Acuerdo de encargo de tratamiento de datos personales

1. Partes, función y aceptación

1.1. Este acuerdo regula el tratamiento de datos personales que Santiago Ángel Lope del Palacio, bajo el nombre comercial WebMonster y con los datos de identificación de las Condiciones generales de contratación, realiza por cuenta del Cliente identificado en el pedido o presupuesto aceptado.

1.2. Cuando el Cliente decide los fines del tratamiento, actúa como responsable y WebMonster como encargado. Si el Cliente presta servicios por cuenta de otro responsable, WebMonster actúa como subencargado. En ese caso, el Cliente debe contar con la autorización necesaria, trasladar las instrucciones del responsable y facilitar su identificación cuando sea necesaria para cumplir este acuerdo. La denominación utilizada no altera las funciones que correspondan realmente a cada parte.

1.3. El acuerdo se incorpora a la contratación mediante las condiciones generales y particulares aplicables, junto con sus anexos y las instrucciones documentadas del Cliente. Se formaliza electrónicamente y no requiere una firma separada en papel. WebMonster conservará la versión incorporada a la contratación.

1.4. Los datos que WebMonster trata para sus propias relaciones comerciales, facturación, cobro o cumplimiento de obligaciones legales se rigen por su Política de privacidad. Este acuerdo se refiere a los datos alojados o tratados por cuenta del Cliente, aunque puedan pertenecer a las mismas personas.

1.5. Las comunicaciones de este acuerdo se dirigirán a [email protected] o mediante ticket desde el área de clientes. WebMonster utilizará el correo principal de la cuenta del Cliente, salvo que este indique otro contacto para protección de datos. Ambas partes mantendrán actualizados sus contactos.

2. Objeto, alcance y duración

2.1. El tratamiento tiene como finalidad prestar los servicios contratados de alojamiento, correo, copias de seguridad, migraciones, gestión de WordPress y trabajos de WebMonster Pros que requieran tratar datos personales. El anexo I describe las operaciones, los tipos de datos y las categorías de personas afectadas. Solo se aplican las operaciones necesarias para el servicio y las tareas efectivamente contratados.

2.2. El tratamiento se mantiene durante la prestación del servicio y las actuaciones de devolución, supresión o conservación que correspondan al finalizarlo. En Pros, comprende la intervención autorizada y la gestión de las copias de trabajo que se hayan obtenido; la vigencia de un bono no autoriza a conservar durante todo ese tiempo una copia de los datos de la web.

2.3. Los anexos, el pedido y las instrucciones posteriores concretan el alcance para cada Cliente. Si se necesitan tratamientos o garantías adicionales, se documentarán antes de realizarlos. Una ampliación comercial no autoriza por sí sola nuevos usos de los datos.

3. Instrucciones y obligaciones del Cliente

3.1. WebMonster tratará los datos siguiendo las instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales. Constituyen instrucciones este acuerdo, la configuración y operaciones solicitadas desde el panel y las solicitudes verificadas por los canales contractuales, dentro del alcance contratado.

3.2. WebMonster no utilizará los datos del encargo para publicidad propia, venta de información ni otras finalidades ajenas a la prestación. No comunicará datos a terceros salvo por instrucción documentada, mediante los subencargos autorizados o por una obligación legal aplicable.

3.3. Si una norma de la Unión Europea o de un Estado miembro obliga a WebMonster a efectuar un tratamiento distinto, informará al Cliente antes de realizarlo, salvo que la norma lo prohíba por razones importantes de interés público. Si considera que una instrucción infringe la normativa de protección de datos, lo comunicará inmediatamente y coordinará su corrección antes de ejecutarla.

3.4. Corresponde al Cliente determinar la legitimación de sus tratamientos, informar a las personas afectadas, definir los datos y plazos de conservación necesarios y dar instrucciones lícitas. También debe gestionar los permisos de sus usuarios y mantener los elementos bajo su control, sin trasladarle tareas que WebMonster haya asumido expresamente.

3.5. Si el tratamiento requiere medidas adicionales por su naturaleza o riesgo, el Cliente lo comunicará antes de iniciarlo, para comprobar la adecuación del servicio y concretar las garantías necesarias. Esto incluye, cuando proceda, datos de salud u otras categorías especiales, datos penales o tratamientos de alto riesgo. La mera contratación de alojamiento no acredita que cualquier aplicación o tratamiento del Cliente cumpla sus requisitos específicos.

