OSABA como encargado de tratamiento

Si GRUPO OSABA URK SL, en adelante OSABA, por necesidad de la prestación del servicio al CLIENTE tuviera que tratar datos personales de los cuales el CLIENTE es responsable actuará como encargado del tratamiento, conforme a los términos que a continuación se indican:

1. OSABA sólo trata los datos conforme a las instrucciones del CLIENTE (responsable del tratamiento), no utilizándolos para un fin distinto al que figura en las presentes condiciones contractuales.
2. OSABA lleva por escrito un registro de todas las categorías de actividades de tratamiento efectuadas por cuenta del responsable
3. OSABA informa al CLIENTE lo antes posible, de las brechas de seguridad de los datos bajo su protección, de forma que el CLIENTE disponga de tiempo suficiente para informar, en su caso, a la Agencia Española de Protección de Datos (AEPD) o a los interesados.
4. OSABA asiste al CLIENTE, cuando corresponda, en evaluaciones de impacto, análisis de riesgo relacionadas con la protección de datos, ejercicio de los derechos y consultas previas con la autoridad supervisora.
5. OSABA pone a disposición del CLIENTE toda la información necesaria para demostrar el cumplimiento de sus obligaciones de protección de datos.
6. Cumplida la prestación de los servicios que motiven el tratamiento de los datos personales, estos se destruyen. No obstante, OSABA podrá mantener debidamente bloqueados los citados datos durante el período en el cual se puedan derivar responsabilidades de su relación con el CLIENTE.
7. En el caso de que OSABA destine los datos para su propia finalidad será considerado responsable del tratamiento.
8. OSABA se obliga a mantener el debido secreto profesional respecto de los datos personales a los que deba acceder y/o tratar con el fin de cumplir en cada caso con el objeto del contrato del servicio que le sea de aplicación, tanto durante como después de la terminación de los mismos, comprometiéndose a utilizar dicha información únicamente para la finalidad prevista en cada caso y a exigir el mismo nivel de compromiso a cualquier persona que dentro de su organización participe en cualquier fase del tratamiento de los datos personales responsabilidad del CLIENTE.
9. En el caso de que OSABA acceda a los recursos en las instalaciones del CLIENTE, éste será responsable de establecer e implementar la política y medidas de seguridad; así como, de comunicar las mismas a OSABA, quien se compromete a respetarlas y a exigir su cumplimiento a su personal.
10. Si OSABA accediera vía remota a los recursos de tratamiento de datos responsabilidad del CLIENTE, éste deberá establecer e implementar la política y medidas de seguridad en sus sistemas de tratamiento remotos, siendo OSABA responsable de establecer e implementar la política y medidas de seguridad en sus propios sistemas locales y recoge en su registro de actividades las circunstancias relativas al tratamiento de datos en los términos exigidos por la normativa vigente.
11. El CLIENTE autoriza a OSABA, en su calidad de encargado del tratamiento, a subcontratar con terceros, en nombre propio o por cuenta del CLIENTE, los servicios que fueran necesarios para posibilitar la prestación de los servicios contratados, respetando en todo caso las obligaciones impuestas por el RGPD y su normativa de desarrollo. En cualquier momento, el CLIENTE podrá dirigirse a OSABA para conocer la identidad de las entidades subcontratadas para la prestación de los servicios indicados, actuándose de conformidad con los términos previstos en este documento.
12. El CLIENTE autoriza a OSABA a realizar las acciones que sean necesarias para la prestación de cada servicio con una duración máxima vinculada a la vigencia de los contratos, entre otras:
    • tratar datos personales en dispositivos portátiles fuera de los locales de ambas partes;
    • asignar a personal autorizado;
    • controlar la entrada y salida de los soportes y documentos;
13. OSABA no se hace responsable del incumplimiento de las obligaciones derivadas del RGPD por parte del CLIENTE. Cada parte deberá hacer frente a la responsabilidad que se derive de su propio incumplimiento de las obligaciones contractuales y de la propia normativa.
14. Las medidas de seguridadadoptadas por OSABA en el tratamiento de los datos de carácter personal por cuenta del CLIENTE, a título enunciativo son:

Medidas organizativas

Todo el personal con acceso a los datos personales tiene conocimiento y ha sido informado de sus obligaciones; en especial de confidencialidad y secreto que persiste incluso cuando finalice la relación laboral del trabajador con la empresa.

Medidas técnicas de identificación

• Se dispone de perfiles con derechos de administración para la instalación y configuración del sistema y usuarios sin privilegios o derechos de administración para el acceso a los datos personales.
• Se garantiza la existencia de contraseñas robustas, individuales y confidenciales para el acceso a los datos personales almacenados en sistemas electrónicos.

Medidas técnicas de salvaguarda

• Actualización de software y dispositivos utilizados para el tratamiento de los datos.
• Antimalware en los ordenadores y dispositivos donde se realice el tratamiento automatizado de los datos personales que garantice en la medida posible el robo y destrucción de la información y datos personales.
• Cortafuegos o firewall para evitar accesos remotos indebidos a los datos personales en aquellos ordenadores y dispositivos en los que se realice el tratamiento de datos personales.
• Se estudiará la posibilidad de cifrar la información cuando se precise realizar la extracción de datos personales fuera del recinto donde se realiza su tratamiento, ya sea por medios físicos o por medios electrónicos, para garantizar la confidencialidad de los datos personales en caso de acceso indebido a la información.
• Copia de seguridad periódica en un soporte distinto del que se utiliza para el trabajo diario. La copia se almacena en lugar seguro, distinto de aquél en que esté ubicado el ordenador con los ficheros originales, con el fin de permitir la recuperación de los datos personales en caso de pérdida de la información.
• Las medidas de seguridad son revisadas de forma periódica.