Las partes en el contrato exponen:

I- Los datos personales entregados por Aero-Ferr Norte, S.A (en adelante AF) como consecuencia de la relación entre ambos, única y exclusivamente podrán ser aplicados y utilizados para la consecución de los fines derivados de dicha relación, no pudiendo ser cedidos ni entregados a terceros.

II- Las partes hacen constar que, a estos efectos:

a. AF será el Encargado del Tratamiento de los datos y el proveedor será el Responsable del Fichero constituido por los datos tratados. El proveedor decidirá sobre la finalidad, contenido y uso de los ficheros de datos existentes o que puedan ser creados y a los que tenga acceso AF como resultado de las actividades realizadas.

III- Conforme a lo anterior, se recogen en el presente contrato, las obligaciones y condiciones para el tratamiento de datos de carácter personal entregado por AF al proveedor, con motivo de la realización de los servicios objeto de este contrato y en su virtud se acuerdan las siguientes

I- OBJETO

Es objeto del presente anexo definir las condiciones conforme a las cuales el “Encargado del Tratamiento” tratará los datos de carácter personal por cuenta del “Responsable del Tratamiento”, en el marco del Contrato suscrito entre las partes.

Los datos de carácter personal a los que el “Encargado del Tratamiento” tendrá acceso serán los relativos a los clientes.

Dicho tratamiento ser realizará sobre datos de carácter personal incluidos en ficheros titularidad del Responsable (en adelante “Datos de carácter personal”)

II- OBLIGACIONES GARANTIAS DEL ENCARGADO

En virtud del presente contrato, el Encargado del Tratamiento se compromete a:

a) Tratamiento de los Datos de Carácter Personal: El Encargado del Tratamiento realizará el tratamiento de los Datos de carácter personal conforme a las instrucciones del Responsable del Tratamiento y la normativa que sea aplicable en cada momento en materia de protección de datos de carácter personal. Si el Encargado considera que alguna de las instrucciones infringe la normativa aplicable en materia de protección de datos, informará de forma inmediata al Responsable del Tratamiento.

Asimismo, el Encargado del tratamiento se compromete a utilizar los Datos de carácter personal sólo para la finalidad de prestar los Servicios detallados en el Contrato de Prestación de Servicios así como a no aplicarlos o utilizarlos con finalidades distintas ni para fines propios.

b) Medidas de Seguridad

En Encargado del Tratamiento tiene que establecer medidas y mecanismos para:

- Restaurar la disponibilidad y el acceso de los datos de carácter personal de forma rápida, en caso de incidente físico o técnico.

- Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad del tratamiento. - Seudonimizar y cifrar los datos personales, en su caso.

c) Deber de secreto y comunicación de datos.

El Encargado del tratamiento se compromete a guardar secreto y mantener bajo su control y custodia los Datos de carácter personal titularidad del Responsable del tratamiento a los que acceda con motivo de la prestación de los Servicios (incluso después de la finalización de los mismos), y a no comunicarlos a terceras personas, salvo que cuente con la autorización expresa y por escrito del responsable del tratamiento, en los supuestos legalmente admisibles.

d) Destrucción o devolución de los datos de carácter personal.

Una vez cumplida la prestación de los Servicios, el Encargado del tratamiento destruirá o devolverá al Responsable del Tratamiento o al encargado que designe por escrito al Responsable los referidos Datos de carácter personal (según le indique el Responsable), así como cualquier soporte o documentos en los que consten los datos de carácter personal objeto de tratamiento en el marco del presente contrato.

De optar el Responsable por la destrucción por parte del Encargado del Tratamiento de datos de carácter personal así como cualquier soporte o documentos en los que consten los datos de carácter personal, el encargado del tratamiento deberá certificar su destrucción por escrito, debiendo entregar al responsable el certificado al responsable del tratamiento.

e) Ejercicio de los Derechos de acceso, rectificación, cancelación y oposición por parte de los afectados

f) Derecho de información

Corresponde al Responsable facilitar el derecho de información a los afectados en el momento de su recogida.

De considerar el Responsable en algún momento que dicha obligación debe corresponder al Encargado del tratamiento, el Encargado se compromete a facilitar dicha información así como a consensuar con el Responsable la redacción y el formato en el que se facilitará.

g) Notificaciones de violaciones de seguridad de los datos de carácter personal

El Encargado del tratamiento notificará al responsable del tratamiento, sin dilación indebida y en cualquier caso antes del plazo máximo de veinticuatro (24) horas, y a través de la dirección de correo electrónico, las violaciones de seguridad de los datos de carácter personal a su cargo de las que tenga conocimiento, juntamente con toda la información relevante para la documentación y comunicación de la incidencia.

No será necesaria la notificación cuando sea improbable que dicha violación de la seguridad constituya un riesgo para los derechos y las libertades de las personas físicas

. En dicha comunicación, el Encargado del tratamiento facilitará al Responsable toda la información que tuviera a su alcance en relación con la violación de seguridad producida.

Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará de manera gradual y sin dilación indebida.

En virtud del presente contrato, el responsable se compromete a:

a) Entregar al Encargado los datos de carácter personal indicados.

b) Realizar una evaluación del impacto en la protección de datos personales de las operaciones de tratamiento a realizar por el encargado.

c) Velar, de forma previa y durante todo el tratamiento, por el cumplimiento del RGPD por parte del Encargado.

En virtud del presente contrato, el responsable manifiesta y garantiza:

a) Que de conformidad con el principio de calidad, los datos de carácter personal objeto de tratamiento, son adecuados, pertinentes y no excesivos para las finalidades descritas.

El Responsable se compromete a:

· Notificar al encargado del tratamiento de cualesquiera modificaciones, variaciones y/o cambios que se produzcan en los datos de carácter personal objeto de tratamiento y

· Proporcionarle, en su caso, las correspondientes actualizaciones de los mismos.

b) Que cumple con la normativa aplicable en materia de protección de datos y, en particular, que ha implementado las medidas técnicas y organizativas necesarias para garantizar la seguridad de los datos y evitar su alteración, pérdida, tratamiento y/o acceso no autorizado, habida cuenta del estado de la tecnología, la naturaleza de los datos y los riesgos a que estén expuestos, ya sea por acciones humanas o del medio físico o natural, entre otros.

Ambas partes serán responsables de las consecuencias que pudieran derivarse del incumplimiento de las obligaciones contraídas en virtud del presente contrato y de la normativa vigente en cada momento en materia de protección de datos personales.

El presente contrato entrará en vigor en la fecha de su firma/conformidad y permanecerá vigente hasta la fecha de terminación del contrato de prestación de servicios.

- La validez, ejecución e interpretación del presente contrato serán reguladas en todos sus aspectos por las leyes civiles y mercantiles españolas.

- Las partes acuerdan que todo desacuerdo, disputa, controversia o reclamación relacionada con el presente contrato, se resolverá definitivamente ante los Juzgados y Tribunales de Bilbao, con expresa renuncia a su propio fuero o competencia.