Acuerdo sobre la protección
de datos personales
En virtud del presente acuerdo, el encargado del tratamiento, Nemorius, tiene acceso a los datos personales y los trata en nombre del cliente, que se considera el «responsable del tratamiento». Como tal, el encargado del tratamiento se compromete a cumplir con las leyes y normativas aplicables en materia de protección de datos personales, en particular el Reglamento (UE) n.º 2016/679, de 27 de abril de 2016, conocido como «RGPD», y la Ley n.º 78-17, de 6 de enero de 1978, conocida como «Ley de Protección de Datos», en su versión modificada, de conformidad con los términos que se establecen a continuación.
Artículo 1. Definiciones específicas
«Datos personales»: cualquier información relativa a una persona física identificada o identificable (en lo sucesivo, el «interesado»); se considera «persona física identificable» a aquella que puede ser identificada, directa o indirectamente, en particular mediante un identificador, como un nombre, un número de identificación, datos de localización, un identificador en línea, o por uno o varios factores específicos propios de la identidad física, fisiológica, genética, mental, económica, cultural o social de la persona física.
«Por «tratamiento» se entiende cualquier operación o conjunto de operaciones realizadas sobre datos personales o conjuntos de datos personales, ya sea por medios automatizados o no, tales como la recogida, el registro, la organización, la estructuración, el almacenamiento, la adaptación o la modificación, la recuperación, la consulta, la utilización, la comunicación por transmisión, la difusión o cualquier otra forma de puesta a disposición, la interrelación o la combinación, la limitación, la supresión o la destrucción.
«Responsable del tratamiento»: la persona física o jurídica, la autoridad pública, el organismo u otro ente que, por sí solo o conjuntamente con otros, determine los fines y los medios del tratamiento; cuando los fines y los medios de dicho tratamiento estén determinados por el Derecho de la Unión o por la legislación de un Estado miembro, el responsable del tratamiento podrá ser designado, o los criterios específicos aplicables a su designación podrán establecerse, por el Derecho de la Unión o por la legislación de un Estado miembro.
«Encargado del tratamiento»: la persona física o jurídica, autoridad pública, organismo u otra entidad que trata datos personales por cuenta del responsable del tratamiento.
«Violación de datos personales»: una violación de la seguridad que dé lugar a la destrucción, pérdida, alteración, divulgación no autorizada o acceso no autorizado, de forma accidental o ilícita, de datos personales transmitidos, almacenados o tratados de cualquier otra forma.
«Leyes y reglamentos aplicables»: se refiere a todas las leyes y reglamentos relativos a la protección de los datos personales y la privacidad, incluida la Ley n.º 78-17 sobre tecnologías de la información, los Ficheros de Datos y las Libertades Civiles, de 6 de enero de 1978, en su versión modificada, y el Reglamento Europeo n.º 2016/679, de 27 de abril de 2016, conocido como «Reglamento General de Protección de Datos» (RGPD), con efecto a partir de su entrada en vigor. En el marco de su relación contractual, las Partes se comprometen a cumplir la normativa vigente aplicable al tratamiento de datos personales y, en particular, el Reglamento (UE) 2016/679, de 27 de abril de 2016 (en adelante, el «RGPD») y la Ley francesa de Protección de Datos, de 6 de enero de 1978, en su versión modificada.
Artículo 2. Principios generales
En el marco de su relación contractual, las Partes se comprometen a cumplir con las leyes y normativas aplicables en materia de protección de datos personales.
El encargado del tratamiento actuará exclusivamente siguiendo las instrucciones del responsable del tratamiento, con el fin de tratar los datos personales en su nombre. Como tal, el encargado del tratamiento se compromete a tratar los datos personales que sean responsabilidad del responsable del tratamiento exclusivamente con el fin de prestar los servicios derivados de las condiciones del contrato principal al que se refiere la presente cláusula.
