Responsable del tratamiento - Responsable del tratamiento DPA

ANEXO DE CONTROLADOR A CONTROLADOR AL CONTRATO MARCO DE LICENCIA

INTRODUCCIÓN

El presente Anexo sobre Protección de Datos («DPA») se incorpora a los términos del Contrato Marco de Licencia («MLA») celebrado entre STATS Perform (tal y como se identifica en cualquier Orden de Trabajo firmada por las Partes) y el Licenciatario (tal y como se identifica en cualquier Orden de Trabajo firmada por las Partes), y forma parte integrante del mismo. En caso de conflicto entre el MLA y el presente DPA, o entre cualquier Orden de Trabajo y el presente DPA, prevalecerá el DPA. Todos los términos en mayúsculas no definidos en el presente documento tendrán el significado establecido en el MLA.

ÁMBITO DE APLICACIÓN

El presente Acuerdo de Protección de Datos (DPA) se aplica en caso de que STATS Perform, o cualquiera de sus filiales, desde el EEE o el Reino Unido, transfiera o ponga a disposición del Licenciatario datos personales para su tratamiento en una jurisdicción fuera del EEE, y dicha jurisdicción no esté cubierta por una declaración de «adecuación» emitida por la Comisión Europea ni esté sujeta a otro mecanismo de transferencia lícito que cumpla los requisitos de la legislación en materia de protección de datos (a los efectos del presente DPA, una«transferencia de datos pertinente»). El presente DPA establece e incorpora las Cláusulas Contractuales Típicas («CCT») de conformidad con la Decisión de la Comisión Europea de 27 de diciembre de 2004 sobre las Cláusulas Contractuales Típicas para la transferencia de datos personales a terceros países que no garantizan un nivel adecuado de protección de datos.

Las cláusulas contractuales tipo no pueden modificarse, no son negociables y son obligatorias en virtud de la legislación en materia de protección de datos para cualquier transferencia de datos pertinente.

En consecuencia, las Partes suscriben el presente Acuerdo de Tratamiento de Datos para garantizar que las transferencias de datos pertinentes se ajusten a la legislación en materia de protección de datos.

POR LA PRESENTE SE ACUERDA lo siguiente:

• Cláusulas contractuales tipo entre responsables del tratamiento

Cláusulas contractuales tipo para la transferencia de datos personales desde la Comunidad a terceros países (transferencias entre responsables del tratamiento)

Acuerdo de transferencia de datos

entre

STATS Perform (tal y como se indica en la orden de trabajo)

La dirección y el país de establecimiento de STATS Perform tal y como figuran en la orden de trabajo

en lo sucesivo, «exportador dedatos»

y

El titular de la licencia (tal y como figura en la orden de trabajo)

La dirección y el país de establecimiento del Licenciatario tal y como figuran en la orden de trabajo

en lo sucesivo, «importador dedatos»

cada una de ellas,«parte»; en conjunto,«las partes».

DEFINICIONES

A los efectos de las cláusulas:

• los términos «datos personales», «categorías especiales de datos/datos sensibles», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado» y «autoridad de control» tendrán el mismo significado que en la Directiva 95/46/CE, de 24 de octubre de 1995, o en cualquier ley de protección de datos aplicable (entendiéndose por «la autoridad» la autoridad de protección de datos competente en el territorio en el que esté establecido el exportador de datos);
• por «exportador de datos» se entenderá el responsable del tratamiento que transfiere los datos personales;
• por «importador de datos» se entenderá el responsable del tratamiento que se comprometa a recibir del exportador de datos datos personales para su posterior tratamiento de conformidad con lo dispuesto en las presentes cláusulas y que no esté sujeto al régimen de un tercer país que garantice una protección adecuada;
• Por «cláusulas» se entenderán las presentes cláusulas contractuales, que constituyen un documento independiente y no incluyen las condiciones comerciales establecidas por las partes en acuerdos comerciales distintos.

