Acordo de Tratamento de Datos

Acordo de tratamento de datos (DPA) de conformidade co artigo 28 do RGPD

Data: 20 de marzo de 2026

Entre

o cliente rexistrado de Biscotti CMP – en diante denominado "Responsable do tratamento de datos" ou "Cliente" –

e

Campcruisers GmbH Berliner Str. 21 B 14612 Falkensee República Federal de Alemaña

Xulgado de inscrición: Xulgado Local de Potsdam Número de inscrición: HRB 40180 P NIF/IVA: DE368000447 Número de contribuínte: 29/249/36095 Representada por: Daniel Bosch (CEO), Philipp André Marschall (asignatario autorizado) Correo electrónico: [email protected] Telefono: +49 3322 50703301 Horario de atención: de luns a venres, de 09:00 a 17:00 – en diante, denominado "Responsable do tratamento de datos" ou "Proporcionador" –

– o Responsable do Tratamento e o Encargado do Tratamento, en diante tamén denominados conxuntamente as "Partes" –

Preámbulo

Benvido a Campcruisers GmbH! Encántanos darche a benvida como cliente. A transparencia, os máis altos estándares de seguridade e un enfoque de colaboración en pé de igualdade son as nosas principais prioridades. A protección dos teus datos e dos datos dos visitantes do teu sitio web non é só unha obriga legal para nós, senón tamén un compromiso central de calidade da nosa empresa.

O Responsable do Tratamento utiliza a solución Software como Servizo (SaaS) baseada na nube "Biscotti CMP" (Consent Management Platform), desenvolvida, operada e distribuída polo Encargado do Tratamento. No contexto da prestación destes servizos SaaS, que se poñen a disposición baixo o dominio biscotti-cmp.com e a aplicación app.biscotti-cmp.com, o encargado trata datos persoais por conta e de acordo coas instrucións do responsable. Este acordo establece as obrigas de protección de datos das partes que xorden do uso de Biscotti CMP. Aplica a todas as actividades relacionadas co contrato principal (acordo de usuario para os servizos SaaS) nas que os empregados do encargado ou terceiros encargados polo encargado poidan entrar en contacto cos datos persoais do responsable.

Este acordo é esencial para cumprir cos requisitos do Regulamento (UE) 2016/679 (Regulamento Xeral de Protección de Datos – RGPD), en particular o artigo 28 do RGPD, así como as disposicións complementarias da Lei Federal de Protección de Datos (BDSG) e da Lei de Protección de Datos de Telecomunicacións e Servizos Dixitais (TDDDG).

[!NOTA] Conclusión do contrato no comercio electrónico Este contrato conclúese en formato electrónico de conformidade co artigo 28.9 do RGPD. Ao rexistrarse o responsable do tratamento, forma parte integrante das Condicións Xerais de Contratación (CGC) de Biscotti CMP. O contrato conclúese mediante consentimento electrónico expreso durante o rexistro (por exemplo, ao facer clic nun botón de confirmación) e non require unha sinatura manuscrita separada para ser válido e eficaz desde o punto de vista legal.

§ 1 Obxecto e duración do tratamento

1.1 Obxecto do tratamento O encargado proporciona servizos ao responsable no eido da xestión do consentimento e da automatización do cumprimento da protección de datos. O obxecto do tratamento de datos persoais establécese no contrato principal subscrito entre as partes relativo ao uso do Biscotti CMP. O tratamento comprende todas as operacións relacionadas cos datos necesarias para a prestación das funcionalidades do software acordadas contractualmente. Estas inclúen, en particular pero non de xeito exclusivo:

