Acuerdo de procesamiento de datos

Este Acuerdo de Procesamiento de Datos (“APD”) forma parte de nuestro Términos y condiciones y se aplica siempre que utilice el software # GoFile para procesar datos personales de otras personas en su nombre, por ejemplo, los directores, empleados, clientes o usuarios de las empresas para las que realiza la presentación de documentos. En él se establecen nuestras obligaciones como encargado del tratamiento de datos, de conformidad con el artículo 28 del RGPD del Reino Unido.

No es necesario firmar nada: al utilizar el software, usted acepta este Acuerdo de Protección de Datos.

1. Partes y roles

1.1 Este DPA está entre GOFILE Ltd., una empresa registrada en Inglaterra y Gales con el número 13521210, que opera bajo el nombre comercial # GoFile (“nosotros”, “nos”, el “Procesador”), y el cliente que posee la cuenta # GoFile (“usted”, el “Cliente”).

1.2 Tú eres el controlador de los Datos Personales del Cliente a menos que procese esos datos en nombre de otro responsable del tratamiento. Somos su procesadory, cuando usted actúe como encargado del tratamiento, nosotros actuaremos como subencargados del tratamiento. Usted confirma que tiene la autoridad para designarnos en los términos de este Acuerdo de Protección de Datos.

1.3 Para los datos personales sobre usted y sus propios usuarios (detalles de su cuenta, facturación, correspondencia de soporte y preferencias de marketing), somos un controlador independiente y nuestro política de privacidad se aplica en lugar de este DPA.

2. Definiciones

• Leyes de protección de datos significa el Reglamento General de Protección de Datos del Reino Unido, la Ley de Protección de Datos de 2018, el Reglamento de Privacidad y Comunicaciones Electrónicas de 2003 y, cuando proceda, el Reglamento General de Protección de Datos de la UE, cada uno de ellos en su versión modificada o sustituida.
• Datos personales del cliente significa datos personales que usted, o cualquier persona que actúe en su nombre, introduzca o cargue en el Software, o que el Software reciba de HMRC o Companies House siguiendo sus instrucciones.
• Software se refiere al servicio # GoFile en secure.gofile.co.uk y cualquier servicio relacionado que le proporcionemos.
• Subprocesador significa un tercero al que contratamos para procesar los Datos Personales del Cliente en nuestro nombre.
• Violación de datos personales, controlador, procesador, sujeto de datos y tratamiento tienen los significados que se les atribuyen en las Leyes de Protección de Datos.

3. Detalles del procesamiento

Tema – la preparación, almacenamiento y presentación de declaraciones de impuestos, registros de la empresa, información de nómina y registros relacionados para las empresas que usted administra en el Software.

Duración – mientras mantengas una cuenta # GoFile , más los períodos de retención descritos en la cláusula 9.

Naturaleza y propósito – recopilación, almacenamiento, organización, cálculo, transmisión a HMRC y Companies House, recuperación y eliminación, únicamente para proporcionarle el Software.

Categorías de sujetos de datos – su personal y usuarios; directores, accionistas, socios y empleados de las empresas para las que presenta declaraciones; sus clientes y su personal cuando usted actúa como agente; y otras personas cuyos datos aparecen en declaraciones, presentaciones o registros de respaldo.

Categorías de datos personales – nombres y datos de contacto; fechas de nacimiento; números de la Seguridad Social, números de identificación fiscal únicos y otros identificadores fiscales; detalles sobre empleo, salario, pensión y prestaciones; información financiera y contable; datos de los directivos de la empresa y de la participación accionarial; y el contenido de los documentos que usted suba.

Datos de categoría especial El software puede procesar datos de categoría especial limitados cuando estos se incluyan en la nómina o en los registros de apoyo, por ejemplo, información sanitaria relativa a la prestación por enfermedad. Si proporciona datos de categoría especial, usted es responsable de garantizar que dispone de una base jurídica adecuada conforme al artículo 6 y de las condiciones para el tratamiento conforme al artículo 9, junto con cualquier condición adicional exigida por la Ley de Protección de Datos de 2018.

4. Nuestras obligaciones como encargados del tratamiento

Lo haremos:

4.1 Sigue las instrucciones. Procesaremos los datos personales del cliente únicamente siguiendo sus instrucciones documentadas, que son los Términos, este Acuerdo de Protección de Datos y las acciones que realice en el Software, a menos que la ley nos obligue a hacerlo de otra manera, en cuyo caso le informaremos previamente, salvo que la ley lo prohíba. Le notificaremos si consideramos que una instrucción infringe la legislación de protección de datos.

4.2 Manténgalo confidencial. Asegúrese de que todas las personas a las que autorizamos a procesar datos personales de los clientes estén sujetas a un deber de confidencialidad y reciban la orientación adecuada en materia de protección de datos.