Los detalles de la transferencia (así como los datos personales a los que se refiere) se especifican en el anexo 2, que forma parte integrante de las cláusulas.

1. OBLIGACIONES DEL EXPORTADOR DE DATOS

El exportador de datos garantiza y se compromete a que:

• Los datos personales se han recopilado, tratado y transferido de conformidad con la legislación aplicable al exportador de datos.
• Ha hecho todo lo posible por determinar que el importador de datos está en condiciones de cumplir las obligaciones legales que le incumben en virtud de estas cláusulas.
• Facilitará al importador de datos, cuando así lo solicite, copias de las leyes pertinentes en materia de protección de datos o referencias a las mismas (cuando proceda, y sin incluir asesoramiento jurídico) del país en el que esté establecido el exportador de datos.
• Responderá a las consultas de los interesados y de la autoridad en relación con el tratamiento de los datos personales por parte del importador de datos, salvo que las Partes hayan acordado que sea el importador de datos quien responda; en tal caso, el exportador de datos seguirá respondiendo en la medida de lo razonablemente posible y con la información de que disponga razonablemente si el importador de datos no está dispuesto a responder o no puede hacerlo. Las respuestas se darán en un plazo razonable.
• Pondrá a disposición, previa solicitud, una copia de las cláusulas a los interesados que sean terceros beneficiarios en virtud de la cláusula 3, salvo que las cláusulas contengan información confidencial, en cuyo caso podrá suprimir dicha información. Cuando se suprima información, el exportador de datos informará por escrito a los interesados del motivo de la supresión y de su derecho a poner dicha supresión en conocimiento de la autoridad. No obstante, el exportador de datos acatará la decisión de la autoridad en lo que respecta al acceso de los interesados al texto completo de las cláusulas, siempre que los interesados se hayan comprometido a respetar la confidencialidad de la información confidencial suprimida. El exportador de datos facilitará asimismo una copia de las cláusulas a la autoridad cuando así se le solicite.

2. OBLIGACIONES DEL IMPORTADOR DE DATOS

El importador de datos garantiza y se compromete a que:

• Adoptará las medidas técnicas y organizativas adecuadas para proteger los datos personales contra la destrucción accidental o ilícita, la pérdida accidental, la alteración, la divulgación no autorizada o el acceso no autorizado, y que garanticen un nivel de seguridad adecuado al riesgo que supone el tratamiento y a la naturaleza de los datos que deben protegerse.
• Establecerá procedimientos para garantizar que cualquier tercero al que autorice a acceder a los datos personales, incluidos los encargados del tratamiento, respete y mantenga la confidencialidad y la seguridad de dichos datos. Toda persona que actúe bajo la autoridad del importador de datos, incluido un encargado del tratamiento, estará obligada a tratar los datos personales únicamente siguiendo las instrucciones del importador de datos. Esta disposición no se aplica a las personas autorizadas o obligadas por ley o por normativa a acceder a los datos personales.
• No tiene motivos para creer, en el momento de suscribir estas cláusulas, que existan leyes locales que puedan tener un efecto adverso sustancial sobre las garantías previstas en las mismas, e informará al exportador de datos (quien, a su vez, transmitirá dicha notificación a la autoridad competente cuando sea necesario) si tiene conocimiento de la existencia de tales leyes.
• Tratará los datos personales para los fines descritos en el anexo 2 y cuenta con la capacidad jurídica necesaria para ofrecer las garantías y cumplir los compromisos establecidos en estas cláusulas.
• Designará al exportador de datos una persona de contacto dentro de su organización autorizada para responder a las consultas relativas al tratamiento de los datos personales, y cooperará de buena fe con el exportador de datos, el interesado y la autoridad en relación con todas esas consultas en un plazo razonable. En caso de disolución legal del exportador de datos, o si así lo han acordado las Partes, el importador de datos asumirá la responsabilidad del cumplimiento de lo dispuesto en la cláusula 1, letra e).
• A petición del exportador de datos, este deberá aportar pruebas de que dispone de recursos financieros suficientes para cumplir con las obligaciones que le incumben en virtud de la cláusula 3 (lo que puede incluir una cobertura de seguro).
• Previa solicitud razonable del exportador de datos, este someterá sus instalaciones de tratamiento de datos, sus ficheros de datos y la documentación necesaria para el tratamiento a la revisión, auditoría y/o certificación por parte del exportador de datos (o de cualquier agente de inspección o auditor independiente e imparcial, seleccionado por el exportador de datos y al que el importador de datos no se oponga de forma razonable), con el fin de verificar el cumplimiento de las garantías y compromisos establecidos en las presentes cláusulas, previa notificación con antelación razonable y durante el horario laboral habitual. La solicitud estará sujeta a cualquier consentimiento o aprobación necesarios por parte de una autoridad reguladora o de supervisión del país del importador de datos, consentimiento o aprobación que el importador de datos intentará obtener a su debido tiempo.
• Tratará los datos personales, a su discreción, de conformidad con los principios de tratamiento de datos establecidos en el anexo 1. Cada uno de los siguientes importadores de datos manifiesta su compromiso de cumplir dichos principios mediante sus iniciales a continuación:

