1. TRATAMIENTO DE DATOS
1.1 A los efectos de la presente política(Política de tratamiento de datos), se entenderá por "Legislación de protección de datos" la Ley de protección de datos de 1998, y todas las leyes y reglamentos aplicables relativos al tratamiento de datos personales (incluidas, en su caso, las orientaciones y códigos de prácticas emitidos por cualquier autoridad competente) y que incluirá la legislación nacional de aplicación del Reglamento general de protección de datos (2016/679/UE) que sustituirá a la Ley de protección de datos de 1998, cuando entre en vigor(Legislación de protección de datos).
1.2 Blue Ridge y/o sus filiales ("Empresa") cumplirán con toda la Legislación de Protección de Datos aplicable en relación con sus obligaciones en virtud de la presente Política de Protección de Datos como Encargado del Tratamiento. A los efectos de la presente Política de Protección de Datos, "Datos Personales" tendrá el significado que se le atribuye en la Legislación de Protección de Datos (Datos Personales) y se referirá a los Datos Personales tratados por la Empresa para o en nombre del Responsable del Tratamiento o cualquiera de sus filiales. Los términos " Responsable del tratamiento" y " Encargado del tratamiento" tienen el significado definido en la legislación sobre protección de datos.
1.3 El Anexo a la presente Política de Protección de Datos establece el alcance, la naturaleza y la finalidad del tratamiento de Datos Personales por parte de la Empresa en virtud del presente Acuerdo(Finalidad de la Protección de Datos), incluyendo detalles sobre la duración del tratamiento, los tipos de Datos Personales que serán tratados por la Empresa y las categorías de Sujetos de Datos (entendiéndose por Sujeto de Datos el significado definido en la Legislación sobre Protección de Datos). Cualquier modificación de la Finalidad de Protección de Datos deberá ser acordada por escrito entre las Partes.
1.4 Los responsables del tratamiento de datos deben asegurarse de que cuentan con todos los consentimientos y aprobaciones necesarios para permitir la transferencia legal de los datos personales a la empresa durante el periodo de vigencia y a los efectos de la presente política de protección de datos.
1.5 Sin perjuicio de la generalidad de la cláusula 1.2, la Sociedad deberá, en relación con cualquier Dato Personal tratado en relación con el cumplimiento de sus obligaciones en virtud de la presente Política de Protección de Datos
(a) tratar dichos Datos Personales únicamente de conformidad con la Finalidad de la Protección de Datos y las instrucciones escritas del Responsable del Tratamiento de vez en cuando de conformidad con la presente Política de Protección de Datos, y para ningún otro fin, a menos que la Empresa esté obligada por las leyes de cualquier miembro de la Unión Europea o por las leyes de la Unión Europea aplicables a la Empresa a tratar los Datos Personales (Leyes Aplicables). Cuando la Empresa se base en la legislación de un miembro de la Unión Europea o en la legislación de la Unión Europea como fundamento para el tratamiento de los Datos Personales, la Empresa lo notificará inmediatamente al Controlador de Datos antes de realizar el tratamiento exigido por las Leyes Aplicables, a menos que dichas Leyes Aplicables prohíban a la Empresa notificar al Controlador de Datos;
(b) no divulgará los Datos Personales ni la información extraída de los Datos Personales a terceros sin la autorización previa por escrito del Responsable del Tratamiento y se asegurará de que todo el personal de la Empresa que tenga acceso a los Datos Personales y/o los trate reciba la formación adecuada en cumplimiento de la Legislación sobre Protección de Datos y conozca y esté obligado a cumplir los requisitos de confidencialidad de los Datos Personales;
(c) garantizar que dispone de las medidas técnicas y organizativas adecuadas contra el tratamiento no autorizado o ilícito de Datos Personales y contra la pérdida o destrucción accidental de Datos Personales, o los daños causados a los mismos, como si fuera el Controlador de Datos con respecto a dichos Datos Personales, de conformidad con la Legislación sobre Protección de Datos, y proporcionará al Controlador de Datos cualquier información que éste solicite razonablemente en relación con las medidas técnicas y organizativas que haya implementado, y cumplirá sin demora con cualquier requisito realizado por el Controlador de Datos para garantizar que las medidas técnicas y organizativas cumplen con la Legislación sobre Protección de Datos;
