Acord de Tractament de Dades

Acord de tractament de dades (DPA) d'acord amb l'article 28 del RGPD

Data: 20 de març de 2026

Entre

el client registrat de Biscotti CMP – en endavant, el "Responsable del Tractament" o "Client" –

i

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee República Federal d'Alemanya

Jutjat de registre: Jutjat Local de Potsdam Número de registre: HRB 40180 P NIF: DE368000447 Número d'impostos: 29/249/36095 Representada per: Daniel Bosch (CEO), Philipp André Marschall (representant autoritzat) Correu electrònic: [email protected] Telèfon: +49 3322 50703301 Horari comercial: de dilluns a divendres, de 09:00 a 17:00 – en endavant, anomenat "Responsable del tractament de dades" o "Proveïdor" –

– el Responsable del Tractament i el Responsable del Tractament d'ara endavant també esmentats conjuntament com les "Parts" –

Preàmbul

Benvinguts a Campcruisers GmbH! Estem encantats de donar-vos la benvinguda com a client. La transparència, els estàndards de seguretat més alts i un enfocament de col·laboració en igualtat de condicions són les nostres màximes prioritats. La protecció de les vostres dades i de les dades dels visitants del vostre lloc web no és només una obligació legal per a nosaltres, sinó també un compromís de qualitat central de la nostra empresa.

El Responsable del Tractament utilitza la solució de programari com a servei (SaaS) basada en el núvol "Biscotti CMP" (Consent Management Platform), que és desenvolupada, operada i distribuïda pel Responsable del Tractament. En el context de la prestació d'aquests serveis SaaS, que es posen a disposició sota el domini biscotti-cmp.com i l'aplicació app.biscotti-cmp.com, el responsable del tractament processa dades personals en nom i d'acord amb les instruccions del responsable del tractament. Aquest acord estableix les obligacions de protecció de dades de les parts que deriven de l'ús de Biscotti CMP. S'aplica a totes les activitats relacionades amb el contracte principal (contracte d'usuari per als serveis SaaS) en les quals els empleats del responsable del tractament o tercers contractats pel responsable del tractament puguin entrar en contacte amb les dades personals del responsable del tractament.

Aquest acord és essencial per complir els requisits del Reglament (UE) 2016/679 (Reglament general de protecció de dades – RGPD), en particular l'article 28 del RGPD, així com les disposicions addicionals de la Llei federal de protecció de dades (BDSG) i la Llei de protecció de dades de les telecomunicacions i els serveis digitals (TDDDG).

[!NOTA] Conclusió del contracte en el comerç electrònic Aquest contracte es formalitza en format electrònic d'acord amb l'article 28.9 del RGPD. En registrar-se pel responsable del tractament, forma part integral de les Condicions Generals de Contractació (CGC) de Biscotti CMP. El contracte es conclou mitjançant el consentiment electrònic exprés durant el registre (p. ex., fent clic en un botó de confirmació) i no requereix una signatura manuscrita separada per ser vàlid i jurídicament eficaç.

§ 1 Objecte i durada del tractament

1.1 Objecte del tractament El responsable del tractament proporciona serveis al responsable del tractament en l'àmbit de la gestió del consentiment i l'automatització del compliment de la protecció de dades. L'objecte del tractament de dades personals s'estableix en el contracte principal subscrit entre les parts pel que fa a l'ús del Biscotti CMP. El tractament comprèn totes les operacions relatives a les dades necessàries per a la prestació de les funcionalitats del programari acordades contractualment. Aquestes inclouen, en particular però no exclusivament:

