Acuerdo de Tratamiento de Datos

Definiciones

Responsable del tratamiento, encargado del tratamiento, datos personales, tratamiento, violación de la seguridad de los datos personales y autoridad de control tienen el significado que les atribuye el UK GDPR.

UK GDPR significa el Reglamento General de Protección de Datos de la UE retenido, tal como forma parte del derecho de Inglaterra y Gales, Escocia e Irlanda del Norte, junto con la Data Protection Act 2018. EU GDPR significa el Reglamento (UE) 2016/679. Legislación de protección de datos significa cualquiera de ellos que se aplique al tratamiento en cuestión.

Subencargado del tratamiento significa un tercero que contratamos para tratar datos personales en su nombre.

Cuándo somos encargado del tratamiento y cuándo no

Realizamos dos tipos de trabajo distintos, y la ley los trata de forma diferente. Este DPA cubre solo el primero.

Actuamos como su encargado del tratamiento cuando:

• Mantenemos los contactos y los usuarios de su organización, y las cuentas de esos usuarios
• Almacenamos los documentos que usted sube a la plataforma
• Transmitimos mensajes entre usted y los inspectores asignados a su trabajo

Actuamos como responsable del tratamiento por derecho propio cuando:

• Realizamos una inspección y decidimos qué se observa, se registra y se informa
• Conservamos informes y material de respaldo como prueba del trabajo realizado
• Emitimos facturas y llevamos registros contables, como nos exige la legislación del Reino Unido
• Evaluamos el riesgo de viaje y consultamos datos de buques para planificar y llevar a cabo nuestro trabajo

Cuando actuamos como responsable del tratamiento, se aplica nuestra Política de Privacidad en lugar de este DPA. Cuando un mismo registro sirve para ambos fines, este DPA se aplica a la forma en que lo tratamos en su nombre, y nuestras propias obligaciones como responsable del tratamiento siguen vigentes en paralelo.

Sus responsabilidades

Como responsable del tratamiento de los datos personales que tratamos para usted, usted es responsable de:

• Contar con una base jurídica para el tratamiento que usted nos ordena realizar
• Dar a las personas cuyos datos sube la información a la que tienen derecho
• Asegurarse de que sus instrucciones, y los datos que introduce en la plataforma, cumplen la legislación de protección de datos
• Mantener al día las cuentas y los derechos de acceso de sus usuarios, y retirar a las personas que ya no deban tener acceso

No somos responsables de decidir si su tratamiento es lícito, y no revisamos el contenido de lo que usted sube.

Detalles del tratamiento

Objeto: la prestación de la plataforma descrita en los Términos de Uso.

Duración: mientras exista su cuenta, más cualquier período de conservación establecido en la sección 10.

Naturaleza y finalidad: alojamiento, almacenamiento, transmisión y coordinación del trabajo de inspección.

Tipos de datos personales: nombres, direcciones de correo electrónico, números de teléfono, cargos, fotos de perfil, credenciales de autenticación, información de sesiones y dispositivos, y cualquier dato personal contenido en los documentos que usted sube.

Categorías de interesados: su personal y sus representantes, los inspectores asignados a su trabajo y las personas nombradas en el material de inspección, que puede incluir a la tripulación del buque.

Sus instrucciones

Tratamos datos personales únicamente siguiendo sus instrucciones documentadas, incluso en lo relativo a transferencias fuera del Reino Unido o del EEE, salvo que la ley nos obligue a hacer otra cosa. Cuando la ley lo exija, se lo comunicaremos antes del tratamiento, salvo que la ley nos lo prohíba.

Sus instrucciones consisten en los Términos de Uso, este DPA y el uso que usted hace de las funciones de la plataforma.

Le informaremos si, en nuestra opinión, una instrucción infringe la legislación de protección de datos. Podemos negarnos a seguir una instrucción que nos haría incumplir la ley.

