1. Objeto y partes

Este Anexo de Tratamiento de Datos (el «Anexo» o «DPA») regula el tratamiento de datos personales que MIND ANALYTICS, S.L. («Mind», el Encargado) realiza por cuenta del cliente (el «Cliente», el Responsable) en la prestación de sus productos y servicios, conforme al artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos («RGPD»), y a la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales.

Este Anexo forma parte del contrato conforme a la cláusula 2 de las Condiciones Generales de Contratación y se incorpora al pedido por referencia. No requiere firma separada, sin perjuicio de que el Cliente pueda solicitar su formalización como documento independiente escribiendo a lopd@wearemind.io.

2. Descripción del tratamiento

3. Obligaciones de Mind como encargado

Mind se obliga a:

1. Tratar los datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluidas las relativas a transferencias internacionales, salvo que una norma de la Unión o de un Estado miembro le obligue a otra cosa, en cuyo caso lo informará previamente al Cliente, salvo prohibición legal. El contrato, el pedido y la configuración que el Cliente realiza en la plataforma constituyen sus instrucciones documentadas.
2. No utilizar los datos para finalidades propias ni cederlos a terceros, salvo lo previsto en este Anexo.
3. Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y han recibido la formación adecuada.
4. Aplicar las medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, descritas en el documento de Medidas Técnicas y Organizativas de Seguridad, que se incorpora a este Anexo.
5. Respetar las condiciones para recurrir a subencargados previstas en la cláusula 5.
6. Asistir al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que pueda atender las solicitudes de ejercicio de derechos de los interesados.
7. Asistir al Cliente en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD —seguridad, notificación de brechas y evaluaciones de impacto—, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.
8. A elección del Cliente, suprimir o devolver los datos al finalizar la prestación, conforme a la cláusula 10.
9. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a la realización de auditorías, conforme a la cláusula 9.
10. Informar inmediatamente al Cliente si, en su opinión, una instrucción infringe la normativa de protección de datos.

4. Obligaciones del Cliente como responsable

El Cliente se obliga a:

• Determinar los fines y medios del tratamiento y disponer de una base legal válida para los datos que incorpore a la plataforma.
• Haber informado adecuadamente a los interesados y, cuando proceda, haber recabado su consentimiento.
• Realizar, cuando resulte exigible, la evaluación de impacto y la consulta previa.
• Gestionar de forma diligente las altas, bajas y permisos de las personas usuarias de su organización, y velar por la confidencialidad de sus credenciales.
• No incorporar datos que excedan de lo necesario para las finalidades contratadas.

5. Subencargados

El Cliente autoriza con carácter general a Mind a recurrir a subencargados para la prestación del servicio, en particular a proveedores de infraestructura cloud, de servicios de inteligencia artificial y de comunicaciones.

La relación actualizada de subencargados, con su identidad, la función que desempeñan y su ubicación, se publica en el documento de Subencargados del tratamiento.

Mind informará al Cliente de la incorporación o sustitución de un subencargado con una antelación mínima de treinta (30) días naturales a que el cambio surta efecto. El Cliente podrá oponerse por motivos razonables y fundados relativos a la protección de datos, comunicándolo por escrito dentro de ese plazo. Si la oposición está fundada y no es posible una solución alternativa, cualquiera de las partes podrá resolver el contrato en la parte afectada, sin penalización y con devolución de la parte proporcional de las cantidades abonadas por adelantado.

Mind impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que asume en este Anexo, y responderá frente al Cliente del incumplimiento de aquellos.

6. Transferencias internacionales

El tratamiento se realiza con carácter general en centros de datos situados en el Espacio Económico Europeo.

Cuando la prestación exija una transferencia internacional, esta se amparará en una decisión de adecuación de la Comisión Europea, en las Cláusulas Contractuales Tipo aprobadas por la Comisión, o en otro mecanismo válido del capítulo V del RGPD, acompañado de la evaluación de las garantías y de las medidas complementarias que resulten necesarias.

7. Confidencialidad y secreto

Mind mantendrá el deber de secreto respecto de los datos personales a los que acceda, obligación que subsistirá aun después de finalizar la relación contractual.

8. Violaciones de la seguridad de los datos

Mind notificará al Cliente, sin dilación indebida y en todo caso dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a los datos tratados por su cuenta.

La notificación incluirá, en la medida en que se disponga de la información: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos, y los datos de contacto para obtener más información. Cuando no sea posible facilitar toda la información simultáneamente, se proporcionará de manera gradual sin dilación indebida.

Corresponde al Cliente, como responsable, decidir sobre la notificación a la autoridad de control y, en su caso, a los interesados. Mind le prestará la asistencia razonable a tal efecto.

9. Auditoría

Mind pondrá a disposición del Cliente la información necesaria para acreditar el cumplimiento de este Anexo, incluidos los informes de auditoría y las certificaciones de que disponga, bajo acuerdo de confidencialidad.

El Cliente podrá realizar, por sí o mediante un auditor independiente que no sea competidor de Mind, una auditoría anual del cumplimiento de este Anexo, previo aviso con una antelación mínima de treinta (30) días, en horario laboral, sin interrumpir la actividad de Mind y sujeta a confidencialidad. Los costes de la auditoría correrán a cargo del Cliente, salvo que de ella resulte un incumplimiento relevante imputable a Mind.

10. Devolución y supresión de los datos

A la finalización de la prestación, y a elección del Cliente, Mind procederá a devolverle los datos personales o a suprimirlos.

El Cliente dispondrá de un plazo de treinta (30) días naturales desde la terminación para solicitar la exportación de sus datos, que se entregará en formatos abiertos y de uso común. Transcurrido ese plazo sin solicitud, Mind procederá a la supresión de los datos de los sistemas de producción en un plazo máximo de treinta (30) días adicionales, y de las copias de seguridad conforme a su ciclo de rotación, que no excederá de noventa (90) días.

Mind podrá conservar los datos que resulten estrictamente necesarios para cumplir una obligación legal, debidamente bloqueados y durante el plazo legalmente exigible.

11. Responsabilidad

Cada parte responderá de los daños que cause por el incumplimiento de sus obligaciones bajo la normativa de protección de datos, conforme al artículo 82 del RGPD. La limitación de responsabilidad prevista en la cláusula 14 de las Condiciones Generales se aplicará a este Anexo en la medida en que la ley lo permita.

12. Vigencia y modificación

Este Anexo estará vigente mientras Mind trate datos personales por cuenta del Cliente. Podrá modificarse conforme a la cláusula 12 de las Condiciones Generales, y también cuando resulte necesario para adaptarlo a cambios normativos o a criterios de las autoridades de control, en cuyo caso la modificación podrá aplicarse con el preaviso que la propia norma imponga.