4.3 Manténgalo seguro. Implementar y mantener medidas técnicas y organizativas adecuadas para proteger los datos personales de los clientes contra la destrucción, pérdida, alteración, divulgación o acceso no autorizados, ya sean accidentales o ilícitos. El Anexo 2 resume estas medidas. Podemos actualizarlas para seguir cumpliendo con nuestras obligaciones en virtud de las leyes de protección de datos.

4.4 Le ayudamos a cumplir con los derechos de los interesados. Le ayudaremos, mediante medidas técnicas y organizativas adecuadas y teniendo en cuenta la naturaleza del tratamiento, a responder a las solicitudes de los interesados para ejercer sus derechos. Si un interesado se pone en contacto con nosotros directamente en relación con sus Datos Personales, le remitiremos a usted y no responderemos en su nombre a menos que usted nos lo solicite.

4.5 Le ayudaremos a cumplir con sus demás obligaciones. Le ayudaremos a cumplir con sus obligaciones en materia de seguridad, notificación de violaciones de datos, evaluaciones de impacto en la protección de datos y consulta previa con el Comisionado de Información u otra autoridad supervisora aplicable, teniendo en cuenta la naturaleza del tratamiento y la información de la que disponemos.

4.6 Eliminar o devolver los datos. Al finalizar los servicios, elimine o devuelva los Datos Personales del Cliente según lo descrito en la cláusula 9.

4.7 Demostrar cumplimiento. Poner a disposición la información razonablemente necesaria para demostrar nuestro cumplimiento con el artículo 28 del RGPD del Reino Unido, y permitir y contribuir a las auditorías descritas en la cláusula 8.

5. Subprocesadores

5.1 Usted nos otorga autorización general por escrito para contratar a los subprocesadores enumerados en nuestro página de subprocesadores, que constituye el Anexo 3 de este Acuerdo de Protección de Datos.

5.2 Le informaremos por correo electrónico o a través del Software sobre las adiciones o sustituciones previstas de Subprocesadores antes de que el cambio entre en vigor, dándole la oportunidad de oponerse, y actualizaremos esa página en consecuencia.

5.3 Si tiene objeciones a un nuevo subencargado del tratamiento de datos por motivos razonables de protección de datos, comuníquenoslo y analizaremos su inquietud de buena fe. Si no podemos resolverla, puede dejar de usar los servicios afectados cerrando su cuenta.

5.4 Impondremos a cada Subencargado del Tratamiento obligaciones de protección de datos que no sean menos protectoras que las establecidas en este Acuerdo de Protección de Datos, y seguiremos siendo plenamente responsables ante usted por el cumplimiento de las obligaciones de cada Subencargado del Tratamiento.

5.5 HMRC y Companies House no son subencargados del tratamiento. Reciben datos únicamente porque usted nos indica que los enviemos y actúan como responsables del tratamiento independientes de acuerdo con sus propios avisos de privacidad.

6. Violaciones de datos personales

6.1 Si tenemos conocimiento de una violación de datos personales que afecte a los datos personales del cliente, le notificaremos sin demora indebida, como lo exigen las leyes de protección de datos.

6.2 Nuestra notificación describirá, en la medida de lo posible en ese momento, la naturaleza de la violación de seguridad, las categorías y el número aproximado de interesados y registros afectados, las posibles consecuencias y las medidas que hemos adoptado o que nos proponemos adoptar. Proporcionaremos información adicional por fases a medida que esté disponible.

6.3 Cooperaremos con usted y adoptaremos las medidas razonables para ayudarle a cumplir con sus obligaciones de notificación ante el Comisionado de Información u otra autoridad de control aplicable, así como ante los interesados. No notificaremos a ninguna autoridad de control ni a los interesados en su nombre, salvo que usted nos lo solicite o la ley nos lo exija.

7. Transferencias internacionales

7.1 La base de datos del software, los documentos cargados y las copias de seguridad se alojan en el Reino Unido. Los datos se entregan a usted y a sus usuarios autorizados independientemente de dónde acceda al software. Los subencargados del tratamiento pueden procesar datos en las ubicaciones descritas en el Anexo 3. Cuando una transferencia requiere garantías conforme a las leyes de protección de datos, utilizamos una decisión de adecuación aplicable u otro mecanismo de transferencia permitido.

8. Información y auditorías

8.1 Responderemos a las solicitudes razonables por escrito de información sobre nuestro procesamiento de Datos Personales del Cliente y nuestras medidas de seguridad dentro de un plazo razonable.

