Política de Seguridad y Protección de Datos

Bloc I

Personal

Política de seguretat del personal per al tractament de dades personals

1.- Àmbit d'aplicació

El Responsable del tractament està compromès a implantar una cultura de privadesa a l'organització, per la qual cosa necessita que les persones autoritzades a tractar dades personals estiguin informades del tractament de dades i se'n responsabilitzin.

A tota persona autoritzada per tractar dades personals se li exigeix que llegeixi, comprengui, compleixi i faci complir aquesta Política de seguretat per protegir les dades que formen part del tractament que li ha estat encomanat.

Aquesta Política de seguretat estableix les obligacions i els procediments que ha de seguir el personal de l'organització, tant propi com extern, que tracta dades personals en el desenvolupament de la seva activitat, i es basa en el que disposen les normatives vigents en protecció de dades personals, el Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR) i la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).

En aquest sentit, per vetllar i fer complir aquesta Política, l'organització ha designat un Responsable de seguretat que estarà a disposició de tot el personal i s'encarregarà de coordinar, controlar, desenvolupar i verificar el compliment de les esmentades normatives.

2.- Conceptes bàsics

Per proporcionar una millor comprensió de la protecció de dades, definim els principals conceptes bàsics:

Estructura del tractament:

• Dades personals: Informació relativa a una persona física per la qual es pugui determinar la seva identitat.
• Tractament: Qualsevol operació realitzada sobre dades personals: obtenció, accés, intervenció, transmissió, conservació i supressió.
• Persona interessada: Persona física sotmesa al tractament de les seves dades personals.
• Fitxer: Conjunt estructurat de dades personals susceptibles de tractament per a una finalitat determinada.
• Responsable del tractament: Organització que determina les finalitats i els mitjans del tractament.
• Personal autoritzat: Persona autoritzada pel Responsable del tractament per realitzar un tractament de dades mitjançant un compromís de confidencialitat.

Categories de dades:

• Identificatives: Dades que no corresponguin a categories Penals o Especials, per exemple: nom, adreça, correu electrònic, telèfon, edat, sexe, signatura, imatge, aficions, patrimoni, dades bancàries, informació acadèmica, professional, social, comercial, financera, etc.
• Penals: Dades relatives a la comissió d'infraccions administratives o penals, o les que puguin oferir una definició de característiques de personalitat, etc.
• Especials: Dades relatives a l'origen ètnic o racial, opinions polítiques, conviccions religioses o filosòfiques, afiliació sindical, dades genètiques o biomètriques que permetin la identificació unívoca d'una persona, dades relatives a la salut o a la vida i orientació sexuals.

3.- Principis de la protecció de dades

Els principis fonamentals per realitzar un tractament de dades són:

• Licitud: lleialtat i transparència amb la persona interessada.
• Limitació de les finalitats: tractades per a finalitats determinades.
• Minimització de les dades: només s'han d'obtenir les dades necessàries per assolir les finalitats.
• Exactitud: actualitzades.
• Limitació del termini de conservació: guardades durant no més temps del necessari per aconseguir les finalitats.
• Integritat i confidencialitat: aplicació de mesures de seguretat per a la protecció de les dades en totes les fases del tractament.
• Responsabilitat proactiva: s'ha de poder demostrar el compliment de tots els principis de protecció de dades.

Consentiment per realitzar un tractament de dades

• Quan el tractament de dades personals es basi en el consentiment de la persona interessada, haurem d'obtenir el consentiment explícit per tractar-les i guardar el document probatori que ho acrediti.
• Quan obtinguem les dades de tercers, ens haurem d'assegurar que la comunicació sigui lícita i guardar el document probatori que ho acrediti.
• No és necessari obtenir el consentiment de la persona interessada quan el tractament es basi en una obligació legal (per exemple, per emetre una factura), en una relació contractual, o en un interès legítim, públic o vital.

Informació del tractament a la persona interessada

Haurem de facilitar la informació següent a la persona interessada:

• La identitat i les dades de contacte del Responsable del tractament.
• Les finalitats del tractament.
• La base jurídica del tractament.
• El termini de conservació de les dades o els criteris que el determinin.
• Els drets que assisteixen la persona interessada.
• I si existeixen:
  • Els destinataris o categories de destinataris de les dades.
  • La transmissió de dades a països o organitzacions establertes fora de la UE.
• I si les dades no s'han obtingut de l'interessat:
  • Categoria de dades.
  • Fonts de procedència.

Responsabilitat del tractament

El tractament de dades es podrà realitzar per organitzacions externes sempre que hi hagi una autorització expressa del Responsable del tractament i s'hagi subscrit un contracte per realitzar aquest tractament conforme a la legislació vigent. Per conèixer quines empreses o tercers estan autoritzats a la cessió de dades, s'han de dirigir al Responsable de seguretat.

