El presente anexo tiene por objeto establecer las obligaciones y responsabilidades de las partes intervinientes respecto de las bases que contengan datos de carácter personal de clientes, proveedores y/o empleados del Banco (en adelante, los datos) en su calidad de responsable del tratamiento de datos personales y/o titular de los bancos de datos personales señalados (en adelante EL RESPONSABLE).
EL PROVEEDOR en su calidad de encargado de tratamiento de datos personales (en adelante, EL ENCARGADO), puede tener acceso a los datos exclusivamente para el cumplimiento de los servicios en marco del presente Contrato, de conformidad con la Ley N°29733 - Ley de Protección de Datos Personales y su Reglamento aprobado por Decreto Supremo 016-2024-JUS y las demás disposiciones, Directivas o guías técnicas emitidas por la Autoridad Nacional de Protección de Datos Personales que resulten aplicables. (en adelante, normativas en protección de datos personales).
I. OBLIGACIONES DE EL ENCARGADO:
La entrega de los datos, por parte de EL RESPONSABLE a EL ENCARGADO a través de cualquier medio, no tiene efectos legales de cesión de datos, sino de simple acceso a los mismos como elemento necesario para la realización únicamente de los servicios establecidos en este Contrato.
EL ENCARGADO y en consecuencia sus empleados o terceros de quienes se valga para cumplir con sus obligaciones, en relación con los datos, se obliga específicamente a:
1. Dar cumplimiento a lo establecido en la normativa de protección de datos personales.
2. Utilizar o aplicar los datos personales exclusivamente para la realización de los fines establecidos en este contrato y, en su caso, de acuerdo con las instrucciones impartidas por EL RESPONSABLE. En ningún caso podrá utilizar los datos para fines propios.
3. No comunicarlos, ni siquiera a efectos de su conservación, a otras personas, ni tampoco las elaboraciones, evaluaciones o procesos similares, citados anteriormente, ni duplicar o reproducir toda o parte de la información, resultados o relaciones sobre los mismos.
4. Asegurarse de que los datos sean manejados únicamente por aquellos empleados cuya intervención sea necesaria para la finalidad del servicio, con sujeción al secreto profesional y confidencialidad de manera indeterminada.
5.Garantizar que las personas autorizadas que tengan acceso a los datos hayan suscrito un acuerdo de confidencialidad respecto la información que EL RESPONSABLE pone a disposición de EL ENCARGADO. Este acuerdo debe encontrarse documentado y ser puesto a disposición de EL RESPONSABLE, según éste lo requiera.
6. Garantizar la licitud del tratamiento de datos de sus trabajadores, conforme la normativa aplicable. La evidencia debe ponerse a disposición de EL RESPONSABLE cuando sea requerido.
7. Admitir los controles y auditorías que, de forma razonable, pretenda realizar EL RESPONSABLE a efectos de verificar el cumplimiento, por parte de EL ENCARGADO, de lo aquí establecido.
8. Canalizar de manera inmediata a EL RESPONSABLE, cualquier solicitud de ejercicio de derechos conferidos por la normativa de protección de datos personales. De la misma manera deberá ejecutar cualquier solicitud efectuada por EL RESPONSABLE para la atención de los referidos derechos.
9. Custodiar los datos, a través de las medidas de seguridad legalmente exigibles, de índole técnica y organizativa que garanticen la seguridad de los mismos, evitando su alteración, pérdida, tratamiento y acceso no autorizado, de conformidad con el estado de la tecnología en cada momento, la naturaleza de los datos y los posibles riesgos a que estén expuestos.
10. EL ENCARGADO se obliga a no adquirir, poseer, utilizar, reproducir, ceder, comercializar ni disponer de los datos personales o de cualquier otro dato informático fuera del marco de la relación contractual o de las autorizaciones correspondientes.
11. EL ENCARGADO debe designar una persona de contacto e informar a EL RESPONSABLE para cursar cualquier comunicación referente al tratamiento de los datos que se viene realizando.