• A provisión e visualización de banners de consentimento (banners de cookies) nos sitios web do Responsable.
• A recollida, almacenamento, xestión e documentación das decisións de consentimento (aceptación/rexeitamento) polos usuarios finais do responsable do tratamento (visitantes do sitio web) de acordo co artigo 7.1 do RGPD e co artigo 25.1 do TDDDG.
• A realización de escaneos de cookies con soporte de IA nos sitios web do responsable para identificar e categorizar as tecnoloxías de seguimento e comparalas coa base de datos de provedores do IAB.
• O tratamento de sinais no marco de Google Consent Mode v2, do IAB Transparency & Consent Framework (TCF 2.4) e do Global Privacy Control (GPC).
• A determinación, baseada no IP, da xurisdición do visitante do sitio web para a visualización dinámica de variantes de banners conformes coa normativa (por exemplo, RGPD, CCPA/CPRA).
• Xeración de textos legais impulsada por IA (aviso legal, política de privacidade, política de cookies) a través do Legal Suite Assistant integrado, empregando Alibaba Cloud Qwen.
• A provisión de rexistros de auditoría, webhooks para notificacións en tempo real, funcionalidades de proba A/B e funcións de exportación de datos para atender os dereitos das persoas interesadas ao abeiro do artigo 15 do RGPD.
• Xestión de subcontenedores de axencia baixo a tarifa "Agency", incluíndo xestión de clientes e personalización de marca branca.

1.2 Duración do tratamento O prazo deste Acordo de Tratamento de Datos baséase no prazo do contrato principal subxacente para o uso do Biscotti CMP. O acordo entra en vigor tras o rexistro do responsable do tratamento e a activación da conta (nos plans gratuítos) ou tras a confirmación do pago (nos plans de pago como Starter, Growth, Business, Agency). Remata automaticamente coa extinción do contrato principal, con independencia dos motivos legais (por exemplo, mediante extinción ordinaria, extinción extraordinaria ou eliminación da conta). O prazo de aviso para o contrato principal é de 1 día antes do final do período de facturación correspondente. As disposicións deste contrato que, pola súa natureza, están destinadas a permanecer en vigor tras a extinción (en particular as disposicións relativas á supresión e devolución de datos, así como as cuestións de responsabilidade) permanecerán inalteradas pola extinción.

§ 2 Natureza e finalidade do tratamento

2.1 Natureza do tratamento A natureza do tratamento comprende a recollida, o rexistro, a organización, a estruturación, o almacenamento, a adaptación ou alteración, a obtención, a consulta, o uso, a divulgación por transmisión, a difusión ou de outro xeito a posta a disposición, a interconexión ou combinación, a restrición, o borrado ou a destrución de datos. O tratamento realízase principalmente de xeito automatizado na infraestrutura en nube do encargado do tratamento (por exemplo, aloxada na Hetzner Online GmbH, con servidores normalmente situados na Unión Europea).

2.2 Finalidade do tratamento A finalidade do tratamento reside exclusivamente no cumprimento das obrigas contratuais derivadas do contrato principal. Isto inclúe:

• Proba do consentimento: almacenamento dos datos de consentimento para cumprir coas obrigas de rendición de contas do responsable do tratamento, de conformidade co artigo 5.2 en conxunción co artigo 7.1 do RGPD.
• Provisión técnica: Mostrar o banner de consentimento e garantir a funcionalidade do sitio web do responsable, tendo en conta as preferencias do usuario.
• Análise de conformidade: comprobación automatizada dos sitios web do responsable para detectar riscos de protección de datos (escáner de cookies).
• Redacción de textos legais: Procesamento dos datos da empresa e de contacto do responsable para a creación asistida por IA de textos legais a medida.
• Xestión de facturación e contas: Xestión de contas de usuario, asignación de límites de sesións (por exemplo, 5.000 sesións no plan gratuíto, 500.000 no plan Business) e tramitación de transferencias de sesións.
• Xestión de axencias: Permite xestionar ata 25 subcontenedores no plan Axencia, incluíndo a provisión de páxinas de revenda e funcións de envío de correo electrónico.