• La provisió i visualització de bàners de consentiment (bàners de galetes) als llocs web del Responsable.
• La recollida, l'emmagatzematge, la gestió i la documentació de les decisions de consentiment (acceptació/rebuig) preses pels usuaris finals del responsable del tractament (visitors del lloc web), d'acord amb l'article 7.1 del RGPD i l'apartat 25.1 de la TDDDG.
• La realització d'escanejos de galetes amb suport d'IA als llocs web del responsable del tractament per identificar i categoritzar les tecnologies de seguiment i comparar-les amb la base de dades de proveïdors de l'IAB.
• El processament de senyals en el marc del Google Consent Mode v2, l'IAB Transparency & Consent Framework (TCF 2.4) i el Global Privacy Control (GPC).
• La determinació, basada en la IP, de la jurisdicció del visitant del lloc web per a la visualització dinàmica de variants de banners que compleixen la normativa (p. ex., RGPD, CCPA/CPRA).
• Generació de textos legals amb IA (avís legal, política de privacitat, política de galetes) mitjançant l'assistent integrat Legal Suite Assistant que utilitza Alibaba Cloud Qwen.
• La facilitació de registres d'auditoria, webhooks per a notificacions en temps real, funcionalitats de proves A/B i funcions d'exportació de dades per complir els drets dels interessats en virtut de l'article 15 del RGPD.
• La gestió de subcomptes d'agència amb la tarifa «Agency», incloent-hi la gestió de clients i la personalització de marca blanca.

1.2 Durada del tractament El termini d'aquest Acord de tractament de dades es basa en el termini del contracte principal subjacent per a l'ús del Biscotti CMP. El contracte entra en vigor amb el registre del responsable del tractament i l'activació del compte (per als plans gratuïts) o amb la confirmació del pagament (per als plans de pagament com ara Starter, Growth, Business i Agency). S'acaba automàticament amb la finalització del contracte principal, independentment dels motius legals (p. ex., per finalització ordinària, finalització extraordinària o supressió del compte). El termini de preavís per al contracte principal és d'un (1) dia abans del final del període de facturació corresponent. Les disposicions d'aquest contracte que, per la seva naturalesa, estiguin destinades a mantenir-se en vigor després de la finalització (en particular, les disposicions relatives a l'eliminació i devolució de dades, així com les qüestions de responsabilitat) es mantindran intactes per la finalització.

§ 2 Naturalesa i finalitat del tractament

2.1 Naturalesa del tractament La naturalesa del tractament comprèn la recollida, registre, organització, estructuració, conservació, adaptació o modificació, extracció, consulta, ús, comunicació per transmissió, difusió o posada a disposició de qualsevol altre tipus, alineació o combinació, limitació, supressió o destrucció de dades. El tractament es realitza principalment de manera automatitzada dins de la infraestructura en núvol del responsable del tractament (p. ex., allotjada a la Hetzner Online GmbH, amb servidors situats habitualment a la Unió Europea).

2.2 Finalitat del tractament La finalitat del tractament rau exclusivament en el compliment de les obligacions contractuals derivades del contracte principal. Això inclou:

• Prova del consentiment: emmagatzematge de les dades de consentiment per complir les obligacions de responsabilitat proactiva del responsable del tractament d'acord amb l'article 5.2 en conjunció amb l'article 7.1 del RGPD.
• Provisió tècnica: Visualització del bàner de consentiment i garantia de la funcionalitat del lloc web del responsable, tenint en compte les preferències de l'usuari.
• Anàlisi de compliment: comprovació automatitzada dels llocs web del responsable per detectar riscos de protecció de dades (escàner de galetes).
• Redacció de textos legals: Tractament de les dades de l'empresa i de contacte del responsable del tractament per a la creació assistida per IA de textos legals a mida.
• Facturació i gestió de comptes: Gestió de comptes d'usuari, assignació de límits de sessió (p. ex., 5.000 sessions al pla gratuït, 500.000 al pla Business) i tramitació de transferències de sessions.
• Gestió d'agències: Permet la gestió de fins a 25 subcomptes al pla d'Agència, incloent-hi la provisió de pàgines de revenda i funcions d'enviament de correu electrònic.

El tractament de les dades per a finalitats pròpies del responsable del tractament, en particular per a finalitats publicitàries pròpies o per a la creació de perfils d'usuaris, que van més enllà de la prestació contractual de serveis, està estrictament prohibit, tret que hi hagi una autorització legal expressa o un consentiment separat.