Artículo 3. Obligaciones generales del encargado del tratamiento
En el desempeño de sus funciones, el Encargado del tratamiento se compromete a:
- Tratar los datos personales únicamente para los fines contemplados en el acuerdo de subcontratación, tal y como se describe a continuación;
- Informar inmediatamente al responsable del tratamiento si considera que una instrucción constituye una infracción de las leyes y reglamentos aplicables o de cualquier otra disposición del Derecho de la Unión Europea o de la legislación de los Estados miembros relativa a la protección de datos personales;
- Garantizar la confidencialidad, la integridad y la disponibilidad de los datos personales tratados;
- Garantizar que el personal autorizado para tratar datos personales esté sujeto a una obligación de confidencialidad adecuada y reciba la formación necesaria en materia de protección de datos personales;
- Tener en cuenta, en lo que respecta a sus servicios, los principios de protección de datos desde el diseño y por defecto;
- No transferir datos personales fuera de la Unión Europea sin el consentimiento previo y expreso del responsable del tratamiento y proporcionar las garantías adecuadas en relación con dicha transferencia, incluido un aviso estándar que deberá facilitarse a los interesados afectados por el tratamiento. Si el encargado del tratamiento está obligado a transferir datos personales a un tercer país o a una organización internacional de conformidad con el Derecho de la Unión Europea o con la legislación del Estado miembro al que esté sujeto, informará al responsable del tratamiento de esta obligación legal antes del inicio del tratamiento, salvo que la legislación aplicable prohíba dicha notificación por razones imperiosas de interés público;
- Ayudar al responsable del tratamiento a cumplir sus obligaciones en materia de seguridad de los datos, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga;
- Adoptar todas las medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad adecuado a los riesgos implicados, con el fin de evitar cualquier destrucción, pérdida, alteración, divulgación o acceso no autorizado —ya sea accidental o intencionado—, así como cualquier otra forma de tratamiento ilícito de los datos personales. El encargado del tratamiento se compromete, en particular, a aplicar todas las medidas de seguridad que se describen a continuación;
- Gestión del acceso
- Autenticación de usuarios
- Registro de conexiones
- Auditabilidad de los registros
- Medidas de seguridad física y de hardware
- Seguridad del acceso físico a los servidores
- Seguridad del acceso lógico a servidores y aplicaciones
- Seguridad de la red informática interna
- Cifrado y seudonimización de datos
- Gestión de vulnerabilidades y copias de seguridad
- Implementación de medidas de seguridad físicas, técnicas y organizativas de conformidad con la norma ISO 27001: Nemorius cuenta con la certificación correspondiente.
- Mantener un registro escrito de todas las actividades de tratamiento realizadas en nombre del responsable del tratamiento, de conformidad con la legislación y la normativa aplicables;
- Poner a disposición del responsable del tratamiento la documentación necesaria para demostrar el cumplimiento de todas sus obligaciones y permitir la realización de auditorías, incluidas las inspecciones, por parte del responsable del tratamiento o de cualquier otro auditor que este haya designado, y cooperar en dichas auditorías. El encargado del tratamiento se compromete además a garantizar la plena transparencia en relación con la política de seguridad y/o las medidas organizativas y técnicas implementadas para proteger los datos personales tratados en nombre del responsable del tratamiento. En particular, el encargado del tratamiento se compromete a facilitar, lo antes posible, cualquier información relativa a dicha política y a dichas medidas cuando así lo solicite el responsable del tratamiento.
Artículo 4. Obligaciones del encargado del tratamiento en caso de subcontratación
En caso de recurrir a subencargados posteriores, el Encargado de tratamiento les impondrá las mismas obligaciones que las descritas en la presente cláusula y se asegurará de que estos proporcionen todas las garantías exigidas por las Leyes y Reglamentos aplicables.
El encargado del tratamiento notificará al responsable del tratamiento con antelación cualquier recurso a un nuevo subencargado del tratamiento. El responsable del tratamiento dispondrá de 14 días hábiles para oponerse.
El Encargado del tratamiento pondrá a disposición del Responsable del tratamiento una lista exhaustiva y actualizada de sus subencargados del tratamiento. Dicha lista figura en el anexo 2 del presente acuerdo.
Artículo 5. Obligaciones de asistencia y cooperación
- Violación de la seguridad de los datos personales
El encargado del tratamiento notificará al responsable del tratamiento cualquier violación de la seguridad de los datos personales en un plazo máximo de 24 horas tras tener conocimiento de la misma, utilizando la dirección de correo electrónico facilitada al responsable del tratamiento en el contrato principal.
La notificación deberá describir la naturaleza de la violación de datos personales, incluyendo las categorías y el número de interesados, el nombre de la persona responsable del tratamiento en cuestión, las consecuencias de la violación para los interesados, las medidas adoptadas para subsanarla y el plazo estimado para la aplicación de dichas medidas con el fin de limitar el impacto sobre los interesados y evitar que se repita. Dicha notificación irá acompañada de toda la documentación pertinente que permita al responsable del tratamiento notificar esta violación de datos personales a la autoridad de control competente y, en su caso, a los interesados.
El encargado del tratamiento se compromete además a investigar la causa de la violación de datos personales y a aplicar todas las medidas correctivas necesarias para resolverla, limitar sus consecuencias y evitar que se repita.
El encargado del tratamiento se compromete asimismo a prestar asistencia al responsable del tratamiento a la hora de realizar las notificaciones necesarias a las autoridades competentes y/o a los interesados.