12. Garantizar que el personal cuenta con la formación suficiente referente a la materia de Protección de Datos Personales para el desarrollo de los servicios objeto del presente Contrato. En el escenario que el personal carezca de competencias en la materia, EL ENCARGADO debe implementar a la brevedad un plan de formación y concienciación a sus colaboradores. El plan tiene que estar documentado indicando el día que se llevó a cabo la formación, la cantidad de horas recibidas y las referencias del capacitador.
13. Contar con los mecanismos idóneos para asegurar que los titulares de los datos puedan ejercer los derechos conferidos por la regulación en Protección de datos personales.
II. OBLIGACIONES DE EL RESPONSABLE
Facilitar a EL ENCARGADO el acceso a los datos a fin de prestar el servicio contratado.
III. RESPONSABILIDADES DE EL ENCARGADO:
Los datos son de propiedad exclusiva de EL RESPONSABLE, extendiéndose también esta titularidad a cuantas elaboraciones, evaluaciones, segmentaciones o procesos similares que, en relación con los mismos, realice EL ENCARGADO de acuerdo con los servicios que presta, declarando las partes que estos datos son confidenciales a todos los efectos, sujetos en consecuencia al más estricto secreto profesional, incluso una vez finalizada toda relación contractual entre las partes derivada de los servicios prestados.
Las Partes convienen que EL ENCARGADO mantendrá indemne, defenderá y eximirá de responsabilidad a EL RESPONSABLE. Por lo tanto, se hace responsable de cualquier reclamo, denuncia, proceso judicial, procedimiento administrativo u otro iniciado por algún cliente o tercero facultado contra EL RESPONSABLE como motivo del incumplimiento de cualquiera de las obligaciones de EL ENCARGADO pactadas en esta cláusula.
EL ENCARGADO asumirá las costas y costos correspondientes, sustituyéndose en el lugar del EL RESPONSABLE y asumiendo cualquier monto por daños o perjuicios, indemnizaciones, multas, u otras sanciones que pudiera recibir.
IV. TRANSFERENCIA DE DATOS:
EL ENCARGADO declara y reconoce que, en el marco de la prestación de los servicios objeto del Contrato, podrá realizar transferencias internacionales de datos personales, en cumplimiento de la normativa de protección de datos personales vigente, siendo responsable de garantizar que dichas transferencias se efectúen con un nivel adecuado de protección y con las salvaguardas exigidas por la Ley N° 29733 y su Reglamento.
EL ENCARGADO se obliga a informar expresa y oportunamente por escrito a EL RESPONSABLE, ya sea al momento de la suscripción del presente Contrato o durante su vigencia, si realiza o tiene previsto realizar transferencias internacionales de datos personales, entendidas como todo flujo de datos personales hacia destinatarios ubicados fuera del territorio de la República del Perú.
Esta obligación comprende, entre otros supuestos:
- La utilización de infraestructuras o servicios tecnológicos ubicados fuera del Perú;
- La incorporación de sub encargados del tratamiento domiciliados en el extranjero;
- La centralización de operaciones, soportes o actividades de tratamiento fuera del territorio peruano.
La información sobre las transferencias internacionales de datos personales a realizarse por EL ENCARGADO, deberá proporcionarse mediante el llenado y envío a EL RESPONSABLE del “Sub-Anexo A – Formulario Previo para Transferencias Internacionales”, el cual forma parte integrante del presente Contrato. Remitir el Sub-Anexo A debidamente actualizado al representante de EL RESPONSABLE y al buzón proteccion.datos.peru@bbva.com.
EL ENCARGADO será responsable de las transferencias internacionales de datos personales que realice, así como del cumplimiento de las obligaciones legales y regulatorias que resulten aplicables, manteniendo indemne a EL RESPONSABLE frente a cualquier reclamo, procedimiento administrativo sanción derivada del incumplimiento de la normativa de protección de datos personales.