Confidencialidad

Todas las personas a las que autorizamos a tratar datos personales están sujetas a un deber de confidencialidad, ya sea por contrato de trabajo, por las condiciones de su encargo o por un compromiso escrito. Limitamos el acceso a quienes lo necesitan para realizar su trabajo.

Seguridad

Aplicamos medidas técnicas y organizativas apropiadas conforme al artículo 32, entre ellas:

• Contraseñas almacenadas mediante una función hash unidireccional, y compatibilidad con llaves de acceso
• Cifrado en tránsito mediante HTTPS/TLS, y cifrado en reposo
• Control de acceso basado en roles, con el acceso limitado a lo que necesita cada rol
• Registro de los accesos y de las acciones administrativas
• Copias de seguridad guardadas en un almacén protegido independiente, con la restauración probada
• Autenticación multifactor disponible en las cuentas

Revisamos estas medidas a medida que cambia la plataforma. Podemos actualizarlas, siempre que el nivel de protección no disminuya.

Subencargados del tratamiento

Usted nos otorga una autorización general por escrito para contratar subencargados del tratamiento. La lista actual se publica en Subencargados del tratamiento, que sirve como registro a efectos de este DPA.

Le avisaremos con al menos 30 días de antelación antes de que un nuevo subencargado del tratamiento empiece a tratar datos, por correo electrónico o a través de la plataforma. Si usted se opone de forma razonable por motivos de protección de datos dentro de ese plazo, trabajaremos con usted para encontrar una alternativa. Si no podemos, usted puede rescindir los servicios afectados sin penalización, y le reembolsaremos los honorarios pagados por servicios no prestados.

Imponemos a cada subencargado del tratamiento obligaciones de protección de datos que no sean menos protectoras que las de este DPA, y seguimos siendo responsables ante usted de su cumplimiento.

Contratamos inspectores en todo el mundo. Un inspector individual contratado conforme a nuestras condiciones actúa bajo nuestra autoridad como parte de nuestro personal y no como subencargado del tratamiento, y está sujeto al deber de confidencialidad de la sección 6. Una empresa a la que subcontratamos trabajo de inspección es un subencargado del tratamiento, y está cubierta por esta sección como cualquier otro.

No publicamos los nombres de esas empresas, porque nuestros acuerdos con ellas son confidenciales, y la lista publicada abarca los servicios tecnológicos en los que se basa la plataforma y no las empresas con las que trabajamos. Si usted lo solicita, le identificaremos por escrito y bajo confidencialidad a los subcontratistas que participan en su trabajo. Su derecho a recibir aviso y a oponerse conforme a esta sección se aplica a ellos exactamente igual que a un subencargado del tratamiento nombrado en la lista.

Ayuda para cumplir sus obligaciones

Derechos de los interesados. La plataforma permite a las personas actualizar su nombre, foto de perfil y número de teléfono, gestionar sus llaves de acceso, y ver y revocar sus sesiones. Cuando una solicitud nos llegue a nosotros en lugar de a usted, se la remitiremos en lugar de responderla, salvo que usted nos indique otra cosa. Le ayudaremos a responder, teniendo en cuenta lo que la plataforma pone a disposición.

Violaciones de la seguridad de los datos personales. Se lo notificaremos sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tengamos conocimiento de una violación que afecte a sus datos personales. Nuestra notificación describirá lo sucedido, las categorías y el número aproximado de registros afectados, las consecuencias probables y las medidas adoptadas.

Evaluaciones de impacto. Prestaremos una asistencia razonable con las evaluaciones de impacto relativas a la protección de datos y con la consulta previa a una autoridad de control, en la medida en que se refieran al tratamiento que realizamos en su nombre.

Supresión y devolución

A petición suya durante la vigencia, o a la terminación, suprimiremos o devolveremos los datos personales que tratamos en su nombre, y suprimiremos las copias existentes.

