Acuerdo de encargo de tratamiento

1. Roles, objeto y duración

El Responsable designa a Lizensa como encargado del tratamiento, y Lizensa acepta dicha designación para el tratamiento descrito en el apartado 2.

• Objeto: funcionamiento de la tienda mayorista B2B de Lizensa, la cuenta de cliente y sus sublicencias.
• Duración: por el tiempo de vigencia de la cuenta y hasta que la devolución o supresión del apartado 9 haya finalizado.
• Naturaleza y finalidad: entrega de pedidos y licencias, facturación y contabilidad, administración de la cuenta y de los accesos, atención al cliente, prevención del fraude y seguridad de la plataforma.

2. Categorías de datos y de interesados

El tratamiento comprende:

• Interesados: el personal, clientes, usuarios finales y distribuidores del Responsable cuyos datos este introduce en una cuenta o un pedido;
• Categorías de datos personales: nombre, correo corporativo, teléfono, dirección de facturación y de entrega, NIF, datos de pedido y licencia, metadatos de pago, facturas y registros contables, datos de cuenta y de acceso, correspondencia de soporte y los datos de consentimiento y analítica descritos en la política de privacidad.

No se tratan categorías especiales de datos personales (art. 9 del RGPD) por cuenta del Responsable.

3. Instrucciones documentadas

Lizensa trata datos personales únicamente conforme a las instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que lo exija el derecho de la UE o de un Estado miembro; en tal caso, Lizensa informará al Responsable antes del tratamiento salvo que la ley lo prohíba.

Las instrucciones son el contrato de cuenta, el pedido, la configuración que el Responsable selecciona en el back office y cualquier instrucción escrita dirigida a privacy@lizensa.es.

4. Confidencialidad

Todas las personas autorizadas por Lizensa para tratar datos personales están sujetas a una obligación de confidencialidad y acceden únicamente a los datos necesarios para su función.

5. Seguridad del tratamiento

Lizensa aplica las medidas técnicas y organizativas exigidas por el art. 32 del RGPD, descritas en el apartado 9 de la política de privacidad: TLS 1.3 en tránsito, cifrado AES-256 en reposo, control de acceso con doble factor para el personal, registro de las acciones privilegiadas y copias de seguridad periódicas. El alojamiento y el tratamiento en CDN se realizan en la Unión Europea.

6. Subencargados

El Responsable autoriza con carácter general y por escrito a Lizensa a recurrir a subencargados; Lizensa mantiene la lista vigente de categorías de destinatarios en el apartado 3 de la política de privacidad.

• Lizensa notificará con al menos 30 días de antelación la incorporación o sustitución de un subencargado.
• El Responsable podrá opositar por escrito dentro de ese plazo; si la oposición no se resuelve, podrá terminar la cuenta afectada sin penalización.
• Lizensa impondrá a cada subencargado, por contrato, obligaciones de protección de datos no menos exigentes que las de este AET.

7. Transferencias internacionales

Lizensa transfiere datos personales fuera del EEE únicamente bajo las garantías enumeradas en el apartado 4 de la política de privacidad: una decisión de adecuación, el Marco de Privacidad de Datos UE-EE. UU., las cláusulas contractuales tipo de la Comisión Europea o medidas técnicas adicionales. Cuando una transferencia se apoye en las cláusulas tipo, estas se concluded con el subencargado correspondiente.

8. Asistencia al Responsable

Teniendo en cuenta la naturaleza del tratamiento, Lizensa asistirá al Responsable, en la medida de lo posible, mediante medidas técnicas y organizativas adecuadas para responder a las solicitudes de los interesados (arts. 12 a 22), realizar una evaluación de impacto (art. 35), consultar a la autoridad de control (art. 36) y notificar y documentar una brecha de seguridad (art. 33).

Las solicitudes de interesados que Lizensa reciba por cuenta del Responsable se le reenvían sin demora indebida.

9. Auditoría e inspección

Lizensa pone a disposición del Responsable toda la información razonablemente necesaria para demostrar el cumplimiento del art. 28 del RGPD y permite auditorías, incluidas inspecciones, por el Responsable o por un auditor que este designe, con estas condiciones:

• al menos 14 días de aviso previo por escrito;
• como máximo una auditoría anual sobre el mismo objeto;
• restricciones razonables de confidencialidad y de operación;
• los costes los asume el Responsable, salvo que la auditoría detecte un incumplimiento material de Lizensa.

10. Devolución y supresión

Al finalizar la cuenta, Lizensa devuelve o suprime en un plazo de 30 días los datos personales tratados por cuenta del Responsable, salvo que el derecho de la UE o de un Estado miembro exija conservarlos. Lizensa suprime o anonimiza a petición del interesado los datos conforme al art. 17 del RGPD, sin perjuicio de las obligaciones legales de conservación de facturas y registros contables.

11. Responsabilidad

La responsabilidad de Lizensa conforme a este AET se limita a las contraprestaciones pagadas por el Responsable en los 12 meses anteriores al hecho que la originó. Esta limitación no se aplica cuando la ley la excluya, ni a la responsabilidad por dolo o culpa grave.

12. Contactos

Notificaciones contractuales y cuestiones de protección de datos relativas a este AET:

• Encargado: Digital Soft Distribution Sp. z o.o., ul. Hoża 86/410, 00-682 Warszawa, PL · privacy@lizensa.es · support@lizensa.es
• Autoridad de control: la Agencia Española de Protección de Datos (AEPD)

Este AET se rige por el Reglamento (UE) 2016/679 y por la ley polaca, sin perjuicio de las normas imperativas que protejan a los interesados en su país de residencia.