Acuerdo de tratamiento de datos

Acuerdo de tratamiento de datos

Preámbulo
El Encargado del tratamiento trata datos personales por cuenta y bajo las instrucciones del Cliente, en el sentido de lo dispuesto en el artículo 4, apartado 8, y en el artículo 28 del Reglamento (UE) 2016/679 —Reglamento General de Protección de Datos (RGPD)—. El presente Acuerdo de tratamiento de datos regula los derechos y obligaciones de las partes en relación con el tratamiento de datos personales.

Definiciones

1.1 De conformidad con el artículo 4, apartado 7, del RGPD, se entiende por «responsable del tratamiento» la entidad que, sola o conjuntamente con otros responsables, determina los fines y los medios del tratamiento de datos personales.

1.2 Según el artículo 4, apartado 8, del RGPD, se entiende por «encargado del tratamiento» toda persona física o jurídica, autoridad pública, institución u otro organismo que trate datos personales por cuenta del responsable del tratamiento.

1.3 De conformidad con el artículo 4, apartado 1, del RGPD, se entiende por «datos personales» cualquier información relativa a una persona física identificada o identificable (en lo sucesivo, «el interesado»); se considera identificable a una persona que puede ser identificada, directa o indirectamente, en particular mediante un identificador, como un nombre, un número de identificación, datos de localización, un identificador en línea o uno o varios factores específicos de la identidad física, fisiológica, genética, mental, económica, cultural o social de dicha persona física.

1.4 Los «datos personales especialmente sensibles» son los datos personales a que se refiere el artículo 9 del RGPD, de los que se pueda deducir el origen racial o étnico, las opiniones políticas, las convicciones religiosas o ideológicas o la afiliación sindical de las personas afectadas; los datos personales a que se refiere el artículo 10 del RGPD sobre condenas penales y delitos o medidas de seguridad relacionadas, así como los datos genéticos de conformidad con el artículo 4, apartado 13, del RGPD, los datos biométricos de conformidad con el artículo 4, apartado 14 del RGPD, datos de salud de conformidad con el artículo 4, apartado 15, del RGPD y datos relativos a la vida sexual o la orientación sexual de una persona física.

1.5 De conformidad con el artículo 4, apartado 2, del RGPD, se entiende por «tratamiento» cualquier operación o conjunto de operaciones realizadas con o sin ayuda de procedimientos automatizados sobre datos personales, tales como la recogida, el registro, la organización, la clasificación, el almacenamiento, la adaptación o la modificación, la recuperación, la consulta, la utilización, la comunicación por transmisión, la difusión o cualquier otra forma de puesta a disposición, la interrelación o la combinación, la restricción, la supresión o la destrucción.

1.6 De conformidad con el artículo 4, apartado 21, del RGPD, se entiende por «autoridad de control» un organismo estatal independiente establecido por un Estado miembro con arreglo al artículo 51 del RGPD.

Objeto

2.1 El Contratista prestará servicios al Cliente en el ámbito del «suministro de software» sobre la base del Contrato Principal celebrado entre las partes. En el marco del Contrato Principal, se concederá al Contratista acceso a datos personales y este tratará dichos datos exclusivamente por cuenta del Cliente y de conformidad con sus instrucciones. El objeto del tratamiento, la naturaleza y la finalidad del mismo, el tipo de datos personales y las categorías de interesados se establecen en el anexo 1 del presente Acuerdo de tratamiento de datos. Corresponde al Cliente evaluar la licitud del tratamiento de datos.

2.2 Las partes celebran el presente Acuerdo de tratamiento de datos con el fin de concretar los derechos y obligaciones recíprocos en materia de protección de datos. En caso de duda, las disposiciones del presente Acuerdo prevalecerán sobre las del Contrato principal.

2.3 Las disposiciones del presente Acuerdo de tratamiento de datos se aplicarán a todas las actividades relacionadas con el Contrato principal en las que el Contratista y sus empleados o agentes designados por él entren en contacto con datos personales procedentes del Cliente o recopilados para este.

2.4 El presente Acuerdo de tratamiento de datos entrará en vigor en el momento de su firma; su vigencia se basará en la del Contrato principal, salvo que las disposiciones siguientes impongan obligaciones o derechos de rescisión que vayan más allá de lo establecido en este.