Les organitzacions externes poden ser:

• Encarregats del tractament: Organització que tracta dades personals per compte del Responsable del tractament.
• Destinataris de dades: Organització diferent de l'Encarregat, que rep una comunicació de dades personals del Responsable del tractament.

Mesures de seguretat

L'organització ha implementat mesures tècniques i organitzatives per garantir un nivell de seguretat adequat als riscos que pugui tenir el tractament com a conseqüència de la destrucció accidental o il·lícita de dades, la pèrdua, alteració o comunicació no autoritzada i l'accés a les dades quan són transmeses, conservades o objecte d'algun tipus de tractament.

El personal haurà de vetllar per la seguretat de les dades tractades per l'organització i comunicarà al Responsable qualsevol operació de tractament que pugui suposar un risc que afecti la protecció de dades o els interessos i llibertats de les persones interessades.

Qualsevol disseny d'una nova operació de tractament o actualització d'una operació existent haurà de garantir, abans de la seva implantació, la protecció de dades personals i l'exercici dels drets de les persones interessades en totes les fases del tractament: obtenció, accés, intervenció, transmissió, conservació i supressió.

4 - Funcions i obligacions del personal

El personal haurà d'actuar en tot moment conforme a les instruccions detallades en l'acord de confidencialitat subscrit amb l'organització i les establertes en aquesta Política de seguretat. Per a això s'estableixen les següents mesures de protecció de dades que el personal s'obliga a complir expressament:

Organització de la informació

S'hauran de classificar les dades de manera que es puguin exercir els drets de les persones interessades: accés, rectificació, supressió i portabilitat de les dades i limitació o oposició al tractament.

Conservació de les dades

S'hauran de conservar les dades en el mobiliari i el departament destinats a aquesta finalitat. Per a tractaments automatitzats es guardaran els arxius en els suports, carpetes o directori de xarxa indicat pel Responsable de seguretat.

No està permès conservar dades a l'escriptori físic o digital. Només es permet el seu tractament temporal en aquest escriptori per realitzar les operacions que ho requereixin, i s'hauran de conservar al lloc apropiat en finalitzar la jornada laboral.

Accés a la informació

S'hauran d'aplicar els mecanismes d'accés restringit a la informació que hagi implementat l'organització, salvaguardant les claus d'accés de tota divulgació o comunicació a altres persones.

Cada persona només està autoritzada a accedir als recursos que siguin necessaris per al desenvolupament i compliment de les seves funcions. Es restringirà l'accés als equips informàtics mitjançant procediments que puguin identificar i autenticar la persona que hi accedeix. El nom de la persona usuària i la contrasenya tindran la consideració de dades personals intransferibles.

Processament de dades

Els suports documentals i informàtics hauran d'estar disposats de tal manera que no siguin accessibles a persones no autoritzades.

Si una persona abandona el seu lloc de treball temporalment, haurà d'ocultar els documents i bloquejar l'ordinador, de manera que s'impedeixi la visualització de la informació amb què estava treballant.

Quan s'utilitzin impressores, fotocopiadores o escàners, després de processar qualsevol informació de caràcter personal, s'ha de recollir de manera immediata, assegurant-se de no deixar documents impresos a la safata de sortida ni documents escanejats a la carpeta compartida.

Transport de suports

El transport de suports que continguin dades personals s'haurà de realitzar únicament per personal autoritzat o empreses externes contractades a aquest fi pel Responsable del tractament.

Eliminació de documents

Qualsevol document físic o suport digital que es vulgui eliminar i que inclogui dades personals, ha de ser destruït amb la destructora o retirat per una empresa homologada de destrucció de documents.

Còpia de seguretat i recuperació de dades

El personal haurà d'emmagatzemar tota la informació tractada en el directori de xarxa corresponent indicat pel Responsable de seguretat, la qual cosa permetrà que a aquesta informació se li apliquin les mesures de seguretat existents i que se sotmeti als procediments de còpies de seguretat aplicats per l'organització.

Protecció de dades

S'hauran d'aplicar les mesures de protecció de dades establertes per l'organització relatives a la seguretat del tractament, com poden ser la seudonimització o el xifratge de dades o advertiments d'intrusió com ara antivirus, antispam, etc.

Gestió d'incidències

Es considera una incidència qualsevol violació de la seguretat que ocasioni la destrucció accidental o il·lícita, pèrdua, alteració, o l'accés o comunicació no autoritzats de dades personals.