          Las Partes acuerdan que, al firmar y fechar la Orden de trabajo, rubrican, aceptan y se adhieren a la presente cláusula 2(h).

• No divulgará ni transferirá los datos personales a un responsable del tratamiento tercero ubicado fuera del Espacio Económico Europeo (EEE), a menos que notifique al exportador de datos dicha transferencia y
  • el responsable del tratamiento de datos, que es un tercero, trate los datos personales de conformidad con una decisión de la Comisión en la que se determine que un tercer país ofrece un nivel de protección adecuado, o
  • el responsable del tratamiento externo se adhiere a estas cláusulas u otro acuerdo de transferencia de datos aprobado por una autoridad competente de la UE, o
  • se ha dado a los interesados la oportunidad de oponerse, tras haber sido informados de los fines de la transferencia, las categorías de destinatarios y el hecho de que los países a los que se exportan los datos pueden tener normas de protección de datos diferentes, o
  • En lo que respecta a las transferencias posteriores de datos sensibles, los interesados han dado su consentimiento inequívoco a dicha transferencia

3. RESPONSABILIDAD Y DERECHOS DE TERCEROS

• • Cada Parte será responsable ante las demás Partes por los daños y perjuicios que cause por cualquier incumplimiento de las presentes cláusulas. La responsabilidad entre las Partes se limita a los daños y perjuicios realmente sufridos. Quedan expresamente excluidas las indemnizaciones punitivas (es decir, aquellas destinadas a castigar a una Parte por su conducta escandalosa). Cada Parte será responsable ante los interesados por los daños y perjuicios que cause por cualquier incumplimiento de los derechos de terceros en virtud de las presentes cláusulas. Esto no afecta a la responsabilidad del exportador de datos en virtud de su legislación en materia de protección de datos.
  • Las Partes acuerdan que el interesado tendrá derecho a hacer valer, en calidad de tercero beneficiario, la presente cláusula y las cláusulas 1(b), 1(d), 1(e), 2(a), 2(c), 2.d), 2.e), 2.h), 2.i), 3.a), 5, 6.d) y 7 frente al importador de datos o al exportador de datos, por el incumplimiento respectivo de sus obligaciones contractuales en relación con sus datos personales, y aceptan la jurisdicción a tal efecto en el país de establecimiento del exportador de datos. En los casos en que se alegue un incumplimiento por parte del importador de datos, el interesado deberá solicitar primero al exportador de datos que adopte las medidas adecuadas para hacer valer sus derechos frente al importador de datos; si el exportador de datos no adopta dichas medidas en un plazo razonable (que en circunstancias normales sería de un mes), el interesado podrá entonces hacer valer sus derechos directamente frente al importador de datos. El interesado tiene derecho a actuar directamente contra un exportador de datos que no haya realizado los esfuerzos razonables para determinar que el importador de datos es capaz de cumplir sus obligaciones legales en virtud de estas cláusulas (la carga de la prueba de que realizó esfuerzos razonables recaerá en el exportador de datos).

