Acuerdo de Tratamiento de Datos

Anexo 1
ACUERDO DE TRATAMIENTO DE DATOS DE GIRAFFE360 (DPA)

1. Antecedentes

1. 1.1 El presente Acuerdo de Tratamiento de Datos y sus anexos (el «DPA») se aplican a los Clientes que operan en los países del Espacio Económico Europeo (EEE) y en el Reino Unido (UK) y reflejan el acuerdo entre Giraffe360 y el Cliente con respecto al tratamiento de los Datos del Cliente por parte de Giraffe360 como encargado del tratamiento por cuenta del Cliente, que actuará como responsable del tratamiento.
2. 1.2 El presente DPA se incorpora a las Condiciones del Servicio de Giraffe360 entre el Cliente y Giraffe360 (el «Contrato») y forma parte de ellas. En caso de conflicto entre cualquiera de las disposiciones del presente DPA y las disposiciones del Contrato, prevalecerán las disposiciones del presente DPA.

2. Definiciones

Salvo que se establezca otra cosa a continuación, cada término en mayúsculas del presente DPA tendrá el significado establecido en el Contrato, y los siguientes términos en mayúsculas utilizados en el presente DPA se definirán como sigue:

«Datos del Cliente» significa cualesquiera Datos Personales contenidos en el Contenido de Giraffe360 y cualquier otro contenido o dato que el Cliente ponga a disposición de Giraffe360 y que Giraffe360 aloje en relación con la prestación del Servicio de Giraffe360, incluidos los Datos del Inmueble, los Datos del Perfil del Cliente y los Datos de los Clientes del Cliente, según se describen con más detalle en la cláusula 3.1 del presente DPA.

«Responsable del Tratamiento» significa la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determine los fines y medios del Tratamiento de Datos Personales. A los efectos del presente DPA, el Responsable del Tratamiento es el Cliente.

«Legislación de Protección de Datos» significa el RGPD, cualquier legislación nacional de aplicación o complementaria y cualquier otra legislación aplicable que proteja los derechos y libertades fundamentales de las personas y su derecho a la privacidad en relación con el tratamiento de los Datos del Cliente.

«Interesado» significa la persona física a la que se refieren los Datos Personales.

«Espacio Económico Europeo» o «EEE» significa los Estados miembros de la Unión Europea junto con Islandia, Noruega y Liechtenstein.

«RGPD» significa el Reglamento General de Protección de Datos (UE) 2016/679 del Parlamento Europeo y del Consejo y, cuando proceda, el «UK GDPR» según se define en The Data Protection, Privacy and Electronic Communications (Amendment Etc.) (EU Exit) Regulations 2019.

«Instrucciones» significa las instrucciones escritas y documentadas que el Cliente imparta a Giraffe360 y en las que indique a Giraffe360 que realice una acción específica o general en relación con los Datos del Cliente.

«Subencargado del Tratamiento» significa cualquier Encargado del Tratamiento contratado por Giraffe360 que Trate Datos del Cliente de Giraffe360.

«Datos Personales» significa toda información sobre una persona física identificada o identificable, según se define en la Legislación de Protección de Datos pertinente.

«Violación de la Seguridad de los Datos Personales» significa la destrucción, pérdida, alteración, corrupción, divulgación no autorizada de los Datos del Cliente o el acceso no autorizado a ellos, de forma accidental o ilícita, según se define en la Legislación de Protección de Datos pertinente.

«Tratamiento» significa cualquier operación o conjunto de operaciones realizadas sobre Datos Personales, que abarca la recogida, registro, organización, estructuración, conservación, adaptación o modificación, extracción, consulta, utilización, comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, cotejo o interconexión, limitación, supresión o destrucción de Datos Personales. Los términos «Tratar», «Trata» y «Tratados» se interpretarán en consecuencia.

«Encargado del Tratamiento» significa la persona física o jurídica, autoridad pública, servicio u otro organismo que Trate Datos Personales por cuenta del Responsable del Tratamiento. A los efectos del presente DPA, el Encargado del Tratamiento es Giraffe360.

