Acuerdo de Procesamiento de Datos

Contrato de tratamiento de datos (CTD) de conformidad con el artículo 28 del RGPD

Fecha: 20/03/2026

Entre

el cliente registrado de Biscotti CMP —en lo sucesivo, «responsable» o «cliente»—

y

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee República Federal de Alemania

Tribunal de registro: Juzgado de Primera Instancia de Potsdam Número de registro: HRB 40180 P N.º de identificación fiscal: DE368000447 Número de identificación fiscal: 29/249/36095 Representada por: Daniel Bosch (CEO), Philipp André Marschall (apoderado) Correo electrónico: [email protected] Teléfono: +49 3322 50703301 Horario comercial: de lunes a viernes, de 09:00 a 17:00 horas – en lo sucesivo, «encargado del tratamiento» o «proveedor» –

– el responsable del tratamiento y el encargado del tratamiento, en lo sucesivo denominados conjuntamente «las partes» –

Preámbulo

¡Bienvenido a Campcruisers GmbH! Nos complace enormemente darle la bienvenida como cliente. La transparencia, los más altos estándares de seguridad y una relación de colaboración entre iguales son nuestra máxima prioridad. La protección de sus datos y de los datos de los visitantes de su sitio web no es para nosotros solo una obligación legal, sino una promesa de calidad fundamental de nuestra empresa.

El responsable del tratamiento utiliza la solución de software como servicio (SaaS) basada en la nube «Biscotti CMP» (Consent Management Platform), desarrollada, operada y comercializada por el encargado del tratamiento. En el marco de la prestación de estos servicios SaaS, que se ofrecen bajo el dominio biscotti-cmp.com y la aplicación app.biscotti-cmp.com, el encargado del tratamiento trata datos personales por cuenta y siguiendo las instrucciones del responsable del tratamiento. El presente contrato concreta las obligaciones en materia de protección de datos de las partes que se derivan del uso de Biscotti CMP. Se aplica a todas las actividades relacionadas con el contrato principal (contrato de uso de los servicios SaaS) y en las que los empleados del encargado del tratamiento o terceros designados por él puedan tener acceso a datos personales del responsable del tratamiento.

El presente contrato es imprescindible para cumplir los requisitos del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos – RGPD), en particular el art. 28 del RGPD, así como a las disposiciones complementarias de la Ley Federal de Protección de Datos (BDSG) y de la Ley de Protección de Datos en las Telecomunicaciones y los Servicios Digitales (TDDDG).

[!NOTE] Celebración del contrato en el comercio electrónico El presente contrato se celebra en formato electrónico, de conformidad con el artículo 28, apartado 9, del RGPD. Al realizar el registro, forma parte integrante de las Condiciones Generales de Contratación (CGC) de Biscotti CMP. La celebración del contrato se produce mediante el consentimiento electrónico expreso durante el registro (por ejemplo, haciendo clic en un botón de confirmación) y no requiere ninguna firma manuscrita separada para su validez y eficacia jurídica.

§ 1 Objeto y duración del tratamiento

1.1 Objeto del tratamiento El encargado del tratamiento presta servicios al responsable en el ámbito de la gestión del consentimiento (Consent Management) y de la automatización del cumplimiento de la normativa de protección de datos. El objeto del tratamiento de datos personales se deriva del contrato principal celebrado entre las partes sobre el uso de Biscotti CMP. El tratamiento abarca todos los procesos relacionados con los datos que sean necesarios para la puesta a disposición de las funcionalidades del software acordadas contractualmente. Entre ellos se incluyen, en particular, pero sin carácter exhaustivo:

• La puesta a disposición y entrega de banners de consentimiento (banners de cookies) en los sitios web del responsable del tratamiento.
• El registro, almacenamiento, gestión y documentación de las decisiones de consentimiento (aceptación/rechazo) de los usuarios finales (visitantes del sitio web) del responsable, de conformidad con el art. 7, apartado 1, del RGPD y el art. 25, apartado 1, de la TDDDG.
• La realización de análisis de cookies basados en IA en los sitios web del responsable del tratamiento para la identificación y categorización de tecnologías de seguimiento y su comparación con la base de datos de proveedores de la IAB.
• El tratamiento de señales en el marco de Google Consent Mode v2, del IAB Transparency & Consent Framework (TCF 2.4) y del Global Privacy Control (GPC).
• La determinación, basada en la IP, de la jurisdicción del visitante del sitio web para la visualización dinámica de variantes de banners conformes a la legislación (por ejemplo, RGPD, CCPA/CPRA).
• La generación de textos legales (aviso legal, política de privacidad, política de cookies) asistida por IA a través del asistente Legal Suite integrado, utilizando Alibaba Cloud Qwen.
• La puesta a disposición de registros de auditoría (logs de auditoría), webhooks para notificaciones en tiempo real, funcionalidades de pruebas A/B, así como funciones de exportación de datos para el cumplimiento de los derechos de los interesados según el art. 15 del RGPD.
• La gestión de subcuentas de agencia en el marco de la tarifa «Agency», incluida la gestión de clientes y la personalización de marca blanca.

1.2 Duración del tratamiento La vigencia del presente contrato de encargado del tratamiento se rige por la vigencia del contrato principal subyacente sobre el uso de Biscotti CMP. El contrato entrará en vigor con el registro del responsable del tratamiento y la activación de la cuenta (en el caso de las tarifas gratuitas) o con la confirmación del pago (en el caso de las tarifas de pago, como Starter, Growth, Business y Agency). Finalizará automáticamente con la rescisión del contrato principal, independientemente de la causa jurídica (por ejemplo, por rescisión ordinaria, rescisión extraordinaria o cancelación de la cuenta). El plazo de preaviso para el contrato principal es de 1 día antes del final del periodo de facturación correspondiente. Las disposiciones del presente contrato que, por su naturaleza, deban seguir vigentes tras la rescisión (en particular, las normas relativas a la supresión y devolución de datos, así como las cuestiones de responsabilidad) no se verán afectadas por la rescisión.

§ 2 Naturaleza y finalidad del tratamiento

2.1 Naturaleza del tratamiento La naturaleza del tratamiento comprende la recogida, el registro, la organización, la clasificación, el almacenamiento, la adaptación o modificación, la lectura, la consulta, la utilización, la divulgación mediante transmisión, difusión u otra forma de puesta a disposición, la comparación o la interconexión, la restricción, la supresión o la destrucción de datos. El tratamiento se realiza principalmente de forma automatizada en la infraestructura en la nube del encargado del tratamiento (por ejemplo, alojada en Hetzner Online GmbH, con los servidores ubicados normalmente en la Unión Europea).

2.2 Finalidad del tratamiento La finalidad del tratamiento radica exclusivamente en el cumplimiento de las obligaciones contractuales derivadas del contrato principal. Esto incluye:

• Acreditación del consentimiento: almacenamiento de los datos de consentimiento para el cumplimiento de la obligación de rendir cuentas del responsable del tratamiento, de conformidad con el art. 5, apartado 2, en relación con el art. 7, apartado 1, del RGPD.
• Puesta a disposición técnica: visualización del banner de consentimiento y garantía de la funcionalidad del sitio web del responsable, teniendo en cuenta las preferencias de los usuarios.
• Análisis de cumplimiento: Comprobación automatizada de los sitios web del responsable en busca de riesgos en materia de protección de datos (escáner de cookies).
• Redacción de textos jurídicos: tratamiento de los datos de la empresa y de contacto del responsable para la redacción, asistida por IA, de textos jurídicos a medida.
• Facturación y gestión de cuentas: gestión de las cuentas de usuario, asignación de límites de sesiones (por ejemplo, 5 000 sesiones en la tarifa gratuita, 500 000 en la tarifa Business) y tramitación de las transferencias de sesiones.
• Gestión de agencias: posibilidad de gestionar hasta 25 subcuentas en la tarifa Agency, incluyendo la puesta a disposición de páginas para revendedores y funciones de envío de correo electrónico.