§ 3 Tipus de dades personals

Les categories següents de dades personals es tracten en l'àmbit del tractament de dades. El responsable del tractament determina l'abast exacte de les dades mitjançant l'ús que fa del Biscotti CMP i la configuració del programari mateix:

• Dades de consentiment: Decisions (consentiment/refús per a diverses categories com ara Essencials, Funcionals, Anàlisi, Màrqueting, Serveis d'IA), segells de temps (data i hora exacta del consentiment), número d'identificació únic (per a l'assignació pseudonimitzada de la decisió al dispositiu/navegador corresponent).
• Dades tècniques: adreces IP (tractades principalment per a la identificació de la jurisdicció en funció de la ubicació i, com a regla general, anònimades/truncades immediatament tret que el responsable del tractament configuri el contrari), informació del navegador, informació del dispositiu, cadenes d'agent d'usuari, dades de la sessió.
• Dades de galetes i seguidors: resultats de l'escaneig dels llocs web del responsable del tractament, incloent-hi les galetes trobades, els continguts de l'emmagatzematge local, els seguidors de tercers i la seva classificació.
• Contingut generat per IA: Dades que el responsable del tractament introdueix a l'Assistent Legal Suite per generar textos legals (política de privacitat, avís legal, termes i condicions). Això pot incloure dades de l'empresa, noms de representants autoritzats, adreces i activitats de tractament específiques, que es processen mitjançant l'API Alibaba Cloud Qwen.
• Dades de contacte (titulars de comptes): nom i cognom, adreça de correu electrònic, nom de l'empresa, adreça postal, número de telèfon, número d'identificació d'IVA de clients o titulars de comptes.
• Dades d'ús: activitats del tauler de control, estadístiques de bàners (vistes, interaccions, taxes d'acceptació), informes de compliment, registres d'auditoria dels canvis de compte.
• Dades de pagament: informació de facturació processada a través del proveïdor de serveis de pagament Stripe (les dades de la targeta de crèdit es tokenitzen directament per Stripe i no s'emmagatzemen en text pla pel processador).

§ 4 Categories de titulars de les dades

El tractament afecta les següents categories de persones interessades:

• Visitants del lloc web (usuaris finals): Persones físiques que visiten els llocs web del responsable del tractament i respecte a les quals es sol·liciten, processen i emmagatzemen les decisions de consentiment mitjançant el bàner de Biscotti CMP.
• Clients (titulars de comptes): persones físiques, autònoms o representants d'entitats jurídiques que, com a socis contractuals del responsable del tractament, han registrat un compte a Biscotti CMP.
• Membres de l'equip i empleats: Persones a les quals el titular del compte (responsable del tractament) ha convidat com a usuaris addicionals al tauler de control de Biscotti CMP per gestionar el sistema.
• Clients d'agències (titulars de subcomptes): Clients finals d'agències que utilitzen la tarifa «Agència» i per als quals s'han creat subcomptes.

§ 5 Obligacions i drets del responsable del tractament

5.1 Lícita del tractament El responsable del tractament és l'únic responsable d'avaluar la licitud del tractament encarregat i de salvaguardar els drets dels interessats (art. 4.7 RGPD). El responsable del tractament haurà de garantir que existeix una base jurídica vàlida (p. ex., el consentiment d'acord amb l'article 6, paràgraf 1, lletra a), del RGPD, o l'interès legítim d'acord amb l'article 6, paràgraf 1, lletra f), del RGPD) per al tractament de dades personals per part del responsable del tractament. Això s'aplica especialment a l'ús del Biscotti CMP per obtenir el consentiment d'acord amb l'article 25(1) de la TDDDG.

