Contracts
- JCA- Choco Communications UK Ltd.
- Privacy notice- Choco Communications UK Ltd.
- ATC- Choco Communication France SAS
- Privacy Notice- Choco Communication SAS
- VGV- Choco Communications DACH GmbH
- Datenschutzhinweis- Choco Communications DACH GmbH
- ATC- Choco Communications Espagna SL
- Aviso de protección de datos- Choco Communications Espagna SL
JCA- Choco Communications UK Ltd.
Version 1.2
Effective March 23, 2023
DownloadTable of Contents
Joint Controllership Agreement
Preamble
This Joint Controllership Agreement ("JCA") specifies the data protection obligations and rights of the Parties in connection with the processing of personal data processed by Choco (hereinafter "Contractor") and the Supplier (hereinafter "Customer"), as joint controllers within the meaning of Art. 26 GDPR (as defined below), under the Software-as-a-Service Agreement concluded between the Parties (hereinafter "Main Agreement"). In accordance with the Main Agreement, the Customer may request the Contractor to provide the integration services described in the Integration General Terms and Conditions (hereinafter “Integration Services”), therefore, with the creation of the technical infrastructure as a result of the performance of such Integration Services, the Customer will be able to receive and transmit information and data to the Contractor (hereinafter “Integrated Services”).
For the purposes of this JCA, "Data Protection Laws" means any applicable laws and regulations in any relevant jurisdiction relating to the use or processing of personal data including: (i) EU Regulation 2016/679 ("GDPR"); (ii) GDPR as it forms part of the law of England and Wales, Scotland and Northern Ireland by virtue of section 3 of the European Union (Withdrawal) Act 2018 (the "UK GDPR"); (iii) any laws or regulations ratifying, implementing, adopting, supplementing or replacing the GDPR; (iv) in the UK, the Data Protection Act 2018; (v) any laws and regulations implementing or made pursuant to EU Directive 2002/58/EC (as amended by 2009/136/EC); and (vi) in the UK, the Privacy and Electronic Communications (EC Directive) Regulations 2003; in each case, as updated, amended or replaced from time to time; and the terms "data subject", "personal data", "processing", “joint controller” and "controller" shall have the meanings set out in the Data Protection Act 2018.
If there are any inconsistencies between this JCA and provisions under the other agreements, specifically under the Main Agreement, then the provisions of this JCA shall take precedence.
Amendments and side agreements to any Parts of this JCA must be made in writing. This rule also applies to this written form requirement itself. The governing law and jurisdiction under the Main Agreement shall apply accordingly for any Parts of this JCA.
1. Scope of Application
Exclusively for the provision of the Integrated Services, Parties shall process personal data (“Joint Controlled Data”) as joint controllers within the meaning of Art. 26 GDPR, determining together the purposes and means of personal data being processed.
2. Subject and Scope of the Joint Controllership
2.1 Parties shall process the Joint Controlled Data for the purpose specified in Annex 1 to this JCA. The processing of Joint Controlled Data shall relate solely to the types of personal data and categories of data subjects designated therein.
2.2 The duration of the processing of the Joint Controlled Data corresponds to the duration of the Main Agreement.
2.3 Parties shall process the Joint Controlled Data each complying with their respective obligations as Controllers under the Data Protection Laws. Each party shall perform its obligations arising from this JCA at its own cost.
3. Obligations
3.1 Each Party shall:
a) ensure that it has all necessary notices and lawful bases in place for the processing of the Joint Controlled Data;
b) provide all information set out in this JCA to any data subject whose personal data may be processed under this JCA in accordance with the Arts. 13, and 14 GDPR;
c) comply with any requests from data subjects as per Arts. 15 to 22 GDPR;
d) ensure that all persons who are authorized to have access to the Joint Controlled Data are committed to confidentiality, or are under an appropriate statutory obligation of confidentiality when processing the Joint Controlled Data;
d) implement appropriate technical and organizational measures required to ensure a level of protection of the Joint Controlled Data commensurate to the risk, taking into account the state of the art, the cost of implementation, and the nature, scope, circumstances and purposes of the processing of the Joint Controlled Data and the varying likelihood and severity of the risk to the rights and freedoms of the data subjects;
e) not transfer, access, or process any Joint Controlled Data outside the UK or EEA or engage any data processors, unless the transfer or engagement is permitted by the Data Protection Laws.
3.2 Contractor shall provide data subjects with general information on collection, processing and exchange of the Joint Controlled Data with Customer, including a meaningful excerpt of this JCA and including, if applicable, all recipients of personal data on Contractor’s side;
3.3 Customer shall provide data subjects with all information on the collection, processing and exchange of the Joint Controlled Data with Contractor, including a meaningful excerpt of this JCA and including, if applicable, all recipients of personal data on Customer’s side;
4. Mutual assistance
Each party shall provide reasonable assistance to the other in complying with the applicable requirements of the Data Protection Laws. In particular, each Party shall:
a) promptly inform the other party about the receipt of any requests from data subjects and other individuals, including supervisory authorities, regulators, and courts, as well as any controls or inspections by such authorities in connection with the Joint Controlled Data;
b) not disclose, amend, delete any Joint Controlled Data without first informing the other party wherever possible;
c) provide the other party with appropriate assistance in complying with the data subject requests and obligations laid down in the Arts. 32 through 36 GDPR;
d) inform the other party without undue delay after having become aware of the breach of the Joint Controlled Data. The notification should at least include the information referred to in Art. 33 (3) GDPR as well as any information necessary for the communication of a personal data breach to the data subjects;
e) inform one another immediately of any circumstances that have or may put in jeopardy the lawful processing of the Joint Controlled Data or compliance with the Data Protection Laws.
f) provide the other party with contact details of at least one employee as point of contact and responsible manager for all queries arising from the data subjects or related to the JCA or the Data Protection Laws.