Queda estrictamente prohibido el tratamiento de los datos para fines propios del encargado del tratamiento, en particular con fines publicitarios propios o para la creación de perfiles de usuario, que excedan la prestación contractual de servicios, salvo que exista una autorización legal expresa o un consentimiento independiente.

§ 3 Tipo de datos personales

En el marco del tratamiento por encargo, se tratan las siguientes categorías de datos personales. El responsable del tratamiento determina el alcance exacto de los datos mediante su uso de Biscotti CMP y la configuración del software:

• Datos de consentimiento: decisiones (aceptación/rechazo para diferentes categorías como esenciales, funcionales, de análisis, de marketing, servicios de IA), marca de tiempo (fecha y hora exacta del consentimiento), número de identificación único (para la asignación seudónima de la decisión al dispositivo o navegador correspondiente).
• Datos técnicos: direcciones IP (se tratan principalmente para la identificación de la jurisdicción basada en la ubicación y, por regla general, se anonimizan o acortan de inmediato, salvo que el responsable establezca una configuración diferente), información del navegador, información del dispositivo, cadenas de agente de usuario, datos de sesión.
• Datos de cookies y rastreadores: resultados del análisis de los sitios web del responsable, incluyendo las cookies encontradas, el contenido del almacenamiento local, los rastreadores de terceros y su clasificación.
• Contenidos generados por IA: datos que el responsable introduce en los asistentes de Legal Suite para generar textos jurídicos (política de privacidad, aviso legal, condiciones generales). Esto puede incluir datos de la empresa, nombres de los representantes legales, direcciones y actividades de tratamiento específicas que se procesan a través de la API de Alibaba Cloud Qwen.
• Datos de contacto (titulares de la cuenta): nombre y apellidos, dirección de correo electrónico, nombre de la empresa, dirección postal, número de teléfono y número de identificación fiscal (NIF) de los clientes o titulares de la cuenta.
• Datos de uso: actividades del panel de control, estadísticas de banners (visitas, interacciones, tasas de aceptación), informes de cumplimiento, registros de auditoría sobre cambios en la cuenta.
• Datos de pago: información de facturación procesada a través del proveedor de servicios de pago Stripe (los datos de las tarjetas de crédito se tokenizan directamente en Stripe y no se almacenan en texto claro en el encargado del tratamiento).

§ 4 Categorías de interesados

El tratamiento afecta a las siguientes categorías de interesados:

• Visitantes del sitio web (usuarios finales): personas físicas que visitan los sitios web del responsable del tratamiento y cuyas decisiones de consentimiento se solicitan, procesan y almacenan a través del banner de Biscotti CMP.
• Clientes (titulares de cuentas): personas físicas, empresarios individuales o representantes de personas jurídicas que, como socios contractuales del encargado del tratamiento, han registrado una cuenta en Biscotti CMP.
• Miembros del equipo y empleados: personas que han sido invitadas por el titular de la cuenta (responsable del tratamiento) como usuarios adicionales al panel de control de Biscotti CMP para gestionar el sistema.
• Clientes de agencias (titulares de subcuentas): clientes finales de agencias que utilizan la tarifa «Agency» y para los que se han creado subcuentas.

§ 5 Obligaciones y derechos del responsable del tratamiento

5.1 Licitud del tratamiento El responsable es el único responsable de evaluar la licitud del tratamiento encargado, así como de garantizar los derechos de los interesados (art. 4, n.º 7 del RGPD). El responsable se asegurará de que exista una base jurídica válida (por ejemplo, el consentimiento según el art. 6, apartado 1, letra a) del RGPD o el interés legítimo según el art. 6, apartado 1, letra f) del RGPD) para el tratamiento de los datos personales por parte del encargado del tratamiento. Esto se aplica, en particular, al uso de Biscotti CMP para recabar consentimientos con arreglo al artículo 25, apartado 1, de la TDDDG.