O tratamento dos datos para fins propios do encargado do tratamento, en particular para os seus propios fins publicitarios ou para a creación de perfís de usuario, que van máis aló da prestación contractual de servizos, está estritamente prohibido, agás que exista autorización legal expresa ou consentimento separado.

§ 3 Tipo de datos persoais

As seguintes categorías de datos persoais son tratadas no marco do tratamento de datos. O responsable determina o ámbito exacto dos datos a través do seu uso do Biscotti CMP e da configuración do propio software:

• Datos de consentimento: Decisións (consentimento/refusamento para varias categorías como Esenciais, Funcionais, Análises, Marketing, Servizos de IA), marcas de tempo (data e hora exacta do consentimento), número de identificación único (para a asignación pseudonimizada da decisión ao dispositivo/navegador correspondente).
• Datos técnicos: enderezos IP (procesados principalmente para a identificación da xurisdición en función da localización e, como regra xeral, anonimizados/cortados de inmediato, agás que o responsable configure o contrario), información do navegador, información do dispositivo, cadeas de axente de usuario, datos da sesión.
• Datos de cookies e rastrexadores: resultados do escaneo dos sitios web do responsable, incluíndo as cookies atopadas, contidos de almacenamento local, rastrexadores de terceiros e a súa clasificación.
• Contido xerado por IA: Datos que o responsable introduce no Legal Suite Assistant para xerar textos legais (política de privacidade, aviso legal, termos e condicións). Isto pode incluír datos da empresa, nomes de representantes autorizados, enderezos e actividades de tratamento específicas, que se procesan a través da API de Alibaba Cloud Qwen.
• Datos de contacto (titulares de contas): nome e apelidos, enderezo de correo electrónico, nome da empresa, enderezo postal, número de teléfono, número de identificación de IVA de clientes ou titulares de contas.
• Datos de uso: actividades do panel de control, estatísticas de banners (visualizacións, interaccións, taxas de aceptación), informes de conformidade, rexistros de auditoría de cambios de conta.
• Datos de pago: Información de facturación procesada a través do provedor de servizos de pago Stripe (polo que os datos da tarxeta de crédito son tokenizados directamente por Stripe e non se gardan en texto plano polo procesador).

§ 4 Categorías de interesados

O tratamento refírese ás seguintes categorías de interesados:

• Visitantes do sitio web (usuarios finais): Persoas físicas que visitan os sitios web do responsable e cuxas decisións de consentimento se solicitan, procesan e almacenan a través do banner de Biscotti CMP.
• Clientes (titulares de contas): persoas físicas, empresarios individuais ou representantes de entidades xurídicas que, como socios contratuais do responsable do tratamento, rexistraron unha conta en Biscotti CMP.
• Membros do equipo e empregados: Persoas ás que o titular da conta (responsable do tratamento) convidou como usuarios adicionais ao panel de control de Biscotti CMP para xestionar o sistema.
• Clientes de axencia (titulares de subcontenedores): Clientes finais de axencias que usan a tarifa 'Agencia' e para os que se crearon subcontenedores.

§ 5 Obrigacións e dereitos do responsable do tratamento

5.1 Licitude do tratamento O responsable do tratamento é o único responsable de avaliar a licitude do tratamento encargado e de protexer os dereitos das persoas interesadas (art. 4(7) do RGPD). O responsable deberá garantir que exista unha base xurídica válida (por exemplo, o consentimento de conformidade co artigo 6.1.a do RGPD ou o interese lexítimo de conformidade co artigo 6.1.f do RGPD) para o tratamento de datos persoais polo encargado do tratamento. Isto aplícase en particular ao uso do Biscotti CMP para obter o consentimento de acordo co artigo 25(1) do TDDDG.

