Tractament de Dades de Clients, Potencials Clients i Proveïdors

Clàusula Informativa

Responsable de les dades:

Josep Anton Balcells Bertran – 10011966A – Avda. Mestre Montaner, 18 – 08700 Igualada (Barcelona)

“En nom de l’empresa tractem la informació que ens facilita amb la finalitat de prestar-los el servei sol·licitat i/o realitzar la facturació d’aquest. Les dades proporcionades es conservaran mentre es mantingui la relació comercial o durant els anys necessaris per a complir amb les obligacions legals. Les dades no se cediran a tercers excepte en els casos en què existeixi una obligació legal. Vostè té dret a obtenir confirmació sobre si a casa Cigarrán estem tractant les seves dades personals per tant té dret a accedir a les seves dades personals, rectificar les dades inexactes o sol·licitar la seva supressió quan les dades ja no siguin necessaris. Així mateix sol·licitem la seva autorització per a oferir-li productes i serveis relacionats amb els sol·licitats i fidelitzar-li com a client.»

Empreses de Serveis Contractes:

1. Objecte de l’encàrrec del tractament:
Mitjançant les presents clàusules s’habilita a Dinahosting com a empresa d’allotjament d’aquest lloc web, a les empreses Redsys com a empresa gestora dels pagaments en línia dels productes i serveis oferts en aquesta pàgina web i Dinahosting com a empresa registrante del domini, com a encarregats del tractament, per a tractar per compte de Casa Cigarrán en qualitat de responsable del tractament, les dades de caràcter personal necessaris per a prestar el servei que d’ara endavant s’especifiquen. El tractament consistirà en Serveis de correu electrònic, formularis de contacte i allotjament web.

2. Identificació de la informació afectada:
Per a l’execució de les prestacions derivades del compliment de l’objecte d’aquest encàrrec, l’entitat Casa Cigarrán com a responsable del tractament, posa a la disposició de l’entitats Dinahosting com a empresa d’allotjament d’aquest lloc web, Redsys com a empresa gestora dels pagaments en línia dels productes i serveis oferts en aquesta pàgina web i Dinahosting com a empresa registrante del domini la informació disponible en els equips informàtics que donen suport als tractaments de dades realitzades pel responsable.

3. Durada:
El present acord té una durada de caràcter indefinit. Una vegada finalitzi el contracte actual, l’encarregat del tractament ha de retornar al responsable les dades personals, i suprimir qualsevol còpia que mantingui en el seu poder. No obstant això, podrà mantenir bloquejats les dades per a atendre possibles responsabilitats administratives o jurisdiccionals.

4. Obligacions de l’encarregat del tractament:
L’encarregat del tractament i tot el seu personal s’obliga a:

– Utilitzar les dades personals als quals tingui accés només per a la finalitat objecte d’aquest encàrrec. En cap cas podrà utilitzar les dades per a fins propis.
– Tractar les dades d’acord amb les instruccions del responsable del tractament. Si l’encarregat del tractament considera que alguna de les instruccions infringeix el RGPD o qualsevol altra disposició en matèria de protecció de dades, l’encarregat informarà immediatament el responsable.
– No comunicar les dades a terceres persones, tret que compti amb l’autorització expressa del responsable del tractament, en els supòsits legalment admissibles.
– Mantenir el deure de secret respecte a les dades de caràcter personal als quals hagi tingut accés en virtut del present encàrrec, fins i tot després que finalitzi el contracte.
– Garantir que les persones autoritzades per a tractar dades personals es comprometin, de manera expressa i per escrit, a respectar la confidencialitat i a complir les mesures de seguretat corresponents, de les quals cal informar-los convenientment.
– Mantenir a la disposició del responsable la documentació acreditativa del compliment de l’obligació establerta en l’apartat anterior.
– Garantir la formació necessària en matèria de protecció de dades personals de les persones autoritzades per a tractar dades personals.

Notificació de violacions de la seguretat de les dades:

L’encarregat del tractament notificarà al responsable del tractament, sense dilació indeguda i a través de l’adreça de correu electrònic que li indiqui el responsable, les violacions de la seguretat de les dades personals al seu càrrec de les quals tingui coneixement, juntament amb tota la informació rellevant per a la documentació i comunicació de la incidència.

Es facilitarà, com a mínim, la informació següent:

– Descripció de la naturalesa de la violació de la seguretat de les dades personals, inclusivament, quan sigui possible, les categories i el nombre aproximat d’interessats afectats, i les categories i el nombre aproximat de registres de dades personals afectats.
– Dades de la persona de contacte per a obtenir més informació.
– Descripció de les possibles conseqüències de la violació de la seguretat de les dades personals.

