TÉRMINOS Y CONDICIONES DE PROTECCIÓN DE DATOS DE GES EN LA UE

Estos Términos y Condiciones de Protección de Datos de GES en la UE se componen de las siguientes cláusulas contractuales (las “Cláusulas”) con el fin de aportar garantías adecuadas con respecto a la protección de la privacidad y los derechos y libertades fundamentales de las personas para la transferencia por parte del exportador de datos al importador de datos de los datos personales especificados en el Apéndice de Seguridad de Datos de la UE de GES aplicable (el “Apéndice”) celebrado entre GES y la contraparte del Apéndice (GES y dicha contraparte colectivamente, las “partes”):

Cláusula 1

Definiciones

A los efectos de las Cláusulas:

“datos personales”, “categorías especiales de datos”, “proceso/procesamiento”, “responsable del tratamiento”, “encargado del tratamiento”, “titular de los datos” y “autoridad de control” tendrán el mismo significado que en la Directiva 95/46/CE del Parlamento Europeo y del Consejo, de 24 de octubre de 1995, relativa a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos (“en adelante, la Directiva”);
el “exportador de datos” se entenderá como el responsable del tratamiento que transfiere los datos personales;
el “importador de datos” se entenderá como el responsable del tratamiento que acuerda recibir del exportador de datos datos personales para su posterior tratamiento de acuerdo con los términos de estas cláusulas y que no está sujeto al sistema de un tercer país que garantice una protección adecuada.

Cláusula 2

Detalles de la transferencia

Los detalles de la transferencia, y en particular las categorías de datos personales y los fines para los que se transfieren, se especifican en el Apéndice, que forma parte integrante de las Cláusulas y se incorpora por referencia al presente.

Cláusula 3

Cláusula de beneficiario tercero

Los interesados pueden hacer valer esta Cláusula, la Cláusula 4(b), (c) y (d). Cláusula 5(a), (b), (c) y (e), Cláusula 6(1) y (2), y Cláusulas 7, 9 y 11 como terceros beneficiarios. Las partes no se oponen a que los interesados estén representados por una asociación u otros organismos si así lo desean y si lo permite la legislación nacional.

Cláusula 4

Obligaciones del exportador de datos

El exportador de datos acuerda y garantiza:

que el tratamiento, incluida la propia transferencia, de los datos personales por su parte se ha llevado a cabo y, hasta el momento de la transferencia, seguirá llevándose a cabo de acuerdo con las disposiciones pertinentes del Estado miembro en el que está establecido el exportador de datos (y, en su caso, ha sido notificado a las autoridades competentes de dicho Estado) y no viola las disposiciones pertinentes de dicho Estado;
que si la transferencia implica categorías especiales de datos, se ha informado o se informará al interesado antes de la transferencia de que estos datos podrían transmitirse a un tercer país que no ofrezca una protección adecuada;
poner a disposición de los interesados, previa solicitud, una copia de las Cláusulas; y
responder en un plazo razonable y en la medida de lo razonablemente posible a las consultas de la autoridad de control sobre el tratamiento de los datos personales pertinentes por parte del importador de datos y a cualquier consulta del interesado relativa al tratamiento de estos datos personales por parte del importador de datos.

Cláusula 5

Obligaciones del importador de datos

El importador de datos acuerda y garantiza:

que no tiene motivos para creer que la legislación que le es aplicable le impide cumplir con sus obligaciones en virtud del contrato y que, en caso de que se produzca un cambio en dicha legislación que pueda tener un efecto adverso sustancial en las garantías proporcionadas por las Cláusulas, notificará el cambio al exportador de datos y a la autoridad de control donde esté establecido el exportador de datos, en cuyo caso el exportador de datos tiene derecho a suspender la transferencia de datos y/o rescindir el contrato;
a procesar los datos personales de acuerdo con los principios de protección de datos obligatorios establecidos en el Apéndice 2;

o, si las partes lo acuerdan explícitamente marcando la casilla a continuación y sujeto al cumplimiento de los principios de protección de datos obligatorios establecidos en el Apéndice 3, a procesar en todos los demás aspectos los datos de acuerdo con:

las disposiciones pertinentes de la legislación nacional (adjuntas a estas Cláusulas) que protegen los derechos y libertades fundamentales de las personas físicas, y en particular su derecho a la privacidad con respecto al tratamiento de datos personales aplicable a un responsable del tratamiento de datos en el país en el que está establecido el exportador de datos, o
las disposiciones pertinentes de cualquier Decisión de la Comisión en virtud del artículo 25, apartado 6, de la Directiva 95/46/CE que determine que un tercer país ofrece una protección adecuada únicamente en determinados sectores de actividad, si el importador de datos está establecido en ese tercer país y no está cubierto por dichas disposiciones, en la medida en que dichas disposiciones sean de una naturaleza que las haga aplicables en el sector de la transferencia;

a atender de forma rápida y adecuada todas las consultas razonables del exportador de datos o del interesado en relación con su tratamiento de los datos personales objeto de la transferencia y a cooperar con la autoridad de control competente en el curso de todas sus investigaciones y a acatar el dictamen de la autoridad de control con respecto al tratamiento de los datos transferidos;
a petición del exportador de datos, a someter sus instalaciones de tratamiento de datos a una auditoría que será llevada a cabo por el exportador de datos o por un organismo de inspección compuesto por miembros independientes y en posesión de las cualificaciones profesionales requeridas, seleccionados por el exportador de datos, en su caso, de acuerdo con la autoridad de control;
a poner a disposición del interesado, previa solicitud, una copia de las Cláusulas e indicar la oficina que tramita las reclamaciones.

Cláusula 6

Responsabilidad

Las partes acuerdan que un interesado que haya sufrido daños como resultado de cualquier violación de las disposiciones mencionadas en la Cláusula 3 tiene derecho a recibir una indemnización de las partes por los daños sufridos. Las partes acuerdan que podrán quedar exentas de esta responsabilidad únicamente si demuestran que ninguna de ellas es responsable de la violación de dichas disposiciones.
El exportador de datos y el importador de datos acuerdan que serán conjunta y solidariamente responsables de los daños causados al interesado como resultado de cualquier violación mencionada en el párrafo 1. En caso de tal violación, el exportador de datos o el importador de datos o ambos.

Cláusula 7

Mediación y jurisdicción

Las partes acuerdan que si existe una controversia entre un interesado y cualquiera de las partes que no se resuelve amistosamente y el interesado invoca la disposición de beneficiario tercero en la cláusula 3, aceptan la decisión del interesado:

1. someter la controversia a la mediación de una persona independiente o, en su caso, de la autoridad de control;
2. someter la controversia a los tribunales del Estado miembro en el que esté establecido el exportador de datos.

Las partes acuerdan que, mediante acuerdo entre un interesado y la parte pertinente, una controversia puede someterse a un órgano de arbitraje, si dicha parte está establecida en un país que haya ratificado el Convenio de Nueva York sobre el reconocimiento y la ejecución de las sentencias arbitrales.
Las partes acuerdan que los apartados 1 y 2 se aplicarán sin perjuicio de los derechos sustantivos o procesales del interesado a solicitar reparación de acuerdo con otras disposiciones del derecho nacional o internacional.

Cláusula 8

Cooperación con las autoridades de control

Las partes acuerdan depositar una copia de este contrato ante la autoridad de control si ésta lo solicita o si dicho depósito es exigido por la legislación nacional.

Cláusula 9

Terminación de las Cláusulas

Las partes acuerdan que la terminación de las Cláusulas en cualquier momento, en cualquier circunstancia y por cualquier razón no les exime de las obligaciones y/o condiciones establecidas en las Cláusulas en lo que respecta al tratamiento de los datos transferidos.

Cláusula 10

Omitido intencionalmente

Cláusula 11

Modificación del contrato

Las partes se comprometen a no variar ni modificar los términos de las cláusulas.

Apéndice 1

Omitido intencionalmente.

Apéndice 2

de las cláusulas contractuales estándar

Principios de protección de datos obligatorios a los que se refiere el primer párrafo de la cláusula 5(b)

Estos principios de protección de datos deben leerse e interpretarse a la luz de las disposiciones (principios y excepciones pertinentes) de la Directiva 95/46/CE.

Se aplicarán con sujeción a los requisitos obligatorios de la legislación nacional aplicable al importador de datos que no vayan más allá de lo necesario en una sociedad democrática sobre la base de uno de los intereses enumerados en el artículo 13, apartado 1, de la Directiva 95/46/CE, es decir, si constituyen una medida necesaria para salvaguardar la seguridad nacional, la defensa, la seguridad pública, la prevención, la investigación, la detección y el enjuiciamiento de delitos o de infracciones de la ética de las profesiones reguladas, un interés económico o financiero importante del Estado o la protección del interesado o de los derechos y libertades de otros.