8.2 Si, tras revisar la información proporcionada, considera razonablemente que es necesaria una auditoría para verificar nuestro cumplimiento con este Acuerdo de Protección de Datos (APD), podrá realizarla o designar a un auditor independiente sujeto a un acuerdo de confidencialidad para que la lleve a cabo, no más de una vez cada 12 meses, salvo que lo exija una autoridad de control, tras una violación de datos personales o cuando sospeche razonablemente un incumplimiento sustancial de este APD. Las auditorías deberán solicitarse con al menos 30 días de antelación por escrito, salvo que una autoridad de control o una violación de datos personales exijan razonablemente un plazo menor, se realizarán durante el horario laboral habitual, se limitarán a lo necesario para verificar el cumplimiento y correrán a su cargo. Las auditorías no podrán extenderse a los sistemas de nuestros subencargados del tratamiento, cuyas certificaciones e informes proporcionaremos cuando nos sea posible.

9. Retención, devolución y eliminación

9.1 Antes de cerrar su cuenta, guarde las declaraciones, presentaciones y registros que necesite conservar utilizando las opciones de descarga disponibles en el Software. También puede solicitar la devolución de sus Datos Personales al finalizar los servicios.

9.2 Al finalizar los servicios, eliminaremos o devolveremos los Datos Personales del Cliente según su elección, y eliminaremos las copias existentes, sujeto a la cláusula 9.4.

9.3 Cuando cierre su cuenta o nos lo solicite por escrito, eliminaremos los Datos Personales del Cliente de nuestros sistemas activos dentro de 3 días hábiles, sujeto a la cláusula 9.4.

9.4 Los datos personales del cliente pueden permanecer temporalmente en copias de seguridad rutinarias tras su eliminación de nuestros sistemas activos. Dichas copias permanecerán protegidas, no se restaurarán ni se procesarán de ninguna otra forma, salvo que sea necesario para fines de copia de seguridad, seguridad o recuperación ante desastres, y se eliminarán cuando las copias de seguridad se sobrescriban de forma habitual. Conservaremos los datos personales del cliente tras la finalización de los servicios únicamente cuando la legislación del Reino Unido nos obligue a almacenarlos.

10. Sus obligaciones

Vas a:

• Asegúrese de tener una base legal, y cuando sea necesario la autorización de sus propios clientes, para proporcionarnos los Datos Personales del Cliente e instruir sobre su procesamiento;
• Asegúrese de que sus instrucciones cumplan con las leyes de protección de datos y de que los datos personales del cliente sean precisos y estén actualizados;
• Mantén seguras las credenciales de tu cuenta y gestiona quién en tu organización tiene acceso;
• Infórmenos de inmediato si recibe una solicitud de un interesado o una consulta regulatoria que requiera nuestra ayuda; y
• Será responsable del cumplimiento de las leyes de protección de datos, ya sea como responsable del tratamiento o como encargado del tratamiento, según corresponda.

11. Responsabilidad

La responsabilidad de cada parte en virtud del presente Acuerdo de Protección de Datos (APD) o en relación con el mismo está sujeta a las limitaciones y exclusiones de responsabilidad establecidas en los Términos y Condiciones. Nada de lo dispuesto en el presente APD limita la responsabilidad de ninguna de las partes cuando esta no pueda limitarse legalmente.

12. General

12.1 Este DPA se aplica mientras procesemos los Datos Personales del Cliente en su nombre y seguirá vigente tras la finalización de los Términos hasta que finalice dicho procesamiento.

12.2 Si existe un conflicto entre este Acuerdo de Protección de Datos y los Términos en relación con el procesamiento de Datos Personales del Cliente, prevalecerá este Acuerdo de Protección de Datos.

12.3 Podemos actualizar este Acuerdo de Protección de Datos para reflejar cambios en la legislación o en el Software. Publicaremos la nueva versión en esta página. Le notificaremos los cambios sustanciales antes de que entren en vigor, y ninguna actualización reducirá sustancialmente la protección de los Datos Personales del Cliente.

12.4 Este Acuerdo de Protección de Datos se rige por la legislación de Inglaterra y Gales.

Anexidades

• Anexo 1 – Detalles del procesamiento: cláusula 3 anterior.
• Anexo 2 Medidas técnicas y organizativas: controles de acceso, cifrado de los datos protegidos de la base de datos y de las conexiones al software, copias de seguridad y controles de seguridad de la aplicación adecuados a los riesgos del procesamiento. La información necesaria para demostrar el cumplimiento está disponible en la cláusula 8.
• Anexo 3 – Subprocesadores autorizados: nuestros página de subprocesadores.

Contacto

Para cualquier asunto relacionado con este DPA, póngase en contacto con nosotros a través de formulario de contacto o mediante un mensaje de soporte desde su cuenta, indicando en el mensaje “Protección de datos”.