5.2 Obligaciones de información El responsable es plenamente responsable de informar a los interesados (en particular, a los visitantes del sitio web) sobre el tratamiento de datos de forma transparente, precisa y oportuna, de conformidad con los artículos 13 y 14 del RGPD. El encargado del tratamiento pone a disposición del responsable la información técnica necesaria sobre el funcionamiento de Biscotti CMP, así como textos modelo a través del asistente de Legal Suite. La verificación jurídica y la integración de la declaración de protección de datos son responsabilidad del responsable.

5.3 Uso por parte de agencias y distribuidores Si el responsable utiliza la tarifa «Agency» y crea subcuentas para sus propios clientes, seguirá siendo el único socio contractual y el responsable en materia de protección de datos en relación con el encargado del tratamiento. El responsable garantiza que dispone de los acuerdos contractuales necesarios (incluidos sus propios contratos de encargado del tratamiento) con sus clientes finales. Si el responsable configura una página de revendedor o utiliza sus propios servidores de correo electrónico bajo su propio dominio, asumirá la responsabilidad exclusiva en materia de protección de datos y de competencia por dicha infraestructura. El encargado del tratamiento no asume ninguna responsabilidad al respecto.

5.4 Notificación de errores El responsable deberá informar al encargado del tratamiento de forma inmediata y exhaustiva si, al comprobar los resultados del encargo, detecta errores o irregularidades en relación con las disposiciones en materia de protección de datos.

§ 6 Derecho de instrucción del responsable

6.1 Naturaleza y alcance de las instrucciones El encargado del tratamiento tratará los datos personales exclusivamente siguiendo las instrucciones documentadas del responsable del tratamiento, salvo que esté obligado a ello por el Derecho de la Unión o de los Estados miembros al que esté sujeto (art. 28, apartado 3, letra a) del RGPD). En tal caso, el encargado del tratamiento comunicará al responsable de tratamiento este requisito legal antes del tratamiento, salvo que la legislación en cuestión prohíba dicha comunicación por razones de interés público importante.

El contrato principal, así como las presentes CGC, constituyen las instrucciones documentadas iniciales. El uso de las funciones de Biscotti CMP (por ejemplo, la configuración del banner, el inicio de un escaneo, la generación de textos) por parte del responsable en el panel de control se considera una instrucción individual documentada.

6.2 Forma de las instrucciones Por regla general, las instrucciones pueden impartirse a través de la interfaz de usuario del software (aplicación). Las instrucciones que vayan más allá de esto deberán impartirse por escrito (por ejemplo, por correo electrónico a [email protected]). El responsable deberá confirmar inmediatamente por escrito las instrucciones verbales.

6.3 Objeciones a las instrucciones El encargado del tratamiento informará inmediatamente al responsable si considera que una instrucción infringe el RGPD, la BDSG u otras disposiciones de protección de datos de la Unión o de los Estados miembros. El encargado del tratamiento tendrá derecho a suspender la ejecución de la instrucción correspondiente hasta que sea confirmada o modificada por el responsable. El encargado del tratamiento podrá rechazar las instrucciones que sean manifiestamente ilegales.

§ 7 Obligación de confidencialidad

7.1 Obligación de los empleados El encargado del tratamiento confirma que ha impuesto una obligación de confidencialidad a todas las personas autorizadas para tratar los datos personales del responsable del tratamiento (empleados, colaboradores externos, órganos) antes del inicio de la actividad (art. 28, apartado 3, letra b) del RGPD) o que estas están sujetas a una obligación legal de confidencialidad adecuada. Esta obligación incluye también el secreto de los datos y se mantiene incluso tras la finalización de la actividad o de la relación laboral.

7.2 Formación y sensibilización El encargado del tratamiento se asegurará de que las personas autorizadas para el tratamiento reciban formación y sensibilización periódicas sobre las disposiciones en materia de protección de datos (RGPD, BDSG) y seguridad de los datos. El encargado del tratamiento, representado por la dirección (Daniel Bosch, Philipp André Marschall), velará por una cultura empresarial conforme a la protección de datos.