Instrucciones

3.1 El contratista solo podrá recabar, tratar o utilizar datos en el marco del contrato principal y de conformidad con las instrucciones del cliente; esto se aplica, en particular, a la transferencia de datos personales a un tercer país o a una organización internacional. Si la legislación de la Unión Europea o de los Estados miembros a la que está sujeto el contratista exige un tratamiento adicional, el contratista deberá notificar al cliente dichos requisitos legales antes de proceder al tratamiento.

3.2 Las instrucciones del Cliente se establecen inicialmente en el presente contrato y podrán modificarse, completarse o sustituirse posteriormente por instrucciones individuales por escrito o en forma de texto (instrucciones individuales). El Cliente tiene derecho a emitir las instrucciones correspondientes en cualquier momento. Esto incluye instrucciones relativas a la rectificación, supresión y bloqueo de datos. Las instrucciones verbales deberán confirmarse inmediatamente por escrito o en forma de texto.

3.3 Tanto el Cliente como el Contratista deberán documentar todas las instrucciones emitidas. Las instrucciones que excedan la prestación acordada en el contrato principal se considerarán una solicitud de modificación de la prestación.

3.4 Si el contratista considera que una instrucción del cliente infringe la normativa de protección de datos, deberá informar de ello al cliente de inmediato. El contratista tiene derecho a suspender la ejecución de la instrucción en cuestión hasta que sea confirmada o modificada por el cliente. El contratista podrá negarse a ejecutar una instrucción manifiestamente ilegal.

Categorías de datos, interesados

En el marco de la ejecución del Contrato Principal, se concederá al Contratista acceso a los datos personales especificados en el Anexo 1. Los interesados afectados por el tratamiento de datos también se definen en el Anexo 1.

Obligaciones del contratista

5.1 El contratista está obligado a cumplir las disposiciones legales en materia de protección de datos y a no transmitir a terceros la información obtenida del ámbito del cliente ni a permitir el acceso de terceros a dicha información. Los documentos y datos deben protegerse contra el acceso no autorizado, teniendo en cuenta el estado actual de la técnica.

5.2 Dentro de su ámbito de responsabilidad, el contratista diseñará la organización interna de tal manera que cumpla con los requisitos especiales de protección de datos. El contratista adoptará todas las medidas técnicas y organizativas necesarias para la protección adecuada de los datos del cliente, de conformidad con el artículo 32 del RGPD, en particular, como mínimo, las medidas enumeradas en el anexo 2. El contratista se reserva el derecho a modificar las medidas de seguridad adoptadas, asegurándose de que no se vea comprometido el nivel de protección acordado contractualmente.

5.3 Se prohíbe a las personas empleadas por el contratista en el tratamiento de datos recopilar, tratar o utilizar datos personales sin autorización. El contratista impondrá la obligación correspondiente a todas las personas a las que haya encomendado el tratamiento y el cumplimiento del presente contrato (en lo sucesivo, «empleados») (obligación de confidencialidad, art. 28, apartado 3, letra b) del RGPD) y velará por el cumplimiento de dicha obligación con la debida diligencia. Estas obligaciones deberán formularse de tal manera que sigan vigentes tras la rescisión del presente contrato o de la relación laboral entre el empleado y el contratista. Previa solicitud, se deberá facilitar al cliente la prueba adecuada de dichas obligaciones de la forma oportuna.

Obligaciones de información del contratista

6.1 En caso de fallos de funcionamiento, sospecha de infracciones de la protección de datos o de incumplimiento de las obligaciones contractuales por parte del contratista, sospecha de incidentes relacionados con la seguridad u otras irregularidades en el tratamiento de datos personales por parte del contratista, de personas empleadas por el contratista en el marco del encargo o de terceros, el contratista informará al cliente de inmediato por escrito o en formato de texto. Lo mismo se aplica a las auditorías del contratista realizadas por una autoridad de control de protección de datos. La notificación de una violación de la protección de datos personales deberá contener, como mínimo, la siguiente información:
a) una descripción de la naturaleza de la violación de la protección de datos personales, incluyendo, en la medida de lo posible, las categorías y el número de interesados, así como las categorías y el número de registros de datos personales afectados
b) una descripción de las medidas adoptadas o propuestas por el contratista para subsanar el incumplimiento y, en su caso, de las medidas destinadas a mitigar sus posibles efectos adversos

6.2 El contratista adoptará de inmediato las medidas necesarias para proteger los datos y mitigar las posibles consecuencias negativas para las partes afectadas, informará de ello al cliente y solicitará nuevas instrucciones.

6.3 Además, el contratista está obligado a facilitar información al cliente en cualquier momento, en la medida en que los datos del cliente se vean afectados por una violación de conformidad con la cláusula 6.1.