4. Confidencialidad y seguridad

4.1. El acceso a datos personales se limitará a las personas autorizadas que lo necesiten para realizar sus funciones. Estas deberán estar sujetas a un compromiso de confidencialidad o a una obligación legal equivalente, recibir instrucciones y formación adecuadas y conservar la confidencialidad después de finalizar su intervención.

4.2. WebMonster aplicará medidas técnicas y organizativas adecuadas al riesgo para proteger la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas, permitir la recuperación de datos y revisar regularmente la eficacia de las medidas. El anexo II concreta las medidas y los procedimientos aplicables al servicio.

4.3. WebMonster podrá actualizar los medios técnicos de seguridad manteniendo un nivel de protección adecuado y las prestaciones contratadas. Los cambios materiales se documentarán y comunicarán cuando afecten al encargo. No se garantiza la inexistencia absoluta de incidentes; esa circunstancia no elimina las obligaciones de prevención, actuación y asistencia de WebMonster.

4.4. En tareas de soporte, desarrollo o pruebas se limitarán los datos utilizados a los necesarios. Siempre que permita realizar la tarea, se emplearán datos ficticios, anonimizados o un subconjunto de la información. Las copias de producción en staging o entornos de trabajo conservarán las medidas de acceso y protección adecuadas mientras contengan datos personales.

5. Subencargados

5.1. El Cliente autoriza a WebMonster a recurrir a los subencargados del anexo III para las funciones descritas, así como a incorporar o sustituir subencargados mediante el procedimiento siguiente. WebMonster comprobará sus garantías y formalizará las obligaciones de protección de datos correspondientes antes de permitir el tratamiento.

5.2. WebMonster informará a los clientes afectados de la incorporación o sustitución prevista de un subencargado, con antelación suficiente para que puedan oponerse por motivos fundados de protección de datos. El aviso identificará al proveedor, su función, ubicación y, cuando proceda, las garantías de transferencia, e indicará el plazo para presentar oposición. Si no se presenta oposición durante ese plazo, el cambio quedará comprendido en la autorización general.

5.3. Ante una oposición fundada, las partes buscarán una alternativa razonable antes de encomendar los datos afectados al nuevo proveedor. Si no fuera posible continuar el servicio conforme al contrato y a la normativa aplicable, podrá resolverse el servicio afectado, con los efectos económicos que legalmente correspondan.

5.4. WebMonster impondrá a cada subencargado obligaciones de protección de datos equivalentes a las de este acuerdo para las tareas encomendadas, incluidas las de seguridad, confidencialidad, asistencia y supresión. WebMonster seguirá respondiendo ante el Cliente por su cumplimiento en los términos del artículo 28.4 del RGPD. Las exclusiones comerciales del SLA no alteran esta obligación.

5.5. Los proveedores que el Cliente contrate directamente para su web no se convierten por ello en subencargados de WebMonster. Si WebMonster integra o administra esos servicios, actuará conforme a las instrucciones del Cliente y a las funciones reales de cada parte. Se evitará enviar a un soporte externo contenidos, credenciales o datos personales que no sean necesarios para la consulta.

6. Ubicaciones y transferencias internacionales

6.1. El anexo III identifica los proveedores y las ubicaciones de alojamiento. Los servicios auxiliares y el soporte pueden implicar tratamientos en otras ubicaciones, sujetos a las garantías de este apartado. WebMonster facilitará al Cliente la información necesaria sobre las ubicaciones de tratamiento y acceso que afecten a su servicio.

6.2. Las transferencias internacionales que resulten necesarias deberán ajustarse a las instrucciones documentadas y al capítulo V del RGPD. Cuando corresponda, se utilizará una decisión de adecuación vigente o garantías apropiadas, como cláusulas contractuales tipo acompañadas de la evaluación y medidas complementarias necesarias. WebMonster mantendrá documentado el mecanismo aplicable y facilitará al Cliente la información necesaria para comprobar sus garantías.

6.3. Si una garantía deja de ser válida o suficiente, WebMonster adoptará una alternativa lícita o suspenderá la transferencia afectada e informará al Cliente. La aceptación de este acuerdo no constituye un consentimiento general de las personas afectadas para cualquier transferencia internacional.

