Acuerdo de Encargo de Tratamiento de Datos (DPA)

Los términos "datos personales", "titular", "tratamiento", "responsable", "encargado", "transferencia" y "vulneración/violación de seguridad" tendrán el significado que les atribuye la LFPDPPP y, en su caso, el GDPR.

• Responsable (Controller): el Cliente, que determina las finalidades y medios del tratamiento.
• Encargado (Processor): GRM, que trata los datos personales únicamente por cuenta del Responsable.
• Subencargado (Sub-processor): tercero contratado por GRM para prestar parte de los servicios que implican tratamiento de datos.

GRM tratará los datos personales exclusivamente para prestar los servicios contratados (operación de la plataforma P-ERM 4.0, alojamiento, soporte técnico, mantenimiento y funcionalidades asociadas de gestión de riesgos). El detalle del tratamiento —categorías de datos, de titulares, finalidad y duración— se especifica en el Anexo I.

GRM no tratará los datos personales para finalidades propias ni distintas de las instruidas por el Responsable.

Este DPA estará vigente mientras GRM trate datos personales por cuenta del Responsable y, en todo caso, durante la vigencia del contrato principal. Las obligaciones de confidencialidad, devolución o supresión de datos subsistirán tras su terminación.

GRM, en su calidad de Encargado, se obliga a:

• Tratar los datos personales únicamente conforme a las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales.
• Garantizar que las personas autorizadas para tratar los datos se comprometan a respetar la confidencialidad o estén sujetas a un deber de confidencialidad.
• No transferir ni comunicar los datos a terceros salvo instrucción del Responsable u obligación legal; en este último caso, informará al Responsable antes de tratar los datos, salvo prohibición legal.
• Asistir al Responsable, mediante medidas técnicas y organizativas apropiadas, en el cumplimiento de sus obligaciones de responder a los titulares y de garantizar la seguridad del tratamiento.
• Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones aquí previstas.

GRM implementará y mantendrá las medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, descritas en el Anexo II. Dichas medidas se revisarán y actualizarán periódicamente.

El Responsable autoriza de forma general a GRM a recurrir a los subencargados enumerados en el Anexo III. GRM impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este DPA.

GRM informará al Responsable de cualquier alta o sustitución de subencargados con antelación razonable, dándole la oportunidad de oponerse por motivos justificados relacionados con la protección de datos. GRM responderá frente al Responsable por el cumplimiento de sus subencargados.

Cuando la prestación del servicio implique tratar datos fuera del país de origen del Responsable o del titular, GRM garantizará que dichas transferencias se realicen con las garantías adecuadas.

Para datos sujetos al GDPR, las transferencias fuera del Espacio Económico Europeo se ampararán en las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea o en otro mecanismo válido de transferencia, que se incorporarán por referencia a este DPA.

Considerando la naturaleza del tratamiento, GRM asistirá al Responsable, en la medida de lo posible, para atender las solicitudes de ejercicio de derechos de Acceso, Rectificación, Cancelación y Oposición (ARCO) —o de acceso, rectificación, supresión, limitación, portabilidad y oposición bajo el GDPR—.

Si GRM recibe directamente una solicitud de un titular, la remitirá al Responsable sin dar respuesta por su cuenta, salvo autorización expresa.

GRM notificará al Responsable, sin dilación indebida y a más tardar dentro de las 72 horas siguientes a tener conocimiento, cualquier vulneración de la seguridad de los datos personales que afecte a los datos tratados por cuenta del Responsable.

La notificación incluirá, en la medida de lo disponible, la naturaleza de la vulneración, las categorías y el número aproximado de titulares afectados, las posibles consecuencias y las medidas adoptadas o propuestas para mitigarla.

GRM pondrá a disposición del Responsable la información necesaria para acreditar el cumplimiento de este DPA y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por el Responsable o un auditor autorizado por este, con preaviso razonable y sujeto a obligaciones de confidencialidad.

A la terminación de los servicios, y a elección del Responsable, GRM devolverá o suprimirá todos los datos personales tratados por su cuenta, así como las copias existentes, salvo que la conservación sea exigida por una obligación legal aplicable.

Cada Parte responderá por los daños que cause con motivo del incumplimiento de sus obligaciones, en los términos y con los límites de responsabilidad previstos en el contrato principal. Este DPA se rige por las leyes de los Estados Unidos Mexicanos, sometiéndose las Partes a la jurisdicción de los tribunales competentes de Cuernavaca, Morelos, México, salvo que una norma imperativa de protección de datos disponga otra cosa.