6.4 Si los datos del Cliente se ven amenazados en las instalaciones del Contratista por embargo o incautación, por procedimientos de insolvencia o de concurso de acreedores, o por otros acontecimientos o medidas de terceros, el Contratista deberá informar al Cliente de inmediato, salvo que así lo prohíba una orden judicial o administrativa. En este contexto, el Contratista informará inmediatamente a todas las autoridades competentes de que la facultad de decidir sobre los datos recae exclusivamente en el Cliente, en su calidad de responsable del tratamiento.

6.5 El contratista informará al cliente sin demora de cualquier cambio significativo en las medidas de seguridad con arreglo a la cláusula 5.2.

6.6 Se deberá informar inmediatamente al Cliente de cualquier cambio en la persona del delegado de protección de datos o de la persona de contacto en materia de protección de datos.

6.7 El contratista y, en su caso, su representante, llevarán un registro de las actividades de tratamiento realizadas por cuenta del cliente, que contendrá toda la información exigida por el artículo 30, apartado 2, del RGPD. La lista se pondrá a disposición del cliente cuando este lo solicite.

6.8 El contratista cooperará en la medida adecuada en la elaboración de la lista de procedimientos por parte del cliente. El contratista deberá facilitar al cliente la información necesaria de forma adecuada.

Recurso a subcontratistas y transferencia de datos

8.1 El contratista tiene derecho a recurrir a subcontratistas para el tratamiento de los datos del cliente. El contratista deberá seleccionar cuidadosamente a los subcontratistas y comprobar, antes de formalizar el encargo, que estos puedan cumplir los acuerdos celebrados entre el cliente y el contratista. En particular, el contratista deberá comprobar de antemano y de forma periódica durante la vigencia del contrato que el subcontratista haya adoptado las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD para la protección de los datos personales

8.2 El Cliente acepta que el Contratista recurra a otros subcontratistas o sustituya a los subcontratistas si fuera necesario. El Contratista informará al Cliente de dichos cambios con antelación, en un plazo razonable y por vía electrónica. El Cliente podrá oponerse al cambio por causa justificada dentro de un plazo razonable determinado por el Contratista a su discreción razonable. Si no se formula ninguna objeción dentro de dicho plazo, se considerará que se ha otorgado el consentimiento al cambio.

8.3 El contratista está obligado a obtener la confirmación del subcontratista de que este último ha designado a un delegado de protección de datos de conformidad con el artículo 37 del RGPD, siempre que el subcontratista esté legalmente obligado a designar a un delegado de protección de datos.

8.4 El contratista se asegurará de que las disposiciones acordadas en el presente Acuerdo de tratamiento de datos y cualquier instrucción complementaria del cliente se apliquen también al subcontratista.

8.5 El contratista está obligado, en particular, a garantizar mediante disposiciones contractuales que los derechos de auditoría del cliente y de las autoridades de control se apliquen también al subcontratista y que el cliente y las autoridades de control acuerden los correspondientes derechos de control. Además, se estipulará en el contrato que el subcontratista deberá aceptar estas medidas de control y cualquier inspección in situ.

8.6 Las relaciones de subcontratación en el sentido de los apartados 1 a 5 no se considerarán servicios que el contratista utilice de terceros como un servicio puramente accesorio para llevar a cabo su actividad empresarial. Entre ellos se incluyen, por ejemplo, los servicios de limpieza, los servicios de telecomunicaciones puros sin ninguna referencia específica a los servicios que el contratista presta al cliente, los servicios postales y de mensajería, los servicios de transporte y los servicios de seguridad. No obstante, el contratista está obligado a garantizar, también en el caso de los servicios auxiliares prestados por terceros, que se hayan adoptado las precauciones y medidas técnicas y organizativas adecuadas para garantizar la protección de los datos personales. El mantenimiento y la asistencia técnica de los sistemas o aplicaciones informáticas constituyen una relación de subcontratación y un «tratamiento de datos por encargo» en el sentido del artículo 28 del RGPD, que requiere autorización si el mantenimiento y las pruebas se refieren a dichos sistemas informáticos que también se utilizan en relación con la prestación de servicios al Cliente y si, durante el mantenimiento, se puede acceder a los datos personales tratados por cuenta del Cliente.

