derechos recogidos en el capítulo III del RGPD. El Responsable del tratamiento de datos asumirá todos los costes asociados con tales solicitudes;
• informará, en la medida en que sea factible y lícito, al Responsable del tratamiento de datos de la recepción de solicitudes de titulares de datos relacionadas con el ejercicio de sus derechos en virtud del RGPD. El Encargado del tratamiento de datos atenderá dichas solicitudes cuando reciba la autorización pertinente del Responsable del tratamiento de datos. El Encargado del tratamiento de datos no divulgará información alguna salvo que así se lo exija la ley;
• adoptará medidas razonables para garantizar la fiabilidad de todo empleado, agente o contratista que pueda tener acceso a los datos personales y que en todo caso tal acceso se limita estrictamente a aquellas personas que deben conocer o acceder a los datos personales oportunos y solo cuando sea estrictamente necesario para los fines definidos en el RGPD y el presente ATD, así como para garantizar el cumplimiento de la legislación aplicable y que tales personas o empresas están sujetas a acuerdos de confidencialidad u obligaciones profesionales o legales de confidencialidad.

El Responsable del tratamiento de datos:

• actuará en observancia del RGPD, adoptará todas las medidas necesarias y cumplirá todas sus obligaciones a tenor de lo dispuesto en el RGPD y la legislación aplicable;
• confirma que está facultado por ley a acceder a todos los datos personales objeto de tratamiento con arreglo a este ATD y que conservará esta capacidad de acceso lícito con arreglo al RGPD, los Términos y condiciones, la Política de Privacidad y toda la legislación que sea de aplicación;
• será responsable en todo momento de la precisión, la integridad, el contenido y la fiabilidad de los datos personales que se traten en virtud del presente ATD;
• dispondrá de una lista precisa de categorías de datos personales que se facilitan al Responsable del tratamiento de datos y que se tratan con arreglo al presente ATD;
• notificará al Encargado del tratamiento de datos todo caso en que el tratamiento de datos difiera de las categorías recogidas en el ATD y la Política de Privacidad;
• notificará al Encargado del tratamiento de datos de la recepción de toda solicitud, pregunta o queja por parte de los titulares de datos en lo que respecta a los datos personales que trata el Encargado del tratamiento de datos;
• obtendrá y conservará el consentimiento explícito para el tratamiento de sus propios datos personales y aquellos de las Relaciones del Usuario cuando estos se traten a los efectos de prestar y recibir los Servicios contemplados en los Términos y condiciones. El Responsable del tratamiento de datos podrá revocar este consentimiento en cualquier momento, en cuyo caso la provisión de los Servicios al Usuario y sus representantes con arreglo a los Términos y condiciones se interrumpirá automáticamente y con carácter inmediato.

Auditorías

De conformidad con las condiciones recogidas en la presente sección, el Encargado del tratamiento de datos podrá proporcionar al Responsable del tratamiento de datos si así lo solicita la información pertinente necesaria para demostrar el cumplimiento con este ATD, y permitirá y facilitará la realización de auditorías, incluidas inspecciones, por parte del Responsable del tratamiento de datos o un auditor seleccionado como se indica en la presente sección.

Los derechos de información y auditoría del Responsable del tratamiento de datos adquieren vigencia con arreglo a esta sección únicamente si el ATD no otorga de otro modo al Responsable del tratamiento de datos derechos de información y auditoría de conformidad con los requisitos oportunos del RGPD.

El Responsable del tratamiento de datos podrá iniciar cada cierto tiempo una revisión del tratamiento de datos personales por parte del Encargado del tratamiento de datos. Las partes acuerdan que, en el curso habitual de la actividad, una auditoría anual por parte del Responsable del tratamiento de datos será suficiente. El Responsable del tratamiento de datos deberá facilitar un plan de auditoría pormenorizado en el que se detalle el alcance, la duración y la fecha de inicio de la misma al menos cuatro semanas antes de la fecha de inicio propuesta. Las partes decidirán conjuntamente si la auditoría debe realizarla un tercero. No obstante, el Responsable del tratamiento de datos podrá permitir al Encargado del tratamiento de datos que encomiende dicha revisión de seguridad a una tercera parte neutral de su elección, habida cuenta de que se trata de un entorno de tratamiento en el que participan multitud de responsables del tratamiento de datos.