– Descripció de les mesures adoptades o propostes per a posar remei a la violació de la seguretat de les dades personals, incloent, si escau, les mesures adoptades per a mitigar els possibles efectes negatius.
– Si no és possible facilitar la informació simultàniament, i en la mesura en què no ho sigui, la informació es facilitarà de manera gradual sense dilació indeguda.
– Posar disposició del responsable tota la informació necessària per a demostrar el compliment de les seves obligacions, així com per a la realització de les auditories o les inspeccions que realitzin el responsable o un altre auditor autoritzat per ell.
– Auxiliar al responsable de tractament a implantar les mesures de seguretat necessàries per a:
a) Garantir la confidencialitat, integritat, disponibilitat i resiliència permanents dels sistemes i serveis de tractament.
b) Restaurar la disponibilitat i l’accés a les dades personals de manera ràpida, en cas d’incident físic o tècnic.
c) Verificar, avaluar i valorar, de manera regular, l’eficàcia de les mesures tècniques i organitzatives implantades per a garantir la seguretat del tractament.

Destí de les dades:

El responsable del tractament no conservarà dades de caràcter personal relatius als tractaments de l’encarregat tret que sigui estrictament necessari per a la prestació del servei, i només durant el temps estrictament necessari per a la seva prestació.

5. Obligacions del responsable del tractament

Correspon al responsable del tractament:

– Facilitar a l’encarregat l’accés als equips a fi de prestar el servei contractat.
– Vetllar, de manera prèvia i durant tot el tractament, pel compliment del RGPD per part de l’encarregat.
– Supervisar el tractament.

Registre d’Activitats de Tractament:

Tractament: Clients
Finalitat del tractament: Gestió de la relació amb els clients
Descripció de les categories de clients i de les categories de dades personals:
Clients: Persones amb les quals es manté una relació comercial com a clients
Categories de dades personals: Els necessaris per al manteniment de la relació comercial i facturació d’identificació: nom i cognoms, NIF, adreça postal, telèfons, e-mail.
Dades bancàries: per a la domiciliació de pagaments
Les categories de destinataris als qui es van comunicar o comunicaran les dades personals: Administració tributària Seguretat Social, Bancs i entitats financeres
Quan sigui possible, els terminis previstos per a la supressió de les diferents categories de dades: Els previstos per la legislació fiscal respecte a la prescripció de responsabilitats

Tractament: Potencials Clients
Finalitat del tractament: Gestió de la relació amb els potencials clients
Descripció de les categories de potencials clients i de les categories de dades personals: Potencials clients: Persones amb les quals es busca mantenir una relació comercial com a clients Categories de dades personals: Els necessaris per a la promoció comercial de l’empresa
d’identificació: nom i cognoms i adreça postal, telèfons, e-mail
Les categories de destinataris als qui es van comunicar o comunicaran les dades personals: No es contempla Quan sigui possible, els terminis previstos per a la supressió de les diferents categories de dades: Un any des del primer contacto

Tractament: Proveïdors
Finalitat del tractament: Gestió de la relació amb els proveïdors
Descripció de les categories de proveïdors i de les categories de dades personals:
Proveïdors: Persones amb les quals es manté una relació comercial com a proveïdors de productes i/o serveis
Categories de dades personals: Els necessaris per al manteniment de la relació laboral d’identificació: nom, NIF, adreça postal, telèfons, e-mail
Dades bancàries: per a la domiciliació de pagaments
Quan sigui possible, els terminis previstos per a la supressió de les diferents categories de dades: Els previstos per la legislació fiscal respecte a la prescripció de responsabilitats.

ANNEX MESURES DE SEGURETAT INFORMACIÓ D’INTERÈS GENERAL

Aquest document ha estat dissenyat per a tractaments de dades personals de baix risc d’on es dedueix que el mateix no podrà ser utilitzat per a tractaments de dades personals que incloguin dades personals relatives a l’origen ètnic o racial, ideologia política religiosa o filosòfica, filiació sindical, dades genètiques i biomètriques, dades de salut, i dades d’orientació sexual de les persones així com qualsevol altre tractament de dades que comporti alt risc per als drets i llibertats de les persones.

