Contrato de encargo del tratamiento

1. Partes y objeto

El presente contrato se celebra entre el cliente, como responsable del tratamiento, y EAS International, Klybeckstr. 141, 4057 Basel, Schweiz, como encargado del tratamiento (el Prestador). Representante del Prestador en la Unión con arreglo al art. 27 del RGPD: Urs Zimmermann, Eichacker 2, 79418 Schliengen, Germany.

Su objeto es el tratamiento de los datos personales que el cliente introduce en Batteriepass Online o recoge a través de este. La naturaleza, la finalidad, los tipos de datos y las categorías de interesados se describen en el anexo 1. El contrato se aplica durante la vigencia del contrato de servicio, incluida la fase de solo lectura prevista en la sección 8 de las CG.

2. Instrucciones

El Prestador trata los datos exclusivamente en el marco del contrato de servicio y siguiendo instrucciones documentadas del cliente. El cliente imparte instrucciones mediante el uso de las funciones del software (como publicar un pasaporte, asignar niveles de acceso, enviar una solicitud a un proveedor, exportar, eliminar) y en forma de texto a info@batteriepass-online.eu. Las instrucciones que excedan del alcance acordado se tratan como solicitudes de modificación y pueden facturarse por separado.

Si el Prestador considera que una instrucción es ilícita, informa de ello al cliente sin demora y puede suspender su ejecución hasta que se confirme.

La puesta a disposición de los contenidos de los pasaportes al público, a las personas con un interés legítimo y a las autoridades se realiza conforme al Reglamento (UE) 2023/1542 con la configuración elegida por el cliente y se considera una instrucción del cliente.

3. Obligaciones del Prestador

• Confidencialidad: todas las personas que participan en el tratamiento están obligadas a guardar confidencialidad. Solo se accede a los datos del cliente cuando es necesario para el funcionamiento, la asistencia o la resolución de incidencias.
• Seguridad: el Prestador aplica las medidas técnicas y organizativas del anexo 3 y las adapta al estado de la técnica sin reducir el nivel de protección.
• Asistencia: el Prestador ayuda al cliente, con los medios del software (exportación, rectificación, supresión, registro de accesos), a atender los derechos de los interesados, así como en las evaluaciones de impacto relativas a la protección de datos y en las consultas a la autoridad de control, en la medida en que la información obre en poder del Prestador.
• Notificación: el Prestador notifica al cliente las violaciones de la seguridad de los datos personales que afecten a datos del cliente sin dilación indebida y, a más tardar, en un plazo de 48 horas desde que tenga conocimiento de ellas, a la dirección de correo electrónico almacenada en la cuenta, con la información disponible conforme al art. 33, apartado 3, del RGPD.
• Solicitudes de los interesados: si los interesados se dirigen directamente al Prestador, este remite la solicitud al cliente sin dar una respuesta propia sobre el fondo, siempre que la solicitud se refiera a datos del cliente.
• Acreditación: previa solicitud, el Prestador pone a disposición la información necesaria para demostrar el cumplimiento del presente contrato, en particular una descripción de las medidas del anexo 3 e informes sobre incidentes de seguridad.
• Supresión: una vez finalizado el tratamiento, el Prestador suprime los datos conforme a la sección 8 de las CG, salvo que exista una obligación legal de conservación. En el caso de los pasaportes para baterías publicados, la obligación legal de conservarlos disponibles prevista en el art. 77, apartado 8, del Reglamento (UE) 2023/1542 se considera una obligación de conservación.

4. Derechos de control del cliente

El cliente puede verificar el cumplimiento del presente contrato una vez al año y cuando exista un motivo concreto. La verificación se realiza en primer lugar mediante el examen de documentación, informes y confirmaciones de los subencargados. Es posible una auditoría in situ previo aviso con un plazo razonable (al menos 14 días) durante el horario comercial habitual, siempre que no ponga en peligro los datos de otros clientes. Para auditorías que excedan de una al año o que no estén motivadas por un incidente, el Prestador puede facturar el esfuerzo resultante a una tarifa razonable.

5. Subencargados del tratamiento

El cliente consiente en el recurso a los subencargados (otros encargados del tratamiento) enumerados en el anexo 2. El Prestador les impone obligaciones de protección de datos equivalentes a las acordadas en el presente contrato.

El Prestador informa al cliente por correo electrónico, con al menos 30 días de antelación, de los cambios previstos (incorporación o sustitución). El cliente puede oponerse dentro de ese plazo por motivos importantes de protección de datos. En caso de oposición, cualquiera de las partes puede resolver el contrato de servicio con efecto a la fecha del cambio; la sección 8 de las CG no se ve afectada.

6. Tratamiento en terceros países

Los datos se almacenan en servidores situados en Alemania. El Prestador está establecido en Suiza, país respecto del cual existe una decisión de adecuación de la Comisión Europea; por tanto, el acceso desde Suiza está permitido. El tratamiento en otros terceros países solo se realiza con el consentimiento del cliente y sobre la base de garantías adecuadas con arreglo al capítulo V del RGPD.