Si el alcance de la auditoría propuesto se corresponde con lo estipulado en una norma ISAE o ISO u otro informe de certificación similar realizado por un auditor externo debidamente cualificado y el Encargado del tratamiento de datos confirma que no se han producido cambios de consideración en las medidas objeto de revisión en los doce meses anteriores a dicha auditoría, las partes lo considerarán suficiente.

Las auditorías no deberán interferir más allá de lo razonable en la actividad habitual del Encargado del tratamiento de datos. El Responsable del tratamiento de datos asumirá todos los costes asociados con las auditorías.

Uso de subencargados del tratamiento de datos
y
transferencias de datos

Uso de subencargados del tratamiento de datos: A los efectos de prestar los Servicios al Usuario/Responsable del tratamiento de datos, el Encargado del tratamiento de datos podrá recurrir a subencargados del tratamiento de datos ("subencargados del tratamiento de datos"). Los subencargados del tratamiento de datos que contrate el Encargado del tratamiento de datos podrán encontrarse dentro o fuera de la UE o del EEE y se recogen en las secciones oportunas en las que se describe cada actividad de tratamiento de datos de la Política de Privacidad, la cual podrá ser objeto de modificaciones cada cierto tiempo. Los nombres de las personas físicas que actúen como subencargados del tratamiento de datos (contratistas, empelados u autónomos que trabajen para el Encargado del tratamiento de datos) no aparecen en la Política de privacidad para proteger su privacidad, pero pueden facilitarse al Responsable del tratamiento de datos o las autoridades previa solicitud legítima. El Responsable del tratamiento de datos acuerda que el Encargado del tratamiento de datos podrá contratar a todos los subencargados del tratamiento de datos mencionados a fin de efectuar el tratamiento de los datos personales en nombre del Encargado del tratamiento de datos y/o el Responsable del tratamiento de datos a tenor de lo dispuesto en el presente ATD y en cumplimiento del RGPD.

El Encargado del tratamiento de datos: i) podrá formalizar acuerdos por escrito con todos los subencargados del tratamiento de datos (actuales o nuevos) que impongan condiciones de protección de datos a los subencargados del tratamiento de datos según las cuales estos deban proteger los datos personales con arreglo al RGPD; y ii) podrá supervisar y controlar de forma continuada el cumplimiento del RGPD de sus subencargados. Cuando así lo solicite por escrito, el Responsable del tratamiento de datos podrá recibir documentación o pruebas de dicha supervisión y control, salvo que la ley estipule lo contrario, y iii) será en todo momento responsable de todo acto u omisión de los subencargados del tratamiento de datos que provoque el incumplimiento de las partes de las obligaciones contraídas con arreglo al presente ATD.

Si el Responsable del tratamiento de datos desea oponerse al uso de un nuevo subencargado del tratamiento de datos, deberá hacerlo dentro de los 10 días laborables siguientes a la notificación por parte del Encargado del tratamiento de datos. Si no expresa tal oposición, se entenderá que el Responsable del tratamiento de datos está plenamente conforme con el uso de nuevos subencargados del tratamiento de datos. Si el Responsable del tratamiento de datos se opusiese al uso de algún subencargado del tratamiento de datos y el Encargado del tratamiento de datos no pudiese satisfacer la oposición del Responsable del tratamiento de datos, el Proveedor de servicios ofrecerá la finalización de la provisión de Servicios al Usuario.

Transferencias de datos:

En el curso habitual de la actividad, el Encargado del tratamiento de datos no transferirá datos que haya recibido del Responsable del tratamiento de datos para su tratamiento a países que se encuentren fuera del Espacio Económico Europeo («EEE») o no hayan sido aprobados a los efectos de la Legislación aplicable por la Comisión Europea («Territorios aprobados por la Comisión»).

En algunos casos los datos personales se guardan en soluciones de almacenamiento cuyos servidores se encuentran fuera del EEE o de Territorios aprobados por la Comisión (como ocurre con Dropbox o Google). El Encargado del tratamiento de datos solo podrá emplear soluciones de almacenamiento que proporcionen servicios seguros con las medidas de protección oportunas.