5.2 Obrigacións de información O responsable do tratamento é plenamente responsable de informar aos interesados (en particular, os visitantes do sitio web) sobre o tratamento de datos de xeito transparente, preciso e oportuno, de conformidade cos artigos 13 e 14 do RGPD. Para tal fin, o encargado do tratamento facilitará ao responsable do tratamento a información técnica necesaria sobre a funcionalidade do Biscotti CMP, así como textos modelo a través do Legal Suite Assistant. A revisión xurídica e a integración da política de privacidade son responsabilidade do responsable do tratamento.

5.3 Uso de Axencia e Revenda Se o Responsable do Tratamento utiliza a tarifa "Axencia" e crea subcontenedores para os seus propios clientes, o Responsable do Tratamento segue sendo o único socio contractual e responsable do tratamento en relación co Provedor de Servizos de Tratamento. O responsable garante que ten os acordos contratuais necesarios (incluídos os seus propios acordos de tratamento de datos) establecidos cos seus clientes finais. Se o responsable configura un sitio de revendedor ou utiliza os seus propios servidores de correo electrónico baixo o seu propio dominio, asume a única responsabilidade en materia de protección de datos e lexislación de competencia por esta infraestrutura. O encargado non acepta ningunha responsabilidade a este respecto.

5.4 Informes de erros O responsable do tratamento debe informar ao encargado do tratamento de inmediato e de xeito completo se, ao revisar os resultados do tratamento, detecta erros ou irregularidades relacionadas coas normas de protección de datos.

§ 6 Dereito do Responsable do Tratamento a Emitir Instrucións

6.1 Natureza e alcance das instrucións O encargado do tratamento deberá tratar os datos persoais exclusivamente segundo as instrucións documentadas do responsable do tratamento, agás que a lexislación da Unión ou do Estado membro á que esteña suxeito o obrigue a facelo (artigo 28.3.a do RGPD). Neste caso, o encargado informará ao responsable deste requisito legal antes do tratamento, agás que a lexislación aplicable proíba tal notificación por razóns de interese público relevante.

O contrato principal e estas CGC constitúen as instrucións documentadas iniciais. O uso das funcións do Biscotti CMP (por exemplo, a configuración do banner, o inicio dun escaneo, a xeración de textos) por parte do responsable no panel de control considerarase como instrucións individuais documentadas.

6.2 Forma das instrucións As instrucións poden emitirse xeralmente a través da interface de usuario do software (aplicación). Calquera instrución adicional debe proporcionarse por escrito (por exemplo, por correo electrónico a [email protected]). As instrucións verbais deben ser confirmadas por escrito polo responsable do tratamento sen demora.

6.3 Oposición ás instrucións O encargado do tratamento deberá informar inmediatamente ao responsable do tratamento se considera que unha instrución infrinxe o RGPD, o BDSG ou outras disposicións de protección de datos da Unión ou dos Estados membros. O encargado do tratamento terá dereito a suspender a execución da instrución pertinente ata que o responsable do tratamento a confirme ou a emende. O encargado poderá rexeitar as instrucións que sexan manifestamente ilegais.

§ 7 Obrigación de confidencialidade

7.1 Obrigación do persoal O encargado confirma que vinculou todas as persoas autorizadas a tratar os datos persoais do responsable do tratamento (empregados, traballadores autónomos, organismos) á confidencialidade antes do inicio das súas actividades (art. 28.3.b do RGPD) ou que están suxeitas a un deber legal de confidencialidade axeitado. Esta obrigação tamén abarca o segredo dos datos e permanecerá vixente mesmo despois da finalización da actividade ou da relación laboral.

7.2 Formación e concienciación O encargado deberá garantir que as persoas autorizadas para tratar datos reciban instrucións de xeito regular e sexan conscientes das disposicións sobre protección de datos (RGPD, BDSG) e seguridade de datos. O encargado, representado pola dirección (Daniel Bosch, Philipp André Marschall), deberá garantir unha cultura corporativa que cumpra coa normativa de protección de datos.