Annex 1 - Purpose, Nature and Scope of Data Processing, Type of Data and Group of Data Subjects
Purpose of data processing | Provision of the Integrated Services which include the transmission of (i) the orders from the Contractor in real time via one of the transmission technologies, or Customer’s ERP providers agreed between the Parties, or on a (S)FTP server to the Customer; (ii) the order confirmations from the Customer to the Contractor via a selected and agreed transmission technology; and (iii) ancillary information related to the previous two points from one party to the other (e.g. delivery confirmation, or customers’ queries). |
Nature and scope of data processing |
|
Type of data |
|
Group of data subjects |
|
Privacy notice- Choco Communications UK Ltd.
Version 1.3
Effective March 30, 2023
DownloadTable of Contents
Data protection notice for the data subjects
Preamble
Pursuant to Article 13 of GDPR, and in connection with the processing of personal data envisaged by the Joint Controllership Agreement between the Contractor and the Customer (both defined in section 1 of this notice), we would like to inform you about the principles of processing of the personal data provided by you as data subject.
Please note that this notice concerns exclusively the data processing carried out by the Contractor. According to the Joint Controllership Agreement, the Contractor and Customer shall process your personal data each complying with their respective obligations as data controllers under the applicable data protection laws. Therefore, for any queries you have about how the Customer processes your personal data as a result of the Joint Controllership Agreement, we invite you to contact directly the Customer and forward to the latter your data protection request.
Definitions
For the purposes of this notice, "Data Protection Laws" means any applicable laws and regulations in any relevant jurisdiction relating to the use or processing of personal data including: (i) EU Regulation 2016/679 ("GDPR"); (ii) GDPR as it forms part of the law of England and Wales, Scotland and Northern Ireland by virtue of section 3 of the European Union (Withdrawal) Act 2018 (the "UK GDPR"); (iii) any laws or regulations ratifying, implementing, adopting, supplementing or replacing the GDPR; (iv) in the UK, the Data Protection Act 2018; (v) any laws and regulations implementing or made pursuant to EU Directive 2002/58/EC (as amended by 2009/136/EC); and (vi) in the UK, the Privacy and Electronic Communications (EC Directive) Regulations 2003; in each case, as updated, amended or replaced from time to time; and the terms "data subject", "personal data", "processing", “joint controller” and "controller" shall have the meanings set out in the Data Protection Act 2018.
"Choco Group" means the worldwide Choco group of companies of which Choco Communications GmbH is the parent company. “Privacy Policy for the Choco App” means the privacy policy set out by Choco Communications UK Ltd, here available, that defines the scope, the legal basis, data subject rights and the personal data processed for the provision of the App in accordance with the Data Protection Laws.
1. The Joint Controllers
Choco Communications UK Ltd., 6th Floor, One London Wall, London, United Kingdom, email address: legal@choco.com, Data Protection Officer’s email address: datenschutz@choco.com (hereinafter “Contractor”, “we” or “Choco”);
The Customer, as identified in the Main Agreement.
You can find the essence of the Joint Controllership Agreement (hereinafter “JCA”) under this URL: https://legal.choco.com/jca#uk
2. Data Protection Officer
For any questions or comments about the processing of your personal data, and/or if you wish to exercise your data subject rights, please refer to the following email address: datenschutz@choco.com. Please note that not only Choco’s Data Protection Officer will receive your request but also Choco Legal Team. If you wish to solely contact Choco’s Data Protection Officer and/ or if you wish to send confidential information, please refer in your email to Choco’s Data Protection Officer and ask the latter to contact you.
3. The purpose and legal basis for the data processing
a) Exclusively for the provision of the Integrated Services (defined in the preamble of the JCA), Contractor and Customer shall process personal data as joint controllers, determining together the purposes and means of personal data being processed according to article 26 of GDPR (together hereinafter “Joint Controllers”).
b) For the scope of providing the Integrated Services, your Mandatory Information (name, telephone number, email address, and address) will be processed based on Art. 6 (1) (b) GDPR, while your Voluntary Information (nickname, pictures, and screenshots) will be processed based on your consent as set out by Art. 6 (1) (a) GDPR, both Mandatory and Voluntary information are defined by Art. 1 (3) of the Privacy Policy for the Choco App.
Please note that in case of failure to provide the Mandatory Information, you will not be able to communicate and/or place your orders to the Customer, while if such failure regards the Voluntary Information, you will not be able to fully experience all Choco functionalities when interacting with the Customer.