V. MEDIDAS DE SEGURIDAD EN LOS DATOS
EL ENCARGADO se obliga a implementar y mantener medidas de seguridad técnicas, organizativas y físicas adecuadas, para garantizar un nivel de seguridad adecuado de los datos personales a los que tenga acceso en el marco del Contrato, de conformidad con la normativa de protección de datos personales vigente y las Directivas emitidas por la Autoridad Nacional de Protección de Datos Personales.
Dichas medidas deberán orientarse como mínimo, a garantizar la confidencialidad, integridad, disponibilidad y resiliencia de los datos personales y de los sistemas utilizados para su tratamiento, teniendo en consideración:
- La naturaleza, alcance, contexto y fines del tratamiento,
- El volumen y sensibilidad de los mismos,
- El tipo y alcance de los servicios prestados,
- Los riesgos asociados al tratamiento,
- El estado de la tecnología disponible,
Las medidas de seguridad deberán aplicarse bajo un enfoque basado en riesgos, pudiendo ser diferenciadas en función a la criticidad de servicio y del proveedor, sin perjuicio del cumplimiento de los principios de seguridad y confidencialidad exigidos por la normativa aplicable.
Sin perjuicio de lo anterior, y como marco de referencia, EL ENCARGADO deberá evaluar implementar, cuando resulte pertinente según el nivel de riesgo del servicio prestado, medidas de seguridad que puedan incluir entre otras las siguientes:
a) Medidas organizativas y de control de accesos: Limitación de acceso a los datos personales únicamente al personal autorizado y estrictamente necesario para la prestación del servicio.Compromisos de confidencialidad vigentes para el personal con acceso a datos personales.Designación de responsables internos para la gestión de la seguridad de la información y protección de datos personales.
b) Medidas técnicas: Controles de autenticación, y autorización para el acceso a sistemas y aplicaciones que traten datos personales.Protección frente a accesos no autorizados, pérdida o alteración o divulgación indebida de la información.Mecanismos de respaldo y recuperación de la información que permitan restaurar la disponibilidad de los datos personales ante incidentes razonablemente previsibles.
c) Seguridad de los entornos y soportes: Medidas razonables de protección de los entornos físicos y lógicos donde se procesen o almacenen datos personales, incluyendo equipos, sistemas o soportes.Procedimientos para la eliminación o destrucción segura de los datos personales y de los soportes que lo contengan, una vez cumplida la finalidad del tratamiento o finalizada la relación contractual.
d) Transferencia y transmisión de datos: Medidas de protección adecuadas para la transmisión electrónica de datos personales, orientadas a evitar accesos no autorizados, pérdida o corrupción de la información durante su traslado.
Las medidas descritas deberán ser implementadas de forma proporcional y coherente con el nivel de riesgo asociado al tratamiento de datos personales realizado por EL ENCARGADO en el marco del servicio contratado. El ENCARGADO podrá aplicar medidas equivalentes o alternativas que permitan alcanzar un nivel de seguridad comparable, siempre que dichas medidas resulten adecuadas conforme la normativa vigente.
El ENCARGADO declara que las medidas de seguridad implementadas son razonables, proporcionales y suficientes para los tratamientos de datos personales que realiza y se obliga a revisarlas y actualizarlas periódicamente o cuando se produzcan cambios relevantes en el tratamiento de los riesgos asociados.
El ENCARGADO será responsable de demostrar, cuando corresponda, el cumplimiento de las obligaciones de seguridad previstas en la presente cláusula, poniendo a disposición de EL RESPONSABLE la información necesaria para acreditar la adopción de las medidas de seguridad aplicables, en el marco de auditorías o requerimientos debidamente justificados.
VI. NOTIFICACIÓN DE VIOLACIÓNES DE SEGURIDAD DE LOS DATOS:
EL ENCARGADO notificará a EL RESPONSABLE , de manera inmediata a los siguientes buzones: cert@bbva.com y proteccion.datos.peru@bbva.com en el caso de que se detecte un incidente o brecha de seguridad, o se tenga una sospecha fundada de que los sistemas, soportes o datos hayan sido comprometidos o utilizados sin autorización dentro de la prestación del servicio.