7.3 Responsable de Protección de Datos Cando o esixa a lei de conformidade co artigo 38(1) do BDSG ou co artigo 37 do RGPD (por exemplo, cando xeralmente hai polo menos 20 persoas dedicadas de xeito permanente ao tratamento automatizado), o encargado do tratamento nomeou un responsable de protección de datos competente e fiable.

Se non existe obriga legal de nomear un Responsable de Protección de Datos, o encargado do tratamento deberá, con todo, garantir que as obrigas de protección de datos sexan plenamente supervisadas e cumpridas pola dirección.

Artigo 8 Medidas técnicas e organizativas (MTO) de conformidade co artigo 32 do RGPD

8.1 Principio de seguridade do tratamento O encargado do tratamento declara que, tendo en conta o estado da técnica, os custos de implementación e a natureza, o alcance, circunstancias e fins do tratamento, así como a diferente probabilidade e gravidade do risco para os dereitos e liberdades das persoas físicas, o encargado do tratamento implementou medidas técnicas e organizativas (MTO) adecuadas para garantir un nivel de seguridade axeitado ao risco (artigo 32 do RGPD). Estas medidas baséanse en normas de seguridade da información recoñecidas (como ISO 27001 e SOC 2).

8.2 Medidas específicas O encargado do tratamento deberá, en particular, implementar as seguintes medidas e mantelas durante toda a vixencia do contrato:

a) Pseudonimización e cifrado (art. 32.1.a do RGPD)

• Cifrado durante a transmisión: Todas as transmisións de datos entre o usuario final, o responsable do tratamento e a infraestrutura Biscotti CMP deben realizarse empregando protocolos de cifrado de última xeración (TLS 1.2 ou TLS 1.3).
• Cifrado en repouso: Todas as bases de datos e medios de almacenamento na Hetzner Online GmbH (localización do servidor: NL) están cifradas ao nivel do disco duro (AES-256).
• Pseudonimización: As decisións de consentimento non se vinculan a nomes reais, senón a un número de identificación criptográfica xerado aleatoriamente. Os enderezos IP trúncanse/anonimízanse por defecto tan pronto como se completa o mapeo baseado na localización.

b) Confidencialidade (control de acceso)

• Control de acceso: A seguridade física dos servidores utilizados está garantida polo provedor de servizos de infraestrutura externa (por exemplo, Google Cloud). Os centros de datos están suxeitos a estritos controis de acceso e seguridade de acordo cos estándares da industria. As propias instalacións da oficina de Campcruisers GmbH están protexidas con restricións físicas de acceso adecuadas (por exemplo, peches de seguridade).
• Control de acceso: O acceso aos sistemas informáticos do encargado do tratamento está protexido por políticas de contrasinais restritivas, autenticación multifactorial (MFA) para o acceso administrativo relevante e temporización de sesións. Empregan sistemas como Cloudflare Turnstile para protexer os intentos de inicio de sesión fronte a ataques de bots.
• Control de acceso: aplícase o principio de privilexio mínimo (Control de Acceso Baseado en Roles – RBAC). Os empregados do encargado do tratamento só teñen acceso aos datos estritamente necesarios para as súas respectivas tarefas. Os datos dos clientes das distintas tarifas están lóxicamente separados uns doutros (multitenancia).

c) Integridade (controls de divulgación, de entrada e de segregación)

• Control de divulgación: os datos non se transportan en soportes físicos de datos. A transmisión realízase exclusivamente a través de redes seguras.
• Control de entrada: Biscotti CMP dispón dun rexistro de auditoría completo. É posible en todo momento rastrexar que usuario (cliente, membro do equipo, axencia) realizou que cambios no panel de control e en que momento (por exemplo, cambios nos textos dos banners, axustes nas categorías de cookies).
• Control de segregación: os datos recollidos para diferentes fins procesanse por separado. Os entornos de produción, proba e desenvolvemento están estritamente illados uns doutros.

d) Dispoñibilidade e resiliencia (Art. 32(1)(b) e (c) RGPD)

