Anexo III. Acuerdo de encargo del tratamiento

Acuerdo celebrado conforme al artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos («RGPD»), y al artículo 33 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»).

Responsable del tratamiento: el Cliente identificado en el Contrato marco o, si no se ha firmado Contrato marco, el usuario profesional que acepta este Acuerdo al cargar una cartera en la Plataforma (el «Responsable»).

Encargado del tratamiento: ARSTDATA LABS SL, NIF B88701362, con el domicilio social indicado en el aviso legal del Sitio y contacto en materia de protección de datos en info@arstdata.com («ARST Data» o el «Encargado»).

Este Acuerdo forma parte del Contrato marco de licencia y prestación de servicios ARST-CM-2026-10 (el «Contrato») o, en su defecto, de las condiciones generales de uso y contratación de arstdata.com. Prevalece sobre cualquier otra estipulación en lo relativo al tratamiento de datos personales.

1. Objeto

1.1. Este Acuerdo regula el tratamiento de datos personales que ARST Data realiza por cuenta del Responsable al prestarle los Servicios, en particular el monitor de cartera, los contrastes retrospectivos y los servicios profesionales que exijan cargar datos de carteras o contratos del Responsable.

1.2. El detalle del tratamiento (finalidad, categorías de datos e interesados, duración) figura en el Apéndice 1.

2. Instrucciones

2.1. ARST Data tratará los datos personales únicamente siguiendo las instrucciones documentadas del Responsable. El Contrato, la Orden de Servicio, este Acuerdo y la configuración que el Responsable haga de los Servicios en la Plataforma constituyen sus instrucciones completas. Las instrucciones adicionales deberán darse por escrito y, si suponen un coste o un cambio del Servicio, se tramitarán como modificación de la Orden de Servicio.

2.2. ARST Data informará inmediatamente al Responsable si, en su opinión, una instrucción infringe el RGPD u otra norma de protección de datos de la Unión o de los Estados miembros, y podrá suspender su ejecución hasta que el Responsable la confirme o la modifique.

2.3. Si el Derecho de la Unión o de un Estado miembro obligara a ARST Data a tratar los datos para otra finalidad, ARST Data informará al Responsable de esa exigencia antes del tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público.

3. Minimización de los datos aportados

3.1. Los Servicios funcionan con datos de vehículos y de contratos que no identifican directamente a las personas. El Responsable aportará referencias de contrato seudonimizadas y no aportará nombres, documentos de identidad, datos de contacto, matrículas ni números de bastidor, salvo que la Orden de Servicio lo autorice expresamente para una finalidad concreta.

3.2. La Plataforma puede rechazar los ficheros que contengan columnas identificadas como identificadores directos. Esta comprobación es una medida de apoyo y no exime al Responsable de su obligación de minimización.

3.3. El Responsable conserva la información que permite vincular las referencias seudonimizadas con las personas interesadas. ARST Data no intentará reidentificar a las personas interesadas.

4. Obligaciones del Responsable

El Responsable garantiza que: (a) dispone de una base jurídica válida para el tratamiento y para encargarlo a ARST Data; (b) ha informado a los interesados en los términos de los artículos 13 y 14 del RGPD; (c) los datos que aporta son adecuados, pertinentes y limitados a lo necesario; y (d) cumplirá sus propias obligaciones como responsable, incluidas, en su caso, las relativas a decisiones automatizadas y evaluaciones de impacto.

5. Obligaciones de ARST Data

ARST Data se obliga a:

• a) tratar los datos personales solo para la finalidad del Apéndice 1 y conforme a las instrucciones del Responsable;
• b) no utilizar los datos personales para fines propios, no comunicarlos a terceros salvo a los subencargados autorizados conforme a la cláusula 7, y no incorporarlos a los Datos de Mercado ni utilizarlos para entrenar o calibrar modelos que se ofrezcan a otros clientes;
• c) garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a ellos en la medida necesaria para prestar los Servicios;
• d) aplicar las medidas técnicas y organizativas del Apéndice 2, conforme al artículo 32 del RGPD;
• e) mantener por escrito un registro de las actividades de tratamiento efectuadas por cuenta del Responsable, conforme al artículo 30.2 del RGPD;
• f) asistir al Responsable en los términos de las cláusulas 8 y 9;
• g) no utilizar herramientas de inteligencia artificial de terceros para tratar los datos personales de las carteras del Responsable.