4. LEY APLICABLE A LAS CLÁUSULAS

Estas cláusulas se regirán por la legislación del país en el que esté establecido el exportador de datos, con la excepción de las leyes y reglamentos relativos al tratamiento de los datos personales por parte del importador de datos en virtud de la cláusula 2, letra h), que solo se aplicarán si así lo elige el importador de datos con arreglo a dicha cláusula.

5. RESOLUCIÓN DE CONFLICTOS CON LOS INTERESADOS O CON LA AUTORIDAD

• • En caso de que un interesado o la autoridad competente presente una controversia o reclamación relativa al tratamiento de los datos personales contra cualquiera de las Partes o contra ambas, las Partes se informarán mutuamente de dichas controversias o reclamaciones y cooperarán con el fin de resolverlas de forma amistosa y oportuna.
  • Las Partes acuerdan responder a cualquier procedimiento de mediación no vinculante y de acceso general iniciado por un interesado o por la autoridad competente. En caso de participar en el procedimiento, las Partes podrán optar por hacerlo a distancia (por ejemplo, por teléfono u otros medios electrónicos). Las Partes acuerdan asimismo considerar la posibilidad de participar en cualquier otro procedimiento de arbitraje, mediación u otro tipo de resolución de litigios establecido para los conflictos en materia de protección de datos.
  • Cada Parte deberá acatar la resolución de un tribunal competente del país en el que esté establecido el exportador de datos o de la autoridad competente, siempre que dicha resolución sea firme y no sea susceptible de recurso.

6. RESOLUCIÓN

• • En caso de que el importador de datos incumpla las obligaciones que le incumben en virtud de las presentes cláusulas, el exportador de datos podrá suspender temporalmente la transferencia de datos personales al importador de datos hasta que se subsane el incumplimiento o se rescinda el contrato.
  • En caso de que:
    • el exportador de datos ha suspendido temporalmente la transferencia de datos personales al importador de datos durante más de un mes, de conformidad con la letra a);
    • el cumplimiento de estas cláusulas por parte del importador de datos supondría un incumplimiento de sus obligaciones legales o reglamentarias en el país de importación;
    • el importador de datos incumpla de manera sustancial o reiterada cualquiera de las garantías o compromisos que haya asumido en virtud de las presentes cláusulas;
    • una resolución firme, contra la que no cabe recurso alguno, dictada por un tribunal competente del país en el que está establecido el exportador de datos o por la autoridad competente, en la que se declare que el importador o el exportador de datos ha incumplido las cláusulas; o
    • se presente una solicitud de administración judicial o liquidación del importador de datos, ya sea a título personal o en el ejercicio de su actividad empresarial, y dicha solicitud no sea desestimada dentro del plazo previsto al efecto por la legislación aplicable; se dicte una resolución de liquidación; se nombre a un administrador judicial para cualquiera de sus activos; se nombre a un síndico de quiebra, si el importador de datos es una persona física; se inicie un procedimiento de acuerdo voluntario por parte de este; o se produzca cualquier hecho equivalente en cualquier jurisdicción

en tal caso, el exportador de datos, sin perjuicio de cualquier otro derecho que pueda tener frente al importador de datos, tendrá derecho a rescindir las presentes cláusulas, en cuyo caso se informará a la autoridad cuando así se requiera. En los casos contemplados en los apartados i), ii) o iv) anteriores, el importador de datos también podrá rescindir las presentes cláusulas.