3. Tratamiento de datos

1. 3.1 Giraffe360 trata las siguientes categorías de Datos Personales de los siguientes Interesados para los fines que se describen a continuación:
1. 1. Datos del Inmueble: incluyen imágenes, vídeos, nubes de puntos, visitas virtuales, planos, datos de localización GPS, información facilitada en la página de presentación del inmueble y otra información relacionada con el inmueble capturada por el Cliente, extraída de la cámara de Giraffe360 o facilitada por el Cliente como consecuencia del uso del Servicio de Giraffe360 por parte del Cliente. Aunque esta información no suele identificar a ninguna persona física, en circunstancias excepcionales puede identificar a los propietarios de inmuebles, a personas cuyos datos se capturen durante un Escaneo o al Cliente. Es responsabilidad del Cliente asegurarse de que los Recursos de Captura no contengan Información Personal Prohibida según se define en las Condiciones del Servicio. Los Datos del Inmueble se tratan para crear Contenido de Giraffe360.
   2. Datos del Perfil del Cliente: incluyen Datos Personales sobre el Cliente, sus representantes o empleados, como nombres, apellidos, direcciones de correo electrónico, números de teléfono, fotografías, eslóganes e hipervínculos a cuentas de redes sociales facilitados por el Cliente a través del Panel durante su uso del Servicio de Giraffe360. Estos datos se Tratan para permitir lo siguiente: la creación de perfiles en el Panel para el Cliente, sus representantes o empleados; el acceso al Contenido de Giraffe360 en el Panel; y el intercambio de Contenido de Giraffe360, así como el suministro de información sobre el Cliente, sus representantes o empleados a través del Servicio de Giraffe360.
   3. Datos de los Clientes del Cliente: incluyen los datos personales de los clientes del Cliente, como nombres, apellidos, direcciones de correo electrónico, números de teléfono y mensajes de posibles compradores o arrendatarios de inmuebles. Estos datos se ponen a disposición del Cliente a través del Panel. Se capturan cuando el Cliente habilita la funcionalidad Leads, que permite a los clientes del Cliente dejar su información de contacto para que el Cliente se ponga en contacto con ellos. El Cliente puede deshabilitar esta funcionalidad en el Panel.
2. 3.2 Los Datos del Cliente se transfieren de forma continua en relación con la prestación de los servicios según lo establecido en el Contrato y en el presente DPA hasta la terminación del Contrato.

4. Obligaciones del Cliente

1. 4.1 El Cliente será responsable de cumplir todos los requisitos que le sean aplicables en virtud de la Legislación de Protección de Datos con respecto al Tratamiento de Datos Personales por parte del Cliente.
2. 4.2 En particular, pero sin perjuicio del carácter general de lo anterior, el Cliente reconoce y acepta que es el único responsable de:
2. 1. la exactitud, la calidad y la legalidad de los Datos del Cliente y de los medios por los que el Cliente obtuvo dichos datos;
   2. cumplir todos los requisitos necesarios de transparencia y licitud previstos en la Legislación de Protección de Datos para la recogida y el uso de los Datos del Cliente, incluido el suministro de la información adecuada, la obtención de los consentimientos y autorizaciones necesarios y el respeto de las preferencias de exclusión voluntaria (en particular, para su uso por parte del Cliente con fines de marketing); y
   3. asegurarse de que tiene derecho a transferir los Datos del Cliente a Giraffe360, o a darle acceso a ellos, para su Tratamiento de conformidad con los términos del Contrato (incluido el presente DPA).
3. 4.3 El Cliente informará a Giraffe360 sin dilación indebida si no puede cumplir sus responsabilidades en virtud de la presente sección o de la Legislación de Protección de Datos.
4. 4.4 El Cliente es responsable de garantizar que sus Instrucciones a Giraffe360 en relación con el Tratamiento de los Datos del Cliente cumplan la legislación aplicable, incluida la Legislación de Protección de Datos.
5. 4.5 Las partes acuerdan que el Contrato (incluido el presente DPA), junto con el uso del Servicio de Giraffe360 por parte del Cliente de conformidad con el Contrato, constituyen las Instrucciones completas del Cliente a Giraffe360 en relación con el Tratamiento de los Datos del Cliente por parte de Giraffe360, si bien el Cliente podrá impartir Instrucciones adicionales durante la vigencia del Contrato que sean coherentes con el Contrato y con la naturaleza y el uso lícito del Servicio de Giraffe360.
6. 4.6 El Cliente es responsable de determinar de forma independiente si la seguridad de los datos prevista en el Servicio de Giraffe360 satisface adecuadamente sus obligaciones en virtud de la Legislación de Protección de Datos. El Cliente también es responsable del uso seguro que haga del Servicio de Giraffe360.