(d) no recurrir a un subencargado del tratamiento a menos que el Responsable del tratamiento lo apruebe expresamente por escrito o, de lo contrario, con un fin legítimo. Cuando se recurra a un subencargado del tratamiento, la empresa se asegurará de que todos los subencargados del tratamiento que tengan acceso o traten Datos Personales reciban la formación adecuada en cumplimiento de la legislación sobre protección de datos y conozcan y estén obligados a cumplir los requisitos de confidencialidad de los Datos Personales. La empresa deberá, como requisito previo y como condición permanente para cualquier subtratamiento de datos personales, disponer de un acuerdo por escrito con el tercero encargado del tratamiento, que no proporcione menos protección que la ofrecida al responsable del tratamiento en virtud de la presente política de protección de datos;
(e) ayudar al responsable del tratamiento a responder a las solicitudes y/o reclamaciones de cualquier interesado que ejerza sus derechos en relación con la legislación sobre protección de datos;
(f) asistir al responsable del tratamiento en el cumplimiento de las obligaciones que le impone la legislación sobre protección de datos en materia de seguridad, notificación de infracciones, evaluaciones de impacto y consultas con las autoridades de control o reguladoras;
(g) a petición del responsable del tratamiento, suprimir o devolver al responsable del tratamiento todos los datos personales y copias de los mismos a la finalización del acuerdo pertinente entre la empresa y el responsable del tratamiento (o en cualquier momento a petición del responsable del tratamiento), a menos y en la medida en que la legislación aplicable exija el almacenamiento por parte del responsable del tratamiento;
(h) poner a disposición del responsable del tratamiento, o de cualquier tercero debidamente designado por el responsable del tratamiento, toda la información necesaria para demostrar el cumplimiento por parte de la empresa de los requisitos de la presente política de protección de datos y permitir y ayudar razonablemente en las auditorías que solicite razonablemente el responsable del tratamiento en relación con la comprobación del cumplimiento por parte de la empresa de la presente política de protección de datos;
(i) no transferirá ningún Dato personal fuera del Espacio Económico Europeo sin el consentimiento previo por escrito del Responsable del tratamiento de datos y/o en contravención de un fin legítimo y, cuando el Responsable del tratamiento de datos otorgue dicho consentimiento y/o se haya determinado dicho fin legítimo, la Empresa se asegurará de que:
- cualquier transferencia de Datos Personales fuera del Espacio Económico Europeo se realice de conformidad con las instrucciones escritas y la aprobación del Responsable del Tratamiento y/o dicho fin legítimo;
- dispone de garantías adecuadas en relación con la transferencia;
- el interesado seguirá teniendo derechos exigibles y recursos legales efectivos;
- cumple en todo momento las obligaciones que le incumben en virtud de la presente Política de Protección de Datos, proporcionando un nivel adecuado de protección a los Datos Personales que se transfieran; y
- cumple todas las instrucciones razonables que le notifique previamente el responsable del tratamiento en relación con el tratamiento y/o la transferencia de los datos personales (por ejemplo, incorporando las últimas cláusulas contractuales estándar de la UE (en relación con las transferencias de datos personales fuera del EEE); y
(j) informar inmediatamente al Responsable del Tratamiento si alguna de las instrucciones del Responsable del Tratamiento a la Empresa infringe la legislación sobre protección de datos.
1.6 Cuando la Empresa tenga conocimiento de una violación de la seguridad de los datos, o de cualquier otro incidente relevante que afecte a la seguridad o integridad de los Datos Personales (una Violación de Datos Personales), la Empresa deberá:
(a) informar al Controlador de Datos con prontitud, y en cualquier caso dentro de las 24 horas siguientes a la Violación de Datos Personales relevante;
(b) facilitar al responsable del tratamiento toda la información pertinente sobre la violación de los datos personales para facilitar la investigación por parte del responsable del tratamiento y/o la autoridad reguladora pertinente; y
(c) adoptar todas las medidas razonables solicitadas por el responsable del tratamiento y/o la autoridad reguladora pertinente para contener y responder a la violación de los datos personales.