• Cualquiera de las partes podrá rescindir las presentes cláusulas si:
  • se haya adoptado una decisión positiva de adecuación de la Comisión, con arreglo al artículo 25, apartado 6, de la Directiva 95/46/CE (o cualquier texto que la sustituya), en relación con el país (o un sector del mismo) al que el importador de datos transfiere y trata los datos, o
  • La Directiva 95/46/CE (o cualquier texto que la sustituya) pasa a ser directamente aplicable en dicho país.
• Las Partes acuerdan que la rescisión de las presentes cláusulas en cualquier momento, bajo cualquier circunstancia y por cualquier motivo (salvo en el caso de la rescisión prevista en la cláusula 6, letra c)) no las exime de las obligaciones y/o condiciones establecidas en las cláusulas en lo que respecta al tratamiento de los datos personales transferidos.

7 MODIFICACIÓN DE ESTAS CLÁUSULAS

Las Partes no podrán modificar estas cláusulas, salvo para actualizar la información contenida en el anexo 2, en cuyo caso informarán a la autoridad competente cuando sea necesario. Esto no impide que las Partes añadan cláusulas comerciales adicionales cuando sea necesario.

8 DESCRIPCIÓN DE LA TRANSFERENCIA

Los detalles de la transferencia y de los datos personales se especifican en el anexo 2. Las Partes acuerdan que el anexo 2 puede contener información comercial confidencial que no revelarán a terceros, salvo que lo exija la ley o en respuesta a una autoridad reguladora o gubernamental competente, o según lo dispuesto en la cláusula 1(e). Las Partes podrán formalizar anexos adicionales para cubrir transferencias adicionales, que se presentarán a la autoridad competente cuando sea necesario. El Anexo 2 podrá, alternativamente, redactarse de manera que cubra múltiples transferencias.

Las Partes acuerdan que, al firmar y fechar la Orden de trabajo, aceptan y se comprometen a cumplir las Condiciones Generales de Contratación, incluyendo el Anexo 1 y Anexo 2.