El personal té l'obligació de notificar sense demora injustificada qualsevol incidència de què tingui coneixement al Responsable de seguretat per al seu coneixement i aplicació de mesures correctives per remeiar i mitigar els efectes que hagués pogut ocasionar. Les incidències s'hauran de documentar per la persona que les notifica amb una descripció detallada d'aquesta i la data i hora en què s'ha produït o se n'ha tingut coneixement.

El coneixement i la no notificació d'una incidència per part del personal es considerarà una falta contra la seguretat de les dades i podrà suposar l'inici d'accions legals, així com la reclamació de les indemnitzacions, sancions i danys o perjudicis que el Responsable es vegi obligat a atendre com a conseqüència d'aquest incompliment.

Altres funcions i obligacions d'obligat compliment

Utilització dels sistemes informàtics (SI)

El Sistema Informàtic, i els terminals assignats o utilitzats per cada PERSONA USUÀRIA són, amb caràcter general, propietat del RESPONSABLE.

Estan expressament prohibides les activitats següents: expressament prohibides :

1. L'ús de programes informàtics sense la corresponent llicència, així com l'ús, reproducció, cessió, transformació o comunicació pública de qualsevol tipus d'obra o invenció protegida per la propietat intel·lectual o industrial. El seu incompliment podrà ser causa de responsabilitat disciplinària, administrativa, civil i penal.
2. Destruir, alterar, inutilitzar o de qualsevol altra forma danyar les dades, programes o documents electrònics del RESPONSABLE o de tercers. Aquests actes poden constituir un delicte de danys, previst en el artículo 264.2 del Código Penal.
3. Introduir voluntàriament programes, virus, macros, applets, controls ActiveX o qualsevol altre dispositiu lògic o seqüència de caràcters que causin o siguin susceptibles de causar qualsevol tipus d'alteració en els Sistemes Informàtics del RESPONSABLE o de tercers. Al respecte, cal recordar que el mateix sistema executa automàticament els programes antivirus i les seves actualitzacions per prevenir l'entrada al sistema de qualsevol element destinat a destruir o corrompre les dades informàtiques.
4. Introduir, descarregar d'Internet, reproduir, utilitzar o distribuir programes informàtics no autoritzats expressament pel RESPONSABLE. Aquesta prohibició inclou qualsevol altre tipus d'obra o material els drets de propietat intel·lectual o industrial dels quals pertanyin a tercers, quan no es disposi d'autorització per a això.
5. Instal·lar còpies il·legals de qualsevol programa, inclosos els que estan estandarditzats.
6. Esborrar qualsevol dels programes instal·lats legalment.
7. Introduir continguts obscens, immorals o ofensius i, en general, mancats d'utilitat per als objectius del RESPONSABLE.
8. Xifrar informació sense estar-ne expressament autoritzat.

Queda prohibit utilitzar els recursos del sistema d'informació als quals tingui accés per a ús privat o per a qualsevol altra finalitat diferent de les estrictament laborals.

Salvaguarda i protecció de les contrasenyes personals

En relació amb les contrasenyes dels equips informàtics, quan el mateix sistema no incorpori mecanismes que exigeixin determinats requisits, la PERSONA USUÀRIA es responsabilitzarà de complir les normes següents:

• La contrasenya s'haurà de compondre almenys de 8 caràcters; es recomana que inclogui lletres majúscules i minúscules, caràcters especials (del tipus @, #, +, etc.) i dígits numèrics.
• La contrasenya d'accés caducarà, com a màxim, als 365 dies, i s'haurà de modificar en el moment de realitzar el primer accés al sistema.
• S'evitaran noms comuns, números de matrícules de vehicles, telèfons, noms de familiars, amics, etc. i derivats del nom de la persona usuària com ara permutacions o canvi d'ordre de les lletres, transposicions, repeticions d'un únic caràcter, etc.
• Les persones usuàries seran responsables de la seva salvaguarda i custòdia.
• No s'accedirà al sistema utilitzant l'identificador i la contrasenya d'una altra persona usuària. Les responsabilitats de qualsevol accés realitzat utilitzant un identificador determinat recauran sobre la persona usuària a qui hagués estat assignat.

Informació sobre l'accés del correu electrònic corporatiu

El compromís que DUKAT ORB SL ha assumit per assegurar la privadesa de la informació personal tractada o cedida es concreta en el fet que l'ús del correu electrònic per cada treballador s'ha de realitzar, de forma exclusiva, dins de l'àmbit de l'activitat laboral, ja que es tracta d'una eina posada per l'empresa a aquest fi. de forma exclusiva, dentro del ámbito de la actividad laboral, pues se trata de una herramienta puesta por la empresa para tal fin.