L’article 5.1.f del Reglament General de Protecció de Dades (RGPD) determina la necessitat d’establir garanties de seguretat adequades contra el tractament no autoritzat o il·lícit, contra la pèrdua de les dades personals, la destrucció o el mal accidental. Això implica l’establiment de mesures tècniques i organitzatives encaminades a assegurar la integritat i confidencialitat de les dades personals i la possibilitat (article 5.2) de demostrar que aquestes mesures s’han emportat a la pràctica (responsabilitat proactiva). D’acord amb el tipus de tractament que ha posat de manifest quan ha emplenat aquest formulari, les mesures mínimes de seguretat mínimes que hauria de tenir en compte són les següents:

MESURES ORGANITZATIVES INFORMACIÓ QUE HAURÀ DE SER CONEGUDA PER TOT EL PERSONAL AMB ACCÉS A DADES PERSONALS

Tot el personal amb accés a les dades personals haurà de tenir coneixement de les seves obligacions en relació amb els tractaments de dades personals i seran informats sobre aquestes obligacions. La informació mínima que serà coneguda per tot el personal serà la següent:

DEURE DE CONFIDENCIALITAT I SECRET

S’haurà d’evitar l’accés de persones no autoritzades a les dades personals, a tal fi s’evitarà: deixar les dades personals exposades a tercers (pantalles electròniques desateses, documents en paper en zones d’accés públic, suports amb dades personals, etc.), aquesta consideració inclou les pantalles que s’utilitzin per a la visualització d’imatges del sistema de videovigilància. Quan s’absenti del lloc de treball, es procedirà al bloqueig de la pantalla o al tancament de la sessió. Els documents en paper i suports electrònics s’emmagatzemaran en lloc segur (armaris o estades d’accés restringit) durant les 24 hores del dia. No es rebutjaran documents o suports electrònics (cd, memòries USB, discos durs, etc.) amb dades personals sense garantir la seva destrucció. No es comunicaran dades personals o qualsevol informació personal a tercers, es pararà esment especial a no divulgar dades personals protegides durant les consultes telefòniques, correus electrònics, etc. El deure de secret i confidencialitat persisteix fins i tot quan finalitzi la relació laboral del treballador amb l’empresa.

DRETS DELS TITULARS DE LES DADES

S’informarà a tots els treballadors sobre el procediment per a atendre els drets dels interessats, definint de manera clara els mecanismes pels quals poden exercir-se els drets (mitjans electrònics, referència al Delegat de Protecció de Dades si n’hi hagués, adreça postal, etc.) tenint en compte el següent: Prèvia presentació del seu document nacional d’identitat o passaport, els titulars de les dades personals (interessats) podran exercir els seus drets d’accés, rectificació, supressió, oposició i portabilitat.

El responsable del tractament haurà de donar resposta als interessats sense dilació indeguda.

Per al dret d’accés es facilitarà als interessats la llista de les dades personals de què disposi juntament amb la finalitat per a la qual han estat recollits, la identitat dels destinataris de les dades, els terminis de conservació, i la identitat del responsable davant el qual poden sol·licitar la rectificació supressió i oposició al tractament de les dades.

Per al dret de rectificació es procedirà a modificar les dades dels interessats que fossin inexactes o incomplets atesos els fins del tractament.

Per al dret de supressió se suprimiran les dades dels interessats quan els interessats manifestin la seva negativa o oposició al consentiment per al tractament de les seves dades i no existeixi deure legal que ho impedeixi.

Per al dret de portabilitat els interessats hauran de comunicar la seva decisió i informar el responsable, si és el cas, sobre la identitat del nou responsable al qual facilitar les seves dades personals.

El responsable del tractament haurà d’informar a totes les persones amb accés a les dades personals sobre els termes de compliment per a atendre els drets dels interessats, la forma i el procediment en què s’atendran aquests drets.

VIOLACIONS DE SEGURETAT DE DADES DE CARÀCTER PERSONAL

Quan es produeixin violacions de seguretat DE DADES DE CARÀCTER PERSONAL, com per exemple, el robatori o accés indegut a les dades personals es notificarà a l’Agència Espanyola de Protecció de Dades en terme de 72 hores sobre aquestes violacions de seguretat, incloent tota la informació necessària per a l’esclariment dels fets que haguessin donat lloc a l’accés indegut a les dades personals.