• (Principios del tratamiento de datos)
  • Limitación de la finalidad: Los datos personales solo podrán ser tratados y, posteriormente, utilizados o comunicados a terceros para las finalidades descritas en el anexo 2 o para aquellas autorizadas posteriormente por el interesado.
  • Calidad y proporcionalidad de los datos: Los datos personales deben ser exactos y, cuando sea necesario, mantenerse actualizados. Los datos personales deben ser adecuados, pertinentes y no excesivos en relación con los fines para los que se transfieren y se tratan posteriormente.
  • Transparencia: Se debe facilitar a los interesados la información necesaria para garantizar un tratamiento leal (como la información sobre los fines del tratamiento y sobre la transferencia), salvo que el exportador de datos ya haya facilitado dicha información.
  • Seguridad y confidencialidad: El responsable del tratamiento deberá adoptar medidas de seguridad técnicas y organizativas adecuadas a los riesgos que plantee el tratamiento, tales como la destrucción accidental o ilícita, la pérdida accidental, la alteración, la divulgación no autorizada o el acceso no autorizado. Ninguna persona que actúe bajo la autoridad del responsable del tratamiento, incluido el encargado del tratamiento, podrá tratar los datos salvo que reciba instrucciones del responsable del tratamiento.
  • Derechos de acceso, rectificación, supresión y oposición: De conformidad con lo dispuesto en el artículo 12 de la Directiva 95/46/CE, se deberá facilitar a los interesados, ya sea directamente o a través de un tercero, la información personal que una organización tenga sobre ellos, salvo en el caso de solicitudes manifiestamente abusivas, basadas en intervalos, número, carácter repetitivo o sistemático irrazonables, o para las que no sea necesario conceder el acceso en virtud de la legislación del país del exportador de datos. Siempre que la autoridad haya dado su aprobación previa, tampoco será necesario conceder el acceso cuando ello pueda perjudicar gravemente los intereses del importador de datos o de otras organizaciones que traten con el importador de datos y dichos intereses no sean superados por los intereses relacionados con los derechos y libertades fundamentales del interesado. No será necesario identificar las fuentes de los datos personales cuando ello no sea posible mediante esfuerzos razonables, o cuando ello suponga una violación de los derechos de personas distintas del interesado. Los interesados deben poder hacer que se rectifiquen, modifiquen o supriman los datos personales que les conciernen cuando sean inexactos o se hayan tratado contrariamente a estos principios. Si existen motivos de peso para dudar de la legitimidad de la solicitud, la organización podrá exigir justificaciones adicionales antes de proceder a la rectificación, modificación o supresión. No será necesario notificar cualquier rectificación, modificación o supresión a los terceros a quienes se hayan comunicado los datos cuando ello suponga un esfuerzo desproporcionado. El interesado también debe poder oponerse al tratamiento de los datos personales que le conciernen si existen motivos legítimos y convincentes relacionados con su situación particular. La carga de la prueba de cualquier denegación recae en el importador de datos, y el interesado siempre podrá impugnar una denegación ante la autoridad.
  • Datos sensibles: El importador de datos adoptará las medidas adicionales (por ejemplo, en materia de seguridad) que sean necesarias para proteger dichos datos sensibles, de conformidad con las obligaciones que le incumben en virtud de la cláusula 2.
  • Datos utilizados con fines de marketing: cuando los datos se traten con fines de marketing directo, deben existir procedimientos eficaces que permitan al interesado, en cualquier momento, «excluirse» del uso de sus datos para tales fines.
  • Decisiones automatizadas: A los efectos del presente documento, se entenderá por «decisión automatizada» aquella tomada por el exportador o el importador de datos que produzca efectos jurídicos respecto a un interesado o que le afecte de manera significativa, y que se base exclusivamente en el tratamiento automatizado de datos personales destinado a evaluar determinados aspectos personales relacionados con él, tales como su rendimiento laboral, solvencia, fiabilidad, conducta, etc. El importador de datos no tomará ninguna decisión automatizada respecto a los interesados, salvo cuando:

(a) (i) dichas decisiones las adopta el importador de datos al celebrar o ejecutar un contrato con el interesado, y

(a) (ii) se brinde al interesado la oportunidad de debatir los resultados de una decisión automatizada pertinente con un representante de las Partes que hayan adoptado dicha decisión o, en su defecto, de presentar sus alegaciones ante dichas Partes.

o

b) cuando la legislación del exportador de datos disponga lo contrario.

ANEXO 2 (Información sobre el tratamiento)

1. LOS INTERESADOS

Los datos personales transferidos se refieren a las siguientes categorías de interesados:

Los datos personales contenidos en los Materiales Autorizados (tal y como se definen en el MLA), que incluyen información relativa a deportistas, atletas y profesionales del ámbito deportivo.

2. FINALIDAD DE LA(S) TRANSFERENCIA(S)

Las transferencias se realizan con los siguientes fines: el uso de los datos personales por parte del importador de datos para los fines establecidos en la orden de trabajo y el acuerdo de transferencia de datos.

3 CATEGORÍAS DE DATOS

Los datos personales cedidos se refieren a las siguientes categorías de datos y a otras que puedan surgir ocasionalmente:

4 DESTINATARIOS

Los datos personales cedidos solo podrán ser comunicados a los siguientes destinatarios o categorías de destinatarios:

Los destinatarios indicados en la orden de trabajo y/o en el acuerdo de prestación de servicios.

5 INFORMACIÓN SOBRE EL REGISTRO EN MATERIA DE PROTECCIÓN DE DATOS DEL EXPORTADOR DE DATOS

Se facilitará previa solicitud.

6. INFORMACIÓN ÚTIL ADICIONAL

Ninguna.

7 PUNTOS DE CONTACTO PARA CONSULTAS SOBRE PROTECCIÓN DE DATOS

Consulte la orden de trabajo para obtener los datos de contacto.