5.2 Obligacions d'informació El responsable del tractament és plenament responsable d'informar els interessats (en particular, els visitants del lloc web) sobre el tractament de les dades de manera transparent, precisa i oportuna, d'acord amb els articles 13 i 14 del RGPD. A aquest efecte, el processador proporcionarà al responsable el necessari informació tècnica sobre el funcionament del Biscotti CMP, així com textos de mostra a través de l'Assistent de Legal Suite. La revisió jurídica i la integració de la política de privacitat són responsabilitat del responsable.

5.3 Ús com a agència i revendedor Si el Responsable del Tractament utilitza la tarifa «Agència» i crea subcomptes per als seus propis clients, el Responsable del Tractament continua sent l'únic soci contractual i responsable del tractament de dades en relació amb el Responsable del Tractament. El responsable del tractament garanteix que té els acords contractuals necessaris (inclosos els seus propis acords de tractament de dades) amb els seus clients finals. Si el responsable del tractament crea un lloc de revenda o utilitza els seus propis servidors de correu electrònic sota el seu propi domini, assumeix la responsabilitat exclusiva d'aquesta infraestructura en virtut de la normativa de protecció de dades i de la llei de competència. El responsable del tractament no accepta cap responsabilitat a aquest efecte.

5.4 Informació d'errors El responsable del tractament ha d'informar el responsable del tractament de dades immediatament i de manera completa si, en revisar els resultats del tractament, descobreix errors o irregularitats relacionats amb les normatives de protecció de dades.

§ 6 Dret del responsable del tractament a emetre instruccions

6.1 naturalesa i abast de les instruccions El tractador tractarà les dades personals exclusivament d'acord amb les instruccions documentades del responsable del tractament, tret que la legislació de la Unió o de l'Estat membre a què estigui subjecte ho exigeixi (article 28.3.a del RGPD). En aquest cas, el responsable del tractament informarà el responsable del fitxer d'aquest requisit legal abans del tractament, tret que la normativa aplicable prohibeixi aquesta notificació per raó d'un interès públic important.

El contracte principal i aquestes CGC constitueixen les instruccions documentades inicials. L'ús de les funcions de Biscotti CMP (p. ex., configuració del bàner, inici d'un escaneig, generació de textos) per part del responsable del tractament al tauler de control es considerarà com a instruccions individuals documentades.

6.2 Forma de les instruccions Les instruccions es poden emetre generalment a través de la interfície d'usuari del programari (aplicació). Qualsevol altra instrucció s'ha de proporcionar per escrit (p. ex., per correu electrònic a [email protected]). Les instruccions verbals han de ser confirmades per escrit pel responsable del tractament sense demora.

6.3 Objections a les instruccions El responsable del tractament haurà d'informar immediatament el responsable del tractament si considera que una instrucció infringeix el RGPD, el BDSG o altres disposicions de protecció de dades de la Unió o dels Estats membres. El responsable del tractament té dret a suspendre l'execució de la instrucció pertinent fins que el responsable del tractament la confirmi o la modifiqu. El responsable del tractament pot rebutjar les instruccions que siguin manifestament il·legals.

§ 7 Obligació de confidencialitat

7.1 Obligació dels empleats El responsable del tractament confirma que ha obligat totes les persones autoritzades a tractar les dades personals del responsable del tractament (empleats, autònoms, organismes) a la confidencialitat abans de l'inici de les seves activitats (art. 28.3.b del RGPD) o que estan subjectes a una obligació legal de confidencialitat adequada. Aquesta obligació també inclou el secret de les dades i continuarà vigent fins i tot després de la finalització de l'activitat o de la relació laboral.

7.2 Formació i conscienciació L'encarregat del tractament s'haurà d'assegurar que les persones autoritzades a tractar dades rebin instruccions i siguin conscients periòdicament de les disposicions sobre protecció de dades (RGPD, BDSG) i seguretat de les dades. L'encarregat del tractament, representat per la direcció (Daniel Bosch, Philipp André Marschall), s'haurà d'assegurar d'una cultura corporativa que compleixi la normativa de protecció de dades.