Se debe proporcionar en la medida de lo posible un informe de auditoría del incidente que identifique la causa del incidente e incluya revisiones forenses de las violaciones de la seguridad de los datos personales a su cargo con toda la documentación pertinente incluida la comunicación de la incidencia. Asimismo, dicho informe debe contener:
a) La naturaleza del incidente de seguridad de los datos personales, inclusive, cuando sea posible, los tipos de datos y el número aproximado de titulares de datos afectados.
b) El nombre y los datos de contacto del Oficial de datos personales o de otro punto de contacto en el que pueda obtenerse más información.
c) Las posibles consecuencias del incidente de seguridad de los datos personales.
d) Las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los datos personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos.
Si no es posible facilitar la información simultáneamente, y en la medida en que no lo sea, la información se facilitará a EL RESPONSABLE de manera gradual.
Los incidentes ocurridos serán registrados por EL ENCARGADO en una bitácora e informará de manera semestral el consolidado de incidentes reportados o indicación de no ocurrencia, medidas adoptadas y estado de mitigación a los siguientes buzones: cert@bbva.com y proteccion.datos.peru@bbva.com
EL ENCARGADO brindará el apoyo a EL RESPONSABLE en la realización de las consultas previas a la autoridad de control, cuando proceda.
EL ENCARGADO pone a disposición del responsable toda la información necesaria para demostrar el cumplimiento de sus obligaciones, así como para la realización de las auditorías o las inspecciones que realicen EL RESPONSABLE u otro auditor autorizado por él.
Cerrada la vulneración de seguridad EL ENCARGADO debe implantar mecanismos para:
a) Garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
b) Restaurar la disponibilidad y el acceso a los datos personales de forma rápida, en caso de incidente físico o técnico.
c) Verificar, evaluar y valorar, de forma regular, la eficacia de las medidas técnicas y organizativas implantadas para garantizar la seguridad de los Datos Personalesd) Seudonimizar y cifrar los datos personales, en su caso.
VII. RECOPILACIÓN DE DATOS PERSONALES OBTENIDOS POR EL ENCARGADO
En los casos en los que EL ENCARGADO cumpla con las obligaciones establecidas en este contrato de prestación de servicios utilizando una base de datos personales que haya sido recogida u obtenida por ella, EL ENCARGADO se obliga ante EL RESPONSABLE a recabar el consentimiento del titular de datos personales para su tratamiento y traspaso, de acuerdo a la normativa de protección de datos personales.
La autorización del titular de datos personales debe indicar que EL ENCARGADO podrá transferir los datos a EL RESPONSABLE a través de cualquier medio y que EL RESPONSABLE podrá tratar los datos personales. Para tal efecto, EL ENCARGADO se obliga a adoptar protocolos de obtención de autorización de los titulares de datos personales, a conservar dichas autorizaciones, a adoptar las medidas de seguridad necesarias para proteger la confidencialidad de los datos obtenidos y a adoptar cualquier otra medida para cumplir con las obligaciones establecidas en esta Anexo y en general, a cumplir con toda la normativa vigente de protección de datos personales.
EL ENCARGADO está en la obligación de indicar, mediante un documento escrito y cada vez que transmita datos a EL RESPONSABLE, cuáles fueron las condiciones en las que el titular de los datos brindó su consentimiento o si estos fueron recopilados de una fuente pública, indicando el origen de la fuente.
EL ENCARGADO garantiza que los datos personales que recopile, serán obtenidos de manera lícita, no provendrán de fuentes ilícitas, ni serán adquiridos, poseídos ni utilizados al margen de la relación contractual o de las autorizaciones correspondientes.
Asimismo, EL ENCARGADO se hace responsable del tratamiento de los datos que realiza, ante el titular de los mismos, la Autoridad Nacional de Protección de Datos, la autoridad en Protección al Consumidor y cualquier otra autoridad competente.