7.3 Delegado de protección de datos El encargado del tratamiento ha designado a un delegado de protección de datos competente y fiable, siempre que sea obligatorio por ley según el artículo 38, apartado 1, de la BDSG o el artículo 37 del RGPD (por ejemplo, cuando haya, por regla general, al menos 20 personas que se dediquen de forma permanente al tratamiento automatizado).

En caso de que no exista la obligación legal de designar a un delegado, el encargado del tratamiento se asegurará, no obstante, de que la dirección supervise y cumpla íntegramente las obligaciones en materia de protección de datos.

Artículo 8: Medidas técnico-organizativas (TOM) según el artículo 32 del RGPD

8.1 Principio de seguridad del tratamiento El encargado del tratamiento declara de forma vinculante que, teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, las circunstancias y los fines del tratamiento, así como de la probabilidad y gravedad del riesgo para los derechos y libertades de las personas físicas, ha adoptado medidas técnicas y organizativas (TOM) adecuadas para garantizar un nivel de protección adecuado al riesgo (art. 32 del RGPD). Estas medidas se basan en normas de seguridad informática reconocidas (como ISO 27001 y SOC 2).

8.2 Medidas concretas El encargado del tratamiento aplicará, en particular, las siguientes medidas y las mantendrá durante toda la vigencia del contrato:

a) Seudonimización y cifrado (art. 32, apartado 1, letra a) del RGPD)

• Cifrado durante la transmisión: Todas las transmisiones de datos entre el usuario final, el responsable del tratamiento y la infraestructura de Biscotti CMP se realizan obligatoriamente mediante los protocolos de cifrado más modernos (TLS 1.2 o TLS 1.3).
• Cifrado en reposo: Todas las bases de datos y soportes de almacenamiento en Hetzner Online GmbH (ubicación del servidor: Países Bajos) están cifrados a nivel de disco duro (AES-256).
• Seudonimización: Las decisiones de consentimiento no se vinculan con nombres reales, sino con un número de identificación criptográfico generado aleatoriamente. Las direcciones IP se acortan/anonimizan de forma predeterminada tan pronto como se completa la asignación basada en la ubicación.

b) Confidencialidad (control de acceso y acceso)

• Control de acceso: La seguridad física de los servidores utilizados está garantizada por el proveedor externo de infraestructura (p. ej., Google Cloud). Los centros de datos están sujetos a estrictos controles de acceso y seguridad habituales en el sector. Las propias oficinas de Campcruisers GmbH están protegidas mediante restricciones de acceso físico adecuadas (p. ej., cerraduras de seguridad).
• Control de acceso: El acceso a los sistemas informáticos del encargado del tratamiento está protegido mediante políticas restrictivas de contraseñas, autenticación multifactorial (MFA) para los accesos administrativos relevantes y tiempos de espera de sesión. Se utilizan sistemas como Cloudflare Turnstile para proteger los intentos de inicio de sesión contra ataques de bots.
• Control de acceso: se aplica el principio de concesión de derechos mínimos (Role-Based Access Control, RBAC). Los empleados del encargado del tratamiento solo tienen acceso a los datos que son estrictamente necesarios para su tarea respectiva. Los datos de los clientes de las diferentes tarifas están separados lógicamente entre sí (capacidad de multicliente).

c) Integridad (control de divulgación, entrada y separación)

• Control de la transmisión: los datos no se transportan en soportes físicos. La transmisión se realiza exclusivamente a través de redes seguras.
• Control de entrada: Biscotti CMP dispone de un completo registro de auditoría (log de auditoría). En todo momento se puede rastrear qué usuario (cliente, miembro del equipo, agencia) ha realizado qué cambios en el panel de control y en qué momento (p. ej., modificación de los textos de los banners, ajuste de las categorías de cookies).
• Control de separación: los datos recopilados con fines distintos se tratan por separado. Los entornos de producción, prueba y desarrollo están estrictamente aislados entre sí.