En conseqüència, la PERSONA USUÀRIA estarà obligada a realitzar el treball convingut sota la direcció de l'empresari o persona en qui delegui, sent possible l'accés al correu electrònic professional tant per part de l'empresari com per aquelles persones designades o encarregades per ell.

Així mateix, l'organització podrà adoptar les mesures de vigilància i control que estimi més oportunes per verificar el compliment per part del treballador de les seves obligacions i deures laborals, guardant en la seva adopció i aplicació la consideració deguda a la seva dignitat humana.

La PERSONA USUÀRIA ha de saber que, entre altres mecanismes, es podran aplicar tècniques amb la finalitat de controlar el seu ordinador, amb i sense avís previ, i sense perjudici de la possible aplicació d'altres mesures de caràcter preventiu, com l'exclusió de determinades connexions, les revisions, l'anàlisi o la monitorització remota, la indexació de la navegació per Internet, la revisió i monitorització del correu electrònic i/o de l'ús del seu ordinador o la consulta d'aquells missatges de veu que s'incloguin en la bústia de veu del dispositiu mòbil facilitat per l'empresa.

Qualsevol fitxer introduït en els Sistemes Informàtics a través de missatges de correu electrònic, provinents de xarxes externes, haurà de complir els requisits establerts en aquestes normes a més de les del client, en especial, les referides a propietat intel·lectual i industrial i a control de virus.

Les adreces de correu electrònic dirigides a persones són considerades dades personals, per la qual cosa quan s'enviïn correus a més d'un destinatari, si no és estrictament necessari que els altres vegin les adreces de correu de tots els altres, s'hauran d'enviar com a còpia oculta «Cco».

Així mateix, estan expressament prohibides les activitats següents: expressament prohibides :

1. Intentar llegir, esborrar, copiar o modificar els missatges de correu electrònic o arxius d'altres PERSONES USUÀRIES. Aquesta activitat pot constituir un delicte d'intercepció de les telecomunicacions (revelació de secrets), previst en el artículo 197 del Código Penal.
2. Enviar missatges de correu electrònic de forma massiva o amb fins comercials o publicitaris sense el consentiment del destinatari.
3. Enviar o reenviar missatges en cadena o de tipus piramidal.

Amb la signatura del present document, la PERSONA USUÀRIA manifesta haver estat informada de la política de seguretat aplicable a l'organització.

Acord de confidencialitat (Empleats/ades)

ACORD DE CONFIDENCIALITAT I SECRET PROFESSIONAL

PERSONA AUTORITZADA PER AL TRACTAMENT DE DADES

Reunits d'una part el Sr./la Sra., en nom i representació de DUKAT ORB SL, amb NIF B75963934 i domicili social situat a Passeig del Bellesguard, 12 - 08320 El Masnou (Barcelona) ESPANYA, d'ara endavant RESPONSABLE. RESPONSABLE.

I d'altra part el Sr./la Sra., major d'edat i, en el seu propi nom i representació, d'ara endavant la PERSONA USUÀRIA. PERSONA USUÀRIA.

Ambdues parts es reconeixen recíprocament la capacitat legal necessària per subscriure el present contracte de prestació de serveis amb accés a dades personals i

MANIFESTEN

1. Que DUKAT ORB SL és Responsable del tractament de dades personals objecte d'aquest acord de conformitat amb el que disposen les normatives vigents en protecció de dades personals, el Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR) i la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD).
2. Que en virtut de la prestació de serveis laborals o professionals que la PERSONA USUÀRIA ve realitzant a favor del RESPONSABLE, tindrà accés al tractament de dades personals i a informació confidencial.
3. Que la PERSONA USUÀRIA coneix i accepta que mantenir la confidencialitat d'aquesta informació és essencial en el sector en què desenvolupa les seves activitats i que, per això, no respectar aquesta confidencialitat causa un perjudici greuíssim al RESPONSABLE.
4. Que en compliment del que disposa el artículo 29 del GDPR, la PERSONA USUÀRIA és conscient que està obligada al secret professional respecte de les dades personals que tracti i al deure de protegir-les, obligacions que subsistiran fins i tot després de finalitzar les seves relacions amb el RESPONSABLE, per la qual cosa ambdues parts convenen a subscriure el present acord amb subjecció a les següents

INSTRUCCIONS PER AL TRACTAMENT DE DADES

1.- Informació confidencial

S'entendrà per «informació confidencial» aquella informació que és accessible únicament pel personal autoritzat, és a dir, la informació que només s'ha de posar en coneixement de les persones, entitats o sistemes autoritzats per al seu accés. Aquesta informació confidencial pot incloure:

• Informació personal, que és tota informació relativa a una persona física identificada o identificable per la qual es pugui determinar, directament o indirectament, la seva identitat, sigui mitjançant identificador, nom, número, localització o elements propis de la identitat física, fisiològica, genètica, psíquica, econòmica, cultural o social d'aquesta persona.
• Secrets comercials, secrets empresarials, coneixements tècnics i qualsevol altra informació empresarial, abastant els tipus d'informació següents (consti per escrit o no), sense que la present enumeració exclogui altres classes d'informacions també confidencials: tècniques, programes de formació, test, recerca i desenvolupament, idees, invencions, conceptes, anotacions, esquemes, dissenys, dibuixos, organigrames, memoràndums, processos, procediments, know-how, fórmules, dades, programes i aplicacions informàtiques, millores, descobriments, coneixements de qualsevol classe posats a disposició de la PERSONA USUÀRIA, materials de referència, materials i tècniques de màrqueting, plans de recerca i desenvolupament, màrqueting, nous productes, noms de clients, canals de comercialització, secrets comercials i qualsevol altra informació relacionada amb clients i proveïdors, llistes de preus, polítiques de preus, política de vendes, informació financera, pressupostos, plantilles i mètodes de gestió i comptabilitat, així com els drets, títols i interessos que pogués al·legar sobre les invencions, patentables o no, realitzades o obtingudes per la PERSONA USUÀRIA durant la vigència del seu contracte.

Així mateix, en el supòsit en què concorri un accident laboral, i en compliment del que estableix la Llei de Prevenció de Riscos Laborals (L.P.R.L.), si dins de les funcions de la PERSONA USUÀRIA hi hagués el tractament d'aquesta informació, aquesta es compromet a complir amb la confidencialitat i les mesures de seguretat determinades pel RESPONSABLE.

2.- Compromís de confidencialitat i secret professional

La PERSONA USUÀRIA es compromet a complir amb les instruccions determinades pel RESPONSABLE que afecten el desenvolupament de les seves funcions per garantir la confidencialitat i el secret professional de tota la "informació confidencial", per la qual cosa s'obliga explícitament a no divulgar-la, publicar-la, cedir-la, vendre-la, ni de cap altra forma, directa o indirecta, posar-la a disposició de tercers, ni totalment ni parcialment, i a complir aquesta obligació fins i tot amb els seus propis familiars o altres membres de l'organització que no estiguin autoritzats a accedir a aquesta informació, qualsevol que sigui el suport que la contingui.

La PERSONA USUÀRIA accedirà a la "informació confidencial" només si és necessari per a la prestació dels serveis per als quals ha estat contractada i exclusivament per a les finalitats autoritzades pel RESPONSABLE.

Els mitjans de treball proporcionats pel RESPONSABLE (ordinadors, internet, correu electrònic, etc.) seran utilitzats única i exclusivament per al desenvolupament eficient del propi treball, per la qual cosa queda informada que el RESPONSABLE podrà realitzar tasques de verificació, vigilància i control sobre aquests mitjans en base al artículo 20.3 del Estatuto de los Trabajadores.

3.- Propietat de la "informació confidencial"

La PERSONA USUÀRIA reconeix la propietat del RESPONSABLE respecte de totes les dades considerades "informació confidencial" en l'apartat 1 d'aquest acord i es compromet a retornar totes les còpies d'aquesta informació i qualsevol suport físic que estiguin sota el seu control al RESPONSABLE si aquest ho sol·licita.

4.- Tractament de dades

La PERSONA USUÀRIA declara conèixer les polítiques d'informació i de seguretat establertes pel RESPONSABLE per garantir la protecció de dades i es compromet a seguir les instruccions reflectides en elles i, en cas d'advertir que siguin violades, a notificar-ho sense demora injustificada al RESPONSABLE per al seu coneixement i aplicació de mesures correctives per remeiar i mitigar els efectes ocasionats.

5.- Responsabilitat de la PERSONA USUÀRIA

La PERSONA USUÀRIA serà responsable davant del RESPONSABLE i tercers de qualsevol perjudici que pogués derivar-se per a uns i altres de l'incompliment dels compromisos d'aquest acord, podent suposar l'inici d'accions legals, així com la reclamació de les indemnitzacions, sancions i danys o perjudicis que el RESPONSABLE es vegi obligat a atendre com a conseqüència d'aquest incompliment.

6.- Protecció de dades

Conforme a la normativa vigent en protecció de dades, el RESPONSABLE informa la PERSONA USUÀRIA que les seves dades personals obtingudes en el moment de la contractació, les comunicades al llarg de la durada del contracte i aquelles que li comuniqui en el futur per al compliment de les seves obligacions legals, es tractaran amb la finalitat de gestionar la relació laboral o professional que els uneix. Així mateix, i en cas d'accident laboral, el RESPONSABLE no tractarà directament dades de salut de la PERSONA USUÀRIA. Aquestes dades seran tractades, si escau, exclusivament pel personal sanitari o serveis de prevenció competents, amb la finalitat de gestionar l'assistència i la investigació de l'accident laboral, de conformitat amb la normativa aplicable.