7. Obligaciones del cliente

El cliente es responsable de la licitud del tratamiento, en particular de la base jurídica para publicar información sobre personas físicas en los pasaportes, de informar a los interesados y de la licitud del contacto con proveedores y solicitantes. Asigna los niveles de acceso y las autorizaciones de acceso bajo su propia responsabilidad y comprueba que los datos hechos accesibles a través del software cumplen los requisitos legales.

El cliente indica en la cuenta una dirección de correo electrónico disponible para cuestiones de protección de datos y la mantiene actualizada.

8. Responsabilidad, duración, disposiciones finales

La responsabilidad se rige por la sección 11 de las CG; el art. 82 del RGPD no se ve afectado. El presente contrato finaliza con el contrato de servicio, pero sigue aplicándose mientras el Prestador conserve disponibles datos del cliente conforme a la sección 8 de las CG. En lo demás, se aplican las disposiciones finales de las CG. En caso de contradicción entre el presente contrato y las CG, prevalece el presente contrato en materia de protección de datos.

Anexo 1 – Objeto del tratamiento

• Naturaleza y finalidad: alojamiento, almacenamiento, visualización, exportación y transmisión de los contenidos de los pasaportes para baterías y de los documentos relacionados; envío de correos electrónicos por encargo del cliente (solicitudes a proveedores, decisiones de acceso); registro de los accesos a contenidos protegidos; puesta a disposición de la API y los webhooks.
• Tipos de datos: nombres, funciones y datos de contacto de las personas de contacto del cliente, de sus proveedores y de los solicitantes de autorizaciones de acceso (dirección de correo electrónico, organización, función, finalidad, justificantes); contenidos de los campos y documentos de los pasaportes en la medida en que contengan información sobre personas físicas (como la persona responsable del operador económico o los firmantes de las declaraciones de conformidad); registros de accesos (dirección IP truncada y convertida en hash, user agent, hora, nivel de acceso); datos transmitidos por el cliente a la API.
• Categorías de interesados: empleados y personas de contacto del cliente, de sus proveedores y socios comerciales; personas que solicitan acceso a contenidos protegidos de los pasaportes (autoridades, operadores de reparación y reciclado, compradores); visitantes de las páginas públicas de los pasaportes.
• Las categorías especiales de datos (art. 9 RGPD) no son objeto de tratamiento; el cliente no introduce tales datos en el software.

Anexo 2 – Subencargados del tratamiento

• Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania – servicios de centro de datos (servidores, base de datos, almacenamiento de documentos, copias de seguridad) en Falkenstein y Núremberg.
• STRATO GmbH, Otto-Ostrowski-Str. 7, 10249 Berlín, Alemania – envío de correos electrónicos por encargo del cliente.
• Stripe Payments Europe Ltd., Dublín, Irlanda, trata los datos de pago del cliente como responsable del tratamiento independiente y no es un subencargado respecto de los datos del cliente en el sentido del presente contrato.

Anexo 3 – Medidas técnicas y organizativas

• Control de acceso físico y a los sistemas: servidores en centros de datos de Hetzner con certificación ISO 27001; administración solo mediante SSH con autenticación por clave y a través de una red privada; la base de datos no es accesible desde la internet pública.
• Control de acceso a los datos: permisos basados en funciones (propietario, editor, lector) por organización; separación de clientes a nivel de base de datos mediante el identificador de la organización en cada consulta; los niveles de acceso a los contenidos de los pasaportes (público, interés legítimo, autoridad) se aplican en el servidor en una única función de filtrado.
• Autenticación: contraseñas como hashes scrypt; sesiones con tokens aleatorios en la base de datos, 30 días; verificación del correo electrónico antes de cualquier acceso de escritura; límites de intentos de inicio de sesión, registro y restablecimiento; claves de API almacenadas solo como hash.
• Transmisión: TLS para todas las conexiones; Content Security Policy; webhooks firmados (HMAC) con secretos almacenados cifrados.
• Integridad: cada publicación de un pasaporte crea una versión con cadena de hashes (hash anterior); registro de auditoría de todas las operaciones de escritura; no se elimina nada físicamente antes de que expiren los plazos contractuales.
• Disponibilidad: copia de seguridad diaria de la base de datos y del almacenamiento de documentos con una conservación mínima de 30 días en una segunda ubicación; pruebas periódicas de restauración; supervisión de la disponibilidad.
• Separación: datos de producción separados de los entornos de desarrollo y prueba; los pasaportes del plan Pilot se marcan como datos de prueba.
• Organización: minimización de datos integrada en el software (solo los campos necesarios para el pasaporte); revisión de seguridad en cada cambio del servicio; documentación de incidentes; actualizaciones periódicas de los componentes del sistema.