• Dispoñibilidade: O procesador adopta as medidas adecuadas de acordo cos estándares da industria para garantir a dispoñibilidade dos sistemas (aloxamento na Hetzner Online GmbH). Con todo, non se garanten niveis explícitos de dispoñibilidade SLA nin existe unha redundancia total da infraestrutura.
• Resiliencia: A arquitectura do sistema está deseñada de xeito que os volumes de sesións esperados xeralmente se procesan de forma fiable. Con todo, non se empregan mecanismos dedicados de equilibrio de carga nin de escalado automático (auto-escalado).
• Recuperabilidade: O encargado adopta as medidas adecuadas (por exemplo, copias de seguridade regulares das bases de datos) para permitir a recuperación de datos no caso dun incidente técnico. Con todo, non se garante a recuperación sen perdas, polo que se require que o responsable do tratamento use as funcións de exportación dispoñibles baixo a súa propia responsabilidade.

e) Procedementos de revisión regular (art. 32.1.d RGPD)

• O encargado revisa regularmente a eficacia das medidas técnicas e organizativas adoptadas internamente.
• Existen procesos internos de resposta a incidentes para abordar posibles incidentes dentro do marco legal.
• As Medidas Técnicas e Organizativas están suxeitas a un proceso de mellora continua.

8.3 Adaptación das Medidas Técnicas e Organizativas As medidas técnicas e organizativas están suxeitas ao progreso técnico e ao desenvolvemento adicional. O encargado do tratamento ten dereito a implementar medidas alternativas adecuadas, sempre que o nivel de seguridade non sexa inferior ao das medidas especificadas. Os cambios significativos deben comunicarse por escrito ao responsable do tratamento.

§ 9 Subprocesadores

9.1 Contratación de subprocesadores O responsable do tratamento concede ao encargado do tratamento unha autorización xeral por escrito (art. 28.2 do RGPD) para contratar outros encargados do tratamento (subprocesadores). O Encargado do tratamento deberá garantir que selecciona coidadosamente os subencargados e lles impón contractualmente as mesmas obrigas de protección de datos que as establecidas neste Acordo (art. 28(4) do RGPD).

9.2 Subprocesadores actualmente autorizados No momento da celebración deste contrato, os seguintes subprocesadores están implicados na prestación dos servizos de Biscotti CMP e considéranse autorizados polo responsable do tratamento. O encargado do tratamento asegurou que, no caso dos provedores dos EUA, a respectiva sucursal da UE actúe como socio contractual co fin de manter o nivel de protección de datos da UE:

9.3 Transferencia a terceiros países Cando o tratamento se realice por subencargados fóra da Unión Europea (UE) ou do Espazo Económico Europeo (EEE) (por exemplo, no caso de Resend), o encargado do tratamento deberá garantir que se cumpren os requisitos específicos dos artigos 44 e seguintes do RGPD. Isto conséguese xeralmente mediante a celebración das actuais Cláusulas Contratuais Tipo (SCCs) da Comisión Europea, xunto cunha Avaliación de Impacto na Transferencia e a implementación de medidas técnicas adicionais (por exemplo, cifrado).

9.4 Cambio ou contratación de novos subencargados O encargado do tratamento deberá informar ao responsable de calquera cambio previsto no relativo á contratación ou substitución de subencargados. A información deberá proporcionarse por escrito (por exemplo, por correo electrónico á dirección gardada na conta) con polo menos 30 días de antelación ao cambio previsto. O Responsable poderá opoñerse ao cambio por motivos imperiosos relacionados coa normativa de protección de datos no prazo de 14 días desde a recepción da notificación. Se non se formula ningunha objeción, considerarase que o cambio foi aprobado. No caso dunha objeción xustificada que o encargado non poida resolver adoptando medidas razoables, o responsable terá dereito a resolver o contrato principal de xeito extraordinario coa eficacia da data na que o cambio entre en vigor.