7.3 Delegat de protecció de dades Quan ho exigeixi la llei d'acord amb l'article 38, paràgraf 1, de la BDSG o l'article 37 del RGPD (per exemple, quan hi hagi habitualment almenys 20 persones dedicades permanentment al tractament automatitzat), el responsable del tractament ha nomenat un delegat de protecció de dades competent i fiable.

Si no hi ha cap obligació legal de nomenar un responsable de protecció de dades, el responsable del tractament haurà de garantir, no obstant això, que la direcció supervisi i compleixi plenament les obligacions de protecció de dades.

§ 8 Mesures tècniques i organitzatives (MTO) d'acord amb l'article 32 del RGPD

8.1 Principi de seguretat del tractament El responsable del tractament declara per la present que, tenint en compte l'estat de la tècnica, els costos d'implementació i la naturalesa, l'abast, circumstàncies i finalitats del tractament, així com la probabilitat i la gravetat variables del risc per als drets i les llibertats de les persones físiques, el responsable del tractament ha implementat mesures tècniques i organitzatives adequades (MTO) per garantir un nivell de seguretat adequat al risc (article 32 del RGPD). Aquestes mesures es basen en estàndards de seguretat informàtica reconeguts (com ara ISO 27001 i SOC 2).

8.2 Mesures específiques El responsable del tractament haurà d'implementar, en particular, les mesures següents i mantenir-les durant tota la vigència del contracte:

a) Pseudonimització i xifratge (art. 32.1.a RGPD)

• Xifratge durant la transmissió: Totes les transmissions de dades entre l'usuari final, el responsable del tractament i la infraestructura de Biscotti CMP s'han de dur a terme utilitzant protocols de xifratge d'última generació (TLS 1.2 o TLS 1.3).
• Xifratge en repòs: totes les bases de dades i mitjans d'emmagatzematge de la Hetzner Online GmbH (ubicació del servidor: NL) estan xifrades a nivell de disc dur (AES-256).
• Pseudonimització: Les decisions de consentiment no s'enllacen amb noms reals, sinó amb un número d'identificació criptogràfic generat aleatòriament. Les adreces IP es retallen/anonimitzen per defecte tan aviat com es completa el mapeig basat en la ubicació.

b) Confidencialitat (control d'accés)

• Control d'accés: La seguretat física dels servidors utilitzats està garantida pel proveïdor extern de serveis d'infraestructura (p. ex., Google Cloud). Els centres de dades estan subjectes a controls d'accés i de seguretat estrictes que compleixen els estàndards del sector. Les instal·lacions de les oficines pròpies de Campcruisers GmbH estan protegides amb restriccions d'accés físic adequades (p. ex., panys de seguretat).
• Control d'accés: L'accés als sistemes informàtics del responsable del tractament es protegeix amb polítiques de contrasenyes restrictives, autenticació multifactorial (MFA) per a l'accés administratiu rellevant i temps d'inactivitat de la sessió. S'utilitzen sistemes com ara Cloudflare Turnstile per protegir els intents d'inici de sessió dels atacs de robots.
• Control d'accés: S'aplica el principi de privilegi mínim (Control d'accés basat en rols – RBAC). Els empleats del responsable del tractament només tenen accés a les dades estrictament necessàries per a les seves tasques respectives. Les dades dels clients de les diferents tarifes estan separades lògicament entre si (multitenància).

c) Integritat (controls de divulgació, d'entrada i de segregació)

• Control de divulgació: les dades no es transporten en suports físics. La transmissió es realitza exclusivament a través de xarxes segures.
• Control d'entrada: Biscotti CMP disposa d'un registre d'auditoria exhaustiu. En qualsevol moment es pot rastrejar quin usuari (client, membre de l'equip, agència) ha fet quins canvis al tauler de control i a quina hora (p. ex., canvis en els textos dels bàners, ajustos de les categories de galetes).
• Control de segregació: les dades recollides per a diferents finalitats es processen per separat. Els entorns de producció, prova i desenvolupament estan estrictament aïllats entre si.

d) Disponibilitat i resiliència (art. 32.1.b i c del RGPD)

