Adenda de tratamiento de datos

Esta Adenda forma parte de los Términos y condiciones de BrandsGateway (los «Términos») entre Gateway Holdings OÜ, código de registro 14276496, Narva mnt 5, 10117 Tallinn, Estonia, que opera con el nombre comercial BrandsGateway (el «Encargado»), y cada cliente empresarial que acepta los Términos (el «Cliente»). El Cliente la acepta al aceptar los Términos. Se aplica a partir de la fecha en que el Cliente acepta los Términos o, para los clientes registrados antes del 29 de octubre de 2026, a partir de esa fecha. Versión 1.0.

Respecto de los datos de los consumidores finales que el Cliente envía al Encargado para preparar y enviar los pedidos, el Cliente es el responsable del tratamiento y el Encargado es su encargado del tratamiento. El Encargado es un responsable del tratamiento independiente únicamente respecto de los registros de pedidos, facturas, aduanas e impuestos que debe conservar por ley, y de los datos que necesite para formular o defender reclamaciones, incluidas las reclamaciones frente a transportistas.

Finalidad: recepción, preparación, envío, seguimiento y devolución de los pedidos del Cliente, y el soporte relacionado. Datos: nombre, dirección de envío, teléfono, correo electrónico, contenido de los pedidos y datos de seguimiento de los consumidores finales del Cliente. Los datos de cada pedido se conservan durante el tiempo necesario para preparar, entregar y devolver el pedido y para resolver las reclamaciones relacionadas con él y, a continuación, se suprimen, salvo los registros de la cláusula 1, que se conservan durante su plazo legal.

El Cliente es responsable de la licitud del tratamiento y de informar a sus consumidores finales, envía únicamente los datos necesarios para un pedido y da sus instrucciones por escrito.

El Encargado trata los datos únicamente siguiendo las instrucciones documentadas del Cliente: los Términos, esta Adenda y los pedidos del Cliente, también en lo que respecta a las transferencias fuera del EEE. Si el Derecho de la Unión o de los Estados miembros exige otro tratamiento, el Encargado informa previamente al Cliente, salvo que dicho Derecho lo prohíba por razones importantes de interés público. Informa inmediatamente al Cliente si considera que una instrucción infringe la normativa de protección de datos, y puede suspender dicha instrucción hasta que el Cliente la confirme o la modifique. No utiliza los datos de los consumidores finales para ningún fin propio, incluidos el marketing, la elaboración de perfiles o la analítica.

Todas las personas autorizadas para tratar los datos están sujetas a una obligación de confidencialidad.

El Encargado aplica, como mínimo, las medidas del Anexo 1, las revisa periódicamente y no las modifica de forma que se reduzca el nivel de protección.

El Cliente otorga al Encargado una autorización general para recurrir a subencargados del tratamiento de los siguientes tipos: los vendedores y almacenes que preparan y envían los pedidos; alojamiento y almacenamiento; entrega de correo electrónico; herramientas de soporte; seguridad de la red; y supervisión de errores. Algunos de ellos se encuentran en Estados Unidos, con arreglo a la cláusula 9. La lista actual está disponible previa solicitud en [email protected].

El Encargado informa al Cliente por correo electrónico al menos 30 días antes de añadir o sustituir un subencargado del tratamiento. El Cliente puede oponerse por motivos razonables relacionados con la protección de datos; si no puede resolverse, puede poner fin a los servicios afectados. El Encargado impone a cada subencargado del tratamiento, mediante contrato, obligaciones de protección de datos que protejan los datos al menos en la misma medida que esta Adenda, y sigue siendo plenamente responsable de ellos.

Para entregar un pedido, el Encargado facilita el nombre, la dirección, el teléfono y el correo electrónico del destinatario, así como el contenido y el valor del paquete, al transportista y, cuando sea necesario, a las autoridades y agentes de aduanas. El Cliente lo ordena al realizar el pedido. Estos destinatarios actúan como responsables del tratamiento independientes con arreglo a sus propias condiciones.

Solo se recurre a subencargados del tratamiento fuera del EEE cuando están amparados por una decisión de adecuación (en el caso de Estados Unidos, únicamente organizaciones certificadas conforme al Marco de Privacidad de Datos UE-EE. UU.) o con arreglo a las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, Módulo 3. Para un Cliente situado fuera del EEE en un país sin decisión de adecuación, el Módulo 4 de dichas cláusulas forma parte de esta Adenda.

El Encargado ayuda al Cliente a responder a las solicitudes de los consumidores finales y le remite las que reciba sin dilación indebida y, a más tardar, en un plazo de 3 días laborables; asimismo, le ayuda en materia de seguridad, notificación de violaciones de la seguridad y evaluaciones de impacto (artículos 32 a 36 del RGPD).

El Encargado notifica al Cliente sin dilación indebida y, a más tardar, en un plazo de 48 horas desde que tenga conocimiento de ella, toda violación de la seguridad que afecte a los datos del Cliente, incluidas las que se produzcan en un subencargado del tratamiento, indicando lo que se sabe, las consecuencias probables, las medidas adoptadas y un punto de contacto.

Cuando finalicen los servicios, el Encargado suprime o devuelve los datos de los consumidores finales en un plazo de 30 días, a elección del Cliente, salvo los registros de la cláusula 1, y lo confirma por escrito previa solicitud a [email protected].

El Encargado facilita la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD. Si con ello no se responde a las preguntas razonables del Cliente, el Cliente o su auditor pueden realizar una auditoría, con un preaviso de 30 días, como máximo una vez al año, salvo que existan indicios de incumplimiento o de una violación de la seguridad, o que una autoridad lo exija. Cada parte asume sus propios costes.

Las modificaciones de esta Adenda se comunican al Cliente por correo electrónico al menos 30 días antes de su aplicación; el Cliente puede poner fin a los servicios afectados antes de esa fecha.

Esta Adenda prevalece sobre los Términos en materia de protección de datos. Previa solicitud, las partes firman las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/915 de la Comisión, que en ese caso prevalecen. Se aplica la legislación estonia.

Nuestros servidores, bases de datos, archivos y copias de seguridad se alojan en centros de datos situados en la UE. Solo se accede a nuestros sitios web mediante conexiones cifradas (TLS), detrás de una protección de red contra ataques, y las bases de datos que contienen los pedidos no son accesibles desde internet. Se realizan copias de seguridad diarias de las bases de datos, que se cifran antes de salir del servidor.

Cada persona utiliza una cuenta personal con únicamente los permisos que requiere su trabajo. El acceso a los servidores se realiza mediante claves criptográficas personales, no mediante contraseñas.

Los vendedores y almacenes solo ven los pedidos que preparan y envían.

Los eventos y errores de las aplicaciones se registran de forma centralizada; solo el equipo técnico puede leer los registros.

El personal y los contratistas están sujetos a una obligación de confidencialidad.

Las presuntas violaciones de la seguridad se comunican a [email protected] y las gestiona el equipo técnico; los Clientes reciben la notificación conforme a la cláusula 11.