La notificació es realitzarà per mitjans electrònics a través de la seu electrònica de l’Agència Espanyola de Protecció de Dades en l’adreça: https://sedeagpd.gob.es

MESURES TÈCNIQUES IDENTIFICACIÓ

Quan el mateix ordinador o dispositiu s’utilitzi per al tractament de dades personals i fins d’ús personal es recomana disposar de diversos perfils o usuaris distints per a cadascuna de les finalitats. Han de mantenir-se separats els usos professional i personal de l’ordinador.

Es recomana disposar de perfils amb drets d’administració per a la instal·lació i configuració del sistema i usuaris sense privilegis o drets d’administració per a l’accés a les dades personals. Aquesta mesura evitarà que en cas d’atac de ciberseguretat puguin obtenir-se privilegis d’accés o modificar el sistema operatiu.

Es garantirà l’existència de contrasenyes per a l’accés a les dades personals emmagatzemades en sistemes electrònics. La contrasenya tindrà almenys 8 caràcters, mescla de números i lletres.

Quan a les dades personals accedeixin diferents persones, per a cada persona amb accés a les dades personals, es disposarà d’un usuari i contrasenya específics (identificació inequívoca).

S’ha de garantir la confidencialitat de les contrasenyes, evitant que quedin exposades a tercers.

Per a la gestió de les contrasenyes pot consultar la guia de privacitat i seguretat en internet de l’Agència Espanyola de Protecció de Dades i l’Institut Nacional de Ciberseguretat. En cap cas es compartiran les contrasenyes ni es deixaran anotades en lloc comú i l’accés de persones distintes de l’usuari.

DEURE DE SALVAGUARDA

A continuació s’exposen les mesures tècniques mínimes per a garantir la salvaguarda de les dades personals:

ACTUALITZACIÓ D’ORDINADORS I DISPOSITIUS:

Els dispositius i ordinadors utilitzats per a l’emmagatzematge i el tractament de les dades personals hauran de mantenir-se actualitzats en la mitjana possible.

MALWARE: En els ordinadors i dispositius on es realitzi el tractament automatitzat de les dades personals es disposarà d’un sistema d’antivirus que garanteixi en la mesura possible el robatori i destrucció de la informació i dades personals. El sistema d’antivirus haurà de ser actualitzat de manera periòdica.

TALLAFOCS O FIREWALL: Per a evitar accessos remots indeguts a les dades personals es vetllarà per a garantir l’existència d’un firewall activat en aquells ordinadors i dispositius en els quals es realitzi l’emmagatzematge i/o tractament de dades personals.

XIFRATGE DE DADES: Quan es requereixi realitzar l’extracció de dades personals fora del recinte on es realitza el seu tractament, ja sigui per medis físics o per mitjans electrònics, s’haurà de valorar la possibilitat d’utilitzar un mètode d’encriptació per a garantir la confidencialitat de les dades personals en cas d’accés indegut a la informació.

CÒPIA DE SEGURETAT: Periòdicament es realitzarà una còpia de seguretat en un segon suport distint del que s’utilitza per al treball diari. La còpia s’emmagatzemarà en lloc segur, distint d’aquell en què estigui situat l’ordinador amb els fitxers originals, amb la finalitat de permetre la recuperació de les dades personals en cas de pèrdua de la informació.

Les mesures de seguretat seran revisades de manera periòdica, la revisió podrà realitzar-se per mecanismes automàtics (programari o programes informàtics) o de manera manual.

Consideri que qualsevol incident de seguretat informàtica que li hagi ocorregut a qualsevol conegut li pot ocórrer a vostè, i previngui’s contra aquest.

Si desitja més informació o orientacions tècniques per a garantir la seguretat de les dades personals i la informació que tracta la seva empresa, l’Institut Nacional de Ciberseguretat (INCIBE) en la seva pàgina web www.incibe.es, posa a la seva disposició eines amb enfocament empresarial en la seva secció «Protegeix la teva empresa» on, entre altres serveis, disposa de: un apartat de formació amb un videojoc, reptes per a resposta a incidents i vídeos interactius de formació sectorial, un Kit de conscienciació per a empleats, diverses eines per a ajudar l’empresa a millorar la seva ciberseguretat, entre elles polítiques per a l’empresari, el personal tècnic i l’empleat, un catàleg d’empreses i solucions de seguretat i una eina d’anàlisi de riscos. dossiers temàtics complementats amb vídeos i infografies i altres recursos, guies per a l’empresari, A més INCIBE, a través de l’Oficina de Seguretat de l’Internauta, posa també a la seva disposició eines informàtiques gratuïtes i informació addicional poden ser d’utilitat per a la seva empresa o la seva activitat professional.