• Disponibilitat: El processador adopta les mesures adequades d'acord amb els estàndards del sector per garantir la disponibilitat dels sistemes (allotjament a la Hetzner Online GmbH). No obstant això, no es garanteixen nivells explícits de SLA de disponibilitat i no hi ha una redundància completa de la infraestructura.
• Resiliència: L'arquitectura del sistema està dissenyada de manera que els volums de sessions esperats generalment es processen de manera fiable. No obstant això, no s'utilitzen mecanismes dedicats d'equilibri de càrrega o d'escalat automàtic (auto-escalat).
• Recuperabilitat: El responsable del tractament adopta les mesures adequades (p. ex., còpies de seguretat regulars de les bases de dades) per permetre la recuperació de les dades en cas d'incident tècnic. No obstant això, no es garanteix la recuperació sense pèrdues, motiu pel qual el responsable del tractament està obligat a utilitzar les funcions d'exportació disponibles sota la seva pròpia responsabilitat.

e) Procediments de revisió periòdica (art. 32.1.d RGPD)

• El responsable del tractament revisa regularment l'eficàcia de les mesures tècniques i organitzatives adoptades internament.
• Hi ha processos interns de resposta a incidents per gestionar possibles incidents dins del marc legal.
• Les MTO estan subjectes a un procés de millora contínua.

8.3 Adaptació de les mesures tècniques i organitzatives Les mesures tècniques i organitzatives estan subjectes al progrés tècnic i al desenvolupament posterior. El responsable del tractament té dret a implementar mesures alternatives adequades, sempre que el nivell de seguretat no sigui inferior al de les mesures especificades. Els canvis significatius s'han de comunicar per escrit al responsable del tractament.

§ 9 Subprocessadors

9.1 Contracte amb subprocessadors El responsable del tractament atorga al responsable de l'execució una autorització general per escrit (art. 28.2 RGPD) per contractar altres responsables de l'execució (subprocessadors). El Responsable del Tractament garantirà que selecciona amb cura els subprocessadors i que contractualment els imposa les mateixes obligacions de protecció de dades que les establertes en aquest Acord (art. 28.4 RGPD).

9.2 Subprocessadors autoritzats actualment En el moment de la conclusió d'aquest contracte, els subprocessadors següents estan contractats per a la prestació dels serveis de Biscotti CMP i es consideren autoritzats pel responsable del tractament. L'encarregat del tractament s'ha assegurat que, en el cas dels proveïdors dels EUA, la sucursal corresponent de la UE actuï com a soci contractual per tal de mantenir el nivell de protecció de dades de la UE:

9.3 Transferència a tercers països Quan el tractament es dur a terme per subprocessadors fora de la Unió Europea (UE) o de l'Espai Econòmic Europeu (EEE) (p. ex., en el cas de Resend), el responsable del tractament haurà d'assegurar que es compleixen els requisits específics dels articles 44 i següents del RGPD. Això s'aconsegueix generalment mitjançant la conclusió de les Clausules Tipus de Contracte (SCCs) actuals de la Comissió Europea, juntament amb una Avaluació d'Impacte de la Transferència i la implementació de mesures tècniques addicionals (p. ex., xifratge).

9.4 Canvi o incorporació de nous subencarregats El responsable del tractament informarà el responsable del fitxer de qualsevol canvi previst pel que fa a la contractació o substitució de subencarregats. La informació es proporcionarà per escrit (p. ex., per correu electrònic a l'adreça que consten al compte) amb una antelació mínima de 30 dies respecte del canvi previst. El Responsable del Tractament pot oposar-se al canvi per motius imperiosos relacionats amb la normativa de protecció de dades en el termini de 14 dies des de la recepció de la notificació. Si no s'oposa, el canvi es considerarà aprovat. En cas d'una objecció justificada que el responsable del tractament no pugui resoldre adoptant mesures raonables, el responsable del tractament té dret a resiliar el contracte principal de manera extraordinària amb efecte a partir de la data en què el canvi entri en vigor.