Les dades obtingudes es tractaran mentre existeixi la relació laboral o professional amb la PERSONA USUÀRIA. Posteriorment, es conservaran bloquejades per complir amb els terminis legalment establerts, adoptant les mesures tècniques i organitzatives per impedir el seu tractament, incloent-hi la seva visualització, i estant únicament a disposició de jutges, tribunals, ministeri fiscal o administracions públiques, amb la finalitat de fer front a responsabilitats legals. Transcorregut el període legal requerit, es procedirà a la destrucció definitiva d'aquestes dades. La base de legitimació del tractament de les dades serà l'execució d'un contracte laboral o professional, així com el compliment de les obligacions legals per part del RESPONSABLE.

Les dades seran comunicades als organismes i Administracions Públiques, Seguretat Social, Agència Tributària, Inspecció de Treball, a la mútua de vigilància de la salut i al servei de prevenció de riscos laborals. En cas de subcontractació del personal, es podrien cedir les dades de la PERSONA TREBALLADORA per complir amb l'obligació legal en matèria de coordinació d'activitats empresarials.

De la mateixa manera es podran comunicar per a la gestió de subvencions, participació en concursos públics, al comitè d'empresa, sindicats, entitats bancàries així com als prestadors vinculats al RESPONSABLE que intervenen com a encarregats del tractament en els serveis relacionats amb el personal (assessories, companyies d'assegurances, proveïdors informàtics entre d'altres).

Si escau, es podran comunicar a empreses externes de formació amb la finalitat d'identificar i avaluar els participants, així com emetre el corresponent certificat d'assistència, sent la base de legitimació l'interès legítim del RESPONSABLE per millorar les competències dels treballadors.

Finalment, podran ser facilitats a aquelles entitats o clients que requereixin dades identificatives i laborals del personal per dur a terme el servei contractat o subcontractat, i que acreditin la relació amb l'empresa.

El RESPONSABLE informa que la PERSONA USUÀRIA pot exercir en qualsevol moment els drets d'accés, rectificació, portabilitat i supressió de les seves dades i els de limitació i oposició al seu tractament dirigint-se a Passeig del Bellesguard, 12 - 08320 El Masnou (Barcelona). E-mail: compliance@dukat.es. Si considera que el tractament no s'ajusta a la normativa vigent, podrà presentar una reclamació davant l'autoritat de control a www.aepd.es

7.- Fi de la prestació de servei

El compliment de les obligacions contingudes en aquest acord és de caràcter indefinit i es mantindrà en vigor amb posterioritat a la finalització de la relació entre la PERSONA USUÀRIA i el RESPONSABLE. Per això, la PERSONA USUÀRIA garanteix que, després d'acabar la relació, guardarà el mateix secret professional respecte de la "informació confidencial" a la qual hagi tingut accés durant l'exercici de les seves funcions.

Bloc II

Tractament

Clàusula prestació de serveis

DUKAT ORB SL és el Responsable del tractament de les dades personals de la persona interessada i li informa que aquestes seran tractades de conformitat amb el que disposen les normatives vigents en protecció de dades personals, el Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR) i la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), per la qual cosa se li facilita la següent informació del tractament:

Fi del tractament: Prestació de serveis professionals.

Legitimació del tractament: La base de legitimació del tractament de les dades personals serà l'execució del servei sol·licitat.

Criteris de conservació de les dades: Les dades es tractaran mentre existeixi la relació contractual o professional. Posteriorment, es conservaran bloquejades per complir amb els terminis legalment establerts, adoptant les mesures tècniques i organitzatives per impedir el seu tractament, incloent-hi la seva visualització, i estant únicament a disposició de jutges, tribunals, ministeri fiscal o administracions públiques, amb la finalitat de fer front a responsabilitats legals. Transcorregut el període legal requerit, es procedirà a la destrucció definitiva d'aquestes dades.

Comunicació de les dades: No es comunicaran dades a tercers, excepte per obligació legal o aquells prestadors vinculats al responsable que actuen com a encarregats del tractament.

Drets que assisteixen la persona interessada:

• Dret d'accés, rectificació, portabilitat i supressió de les seves dades i a la limitació o oposició al seu tractament.
• Dret a presentar una reclamació davant l'Autoritat de control www.aepd.es si considera que el tractament no s'ajusta a la normativa vigent.