- Información y gestión de las solicitudes de los interesados
para ejercer sus derechos El responsable del tratamiento facilitará a los interesados información sobre las finalidades y las características del tratamiento de los datos personales objeto del presente acuerdo en el momento de su recogida.
No obstante, previa instrucción específica por escrito del responsable del tratamiento, podrá encomendarse al encargado del tratamiento la responsabilidad de facilitar dicha información. En este caso, el contenido de la información y la forma en que se facilite serán determinados por el responsable del tratamiento. El encargado del tratamiento se compromete a facilitar al responsable del tratamiento una prueba de la comunicación de la información, por cualquier medio.
Los interesados deberán ejercer sus derechos de acceso, rectificación, supresión, limitación y oposición al tratamiento, así como el derecho a la portabilidad de los datos, directamente ante los servicios del responsable del tratamiento.
En la medida de lo posible, el encargado del tratamiento deberá ayudar al responsable del tratamiento a cumplir con su obligación de responder a las solicitudes de los interesados para el ejercicio de sus derechos, en particular mediante la aplicación de todas las medidas técnicas y organizativas pertinentes para garantizar la ejecución efectiva de dichas solicitudes.
Cuando los interesados presenten solicitudes al encargado del tratamiento para ejercer sus derechos, este deberá remitir dichas solicitudes, tan pronto como las reciba, por correo electrónico a la dirección especificada en el contrato principal o a gdpr@nemorius.com.
Evaluaciones de impacto y relaciones con la autoridad de control
El encargado del tratamiento se compromete a cooperar con el responsable del tratamiento y a prestarle asistencia en el cumplimiento de sus obligaciones. Más concretamente, el encargado del tratamiento prestará asistencia al responsable del tratamiento en la realización de evaluaciones de impacto relativas a la protección de datos, ya sea antes o después de la ejecución de una operación de tratamiento, facilitándole toda la información necesaria sobre el tratamiento. El Encargado del tratamiento prestará esta misma asistencia en relación con la consulta previa obligatoria a la CNIL en los casos en que la evaluación de impacto revele riesgos residuales elevados.En caso de inspección y/o solicitud por parte de una autoridad de control, el encargado del tratamiento cooperará con el responsable del tratamiento y le prestará asistencia facilitándole toda la documentación necesaria para demostrar el cumplimiento de las leyes y reglamentos aplicables.
Artículo 6. Portabilidad de los datos personales
Tras la rescisión del contrato, el encargado del tratamiento deberá devolver al responsable del tratamiento, a través de un medio seguro, todos los datos personales tratados, en un formato utilizable. Tras el acuse de recibo, el encargado del tratamiento deberá destruir todas las copias existentes de los datos personales de su sistema de información y, en su caso, de los sistemas de sus subencargados posteriores. El encargado del tratamiento certifica por escrito que los datos personales han sido destruidos, sin perjuicio de las obligaciones legales y reglamentarias de conservación a las que esté sujeto.
Artículo 7. Obligaciones del responsable del tratamiento
El responsable del tratamiento se compromete a:
- Facilitar al Encargado del tratamiento el acceso a los datos personales objeto del presente Acuerdo;
- Documentar por escrito cualquier instrucción relativa al tratamiento de los datos personales en el que participe el encargado del tratamiento;
- Garantizar, con antelación y durante toda la duración del tratamiento, que el encargado del tratamiento cumple con las obligaciones establecidas en el RGPD;
- Supervisar el tratamiento, lo que incluye la realización de auditorías e inspecciones del encargado del tratamiento.
Artículo 8. Órdenes judiciales o administrativas
El Encargado del tratamiento se compromete a notificar al Responsable del tratamiento cualquier solicitud de divulgación o inspección de datos personales emitida por una autoridad judicial o administrativa en un plazo de 24 horas desde dicha solicitud, antes de dar cualquier respuesta.
Artículo 9. Relaciones con las autoridades de control
El encargado del tratamiento se compromete a informar inmediatamente al responsable del tratamiento de cualquier solicitud o auditoría emitida por una autoridad de control.
Artículo 10. Rescisión automática por incumplimiento
El responsable del tratamiento declara que las disposiciones relativas a los datos personales constituyen obligaciones esenciales del presente contrato, sin las cuales no habría celebrado este contrato con el encargado del tratamiento
En consecuencia, el responsable del tratamiento podrá invocar cualquier incumplimiento constatado de estas disposiciones o cualquier violación de la seguridad de los datos personales, lo que constituirá entonces causa de rescisión de pleno derecho.