Conservaremos registros cuando la ley lo exija o cuando sean prueba del trabajo realizado. En la práctica, esto significa:

• Registros contables, incluidas facturas y gastos, conservados durante seis años conforme a la legislación del Reino Unido
• Informes de inspección y material de respaldo, conservados como registro de una inspección que realizamos y como prueba en caso de disputa o reclamación

Todo lo que se conserve conforme a esta sección sigue sujeto a las condiciones de seguridad y confidencialidad anteriores, y no lo tratamos para ningún otro fin. La eliminación de una cuenta individual se describe en Eliminar su cuenta.

Transferencias internacionales

La mayoría de los datos personales se tratan en el Reino Unido y la UE. Algunos subencargados del tratamiento tratan datos en los Estados Unidos, y el tratamiento con IA puede tener lugar en otras regiones, como se indica en la lista de Subencargados del tratamiento.

Nuestros inspectores y subcontratistas trabajan en todo el mundo, incluso en países sin una decisión de adecuación del Reino Unido o de la UE. Acceden a los datos personales a través de la plataforma para realizar el trabajo que usted encarga, bajo los controles de confidencialidad y de acceso de las secciones 6 y 7.

Cuando los datos personales salen del Reino Unido o del EEE, ya sea hacia un subencargado del tratamiento o hacia nuestro propio personal, nos basamos en el Acuerdo Internacional de Transferencia de Datos del Reino Unido, o en las Cláusulas Contractuales Tipo de la UE junto con el Anexo del Reino Unido, y en evaluaciones del riesgo de las transferencias cuando sean necesarias. Esas condiciones quedan incorporadas a este DPA y, si entran en conflicto con él, prevalecen sobre este DPA.

Auditorías

Pondremos a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA.

Usted puede solicitar esa información una vez en cualquier período de doce meses, por escrito, y responderemos en un plazo de 30 días. Cuando eso sea realmente insuficiente, usted puede auditarnos in situ con al menos 30 días de antelación, en horario laboral, de una manera que no perturbe nuestro trabajo y a su cargo. Puede designar a un auditor independiente que no sea competidor nuestro, sujeto a confidencialidad.

Si una autoridad de control exige una auditoría, esta sección no la limita.

California

Cuando la California Consumer Privacy Act se aplique a la información personal que usted proporciona, actuamos como proveedor de servicios. No la vendemos ni la compartimos, no la conservamos, utilizamos ni divulgamos para ningún fin distinto de la prestación de los servicios previstos en los Términos de Uso, y no la combinamos con información personal obtenida en otros lugares, salvo en los casos en que dicha ley permita esa combinación. Le informaremos si dejamos de poder cumplir estas obligaciones.

Responsabilidad, vigencia y prelación

La responsabilidad conforme a este DPA está sujeta a las limitaciones de los Términos de Uso.

Este DPA entra en vigor cuando usted acepta los Términos de Uso y continúa vigente mientras tratemos datos personales en su nombre. Si alguna parte de él entra en conflicto con los Términos de Uso, este DPA prevalece en lo que respecta a los datos personales.

Este DPA es el acuerdo conforme al cual trabajamos. Cuando usted exija que se apliquen sus propias condiciones de tratamiento de datos, las estudiaremos, y cualquiera que aceptemos debe estar firmada por nosotros para surtir efecto; hasta entonces se aplica este DPA. Cuando unas condiciones firmadas y este DPA regulen el mismo punto, prevalecen las condiciones firmadas.

Este DPA se rige por la legislación de Inglaterra y Gales, y está sujeto a la jurisdicción establecida en los Términos de Uso.

Cambios en este acuerdo

Podemos actualizar este DPA a medida que cambien la plataforma o la ley, siempre que el cambio no reduzca la protección que le ofrece. Le avisaremos con al menos 30 días de antelación de cualquier cambio sustancial, por correo electrónico o a través de la plataforma, y la versión vigente siempre se publica aquí.

Contacto

Para cualquier asunto relacionado con este acuerdo, envíe un correo electrónico a support@awpmarine.com. Para asuntos de seguridad, envíe un correo electrónico a security@awpmarine.com.