Dades de contacte per exercir els seus drets: DUKAT ORB SL. Passeig del Bellesguard, 12 - 08320 El Masnou (Barcelona). E-mail: compliance@dukat.es

Bloc III

Imatges

Consentiment per a la publicació d'imatges

DUKAT ORB SL és el Responsable del tractament de les dades personals de la persona interessada i li informa que aquestes seran tractades de conformitat amb el que disposen les normatives vigents en protecció de dades personals, el Reglamento (UE) 2016/679 de 27 de abril de 2016 (GDPR), la Ley Orgánica 3/2018, de 5 de diciembre (LOPDGDD), i la Ley (ES) 1/1982 de protección civil, derecho al honor, intimidad personal y familiar y a la propia imagen, per la qual cosa se li facilita la següent informació del tractament:

Fi del tractament: Captació i gravació d'imatges o vídeos de la persona interessada durant les activitats organitzades pel Responsable del tractament per donar publicitat d'aquestes en els mitjans de comunicació. En cap cas es publicarà el nom de la persona interessada.

Legitimació: El tractament de les seves dades personals, incloses les imatges, està basat en el consentiment que ha de prestar la persona interessada mitjançant la signatura del present document. L'autorització aquí contemplada s'atorga amb caràcter gratuït, sense que tingui dret a percebre cap compensació econòmica per la seva utilització.

Criteris de conservació de les dades: Les dades es tractaran durant el temps necessari per mantenir la finalitat del tractament o llevat que la persona interessada hagi revocat el seu consentiment. Posteriorment, es conservaran bloquejades per complir amb els terminis legalment establerts.

Consentiment: L'Interessat pot autoritzar o no el tractament assenyalant amb una "x" en la casella corresponent de SÍ (dono el consentiment) o NO (no dono el consentiment) per a les següents categories de destinataris:

S'informa la persona interessada que pot exercir el seu dret d'accés, rectificació, portabilitat i supressió de les seves dades i a la limitació o oposició al seu tractament a Passeig del Bellesguard, 12 - 08320 El Masnou (Barcelona). E-mail: compliance@dukat.es Així mateix, pot presentar una reclamació davant l'Autoritat de control www.aepd.es si considera que el tractament no s'ajusta a la normativa vigent.

Bloc IV

Models de contractes

Contracte de protecció de dades personals — Encarregat del tractament

En compliment del que disposa el artículo 28 del GDPR, quan DUKAT ORB SL (RESPONSABLE) contracta els serveis d'un tercer (ENCARREGAT) que requereix accés a dades personals, ambdues parts subscriuen un contracte d'encàrrec del tractament amb subjecció a les següents instruccions per al tractament de dades.

1. Objecte, naturalesa i finalitat de l'encàrrec

El RESPONSABLE garanteix que les dades facilitades a l'ENCARREGAT s'han obtingut lícitament i que són adequades, pertinents i limitades a les finalitats del tractament. El RESPONSABLE posarà a disposició de l'ENCARREGAT tota la informació que sigui necessària per executar les prestacions objecte de l'encàrrec.

El RESPONSABLE adverteix l'ENCARREGAT que, si determina pel seu compte les finalitats i els mitjans del tractament, es considerarà responsable del tractament i estarà subjecte a complir les disposicions de la normativa vigent aplicables com a tal.

4. Obligacions i drets de l'ENCARREGAT

L'ENCARREGAT s'obliga a respectar totes les obligacions que poguessin correspondre-li com a encarregat del tractament conforme al que disposa la normativa vigent i qualsevol altra disposició o regulació que li fos igualment aplicable.

L'ENCARREGAT no destinarà, aplicarà o utilitzarà les dades a les quals tingui accés per a una finalitat diferent de l'encàrrec o que suposi l'incompliment d'aquest contracte.

L'ENCARREGAT posarà a disposició del RESPONSABLE la informació necessària per demostrar el compliment del contracte, permetent les inspeccions i auditories necessàries per avaluar el tractament.

5. Personal autoritzat per realitzar el tractament

L'ENCARREGAT garanteix que el personal autoritzat per realitzar el tractament s'ha compromès de forma expressa i per escrit a respectar la confidencialitat de les dades o que està subjecte a una obligació legal de confidencialitat de naturalesa legal.

L'ENCARREGAT prendrà mesures per garantir que qualsevol persona que actuï sota la seva autoritat i tingui accés a dades personals només pugui tractar-les seguint les instruccions del RESPONSABLE o estigui obligada a fer-ho en virtut de la legislació vigent.

L'ENCARREGAT garanteix que el personal autoritzat per realitzar el tractament ha rebut la formació necessària per assegurar que no es posarà en risc la protecció de dades personals.