§ 10 Assistència en l'exercici dels drets dels interessats

10.1 Obligació de prestar suport El responsable del tractament haurà de, sempre que sigui possible, ajudar el responsable del tractament amb mesures tècniques i organitzatives adequades per complir l'obligació del responsable del tractament de respondre a les sol·licituds d'exercici dels drets dels interessats a què es refereix el Capítol III del RGPD (arts. 15 a 22 del RGPD) (article 28.3.e del RGPD).

10.2 Implementació tècnica a Biscotti CMP Biscotti CMP té com a objectiu proporcionar suport tècnic al responsable del tractament per complir les seves obligacions:

• Dret d'accés (art. 15 RGPD) i dret a la portabilitat de les dades (art. 20 RGPD): El programari ofereix opcions d'exportació de dades (p. ex., en CSV), o es poden sol·licitar exportacions d'identificadors de consentiment específics al servei d'assistència d'una manera que compleixi la normativa de protecció de dades.
• Dret a retirar el consentiment (art. 7.3 RGPD): El bàner de consentiment de Biscotti CMP ofereix als usuaris finals l'opció de veure la seva configuració i retirar el consentiment en qualsevol moment.
• Dret a l'oblit (art. 17 RGPD): Les dades recollides poden ser esborrades pel responsable del tractament mitjançant les funcions disponibles al panell de control o, mitjançant una sol·licitud verificable, es poden programar per a la seva supressió contactant amb el servei d'assistència.

10.3 Tramesa de sol·licituds Si un interessat exerceix els seus drets directament davant del responsable del tractament, el responsable del tractament no respondrà a la sol·licitud de manera independent, sinó que remetrà immediatament l'interessat al responsable del tractament, sempre que l'interessat pugui ser identificat com a pertanyent al responsable del tractament sobre la base de les dades disponibles. El responsable del tractament tramitarà la sol·licitud al responsable del tractament sense dilació.

§ 11 Suport amb l'avaluació d'impacte en la protecció de dades i les obligacions de notificació

11.1 Avaluació d'impacte en la protecció de dades (art. 35 RGPD) El responsable del tractament ajudarà el responsable del fitxer, tenint en compte la naturalesa del tractament i la informació de què disposi, a dur a terme una avaluació d'impacte en la protecció de dades (AIPD) d'acord amb l'article 35 del RGPD, així com en qualsevol consulta prèvia necessària amb l'autoritat de control (article 36 del RGPD).

11.2 Notificació de violacions de seguretat de dades personals El responsable del tractament està obligat a notificar per escrit al responsable del tractament qualsevol violació de seguretat de dades personals (violació de dades) que afecti les dades tractades en nom del responsable del tractament sense dilació indeguda i, en qualsevol cas, en un termini de 48 hores des que en tingui coneixement.

§ 12 Supressió i devolució de les dades

12.1 Supressió en finalitzar el contracte Un cop finalitzada la prestació dels serveis de tractament (extinció del contracte principal), el responsable del tractament està obligat, a discreció del responsable del tractament, a esborrar o retornar totes les dades personals, sempre que no hi hagi cap obligació en virtut del dret de la Unió o del dret dels Estats membres (p. ex., obligacions de conservació en virtut del dret mercantil i fiscal alemany, d'acord amb el Codi de Comerç alemany (HGB) i el Codi Fiscal alemany (AO)) de conservar les dades personals.

12.2 Procés estàndard de Biscotti CMP Si el responsable del tractament no emet instruccions diferents, s'aplica el següent procés estàndard: El responsable del tractament té l'opció de fer una còpia de seguretat de les seves dades de manera independent abans de la finalització del contracte mitjançant la funció d'exportació (CSV). Un cop s'efectua la finalització i expira el període de facturació, el compte del responsable del tractament es desactivarà. Les dades personals emmagatzemades al compte es conserven durant un període transitori de 30 dies (període de conservació) per permetre la seva restauració en cas d'una degradació accidental. Un cop transcorreguts aquests 30 dies, les dades s'eliminen de manera irrevocable i d'acord amb la normativa de protecció de dades dels sistemes de producció.