7. Derechos de las personas y asistencia

7.1. WebMonster ayudará al Cliente, teniendo en cuenta la naturaleza del tratamiento, a atender los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y los relativos a decisiones automatizadas. La asistencia comprenderá las herramientas disponibles y las actuaciones necesarias sobre los datos que trate por su cuenta.

7.2. Si WebMonster recibe directamente una solicitud relativa a datos del encargo, la trasladará al contacto del Cliente sin dilación indebida y no resolverá sobre su fondo salvo instrucción del Cliente u obligación legal. Se distinguirán estas solicitudes de las relativas a datos que WebMonster trate como responsable, que atenderá directamente.

7.3. WebMonster facilitará la información y asistencia necesarias para la evaluación de riesgos, las evaluaciones de impacto, las consultas previas a la autoridad y el cumplimiento de las obligaciones de seguridad, según el tratamiento y la información a su disposición. El Cliente conserva las decisiones y responsabilidades que legalmente le correspondan.

7.4. Los trabajos adicionales que excedan las prestaciones contratadas y la asistencia legalmente debida podrán presupuestarse antes de ejecutarse. No se condicionará una actuación obligatoria o urgente a la compra de un bono de Pros ni se cobrarán como extras actuaciones necesarias para subsanar incumplimientos propios.

8. Violaciones de seguridad de datos personales

8.1. Cuando tenga conocimiento de una violación de seguridad que afecte a datos tratados por cuenta del Cliente, WebMonster se lo notificará sin dilación indebida a través del contacto designado. No omitirá la comunicación por considerar improbable el riesgo para las personas ni esperará a completar toda la investigación.

8.2. La comunicación inicial incluirá la información disponible sobre lo ocurrido, los datos y personas potencialmente afectados, las consecuencias conocidas o previsibles, las medidas adoptadas o propuestas y un contacto para seguimiento. Cuando sea posible, incluirá las categorías y cantidades aproximadas de personas y registros afectados. La información pendiente se facilitará progresivamente, sin demoras indebidas.

8.3. WebMonster actuará para contener el incidente, preservar las evidencias necesarias y reducir sus efectos, coordinándose con el Cliente y con los proveedores implicados. Documentará la incidencia y facilitará la información necesaria para que el Cliente cumpla sus propias obligaciones.

8.4. Corresponde al responsable valorar y realizar las notificaciones a la autoridad de control y las comunicaciones a las personas afectadas cuando sean exigibles. WebMonster le asistirá y podrá efectuarlas por encargo documentado, sin asumir automáticamente esa función. Cuando el Cliente actúe como encargado, transmitirá la información al responsable sin dilación indebida.

9. Información y comprobación del cumplimiento

9.1. WebMonster mantendrá los registros de actividades de tratamiento que le correspondan como encargado y pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este acuerdo. Cooperará con las autoridades de control en el ejercicio de sus competencias.

9.2. El Cliente o un auditor autorizado podrá comprobar el cumplimiento, incluidas las inspecciones necesarias. Se utilizará inicialmente la documentación disponible cuando permita verificarlo de forma suficiente, sin que ello excluya una auditoría o inspección justificada. Se acordarán un alcance y un preaviso razonables, adaptados a la urgencia si existe un incidente o requerimiento.

9.3. La comprobación protegerá los datos de otros clientes, la confidencialidad y la seguridad de los sistemas. Estas cautelas no impedirán el acceso a la información necesaria ni las facultades de la autoridad. Las partes coordinarán las actuaciones para evitar interrupciones innecesarias.

10. Finalización, devolución y supresión

10.1. Al finalizar el tratamiento, el Cliente podrá elegir la devolución o supresión de sus datos personales. La devolución se facilitará mediante los medios de acceso y descarga del servicio, al Cliente o al proveedor que este autorice, con la asistencia que legalmente corresponda. Después se suprimirán las copias restantes conforme a este acuerdo, salvo conservación legalmente permitida o exigida.

10.2. La baja con supresión inmediata o al final del periodo contratado y el borrado de webs, buzones o bases de datos desde el panel constituyen instrucciones de supresión en los términos de las condiciones particulares. La cancelación por impago sigue sus plazos y avisos. Se respetarán las instrucciones de devolución y los periodos de recuperación legalmente exigibles; este acuerdo no los sustituye por la mera posibilidad de que exista un backup.