6. Mesures de seguretat

L'ENCARREGAT, com a resultat del procés de gestió de riscos que ha dut a terme sobre els tractaments encomanats, ha adoptat mesures de seguretat tècniques i organitzatives que entre d'altres inclouen els requisits exigits pel artículo 32 del RGPD, per garantir un nivell de seguretat adequat al risc que suposa el tractament. Les mesures implantades són les següents:

Mesures de seguretat organitzatives

• Política de seguretat i protocols interns documentats i accessibles al personal.
• Formació i sensibilització periòdica en matèria de protecció de dades i seguretat de la informació.
• Compromís de confidencialitat signat/informat per tot el personal amb accés a dades.
• Contractes de confidencialitat i d'encàrrec del tractament amb proveïdors.
• Sol·licitud i avaluació de garanties de compliment a proveïdors.
• Contractes de confidencialitat i d'encàrrec del tractament amb clients.
• Control d'encarregats i subencarregats (due diligence de seguretat).
• Gestió de riscos i revisions periòdiques de les mesures adoptades.
• Protocol documentat de gestió d'incidències i violacions de seguretat.
• Consulta de notificacions i alertes de fonts especialitzades en seguretat de la informació i protecció de dades.

Mesures de seguretat tècniques

• Registre d'accessos i operacions (logs auditables).
• Gestió segura d'accessos (permisos, contrasenyes robustes, MFA, caducitat de credencials, etc.).
• Ús de xifratge i/o seudonimització de dades personals quan el tractament ho permeti.
• Privilegis d'accés segons usuaris.
• Sistemes i xarxes protegides (firewalls, antivirus, IDS/IPS, etc.).
• Prohibició d'instal·lació de programari sense llicència.
• Prohibició d'arxiu d'informació confidencial en paper o suports extraïbles.
• Canals de transmissió de dades segurs (HTTPS, VPN, SFTP).
• Còpies de seguretat periòdiques, encriptades, externes i amb simulacres de restauració.
• Pla de continuïtat de negoci i recuperació davant desastres.
• Destrucció segura de documentació, suports i dispositius.
• Auditories de seguretat realitzades per personal independent.
• Anàlisi de vulnerabilitats del sistema.

7. Violació de la seguretat

Les violacions de seguretat de què tingui coneixement l'ENCARREGAT s'hauran de notificar sense dilació indeguda al RESPONSABLE per al seu coneixement i aplicació de mesures per remeiar i mitigar els efectes ocasionats. No serà necessària la notificació quan sigui improbable que comporti un risc per als drets i les llibertats de les persones físiques.

La notificació d'una violació de seguretat haurà de contenir, com a mínim, la informació següent:

• Descripció de la naturalesa de la violació.
• Categories i el nombre aproximat d'interessats afectats.
• Categories i el nombre aproximat de registres de dades afectats.
• Possibles conseqüències.
• Mesures adoptades o proposades per remeiar o mitigar els efectes.
• Dades de contacte on es pugui obtenir més informació (DPO, responsable de seguretat, etc.).

12. Ús de Sistemes d'Intel·ligència Artificial

12.1 Obligació d'Informar sobre l'Ús d'IA: L'ENCARREGAT del Tractament es compromet a informar de manera immediata el RESPONSABLE del Tractament sobre l'ús previst de qualsevol sistema d'IA que processi informació de l'empresa contractant, ja siguin dades personals o d'una altra índole; i ja sigui que aquest ús sigui dut a terme directament per l'ENCARREGAT o indirectament per qualsevol dels seus SUBENCARREGATS.

12.3 Ús d'Informació en Desenvolupament d'IA: Es prohibeix l'ús d'informació de l'empresa contractant RESPONSABLE del tractament per desenvolupar, entrenar o millorar models d'intel·ligència artificial d'ús general, ja siguin del proveïdor o d'un tercer. En el cas que es realitzi, l'ENCARREGAT haurà de sol·licitar autorització i notificar-ho al RESPONSABLE.

12.4 Revisió i Aprovació: Abans d'implementar qualsevol nou ús d'IA o canviar els mètodes o eines d'IA ja emprades en el tractament de les dades personals, l'ENCARREGAT haurà d'obtenir l'aprovació escrita del RESPONSABLE del Tractament.

16. Legislació Aplicable i Jurisdicció

El present contracte es regirà per les clàusules contingudes en el mateix, en allò no previst, per les normatives espanyola i europea aplicables en matèria de tractament de dades de caràcter personal.

Les parts, per a qualsevol qüestió relativa a la interpretació o aplicació del present contracte se sotmeten, de forma expressa i amb renúncia al seu propi fur, a la jurisdicció dels Jutjats i Tribunals de la ciutat del RESPONSABLE.