d) Disponibilidad y resiliencia (art. 32, apartado 1, letras b) y c) del RGPD)

• Disponibilidad: El encargado del tratamiento adopta medidas adecuadas y habituales en el sector para garantizar la disponibilidad de los sistemas (alojamiento en Hetzner Online GmbH). Sin embargo, no se garantizan niveles de disponibilidad explícitos en el SLA y no existe una redundancia total de la infraestructura.
• Capacidad de carga: La arquitectura del sistema está diseñada de tal manera que, por regla general, los volúmenes de sesiones previstos se procesan de forma fiable. Sin embargo, no se utilizan mecanismos dedicados de equilibrio de carga ni de escalado automático (auto-scaling).
• Capacidad de recuperación: El encargado del tratamiento toma las medidas adecuadas (por ejemplo, copias de seguridad periódicas de las bases de datos) para permitir la recuperación de los datos en caso de un incidente técnico. Sin embargo, no se garantiza una recuperación sin pérdidas, por lo que se insta al responsable del tratamiento a utilizar bajo su propia responsabilidad las funciones de exportación de que dispone.

e) Procedimientos de revisión periódica (art. 32, apartado 1, letra d) del RGPD)

• El encargado del tratamiento comprueba periódicamente a nivel interno la eficacia de las medidas técnicas y organizativas adoptadas.
• Existen procesos internos de respuesta a incidentes de seguridad (Incident Response) para poder hacer frente a posibles incidentes dentro del marco legal.
• Las medidas técnicas y organizativas están sujetas a un proceso de mejora continua.

8.3 Adaptación de las medidas técnicas y organizativas Las medidas técnicas y organizativas están sujetas al progreso técnico y al desarrollo continuo. El encargado del tratamiento está autorizado a aplicar medidas alternativas adecuadas, siempre que no se reduzca el nivel de seguridad de las medidas establecidas. Los cambios sustanciales deberán comunicarse al responsable por escrito.

§ 9 Subencargados del tratamiento

9.1 Contratación de subencargados del tratamiento El responsable del tratamiento concede por la presente al encargado del tratamiento la autorización general por escrito (art. 28, apartado 2, del RGPD) para recurrir a otros encargados del tratamiento (subencargados del tratamiento). El encargado del tratamiento se asegurará de seleccionar cuidadosamente a los subencargados del tratamiento y de someterlos contractualmente a las mismas obligaciones de protección de datos que se establecen en el presente contrato (art. 28, apartado 4, del RGPD).

9.2 Subencargados del tratamiento actualmente autorizados En el momento de la celebración del contrato, los siguientes subencargados del tratamiento prestan servicios para Biscotti CMP y son considerados autorizados por el responsable del tratamiento. El encargado del tratamiento se ha asegurado de que, en el caso de los proveedores estadounidenses, la sucursal correspondiente en la UE actúe como parte contratante, a fin de garantizar el nivel de protección de datos de la UE:

9.3 Transferencia a terceros países Si el tratamiento lo lleva a cabo un subencargado fuera de la Unión Europea (UE) o del Espacio Económico Europeo (EEE) (por ejemplo, en el caso de Resend), el encargado del tratamiento se asegurará de que se cumplan los requisitos específicos de los artículos 44 y siguientes del RGPD. Esto se lleva a cabo, por regla general, mediante la celebración de las cláusulas contractuales tipo (SCC) vigentes de la Comisión Europea, junto con una evaluación del impacto de la transferencia (Transfer Impact Assessment) y la implementación de medidas técnicas adicionales (p. ej., cifrado).