Si el Encargado del tratamiento de datos tuviese que transferir datos personales recibidos del Responsable del tratamiento de datos fuera del EEE o Territorios Aprobados por la Comisión, deberá informar de ello al Responsable del tratamiento de datos para que este tenga la oportunidad de oponerse a dicha transferencia. Si el Responsable del tratamiento de datos no estima improcedente la transferencia, el Encargado del tratamiento de datos deberá asegurarse de disponer de Acuerdos de transferencia de datos a terceros países adecuados formalizados con dichos subencargados del tratamiento de datos. Estos acuerdos deberán ponerse a disposición del Responsable del tratamiento de datos para que pueda revisarlos si así lo solicita

En la fecha de formalización del ATD, el Responsable del tratamiento de datos declara que ha sido informado de que las siguientes actividades de tratamiento de datos llevadas a cabo por subencargados del tratamiento de datos del Encargado del tratamiento de datos tendrán lugar fuera del EEE. Dichas actividades de tratamiento de datos que por el presente han sido autorizadas específicamente por el Responsable del tratamiento de datos tendrán lugar en los países enumerados a continuación en estricto cumplimiento de las bases jurídicas de la transferencia de datos establecidas en el RGPD para cada actividad de tratamiento de datos.

FA efectos aclaratorios, nótese que el Responsable del tratamiento de datos emite el mandato claro al Encargado del tratamiento de datos de formalizar en nombre y representación del Responsable del tratamiento de datos las cláusulas contractuales tipo (cláusulas modelo [UE] que pueden hallarse en: https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj?uri=CELEX%3A32021D0914&locale=es) según las cuales el Encargado del tratamiento de datos actuará como exportador de datos y cada subencargado del tratamiento de datos será el importador de datos. En el caso de las actividades comerciales llevadas a cabo en Francia, será de aplicación el Módulo Tres de las cláusulas contractuales tipo. En el caso de las actividades comerciales llevadas a cabo en otros países, será de aplicación el Módulo Dos de las cláusulas contractuales tipo. El Responsable del tratamiento de datos ha revisado el contenido de los anexos 1 y 2 de las cláusulas contractuales tipo (cláusulas modelo 2010/87/UE) adjuntas al presente y presta su conformidad con el mismo.

El Encargado del tratamiento de datos podrá modificar cada cierto tiempo la lista de subencargados del tratamiento de datos en las secciones oportunas de la Política de privacidad, lo cual deberá comunicar debidamente al Responsable del tratamiento de datos.

Duración y finalización

Este ATD se mantendrá en vigor durante el tiempo que el Encargado del tratamiento de datos efectúe el tratamiento de los datos personales para los fines estipulados en el presente documento.

Tras finalizar los Servicios el Usuario/Responsable del tratamiento de datos podrá iniciar un proceso de eliminación de los datos personales que haya almacenado el Encargado del tratamiento de datos o solicitar su devolución si es técnicamente posible/viable, y salvo que la legislación aplicable disponga lo contrario, en este caso los datos personales se conservarán con arreglo a las medidas de seguridad técnicas y organizativas establecidas por el Encargado del tratamiento de datos.

El Responsable del tratamiento de datos podrá recuperar todos los datos personales oportunos a través de la plataforma o aplicación del Proveedor de servicios. Si el Responsable del tratamiento de datos solicitase asistencia adicional con la recuperación de los datos, los costes asociados deberán establecerse en función de la complejidad del proceso y el tiempo necesario para realizar esta tarea en el formato de elección.

Cambios en el ATD

Las partes acuerdan que el Proveedor de servicios podrá en todo momento modificar los términos del presente ATD siempre que vele debidamente por los intereses legítimos del Responsable del tratamiento de datos. El Proveedor de servicios notificará al Usuario los cambios a su debido tiempo, con arreglo a lo indicado y acordado por el Usuario/Responsable del tratamiento de datos en los Términos y condiciones. En caso de desacuerdo con los cambios el Usuario/Responsable del tratamiento de datos podrá finalizar los Servicios y el presente ATD en cualquier momento a través de la cuenta de Usuario o comunicándolo al Proveedor de servicios a través del correo electrónico hello@finom.co (u otra dirección de correo electrónico anunciada en la página web del Proveedor de servicios).

Disposiciones finales

Las responsabilidades derivadas del incumplimiento del presente ATD se rigen por los Términos y condiciones y la legislación aplicable.

Este ATD se regirá e interpretará con arreglo a la legislación de Países Bajos y los tribunales de Países Bajos ostentarán la jurisdicción exclusiva en relación con cualquier disputa relativa a este ATD y/o su objeto.

En caso de que alguna de las disposiciones del presente ATD fuese o pasase a ser inválida, ello no afectará a la validez del resto de disposiciones.