5. Obligaciones de Giraffe360

1. 5.1 Como Encargado del Tratamiento de Datos Personales, Giraffe360 solo Tratará los Datos del Cliente para los fines descritos en el presente DPA o según se acuerde de otro modo en el ámbito de las Instrucciones lícitas del Cliente, salvo cuando la legislación aplicable exija otra cosa y en la medida en que lo exija, en cuyo caso Giraffe360, en la medida en que lo permita la legislación aplicable, informará al Cliente de dicha exigencia legal antes de Tratar esos Datos del Cliente. Giraffe360 no es responsable del cumplimiento de ninguna Legislación de Protección de Datos aplicable al Cliente o al sector del Cliente que no sea de aplicación general a Giraffe360.
2. 5.2 Giraffe360 aplicará y mantendrá medidas técnicas y organizativas adecuadas para proteger los Datos del Cliente según exija la Legislación de Protección de Datos («Medidas de Seguridad»). No obstante cualquier disposición en contrario, Giraffe360 podrá modificar o actualizar las Medidas de Seguridad a su discreción, siempre que dicha modificación o actualización no suponga una reducción sustancial de la protección que ofrecen las Medidas de Seguridad.
3. 5.3 Teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, el responsable del tratamiento y el encargado del tratamiento aplicarán Medidas de Seguridad para garantizar un nivel de seguridad adecuado al riesgo, que incluyan, entre otras, según proceda:
3. 1. la seudonimización y el cifrado de datos personales;
   2. Medidas de Seguridad adecuadas para mantener la capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento;
   3. Medidas de Seguridad adecuadas para mantener la capacidad de restaurar la disponibilidad y el acceso a los Datos Personales de forma rápida en caso de incidente físico o técnico;
   4. un proceso de verificación, evaluación y valoración regulares de la eficacia de las Medidas de Seguridad para garantizar la seguridad del Tratamiento.
4. 5.4 Giraffe360 garantizará que todo el personal autorizado para Tratar Datos del Cliente en nombre de Giraffe360 esté sujeto a obligaciones de confidencialidad adecuadas con respecto a los Datos del Cliente.
5. 5.5 En un plazo de 30 días desde la terminación del Contrato, Giraffe360 suprimirá o, a elección del Cliente, devolverá todas las copias de los Datos del Cliente tratados por Giraffe360 en virtud del presente DPA. El Cliente notificará su elección a Giraffe360 en un plazo de 14 días hábiles desde la terminación del Contrato. Este plazo de 30 días se aplicará salvo cuando la legislación aplicable nos exija conservar la totalidad o parte de los Datos del Cliente.
6. 5.6 Giraffe360 podrá conservar y utilizar los Datos del Inmueble, tanto durante la vigencia del Contrato como tras su terminación, con fines de aprendizaje automático y entrenamiento de inteligencia artificial y de mejora del servicio. Dicho Tratamiento será realizado por Giraffe360 en calidad de Responsable del Tratamiento de los datos y de conformidad con la Política de Privacidad de Giraffe360.
7. 5.7 Giraffe360 podrá conservar los Datos del Cliente que Giraffe360 considere necesarios para ejercitar o defender cualquier reclamación judicial, siempre que dichos Datos del Cliente se conserven únicamente en la medida y durante el periodo que exija la legislación aplicable o hasta la resolución de cualquier controversia, y siempre que Giraffe360 garantice la confidencialidad de todos dichos Datos del Cliente.

6. Subencargados del Tratamiento

1. 6.1 El Cliente otorga por el presente una autorización general por escrito a Giraffe360 para contratar Subencargados del Tratamiento que contribuyan a la prestación del Servicio de Giraffe360. Giraffe360 garantizará que todos los Subencargados del Tratamiento estén sujetos a obligaciones contractuales que ofrezcan, como mínimo, el mismo nivel de protección de datos que exigen el presente DPA y la Legislación de Protección de Datos aplicable. En el sitio web de Giraffe360 se mantiene una lista actualizada de los Subencargados del Tratamiento, que incluye su nombre, ubicación y finalidad (la «Lista de Subencargados del Tratamiento»).
2. 6.2 Giraffe360 se reserva el derecho a actualizar la Lista de Subencargados del Tratamiento cuando sea necesario. Cualquier incorporación o sustitución en la Lista de Subencargados del Tratamiento se reflejará en el sitio web con una antelación mínima de 15 días a que el nuevo Subencargado del Tratamiento quede autorizado para tratar los Datos del Cliente. Se recomienda a los Clientes que revisen periódicamente la Lista de Subencargados del Tratamiento.
3. 6.3 Si un Cliente se opone de forma razonable a un nuevo Subencargado del Tratamiento por motivos legítimos relacionados con la protección de datos, el Cliente deberá notificarlo por escrito a Giraffe360 en un plazo de 15 días desde la publicación de la actualización. Tras recibir una oposición, Giraffe360 analizará las inquietudes del Cliente y trabajará de buena fe para encontrar una solución mutuamente aceptable. Si no se recibe ninguna oposición dentro del plazo de notificación de 15 días, se considerará que el Cliente ha aceptado al Subencargado del Tratamiento actualizado.
4. 6.4 Giraffe360 seguirá siendo responsable en todo momento del cumplimiento de sus obligaciones en virtud del DPA y responderá ante el Cliente de los actos y omisiones de cualquier Subencargado del Tratamiento como si se tratara de actos y omisiones de Giraffe360.