§ 10 Asistencia no exercicio dos dereitos das persoas interesadas

10.1 Obrigación de prestar apoio O encargado do tratamento deberá, sempre que sexa posible, apoiar o responsable do tratamento con medidas técnicas e organizativas axeitadas para cumprir coa obriga do responsable de responder ás solicitudes de exercicio dos dereitos das persoas interesadas a que se refire o Capítulo III do RGPD (artigos 15 a 22 do RGPD) (artigo 28.3.e do RGPD).

10.2 Implementación técnica en Biscotti CMP Biscotti CMP ten como obxectivo proporcionar apoio técnico ao responsable do tratamento no cumprimento das súas obrigas:

• Dereito de acceso (art. 15 do RGPD) e dereito á portabilidade dos datos (art. 20 do RGPD): O software ofrece opcións de exportación de datos (por exemplo, en CSV), ou pódense solicitar exportacións de IDs de consentimento específicos ao servizo de soporte de xeito compatible coa normativa de protección de datos.
• Dereito a retirar o consentimento (art. 7(3) do RGPD): o banner de consentimento de Biscotti CMP ofrece aos usuarios finais a opción de ver a súa configuración e retirar o consentimento en calquera momento.
• Dereito ao esquecemento (art. 17 do RGPD): Os datos recollidos poden ser eliminados polo responsable do tratamento empregando as funcións dispoñibles no panel de control ou, tras unha solicitude verificable, poden ser eliminados contactando co servizo de soporte.

10.3 Remisión de solicitudes Se un interesado exerce os seus dereitos directamente ante o encargado do tratamento, o encargado non responderá á solicitude de xeito independente, senón que derivará inmediatamente o interesado ao responsable do tratamento, sempre que poida identificarse como pertencente ao responsable do tratamento cos datos dispoñibles. O encargado do tratamento deberá remitir a solicitude ao responsable do tratamento sen dilación.

§ 11 Apoio na avaliación de impacto na protección de datos e nas obrigas de notificación

11.1 Avaliación de impacto na protección de datos (art. 35 RGPD) O encargado axudará ao responsable, tendo en conta a natureza do tratamento e a información dispoñible para el, na realización dunha avaliación de impacto na protección de datos (AIPD) de conformidade co artigo 35 do RGPD, así como en calquera consulta previa necesaria coa autoridade de supervisión (artigo 36 do RGPD).

11.2 Notificación de brechas de seguridade de datos persoais O encargado do tratamento está obrigado a notificar por escrito ao responsable do tratamento calquera vulneración de seguridade de datos persoais (vulneración de datos) que afecte aos datos tratados por conta do responsable do tratamento sen dilación indebida e, en todo caso, no prazo de 48 horas desde que teña constancia dela.

§ 12 Supresión e devolución dos datos

12.1 Supresión ao rematar o contrato Ao rematar a prestación dos servizos de tratamento (extinción do contrato principal), o encargado está obrigado, a criterio do responsable, a suprimir ou devolver todos os datos persoais, sempre que non exista obriga en virtude do dereito da Unión ou do dereito dos Estados membros (por exemplo, obrigas de conservación de datos comerciais e fiscais segundo o Código de Comercio alemán (HGB) e o Código Fiscal alemán (AO)) de conservar os datos persoais.

12.2 Proceso estándar de Biscotti CMP A menos que o responsable do tratamento emita instrucións diferentes, aplícase o seguinte proceso estándar: O responsable do tratamento ten a opción de facer unha copia de seguridade dos seus datos de xeito independente antes do remate do contrato empregando a función de exportación (CSV). Unha vez que a extinción entre en vigor e expire o período de facturación, a conta do responsable do tratamento será desactivada. Os datos persoais almacenados na conta consérvanse durante un período transitorio de 30 días (período de conservación) para permitir a restauración no caso dunha degradación accidental. Ao expirar estes 30 días, os datos elimínanse de xeito irrevogable e de acordo coa normativa de protección de datos dos sistemas de produción.