6. Seguridad

6.1. ARST Data aplicará las medidas del Apéndice 2 y las revisará periódicamente en función del estado de la técnica, de los costes de aplicación y de los riesgos del tratamiento.

6.2. ARST Data podrá modificar esas medidas siempre que no reduzca el nivel global de seguridad. Informará al Responsable de los cambios sustanciales.

7. Subencargados

7.1. Autorización general. El Responsable concede a ARST Data una autorización general para recurrir a los subencargados relacionados en el Apéndice 3.

7.2. Cambios. ARST Data informará al Responsable, con al menos 30 días de antelación, de cualquier incorporación o sustitución de un subencargado, por correo electrónico a la dirección de contacto de protección de datos de la Orden de Servicio. El Responsable podrá oponerse por escrito y de forma motivada, por razones relativas a la protección de datos, dentro de ese plazo. Si la oposición no se resuelve de buena fe en 30 días, el Responsable podrá resolver, sin penalización, la parte de la Orden de Servicio que no pueda prestarse sin el nuevo subencargado, con reembolso del precio prepagado correspondiente al periodo no prestado.

7.3. Condiciones. ARST Data impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos sustancialmente equivalentes a las de este Acuerdo, en particular en materia de seguridad. ARST Data seguirá siendo plenamente responsable frente al Responsable del cumplimiento de las obligaciones del subencargado.

7.4. Urgencia. Si un subencargado tuviera que sustituirse con urgencia por causas ajenas a ARST Data, por ejemplo por cese de su actividad o por un incidente de seguridad, ARST Data podrá hacerlo e informará al Responsable sin dilación, aplicándose a partir de entonces la cláusula 7.2.

8. Derechos de los interesados

8.1. Si un interesado dirige a ARST Data una solicitud de ejercicio de sus derechos sobre datos tratados por cuenta del Responsable, ARST Data la remitirá al Responsable en un plazo de cinco Días hábiles y no responderá directamente al interesado salvo instrucción del Responsable.

8.2. ARST Data asistirá al Responsable, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que este pueda responder a las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición. La Plataforma permite al Responsable consultar, modificar, descargar y eliminar las carteras que ha cargado.

9. Asistencia en seguridad, brechas y evaluaciones de impacto

9.1. Violaciones de seguridad. ARST Data notificará al Responsable, sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad que afecte a los datos personales tratados por su cuenta. La notificación incluirá, en la medida en que se disponga de ella: (a) la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados; (b) un punto de contacto; (c) las consecuencias probables; y (d) las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos. Si no fuera posible facilitar toda la información a la vez, se facilitará de forma gradual y sin dilación.

9.2. Corresponde al Responsable notificar la violación a la autoridad de control y, en su caso, comunicarla a los interesados. ARST Data no lo hará por su cuenta salvo instrucción del Responsable o exigencia legal.

9.3. Evaluaciones de impacto y consultas. ARST Data facilitará al Responsable la información razonablemente necesaria para realizar evaluaciones de impacto relativas a la protección de datos y, en su caso, consultas previas a la autoridad de control, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

10. Transferencias internacionales

10.1. ARST Data trata y almacena los datos personales del Responsable en la Unión Europea.

10.2. ARST Data no transferirá esos datos a un tercer país ni a una organización internacional, ni permitirá el acceso desde ellos, salvo que: (a) el subencargado correspondiente figure en el Apéndice 3 o se incorpore conforme a la cláusula 7; y (b) la transferencia se ampare en una decisión de adecuación de la Comisión Europea o en garantías adecuadas del artículo 46 del RGPD, como las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914, con las medidas complementarias que procedan.

11. Auditoría e información

11.1. ARST Data pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de este Acuerdo, en particular la descripción actualizada de las medidas de seguridad, la relación de subencargados y, cuando existan, los informes o certificaciones de terceros.

11.2. El Responsable, directamente o mediante un auditor independiente obligado a confidencialidad que no sea competidor de ARST Data, podrá realizar auditorías e inspecciones sobre el cumplimiento de este Acuerdo, con un preaviso de 30 días, como máximo una vez cada doce meses salvo violación de seguridad o requerimiento de una autoridad de control, en horario laboral, con un alcance definido por escrito y sin acceder a datos de otros clientes ni a los secretos empresariales de ARST Data. La auditoría se realizará preferentemente de forma documental y en remoto.