Las obligaciones relativas a la protección de los datos personales derivadas del presente acuerdo seguirán vigentes tras la rescisión del contrato principal al que se adjuntan estas cláusulas.
Anexo 1. Cuadro de actividades de tratamiento
El presente contrato, incluidas las cláusulas anteriormente expuestas, constituye las instrucciones del Responsable del tratamiento en relación con las operaciones de tratamiento que el Encargado del tratamiento debe llevar a cabo en nombre del Responsable del tratamiento (a reproducir tantas veces como sea necesario).
A. Cuadro aplicable al tratamiento realizado para el servicio de «acortamiento de enlaces y códigos QR»
Descripción del tratamiento | Tras recibir un enlace largo del Cliente, Nemorius lo acortará antes de su distribución. Tras la distribución, se recogen los datos y se resumen en un informe. |
|---|---|
Finalidades del tratamiento |
|
Naturaleza de las operaciones |
|
Categoría de los interesados | Usuarios del enlace o del código QR. |
Licitud | El responsable del tratamiento determina la base jurídica del tratamiento. Nemorius trata los datos en virtud del contrato entre el cliente y Nemorius. |
Datos personales |
|
Plazos de conservación | Los registros se conservan durante 12 meses a partir de la fecha de recogida y, en cualquier caso, los datos se destruyen y devuelven al finalizar el contrato o simplemente se destruyen, según las instrucciones del responsable del tratamiento. |
B. Tabla aplicable al tratamiento realizado para el servicio «Formularios»
Resumen del tratamiento | Nemorius proporciona al cliente una plataforma para crear un formulario en línea que se puede compartir. Tras su publicación, Nemorius proporciona un informe relacionado con el formulario y sus resultados, así como una tabla resumen que muestra las respuestas recibidas para cada pregunta del formulario. |
|---|---|
Finalidades del tratamiento |
|
Naturaleza de las operaciones |
|
Categoría de los interesados | Personas que han respondido al formulario |
Licitud | El responsable del tratamiento determina la base jurídica del tratamiento. Nemorius lleva a cabo el tratamiento en virtud del contrato entre el cliente y Nemorius. |
Categorías de datos personales | Los datos personales tratados dependen del contenido del formulario publicado por el responsable del tratamiento. Es responsabilidad del responsable del tratamiento definir los datos que se tratan y su nivel de sensibilidad. En todos los casos, se utiliza un contador de clics para las estadísticas del formulario. |
Plazos de conservación | Las respuestas recibidas y los informes se conservan durante la vigencia del contrato o de acuerdo con las instrucciones del cliente. |
Anexo 2. Lista de encargados del tratamiento
Para el acortador de URL y los códigos QR:
- Matomo, publicado por InnoCraft Limited (InnoCraft), con sede en la siguiente dirección: HLB Mann Judd, Level 8, 57 Symonds Street, Grafton, Auckland 1010, Nueva Zelanda. Nueva Zelanda es un país adecuado. Las transferencias de datos personales a estos países no requieren un marco de transferencia.
- AMAZON WEB SERVICES EMEA SARL, cuya sede central se encuentra en 440 Terry Avenue North, WA 98109, Seattle, Estados Unidos. Estados Unidos se beneficia de una decisión de adecuación parcial. Amazon Web Services cuenta con la certificación del Marco de Privacidad de Datos. Además de esta garantía, las cláusulas contractuales tipo rigen la relación entre el responsable del tratamiento y el encargado del tratamiento en relación con los servicios de Amazon Web Services.
- Scaleway SAS, con domicilio social en 8 rue de la Ville-l'Évêque, 75008 París, Francia. Los datos se alojan en centros de datos situados en la Unión Europea. Por lo tanto, el tratamiento de datos está sujeto al Reglamento (UE) 2016/679 (RGPD).
No hay otros subencargados del tratamiento
Para los formularios:
- AMAZON WEB SERVICES EMEA SARL, cuya sede central se encuentra en 440 Terry Avenue North, WA 98109, Seattle, Estados Unidos. Estados Unidos se beneficia de una decisión de adecuación parcial. Amazon Web Services cuenta con la certificación del Marco de Protección de Datos. Además de esta garantía, las cláusulas contractuales tipo rigen la relación entre el responsable del tratamiento y el encargado del tratamiento en el contexto de los servicios de Amazon Web Services.
- Scaleway SAS, con domicilio social en 8 rue de la Ville-l’Évêque, 75008 París, Francia. Los datos se alojan en centros de datos situados en la Unión Europea. Por lo tanto, el tratamiento de datos está sujeto al Reglamento (UE) 2016/679 (RGPD).
No hay otros subencargados del tratamiento.
Última actualización: 27 de julio de 2026