9.4 Cambio o incorporación de nuevos subencargados del tratamiento El encargado del tratamiento informará al responsable de cualquier cambio previsto en relación con la incorporación o sustitución de subencargados del tratamiento. La información se facilitará por escrito (por ejemplo, por correo electrónico a la dirección indicada en la cuenta) al menos 30 días antes del cambio previsto. El responsable podrá oponerse al cambio por motivos importantes relacionados con la protección de datos en un plazo de 14 días a partir de la recepción de la notificación. Si no se formula oposición, el cambio se considerará aprobado. En caso de una oposición justificada que el encargado del tratamiento no pueda resolver mediante medidas razonables, el responsable tendrá derecho a rescindir el contrato principal de forma extraordinaria en el momento en que el cambio entre en vigor.

§ 10 Asistencia en materia de derechos de los interesados

10.1 Obligación de asistencia El encargado del tratamiento prestará asistencia al responsable, en la medida de lo posible, mediante medidas técnicas y organizativas adecuadas, para que este cumpla con su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados mencionados en el capítulo III del RGPD (art. 15 a 22 del RGPD) (art. 28, apartado 3, letra e) del RGPD).

10.2 Implementación técnica en Biscotti CMP Biscotti CMP tiene por objeto prestar apoyo técnico al responsable en el cumplimiento de sus obligaciones:

• Derecho de acceso (art. 15 del RGPD) y derecho a la portabilidad de los datos (art. 20 del RGPD): el software ofrece opciones de exportación de datos (por ejemplo, en formato CSV) o, bien, se pueden solicitar al servicio de asistencia, de conformidad con la normativa de protección de datos, exportaciones de ID de consentimiento específicos.
• Derecho de revocación (art. 7, apdo. 3 del RGPD): el banner de consentimiento de Biscotti CMP ofrece a los usuarios finales la función de consultar los ajustes realizados y revocarlos en cualquier momento.
• Derecho de supresión (art. 17 del RGPD): Los datos recopilados pueden ser suprimidos por el responsable del tratamiento mediante las funciones disponibles en el panel de control o, previa justificación, solicitándose su supresión al servicio de asistencia.

10.3 Reenvío de solicitudes Si un interesado hace valer sus derechos directamente ante el encargado del tratamiento, este no responderá a la solicitud por su cuenta, sino que remitirá inmediatamente al interesado al responsable del tratamiento, siempre que sea posible identificarlo a partir de los datos disponibles. El encargado del tratamiento reenviará la solicitud inmediatamente al responsable del tratamiento.

§ 11 Asistencia en la evaluación de impacto relativa a la protección de datos y en las obligaciones de notificación

11.1 Evaluación de impacto relativa a la protección de datos (art. 35 del RGPD) El encargado del tratamiento prestará apoyo al responsable del tratamiento, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, en la realización de una evaluación de impacto relativa a la protección de datos (EIPD) de conformidad con el art. 35 del RGPD, así como en la consulta previa a la autoridad de control que pueda ser necesaria (art. 36 del RGPD).

11.2 Notificación de violaciones de la protección de datos personales El encargado del tratamiento está obligado a notificar al responsable, por escrito y sin demora, a más tardar en un plazo de 48 horas tras tener conocimiento de ello, cualquier violación de la protección de datos personales (fuga de datos) que afecte a los datos tratados por encargo.

§ 12 Supresión y devolución de datos

12.1 Supresión tras la finalización del contrato Una vez finalizada la prestación de los servicios de tratamiento (rescisión del contrato principal), el encargado del tratamiento estará obligado, a elección del responsable del tratamiento, a suprimir o devolver todos los datos personales, salvo que exista una obligación de conservar los datos personales en virtud del Derecho de la Unión o del Derecho de los Estados miembros (por ejemplo, obligaciones de conservación en materia mercantil y fiscal según el Código Mercantil alemán [HGB] y la Ley General Tributaria [AO]).

12.2 Proceso estándar de Biscotti CMP A menos que el responsable del tratamiento dé instrucciones contrarias, se aplicará el siguiente proceso estándar: el responsable del tratamiento tiene la posibilidad de realizar una copia de seguridad de sus datos por su cuenta antes de la finalización del contrato mediante la función de exportación (CSV). Una vez que la rescisión surta efecto y finalice el periodo de facturación, se desactivará la cuenta del responsable del tratamiento. Los datos personales almacenados en la cuenta se conservarán durante un periodo transitorio de 30 días (periodo de conservación) para permitir su recuperación en caso de una degradación accidental. Transcurridos estos 30 días, los datos se eliminarán de forma irrevocable y conforme a la normativa de protección de datos de los sistemas productivos.