10.3. Las copias residuales que deban eliminarse dejarán de utilizarse para fines ordinarios y se suprimirán conforme al procedimiento y plazo máximo del anexo II. Si técnicamente no puede eliminarse inmediatamente un dato dentro de una copia, permanecerá protegido y con acceso restringido hasta su eliminación dentro de ese plazo. Si se restaura una copia, se volverán a aplicar las instrucciones de supresión o limitación que correspondan antes de reanudar el uso ordinario de los datos.

10.4. Las copias temporales de migraciones, pruebas o intervenciones de Pros se eliminarán cuando dejen de ser necesarias conforme al plazo concreto del anexo II. WebMonster trasladará las instrucciones de devolución y supresión a los subencargados y, a solicitud del Cliente, informará de la ejecución y de los datos que deban seguir conservándose.

10.5. Cuando exista una obligación legal de conservación o proceda el bloqueo para posibles responsabilidades de la relación, se conservarán únicamente los datos necesarios y durante el plazo justificado, restringiendo su uso y acceso conforme a la normativa. Esa excepción no autoriza un archivo indefinido de todas las webs o correos. La conservación de facturas y otros datos propios de la relación comercial se distingue del contenido alojado por cuenta del Cliente.

11. Coordinación con el contrato principal

11.1. En materia de tratamiento por cuenta del Cliente, este acuerdo prevalecerá sobre cláusulas incompatibles de las condiciones comerciales. Las modificaciones se documentarán e informarán conforme a las condiciones generales, respetando las reglas específicas de subencargos y transferencias.

11.2. La responsabilidad se determinará conforme a la normativa aplicable y al apartado 15 de las condiciones generales. El SLA y sus créditos no sustituyen las obligaciones de protección de datos ni restringen los derechos de las personas afectadas o las facultades de las autoridades.

Anexo I. Descripción del tratamiento

A. Finalidades y operaciones según el servicio

• Hosting y correo: recepción, transmisión, organización y almacenamiento de archivos, bases de datos, mensajes y registros técnicos necesarios; publicación de los contenidos que el Cliente decida hacer públicos; filtrado de correo y protección del servicio; consulta limitada para soporte, copia, recuperación y supresión.
• Migraciones: acceso autorizado al origen, copia, transmisión y adaptación técnica al destino contratado, comprobación y eliminación de copias temporales. No se incorporan contactos, calendarios u otros elementos que el servicio no incluya.
• Managed: además del alojamiento, acceso y consulta para gestionar WordPress, actualizaciones, seguridad, diagnóstico, pequeños ajustes, pruebas y restauraciones comprendidos en el plan. Las copias de staging quedan dentro del mismo encargo.
• Pros: acceso, consulta, prueba, modificación o desarrollo únicamente en la medida necesaria para la tarea autorizada. Puede prestarse en infraestructura del Cliente o de otro proveedor, sin que este pase automáticamente a ser un subencargado de WebMonster.

El tratamiento es continuado mientras se presta alojamiento o correo y puntual o periódico según las intervenciones de gestión y soporte. El volumen depende del uso y capacidad contratados. La duración y el destino final se regulan en los apartados 2 y 10.

B. Categorías de personas

Usuarios, visitantes, suscriptores y clientes de las webs; remitentes, destinatarios y personas mencionadas en los correos; empleados, colaboradores, proveedores y contactos cuyos datos se incorporen al servicio. Cuando proceda por el uso del Cliente, pueden existir datos de menores u otras personas que requieran protección específica. Para encargos con un alcance diferente se concretarán las categorías mediante instrucciones documentadas.

C. Tipos de datos

Datos identificativos y de contacto; identificadores de usuario y datos de autenticación; direcciones IP y registros técnicos de uso y seguridad; comunicaciones, formularios, documentos, imágenes y otros contenidos aportados por el Cliente o sus usuarios; información profesional, de pedidos, facturación y transacciones contenida en las aplicaciones alojadas. No todas estas categorías están presentes en cada servicio.

La eventual presencia de categorías especiales o datos penales requiere la valoración y garantías del apartado 3.5. Este inventario no atribuye a WebMonster una finalidad propia sobre los contenidos ni obliga a inspeccionar sistemáticamente todos los archivos y mensajes del Cliente.