8.7 El Cliente reconoce y acepta que el Contratista podrá transferir y tratar los datos del Cliente a terceros países y en ellos, incluidos aquellos fuera del EEE que no cuenten con una declaración de adecuación de la Comisión Europea, a sus subencargados del tratamiento, a saber, OpenAI LLC, 3180 18th St, San Francisco, California, 94110, EE. UU. (funciones de análisis de IA generativa), y Deepgram, Inc., San Francisco, California, EE. UU. (transcripción de grabaciones de audio y vídeo) y/u otro proveedor de IA. El Contratista se asegurará de que dichas transferencias se realicen de conformidad con la legislación aplicable en materia de protección de datos y con el presente Acuerdo de Tratamiento de Datos. En concreto, el Contratista suscribirá cláusulas contractuales tipo de conformidad con el artículo 46, apartado 2, letra c) del RGPD u otras garantías adecuadas (como las normas corporativas vinculantes de conformidad con el artículo 47 del RGPD). Cuando un subencargado del tratamiento esté certificado en virtud de una decisión de adecuación con arreglo al artículo 45 del RGPD, como el Marco de Protección de Datos UE-EE. UU., la transferencia también podrá basarse en dicha decisión de adecuación; las cláusulas contractuales tipo seguirán vigentes como garantía de respaldo.

Tratamiento para funciones de IA

9.1 Cuando el Cliente utilice funciones del software basadas en inteligencia artificial (incluidas la codificación automatizada, los resúmenes, el análisis conversacional de documentos y la transcripción), el Contratista tratará el contenido enviado por el Cliente exclusivamente con el fin de prestar la función solicitada. Ni el Contratista ni, en virtud de los acuerdos celebrados por este, sus subencargados del tratamiento utilizarán dicho contenido para entrenar, reentrenar o mejorar modelos de inteligencia artificial. Los subencargados del tratamiento de IA del Contratista conservan el contenido enviado únicamente de forma temporal, en la medida necesaria para prestar el servicio y detectar abusos; previa solicitud, el Contratista informará al Cliente de los plazos de conservación actualmente aplicables por parte de sus subencargados del tratamiento de IA.

9.2 El Contratista facilitará al Cliente, previa solicitud razonable, la información sobre las funciones asistidas por IA que el Cliente necesite razonablemente para cumplir con sus propias obligaciones en virtud del Reglamento (UE) 2024/1689 (Ley de IA), en particular las obligaciones de transparencia. Las obligaciones legales de información del Contratista no se ven afectadas.

Derechos de los interesados

10.1 El Cliente es el único responsable de salvaguardar los derechos de los interesados. El Contratista prestará apoyo al Cliente, en la medida de lo posible, mediante medidas técnicas y organizativas adecuadas para el cumplimiento de las obligaciones del Cliente con arreglo a los artículos 12 a 22, así como 32 y 36 del RGPD.

10.2 Si un interesado hace valer sus derechos, como el derecho de acceso o de información, de rectificación o de supresión de sus datos, directamente frente al contratista, este no actuará por su cuenta, sino que remitirá inmediatamente al interesado al cliente y esperará las instrucciones de este.

Obligaciones de confidencialidad

11.1 Ambas partes se comprometen a tratar toda la información recibida en relación con la ejecución del presente Acuerdo de tratamiento de datos como confidencial durante un período de tiempo ilimitado y a utilizarla únicamente para la ejecución del presente Acuerdo de tratamiento de datos y/o del Contrato principal. Ninguna de las partes tendrá derecho a utilizar esta información, ni en su totalidad ni en parte, para fines distintos de los mencionados anteriormente, ni a ponerla a disposición de terceros.

11.2 La obligación anterior no se aplicará a la información que una de las partes haya obtenido de forma demostrable de terceros sin estar obligada a mantenerla en secreto o que sea de dominio público.

Rescisión

Tras la rescisión del Contrato Principal o en cualquier momento a petición del Cliente, el Contratista deberá devolver al Cliente todos los documentos, datos y soportes de datos que se le hayan facilitado o, a petición del Cliente —salvo que exista la obligación de conservar datos personales en virtud del Derecho de la Unión o de la legislación de la República Federal de Alemania—, eliminarlos. La eliminación deberá documentarse de forma adecuada y deberá presentarse prueba de la misma cuando se solicite.

Disposiciones finales

13.1 Las partes acuerdan que queda excluida la invocación del derecho de retención por parte del contratista (con arreglo al artículo 273 del Código Civil alemán, BGB) en relación con los datos que deben tratarse y los soportes de datos asociados.