12.3 Confirmación de la supresión El encargado del tratamiento confirmará al responsable, a petición expresa de este, la supresión de los datos de conformidad con la normativa de protección de datos por escrito.

§ 13 Derechos de control y auditorías

13.1 Derecho de verificación El encargado del tratamiento pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD y en el presente contrato. Permitirá las verificaciones —incluidas las inspecciones— que lleve a cabo el responsable o un auditor designado por este y sujeto a la obligación de confidencialidad, y colaborará en las mismas.

13.2 Realización de auditorías Para no poner en peligro la seguridad de los centros de datos y la confidencialidad de los datos de otros clientes (segregación de clientes), las partes acuerdan el siguiente procedimiento para las auditorías:

• El responsable ejercerá su derecho de control principalmente mediante la solicitud y evaluación de certificados significativos (por ejemplo, ISO 27001) o mediante cuestionarios detallados sobre seguridad informática.
• Si esta información no fuera suficiente, el responsable tendrá derecho a realizar una inspección in situ en las oficinas de Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• Las inspecciones in situ deberán anunciarse con una antelación razonable (por regla general, al menos 14 días).

§ 14 Responsabilidad y indemnización por daños y perjuicios

14.1 Relaciones con terceros (frente a las personas afectadas) El responsable y el encargado del tratamiento responderán ante la persona afectada por la indemnización de daños y perjuicios de conformidad con el art. 82 del RGPD. El encargado del tratamiento solo responderá por los daños causados por el tratamiento si no ha cumplido con sus obligaciones derivadas del RGPD o ha actuado en contra de las instrucciones legítimamente impartidas por el responsable.

14.2 Relación interna (entre las partes) En la relación interna, las partes quedarán exentas de responsabilidad si una de ellas demuestra que no es responsable en modo alguno de la circunstancia que ha dado lugar al daño.

14.3 Limitación de responsabilidad derivada del contrato principal . De forma complementaria, se aplicarán las disposiciones sobre responsabilidad del contrato principal (Condiciones Generales de Contratación). Queda excluida la responsabilidad por negligencia leve, salvo que se trate del incumplimiento de obligaciones contractuales esenciales (obligaciones cardinales). En tal caso, la responsabilidad se limitará a los daños previsibles típicos del contrato.

§ 15 Disposiciones finales

15.1 Forma escrita y modificaciones Las modificaciones y adiciones al presente contrato deberán realizarse por escrito (por ejemplo, por correo electrónico). El encargado del tratamiento se reserva el derecho a modificar el presente contrato para adaptarlo a cambios en la situación jurídica o a avances técnicos. Se informará al responsable de los cambios por correo electrónico.

15.2 Jerarquía En caso de que alguna de las disposiciones del presente contrato de encargado del tratamiento entre en contradicción con las disposiciones del contrato principal (Condiciones Generales), prevalecerán las disposiciones del presente contrato de encargado del tratamiento en lo que respecta a la protección y la seguridad de los datos.

15.3 Cláusula de salvaguardia . En caso de que alguna de las disposiciones del presente contrato sea o llegue a ser ineficaz o inaplicable, ello no afectará a la validez de las demás disposiciones. Las partes se comprometen a sustituir la disposición ineficaz o inaplicable por una disposición eficaz y aplicable.

15.4 Legislación aplicable y jurisdicción El presente contrato se rige exclusivamente por la legislación de la República Federal de Alemania, con exclusión de la Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías. La jurisdicción exclusiva para todos los litigios derivados o relacionados con el presente contrato será, en la medida en que lo permita la ley, la sede del encargado del tratamiento (Falkensee). El idioma del contrato es el alemán.