Anexo II. Medidas y conservación

A. Medidas de seguridad

• Acceso administrativo restringido, con doble factor y otros mecanismos de seguridad para el personal de WebMonster. El doble factor es opcional para el Cliente en su área de clientes.
• Acceso temporal de soporte de proveedores, limitado a la intervención necesaria y retirado al finalizarla.
• Conexiones cifradas para la administración y gestión del servicio y registros de acceso, conservados durante el tiempo necesario para sus fines de seguridad y diagnóstico.
• Aislamiento de los sitios y límites de recursos conforme a las condiciones de hosting.
• Acceso a los contenidos limitado a las actuaciones autorizadas de prestación, soporte y seguridad, con confidencialidad.
• Gestión de versiones soportadas de PHP y retirada de versiones obsoletas conforme al calendario contractual.
• Herramientas de protección, escaneo y cuarentena de archivos cuando corresponda, filtros de correo y prestaciones de seguridad propias del plan. En Managed se añaden las actuaciones contratadas de actualización, parcheado virtual y limpieza de malware.
• Copias de seguridad con las frecuencias, plazos y prestaciones de las condiciones particulares del servicio.

B. Conservación de copias

Las copias residuales tras una baja o borrado se eliminan por rotación ordinaria: treinta días desde la creación de cada copia principal y sesenta días desde la creación de cada copia secundaria de Managed. La baja o el borrado no reinician esos plazos. Mientras existan, se aplican las restricciones del apartado 10.3; su conservación no garantiza la recuperación de los datos.

En migraciones y trabajos de Pros podrán obtenerse copias temporales para ejecutar, comprobar o permitir la recuperación del trabajo. Se eliminarán cuando dejen de ser necesarias y, en todo caso, como máximo a los seis meses desde su creación, respetando las instrucciones de devolución o supresión que procedan. Podrán borrarse antes y no se garantiza su conservación o disponibilidad durante ese plazo.

Anexo III. Subencargados, ubicaciones y garantías

A. Proveedores de infraestructura

• Cloudi NextGen S.L.: infraestructura principal de alojamiento web y correo, en España.
• The Constant Company, LLC: infraestructura de apoyo, en España.
• Hetzner Online GmbH: infraestructura de apoyo, en Alemania.
• Krystal Hosting Ltd: alojamiento de sitios web en Estados Unidos, exclusivamente a solicitud expresa del Cliente; no incluye correo.

El alojamiento de origen de webs y correo se sitúa en la Unión Europea, salvo las webs para las que se haya solicitado la ubicación indicada en Estados Unidos. Esta regla se refiere a la infraestructura de alojamiento, sin extenderse automáticamente a todos los servicios auxiliares de Managed. La solicitud de alojamiento en Estados Unidos documenta una instrucción del Cliente y no sustituye las garantías de transferencia exigibles del apartado 6.

El relay SMTP y el antispam se ejecutan en la infraestructura gestionada por WebMonster. Las copias de seguridad se almacenan en los proveedores de infraestructura indicados, respetando la ubicación y las garantías aplicables al servicio.

B. Herramientas incluidas exclusivamente en Managed

WebMonster incluye Cloudflare, WP Rocket, Imagify, Complianz y Patchstack en Managed. Estas herramientas no forman parte de los servicios ordinarios WCH y BCH prestados por WebMonster. Su utilización por decisión y cuenta del Cliente se rige por el apartado 5.5.

• Cloudflare, Inc.: servicios de red, distribución de contenidos y protección de las webs mediante su red internacional, con posibles tratamientos fuera del Espacio Económico Europeo. Para las transferencias se aplicará el Marco de Privacidad de Datos UE-EE. UU. cuando proceda o las cláusulas contractuales tipo y garantías correspondientes. Sus subencargados y ubicaciones completan la información de la cadena de tratamiento.
• WP Media SAS, Francia: optimización externa de imágenes mediante Imagify y optimización de rendimiento mediante WP Rocket. Las funciones externas de WP Rocket pueden remitir direcciones de páginas al proveedor para su procesamiento. La sede francesa no determina por sí sola dónde se realiza el procesamiento externo.
• Patchstack OÜ, Estonia: seguridad y parcheado virtual, con tratamiento de datos de seguridad según las funciones utilizadas e infraestructura de procesamiento en Estados Unidos (Ohio). Para las transferencias que lo requieran se aplicarán cláusulas contractuales tipo y las garantías correspondientes. Su lista de subencargados identifica la cadena de tratamiento.

Solo existe subencargo cuando el proveedor trata datos personales por cuenta del Cliente. La mera licencia o instalación local de un plugin, como Complianz, no constituye por sí sola un subencargo.

VERSIÓN: 26-1