12.3 Confirmación da eliminación A petición expresa do responsable do tratamento, o encargado do tratamento confirmará por escrito ao responsable do tratamento que os datos foron eliminados de acordo coa normativa de protección de datos.

§ 13 Dereitos de inspección e auditoría

13.1 Dereito de auditoría O encargado do tratamento facilitará ao responsable do tratamento toda a información necesaria para demostrar o cumprimento das obrigas establecidas no artigo 28 do RGPD e neste contrato. Facilitará e cooperará nas auditorías – incluídas as inspeccións – realizadas polo responsable do tratamento ou por un auditor designado polo responsable do tratamento que estea obrigado ao segredo profesional.

13.2 Realización das auditorías Para non comprometer a seguridade dos centros de datos e a confidencialidade dos datos doutros clientes (segregación de clientes), as partes acordan o seguinte procedemento para as auditorías:

• O Responsable do Tratamento exercerá principalmente o seu dereito de inspección solicitando e avaliando certificados relevantes (por exemplo, ISO 27001) ou mediante cuestionarios detallados sobre seguridade de TI.
• Se esta información resultase insuficiente, o Responsable do Tratamento terá dereito a realizar unha inspección in situ nas instalacións de Campcruisers GmbH (Berliner Str. 21 B, 14612 Falkensee).
• As inspeccións in situ deben anunciarse con aviso razoable (normalmente polo menos 14 días).

§ 14 Responsabilidade e compensación

14.1 Responsabilidade externa (fronte aos interesados) O responsable e o encargado responderán fronte ao interesado polo aboamento de danos de conformidade co artigo 82 do RGPD. O encargado responderá polos danos derivados do tratamento só se non cumpriu as súas obrigas ao abeiro do RGPD ou actuou en contra das instrucións legais do responsable.

14.2 Relación interna (entre as partes) Na súa relación interna, as partes quedarán exentas de responsabilidade se unha parte demostra que de ningún xeito é responsable da circunstancia que deu lugar ao dano.

14.3 Limitación de responsabilidade ao abeiro do contrato principal Ademais, aplicaranse as disposicións de responsabilidade do contrato principal (Condicións Xerais). Exclúese a responsabilidade por neglixencia leve, agás que se trate dunha infracción de obrigas contratuais esenciais (obrigas cardinais). Neste caso, a responsabilidade limítase aos danos previsibles e típicos do contrato.

§ 15 Disposicións finais

15.1 Forma escrita e emendas As emendas e engadidos a este contrato deberán facerse por escrito (por exemplo, por correo electrónico). O Encargado do Tratamento resérvase o dereito de emendar este contrato co fin de adaptalo aos cambios na situación xurídica ou aos avances técnicos. O Responsable do Tratamento será informado de calquera emenda por correo electrónico.

15.2 Orde de prelación No caso de que as disposicións individuais deste Acordo de Tratamento de Datos entren en conflito coas disposicións do contrato principal (Condicións Xerais), terán prelación as disposicións deste Acordo de Tratamento de Datos no que se refire á protección e seguridade de datos.

15.3 Cláusula de divisibilidade Se algunha disposición individual deste acordo fose ou se volvese inválida ou inaplicable, isto non afectará a validez das disposicións restantes. As partes comprométense a substituír a disposición inválida ou inaplicable por unha disposición válida e aplicable.

15.4 Lei aplicable e Xurisdición Este Acordo rexerase exclusivamente polas leis da República Federal de Alemaña, excluíndo a Convención das Nacións Unidas sobre Contratos para a Venda Internacional de Mercadorías. O foro exclusivo para todas as controversias derivadas ou en relación con este Acordo será, na medida en que a lei o permita, o domicilio social do Responsable do Tratamento (Falkensee). A lingua do Acordo é o alemán.