VIII. AUDITORIAS E INSPECCIONES SOBRE PROTECCIÓN DE DATOS PERSONALES
EL ENCARGADO permitirá a EL RESPONSABLE verificar el cumplimiento de las obligaciones en materia de protección de datos personales asumidas en virtud del Contrato y del presente Anexo, mediante auditorías o inspecciones razonables y proporcionales al nivel de riesgo del servicio prestado.
Dichas auditorías podrán realizarse, a elección de EL RESPONSABLE y según corresponda, a través de:
- Auditorías documentales,
- Requerimientos de información,
- Revisiones remotas,
- Informes de auditoría de terceros independientes,
- Certificaciones o estándares reconocidos en materia de protección de seguridad de la información y protección de datos personales.
Las auditorías presenciales en las instalaciones de EL ENCARGADO solo se realizarán cuando resulten necesarias, atendiendo a la naturaleza del servicio, el tipo de datos personales tratados y el nivel de riesgo identificado.
Las auditorías se realizarán previa notificación a EL ENCARGADO, con un pre aviso de siete (7) días calendario, salvo que EL RESPONSABLE comunique a EL ENCARGADO circunstancias de urgencia debidamente justificadas.
Queda a liberalidad de EL RESPONSABLE contratar a un tercero para realizar la actividad de auditoría, tal designación deberá ser comunicada a EL ENCARGADO. Toda la información obtenida y derivada de las auditorías será tratada como información confidencial de EL ENCARGADO.
EL RESPONSABLE podrá llevar a cabo como mínimo una auditoría al año, salvo en circunstancias especiales llevadas a cabo por las autoridades reguladoras en protección de datos personales. EL ENCARGADO se compromete a subsanar aquellas observaciones y acatar las recomendaciones que el regulador pudiera alcanzar con motivo de la auditoría o inspección.
EL RESPONSABLE llevará a cabo las auditorías durante el horario normal de oficina de las partes. Cada una de las partes será responsable de sus costos en cada auditoría. Toda la información obtenida y derivada de las auditorías será tratada como información confidencial de EL ENCARGADO.
En ningún caso el hecho de que EL RESPONSABLE haya realizado una auditoría a EL ENCARGADO, liberará a esta última de la responsabilidad del cumplimiento de sus obligaciones ante autoridades y terceros que se puedan haber visto afectados con el incumplimiento.
IX. RESOLUCIÓN
El incumplimiento de cualquiera de las obligaciones de EL ENCARGADO mencionadas en las cláusulas anteriores del presente Anexo, facultará a EL RESPONSABLE a sola discreción a:
a) Requerir a EL ENCARGADO la adopción de medidas correctivas dentro de plazo que EL RESPONSABLE determine, o;
b) Resolver el Contrato de manera anticipada, sin necesidad de requerimiento previo.
El ejercicio de cualquiera de las facultades señaladas, no limita ni condiciona el derecho de EL RESPONSABLE a exigir las penalidades, indemnizaciones o responsabilidades que correspondan, ni implica renuncia a otros derechos que le asistan.
X. DESTRUCCIÓN DE LOS DATOS
Una vez resuelto el presente contrato o finalizada la relación contractual, EL ENCARGADO procederá a la supresión o destrucción segura de los datos personales tratados por cuenta de EL RESPONSABLE, salvo que exista obligación legal de conservación.
EL ENCARGADO deberá certificar por escrito y evidenciar la supresión o destrucción de los datos personales, indicando el método utilizado y la fecha de ejecución.
Cuando la naturaleza del servicio o del tratamiento lo justifique, dicha certificación podrá realizarse mediante: declaración formal del proveedor, reporte técnico, constancia de borrado seguro o documentación equivalente emitida por un tercero especializado.
La certificación notarial de destrucción sólo será exigible cuando EL RESPONSABLE lo considere necesario, atendiendo al tipo de datos personales tratados y al nivel de riesgo asociado.
La supresión o destrucción de los datos personales realizada conforme lo dispuesto en la presente cláusula, será efectuada por EL ENCARGADO sin costo adicional para EL RESPONSABLE.