11.3. Cada Parte asumirá sus propios costes. El tiempo dedicado por ARST Data que exceda de un Día hábil por auditoría se facturará a la tarifa por día de la Orden de Servicio, salvo que la auditoría revele un incumplimiento sustancial de ARST Data.

11.4. Lo anterior se entiende sin perjuicio de las facultades de las autoridades de control y, en su caso, de las previstas en el Anexo IV del Contrato.

12. Duración y fin del tratamiento

12.1. Este Acuerdo estará vigente mientras ARST Data trate datos personales por cuenta del Responsable.

12.2. Al terminar la prestación de los Servicios, ARST Data, a elección del Responsable comunicada por escrito, devolverá los datos personales o los suprimirá, conforme a los plazos de la cláusula 20 del Contrato: descarga disponible durante 30 días, supresión de los sistemas de producción en los 30 días siguientes y eliminación de las copias de seguridad en su ciclo ordinario, que no excede de 30 días adicionales. Si el Responsable no elige, ARST Data los suprimirá al vencer el plazo de descarga. A petición del Responsable, ARST Data certificará por escrito la supresión.

12.3. ARST Data podrá conservar los datos, debidamente bloqueados, solo cuando el Derecho de la Unión o de los Estados miembros le exija su conservación, y durante el plazo que este establezca.

12.4. El Responsable podrá además eliminar en cualquier momento, desde la Plataforma, las carteras que haya cargado. Su eliminación de las copias de seguridad seguirá el ciclo ordinario indicado.

13. Responsabilidad

13.1. Cada Parte responderá de los daños que cause por el incumplimiento de este Acuerdo o del RGPD conforme al artículo 82 del RGPD.

13.2. En las relaciones entre las Partes se aplicarán los límites de la cláusula 17 del Contrato, con el límite incrementado que esta prevé para este Acuerdo. Esos límites no afectan a los derechos de los interesados frente a cualquiera de las Partes.

14. Ley y jurisdicción

Este Acuerdo se rige por la ley española y por el RGPD. Las controversias se resolverán conforme a la cláusula 28 del Contrato o, en su defecto, de las condiciones generales de arstdata.com.

Apéndice 1. Descripción del tratamiento

Apéndice 2. Medidas técnicas y organizativas

Control de acceso

• Acceso a la Plataforma mediante credenciales personales; contraseñas almacenadas con función de resumen robusta.
• Claves de API individuales, revocables y asociadas a la cuenta del Cliente.
• Acceso administrativo a los servidores restringido al personal autorizado, mediante claves criptográficas y segundo factor de autenticación en los paneles de administración.
• Separación lógica de los datos de cada cliente; cada usuario solo accede a las carteras de su cuenta.

Confidencialidad en tránsito y en reposo

• Comunicaciones cifradas mediante HTTPS con TLS 1.2 o superior.
• Comunicación entre servidores por red privada.
• Copias de seguridad cifradas.

Integridad y disponibilidad

• Copias de seguridad diarias y semanales, con conservación de 7 y 30 días respectivamente, almacenadas fuera del servidor de producción, dentro de la Unión Europea.
• Vigilancia automática de la disponibilidad cada cinco minutos desde un servidor independiente, con alertas.
• Cortafuegos y exposición pública limitada a los servicios necesarios; actualizaciones de seguridad periódicas.

Minimización y seudonimización

• Rechazo automático de ficheros con columnas identificadas como identificadores directos.
• Sin uso de los datos del Responsable para fines propios ni para entrenar modelos de otros clientes.
• ARST Data no utiliza herramientas de inteligencia artificial de terceros para tratar los datos personales de las carteras del Responsable; las tareas de mantenimiento con esas herramientas se realizan solo sobre cuentas de prueba.

Registro y trazabilidad

• Registro de los eventos de seguridad de las cuentas (altas, accesos, accesos fallidos, cambios de contraseña).
• Registro de las consultas y de los consumos asociados a cada cuenta.

Organización

• Deber de confidencialidad de todas las personas con acceso.
• Procedimiento de gestión de incidentes y de notificación de violaciones de seguridad conforme a la cláusula 9.
• Prueba de restauración de copias de seguridad al menos una vez al año.
• Supresión al término del Servicio conforme a la cláusula 12.

Apéndice 3. Subencargados autorizados

Lista de subencargados del tratamiento: disponible para clientes y candidatos bajo petición en info@arstdata.com. Todos los subencargados tratan los datos en el Espacio Económico Europeo y están sujetos a obligaciones equivalentes a las de este encargo.