13.2 Las modificaciones y adiciones al presente Acuerdo de tratamiento de datos y a todos sus componentes —incluidas las garantías ofrecidas por el contratista— requieren un acuerdo por escrito, que también podrá presentarse en formato electrónico (texto), y la indicación expresa de que se trata de una modificación o adición al presente Acuerdo de tratamiento de datos. Lo mismo se aplica a la renuncia a este requisito formal.

13.3 En caso de que alguna de las disposiciones del presente acuerdo sea o pase a ser nula o inaplicable, en su totalidad o en parte, la validez de las demás disposiciones no se verá afectada.

13.4 El presente acuerdo se rige por la legislación alemana.

Anexo 1: Descripción del tratamiento

1. Ámbito de aplicación y finalidad del tratamiento
   El encargo del Cliente al Contratista incluye los siguientes trabajos y/o servicios:
   Suministro de la plataforma de análisis de datos del contratista en modalidad SaaS, servicios de inteligencia artificial, incluidas funciones de análisis asistidas por IA (codificación automatizada, resúmenes, análisis conversacional de documentos) y transcripción asistida por IA de grabaciones de audio y vídeo

2. Tipos de datos personales
   Los siguientes tipos de datos son objeto habitual del tratamiento de datos:
   Datos que el Cliente analiza o trata utilizando la plataforma de análisis de datos del Contratista y cuya naturaleza determina el Cliente a su propia discreción y que pueden incluir, por ejemplo, datos sobre entidades y proyectos del Cliente, personas que participan en ensayos, pacientes y otros participantes y personas afectadas en el marco de estudios científicos y proyectos de investigación. Grabaciones de voz y vídeo subidas por el Cliente con fines de transcripción, así como las transcripciones generadas a partir de ellas; el tratamiento de las grabaciones de voz se limita a la transcripción, y no se lleva a cabo ninguna identificación del hablante ni ningún análisis biométrico en el sentido del art. 4, n.º 14, y del art. 9, apartado 1, del RGPD.

3. Categorías de datos
   Datos afectados por el tratamiento de datos:
   Categorías de datos que el Cliente analiza o trata utilizando la plataforma de análisis de datos del Contratista y cuyas categorías determina el Cliente a su propia discreción, y que pueden incluir, por ejemplo, las siguientes categorías de datos: nombre y apellidos, datos de contacto, datos médicos, datos genéticos, datos biométricos, otras categorías especiales de datos personales, datos sobre hábitos de vida y otras circunstancias, información procedente de entrevistas, comentarios de los clientes y datos de comportamiento.

4. Categorías de interesados
   Titulares de los datos afectados por el tratamiento de datos:
   Personas sometidas a pruebas, pacientes, participantes en investigaciones o entrevistados, empleados, otros participantes y personas afectadas en estudios o proyectos de investigación, cualquier persona física que figure en el contenido analizado por el Cliente.

Anexo 2: Medidas técnicas y organizativas

1. Confidencialidad (artículo 32, apartado 1, letra b) del RGPD)

a. Control de acceso físico
Medidas adecuadas para impedir que personas no autorizadas accedan a los sistemas de tratamiento de datos con los que se tratan o utilizan los datos personales:

• Sistema de cierre con cerradura de código
• Cerraduras de seguridad
• Control de llaves (entrega de llaves, etc.)
• Registro de visitantes
• Selección cuidadosa del personal de seguridad
• Selección cuidadosa del personal de limpieza
• Sistema de cierre manual

b. Control de acceso al sistema
Medidas adecuadas para evitar que los sistemas de tratamiento de datos sean utilizados por personas no autorizadas:

• Asignación de derechos de usuario
• Asignación de contraseñas
• Autenticación mediante nombre de usuario y contraseña
• Uso de software antivirus
• Uso de un cortafuegos de software

c. Control de acceso a los datos
Medidas que garantizan que las personas autorizadas a utilizar un sistema de tratamiento de datos solo puedan acceder a los datos sujetos a su autorización de acceso y que los datos personales no puedan ser leídos, copiados, modificados o eliminados sin autorización durante el tratamiento, el uso y tras el almacenamiento:

• Gestión de derechos por parte del administrador del sistema
• Número de administradores reducido al «mínimo».
• Registro de los accesos a las aplicaciones, en particular al introducir, modificar y eliminar datos
• Destrucción adecuada de los soportes de datos (DIN 32757)
• Uso de trituradoras de documentos o proveedores de servicios
• Registro de la destrucción

d. Control de separación
Medidas para garantizar que los datos recopilados con fines distintos puedan tratarse por separado:

• Almacenamiento estrictamente separado, desde el punto de vista lógico, de los datos en los distintos sistemas del cliente
• Cifrado de los registros de datos que se procesan con la misma finalidad
• Suministro de registros con atributos o campos de datos que indiquen la finalidad
• Separación de los sistemas de producción y de prueba

2. Integridad (art. 32, apartado 1, letra b) del RGPD)

a. Control de las transferencias
Medidas para garantizar que los datos personales no puedan ser leídos, copiados, alterados o eliminados sin autorización durante la transmisión electrónica o durante su transporte o almacenamiento en soportes de datos, y que sea posible comprobar y determinar a qué organismos deben transmitirse los datos personales mediante equipos de transmisión de datos:

• La transmisión de datos personales, que se realiza por cuenta de los clientes, solo puede tener lugar en la medida acordada con el cliente o en la medida necesaria para la prestación de los servicios contractuales al cliente.
• Todos los empleados de ATLAS.ti que trabajan en un proyecto del cliente reciben formación sobre el uso permitido de los datos y las modalidades de transferencia de datos.
• En la medida de lo posible, los datos se transmitirán a los destinatarios de forma cifrada.
• Los empleados de ATLAS.ti tienen prohibido el uso de soportes de almacenamiento de datos privados en relación con los proyectos de los clientes.

b. Control de entrada
Medidas para garantizar que se pueda comprobar y determinar posteriormente si se han introducido, modificado o eliminado datos personales de los sistemas de tratamiento de datos y quién lo ha hecho:

• Registro de la introducción, modificación y supresión de datos
• Trazabilidad de la introducción, modificación y supresión de datos a través de nombres de usuario individuales (no de grupos de usuarios)

3. Disponibilidad y resistencia (art. 32, apartado 1, letra b) del RGPD)

a. Control de la disponibilidad
Medidas para garantizar la protección de los datos personales frente a la destrucción o la pérdida accidental:

• Sistema de alimentación ininterrumpida (SAI)
• Equipos para controlar la temperatura y la humedad en las salas de servidores
• Sistemas de detección de incendios y humo
• Elaboración de un plan de copias de seguridad y recuperación
• Elaboración de un plan de emergencia
• Salas de servidores sin instalaciones sanitarias
• Aire acondicionado en las salas de servidores
• Regletas de enchufes con protección en las salas de servidores
• Equipo de extinción de incendios en las salas de servidores

b. Recuperabilidad (art. 32, apartado 1, letra c) del RGPD)
Medidas para garantizar que los datos personales puedan restaurarse inmediatamente en caso de pérdida o interrupción:

• Copias de seguridad periódicas
• Pruebas de recuperación de datos

4. Procedimientos de revisión, valoración y evaluación periódicas (art. 32, apartado 1, letra d) del RGPD; art. 25, apartado 1 del RGPD)

a. Protección de datos y gestión de la seguridad de la información
En ATLAS.ti se aplica un sistema de gestión de la protección de datos. Existe una directriz sobre la protección y la seguridad de los datos, así como directrices para garantizar la aplicación de los objetivos de la misma. Todas las directrices se evalúan periódicamente y se ajustan en función de su eficacia.

Se ha creado un equipo de protección de datos y seguridad de la información para planificar, aplicar, evaluar y ajustar las medidas de protección y seguridad de los datos. Se ha nombrado a un delegado de protección de datos. Todos los empleados reciben formación periódica en materia de protección de datos y seguridad de la información.

b. Gestión de la respuesta ante incidentes
Todos los empleados reciben instrucciones y formación para garantizar que todos ellos reconozcan los incidentes relacionados con la privacidad de los datos y los comuniquen sin demora al Equipo de Protección de Datos y Seguridad de la Información. El Equipo de Protección de Datos y Seguridad de la Información investigará el incidente de inmediato. En lo que respecta a los datos que se tratan por cuenta de los clientes, se garantiza que se les informe inmediatamente sobre la naturaleza y el alcance del incidente.

c. Privacidad desde el diseño y por defecto (art. 25, apartado 2, del RGPD)
En ATLAS.ti, nos aseguramos de que el principio de necesidad y minimización de datos se tenga en cuenta desde la fase de desarrollo del software.

d. Control de los encargos
Medidas para garantizar que los datos personales tratados por encargo solo puedan ser tratados de acuerdo con las instrucciones del cliente:

• Selección cuidadosa de los subcontratistas (especialmente en lo que respecta a la seguridad de la información)
• Control periódico de los subcontratistas