12.3 Confirmació de l'eliminació A petició expressa del responsable del tractament, l'encarregat del tractament haurà de confirmar per escrit al responsable del tractament que les dades s'han eliminat d'acord amb la normativa de protecció de dades.

§ 13 Drets d'inspecció i auditoria

13.1 Dret d'auditoria El responsable del tractament proporcionarà al responsable del tractament tota la informació necessària per demostrar el compliment de les obligacions establertes a l'article 28 del RGPD i en aquest contracte. Facilitarà i cooperarà en les auditories —incloses les inspeccions— realitzades pel responsable del tractament o per un auditor designat pel responsable del tractament que estigui subjecte a l'obligació de confidencialitat.

13.2 Realització de les auditories Per tal de no comprometre la seguretat dels centres de dades i la confidencialitat de les dades d'altres clients (segregació de clients), les parts acorden el següent procediment per a les auditories:

• El Responsable del Tractament exercirà principalment el seu dret d'inspecció sol·licitant i avaluant certificats rellevants (p. ex., ISO 27001) o mitjançant qüestionaris detallats sobre seguretat informàtica.
• Si aquesta informació resultés insuficient, el Responsable del Tractament tindrà dret a dur a terme una inspecció in situ a les instal·lacions de Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Les inspeccions in situ s'han d'anunciar amb una antelació raonable (normalment almenys 14 dies).

§ 14 Responsabilitat i indemnització

14.1 Responsabilitat externa (enfront dels interessats) El responsable i el responsable del tractament seran responsables davant de l'interessat de la indemnització per danys d'acord amb l'article 82 del RGPD. El responsable del tractament serà responsable dels danys derivats del tractament només si no ha complert les seves obligacions en virtut del RGPD o ha actuat contràriament a les instruccions legals del responsable.

14.2 Relació interna (entre les parts) En la seva relació interna, les parts quedaran exemptes de responsabilitat si una part demostra que no és responsable de cap manera de la circumstància que ha originat el dany.

14.3 Limitació de responsabilitat en virtut del contracte principal A més, s'aplicaran les disposicions de responsabilitat del contracte principal (Condicions generals). Queda exclosa la responsabilitat per negligència lleu, tret que es tracti d'un incompliment d'obligacions contractuals essencials (obligacions cardinals). En aquest cas, la responsabilitat es limita als danys previsibles i típics del contracte.

§ 15 Disposicions finals

15.1 Forma escrita i esmenes Les esmenes i addicions a aquest contracte s'han de fer per escrit (p. ex., per correu electrònic). El Responsable del tractament es reserva el dret d'esmenar aquest contracte per adaptar-lo als canvis en la situació jurídica o als desenvolupaments tècnics. El Responsable del tractament serà informat de qualsevol esmena per correu electrònic.

15.2 Ordre de prelació Si algunes disposicions individuals d'aquest Acord de tractament de dades entren en conflicte amb les disposicions del contracte principal (Condicions generals), prevaldran les disposicions d'aquest Acord de tractament de dades pel que fa a la protecció i la seguretat de les dades.

15.3 Clàusula de divisibilitat Si alguna de les disposicions d'aquest acord és o esdevé nul·la o inaplicable, això no afectarà la validesa de les disposicions restants. Les parts es comprometen a substituir la disposició nul·la o inaplicable per una disposició vàlida i aplicable.

15.4 Llei aplicable i jurisdicció Aquest Acord es regirà exclusivament per les lleis de la República Federal d'Alemanya, amb l'exclusió de la Convenció de les Nacions Unides sobre els Contractes per a la Venda Internacional de Mercaderies. El fur exclusiu per a totes les disputes que sorgeixin o estiguin relacionades amb aquest Acord serà, en la mesura que ho permeti la llei, el domicili social del Responsable del Tractament (Falkensee). L'idioma de l'Acord és l'alemany.