7. Transferencias internacionales

1. 7.1 Giraffe360 no transferirá Datos del Cliente a un destinatario situado en un país o territorio fuera del EEE o del Reino Unido, salvo que:
1. 1. el destinatario, o el país o territorio en el que trate los Datos del Cliente o acceda a ellos, ofrezca un nivel de protección adecuado de los derechos y libertades de los interesados en relación con el tratamiento de los Datos del Cliente, según lo determine la Comisión Europea; o
   2. la transferencia se base en las Cláusulas Contractuales Tipo (encargados del tratamiento) aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, o en cualquier versión posterior de estas, o en otro mecanismo de transferencia legalmente reconocido.

8. Seguridad de los datos, auditorías y notificaciones de seguridad

1. 8.1 El Cliente podrá, mediante preaviso razonable y en momentos razonables, auditar (por sí mismo o recurriendo a auditores terceros independientes) el cumplimiento de las Medidas de Seguridad por parte de Giraffe360, incluso mediante la realización de auditorías de las instalaciones de tratamiento de datos de Giraffe360. Giraffe360 colaborará en cualquier auditoría realizada de conformidad con el presente DPA y contribuirá a ella, siempre que dichas auditorías no se realicen más de una vez al año.
2. 8.2 A petición del Cliente, Giraffe360 pondrá a disposición toda la información razonablemente necesaria para demostrar el cumplimiento del presente DPA y de la Legislación de Protección de Datos.
3. 8.3 Cuando así lo exija el artículo 28, apartado 3, letra h), del RGPD, Giraffe360 notificará inmediatamente al Cliente si Giraffe360 considera que las Instrucciones del Cliente infringen los requisitos de cualquier Legislación de Protección de Datos o de otras leyes de la UE, del Reino Unido o de los Estados miembros del EEE.
4. 8.4 Giraffe360 notificará por escrito al Cliente, sin dilación indebida, en cuanto tenga conocimiento de cualquier Violación de la Seguridad de los Datos Personales relacionada con los Datos del Cliente y con el Tratamiento realizado en virtud del presente DPA. Giraffe360 prestará una asistencia razonable al Cliente para garantizar el cumplimiento de la Legislación de Protección de Datos aplicable en relación con la Violación de la Seguridad de los Datos Personales, incluido el apoyo en cualquier investigación reglamentaria y en las notificaciones a las autoridades de control y/o a los Interesados.
5. 8.5 Al notificar una Violación de la Seguridad de los Datos Personales, Giraffe360 comunicará en un lenguaje claro y sencillo, como mínimo y en la medida de lo posible teniendo en cuenta la información disponible: una explicación de la naturaleza de la violación de datos, el nombre y los datos de contacto del Delegado de Protección de Datos («DPO») u otro punto de contacto en el que pueda obtenerse más información, una descripción de las posibles consecuencias de la Violación de la Seguridad de los Datos Personales y una descripción de las medidas adoptadas o propuestas para poner remedio a la Violación de la Seguridad de los Datos Personales, incluidas, en su caso, las medidas adoptadas para mitigar sus posibles efectos negativos.

9. Solicitudes de acceso y derechos de los interesados

1. 9.1 Salvo que lo exija la legislación aplicable (o cuando esta lo prohíba), Giraffe360 notificará al Cliente cualquier solicitud que Giraffe360 reciba de un Interesado, ya sea directamente o a través de un Subencargado del Tratamiento, en relación con sus Datos Personales incluidos en los Datos del Cliente, y no responderá al Interesado.
2. 9.2 Giraffe360 ofrecerá al Cliente la posibilidad de rectificar, suprimir, bloquear, consultar o copiar los Datos del Cliente de conformidad con las funcionalidades del Servicio de Giraffe360 y en la medida en que estas lo permitan.
3. 9.3 Giraffe360 notificará al Cliente cualquier solicitud de divulgación de Datos del Cliente formulada por un organismo gubernamental o regulador o por una autoridad policial (incluida cualquier autoridad de control en materia de protección de datos), salvo que lo prohíba la ley o una orden jurídicamente vinculante de dicho organismo o autoridad.
4. 9.4 Cuando proceda, teniendo en cuenta la naturaleza del Tratamiento y en la medida en que lo exija la Legislación de Protección de Datos aplicable, Giraffe360:
4. 1. hará todos los esfuerzos razonables para asistir al Cliente mediante la aplicación de medidas técnicas y organizativas adecuadas, siempre que sea posible, para que el Cliente pueda cumplir su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados establecidos en el RGPD; y
   2. prestará una asistencia razonable al Cliente en relación con cualesquiera evaluaciones de impacto relativas a la protección de datos y con cualesquiera consultas previas a cualquier autoridad de control del Cliente, en cada caso únicamente en relación con el Tratamiento de los Datos del Cliente y teniendo en cuenta la información de que disponga Giraffe360.