Limitación de la finalidad: los datos deben procesarse y utilizarse posteriormente o comunicarse únicamente para los fines específicos que figuran en el Apéndice I de las Cláusulas. Los datos no deben conservarse durante más tiempo del necesario para los fines para los que se transfieren.
Datos de calidad y proporcionalidad: los datos deben ser exactos y, en caso necesario, mantenerse actualizados. Los datos deben ser adecuados, pertinentes y no excesivos en relación con los fines para los que se transfieren y se siguen procesando.
Transparencia: se debe proporcionar a los interesados información sobre los fines del tratamiento y la identidad del responsable del tratamiento de los datos en el tercer país, así como otra información en la medida en que sea necesaria para garantizar un tratamiento justo, a menos que dicha información ya haya sido facilitada por el exportador de datos.
Seguridad y confidencialidad: el responsable del tratamiento de los datos debe adoptar medidas de seguridad técnicas y organizativas adecuadas a los riesgos, como el acceso no autorizado, que presente el tratamiento. Ninguna persona que actúe bajo la autoridad del responsable del tratamiento de los datos, incluido un encargado del tratamiento, deberá tratar los datos si no es siguiendo las instrucciones del responsable.
Derechos de acceso, rectificación, supresión y bloqueo de datos: tal como se establece en el artículo 12 de la Directiva 95/46/CE, el interesado tendrá derecho a acceder a todos los datos relativos a él que sean objeto de tratamiento y, en su caso, el derecho a la rectificación, la supresión o el bloqueo de los datos cuyo tratamiento no se ajuste a los principios enunciados en el presente Apéndice, en particular porque los datos sean incompletos o inexactos. También deberá poder oponerse al tratamiento de los datos relativos a él por motivos legítimos imperiosos relacionados con su situación particular.
Restricciones a las transferencias ulteriores: las transferencias ulteriores de datos personales del importador de datos a otro responsable establecido en un tercer país que no ofrezca una protección adecuada o que no esté cubierto por una decisión adoptada por la Comisión en virtud del artículo 25, apartado 6, de la Directiva 95/46/CE (transferencia ulterior) sólo podrán tener lugar si:

los interesados han dado, en el caso de categorías especiales de datos, su consentimiento inequívoco a la transferencia ulterior o, en otros casos, han tenido la oportunidad de oponerse.

La información mínima que debe facilitarse a los interesados deberá contener, en un idioma que les sea comprensible:

los fines de la transferencia ulterior,
la identificación del exportador de datos establecido en la Comunidad,
las categorías de destinatarios ulteriores de los datos y los países de destino, y
una explicación de que, tras la transferencia ulterior, los datos pueden ser tratados por un responsable establecido en un país en el que no existe un nivel adecuado de protección de la intimidad de las personas; o

(b) el exportador de datos y el importador de datos acuerdan la adhesión a las Cláusulas de otro responsable que de este modo se convierte en parte de las Cláusulas y asume las mismas obligaciones que el importador de datos.

Categorías especiales de datos: cuando se traten datos que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, así como los datos relativos a la salud o la vida sexual y los datos relativos a delitos, condenas penales o medidas de seguridad, deberán establecerse salvaguardias adicionales en el sentido de la Directiva 95/46/CE, en particular, medidas de seguridad adecuadas, como un cifrado sólido para la transmisión o el mantenimiento de un registro de acceso a los datos sensibles.
Marketing directo: cuando los datos se procesan con fines de marketing directo, deben existir procedimientos eficaces que permitan al interesado “ancelar la suscripción” en cualquier momento para que sus datos no se utilicen para dichos fines.
Decisiones individuales automatizadas: los interesados tienen derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado de datos, a menos que se tomen otras medidas para salvaguardar los intereses legítimos del individuo, tal como se establece en el artículo 15, apartado 2, de la Directiva 95/46/CE. Cuando la finalidad de la transferencia sea la adopción de una decisión automatizada, tal como se menciona en el artículo 15 de la Directiva 95/46/CE, que produzca efectos jurídicos sobre el individuo o le afecte de forma significativa y que se base únicamente en el tratamiento automatizado de datos destinados a evaluar determinados aspectos personales relacionados con él, como su rendimiento en el trabajo, su solvencia, su fiabilidad, su conducta, etc., el individuo debe tener derecho a conocer el razonamiento de esta decisión.

Apéndice 3