The Joint Controllers may process the data for other legitimate purposes subject to the consent of the data subjects as per Art. 6 (1) (a) GDPR or the processing is necessary for the purposes of the legitimate interests pursued by the Joint Controllers, where such interests outweigh your rights and interests in the protection of your personal data within the meaning of Art. 6 (1) (f) GDPR.
c) The scope and the nature of this data processing, the type of data processed and the group of data subjects, including the involvement of the Joint Controllers in this processing are further described in Annex 1 of the JCA.
4. Disclosure of your personal data
a) Joint Controllers may transfer your personal data to recipients on the condition a legal basis exists and/ or you gave your consent to the data processing. Moreover, your personal data is processed by service providers who act as data processors within the meaning of the GDPR. Joint Controllers will ensure that any third parties with whom they share your personal information are subject to equivalent obligations of the DPA and the applicable laws.
b) Choco as Joint Controller may disclose your personal data to:
I. Companies part of the Choco Group;
II. Your employer, in connection with your role as an employee or contractor of a company or other legal entity;
III. Third parties that assist the Contractor in providing its services to you. For the third parties, performing business or operational services, infrastructure provisioning, IT services, and administrative services for Choco or on Choco’s behalf, please refer to Annex I of the Privacy Policy for the Choco App; and
IV. Third parties that provide the Contractor with tools for the statistical recording and analysis of general usage behavior on the basis of access data, and other operational tasks aiming to improve and ensure the functionality of the Choco App, as specified within Art. 4 (“Analysis tools”) of the Privacy Policy for the Choco App.
c) The Joint Controllers are under the duty to disclose or share your personal data in order to comply with any legal obligation, any lawful request from government or law enforcement officials and as may be required to meet national security or law enforcement requirements or prevent illegal activity. Any disclosure of the personal data is justified by the fact that the processing is necessary to fulfill a legal obligation to which the Joint Controllers are subject in accordance with Art. 6 (1) (c) GDPR in the national legal requirements for the disclosure of data to law enforcement authorities.
d) In the context of the further development of Joint Controllers’ business, the structure of their companies may change by changing the legal form, founding, acquiring, or transferring subsidiaries, parts of companies, or components. In accordance with such operations, the customer information may be shared together with the part of the company to be transferred. Each time personal data is passed on to third parties to the extent described above, Joint Controllers shall ensure that this is done in accordance with the applicable data protection laws. Any disclosure of personal data is justified by the fact that Joint Controllers have a legitimate interest in adapting their corporate form to the economic and legal circumstances if necessary and your rights and interests in the protection of your personal data within the meaning of Art. 6 (1) (f) GDPR does not prevail.
5. Data Transfer to third countries
a) Your personal data may be shared with entities who are outside the European Economic Area ("EEA").
b) We would like to inform you that the EU-US Privacy Shield (adequacy decision) has been declared invalid and that in case of data transfers to insecure third countries (here: USA), there is no adequate level of data protection according to EU standards. In particular, there is a risk that your data may be processed by U.S. authorities, for control and for monitoring purposes, possibly also without any legal remedy.
c) If Joint Controllers provide any personal data about you to non-EEA entities, the Joint Controllers will take appropriate measures to ensure that the recipient of your personal data protects it adequately in accordance with their obligations under the JCA and the applicable data protection laws.
d) Joint Controllers have concluded with service providers based in third countries, depending on the contractual constellation, either a data processing agreement according to Art. 28 GDPR or a joint controllership agreement according to Art. 26 GDPR, moreover, the Joint Controllers ensure that the recipient of your personal data may adequately protect it, namely by:
(i) Ensuring there is an adequacy decision by the European Commission, which means that the recipient country is deemed to provide adequate protection for such personal data; or
(ii) Having in place the standard contractual clauses with the recipient which have been approved by the European Commission for transfers outside the EEA. The standard contractual clauses include certain safeguards and require the implementation of additional security measures to protect your personal data.
6. Data Storage
The Joint Controllers may process and share with one another the collected personal data for the period required to perform the Integrated Services set forth in the Main Agreement, and no statutory requirements oblige the Joint Controllers to continue storing it for a longer period. In addition, the Joint Controllers will also delete your personal data as soon as you submit to one of them your request, please note that also in this case your personal data will be deleted insofar no statutory requirements require the Joint Controllers to continue storing it for a longer period.
7. Data Subjects’ rights
a) As data subjects you are entitled to the following rights according to Art. 15 – 21, 77 GDPR:
· Right to access to their personal data (Article 15 of GDPR);
· Right to rectification (Article 16 of GDPR);
· Right to erasure (“right to be forgotten", Art. 17 GDPR);
· Right to restriction of processing (Art. 18 GDPR);
· Right to data portability (Art. 20 GDPR);
· Right to object (Art. 21 GDPR);
· Right not to be subject to a decision based solely on automated processing (Art. 22 GDPR);
· Right to lodge a complaint with a supervisory authority (Art. 77 GDPR).
In case the data processing is based on your consent, you have the right to withdraw your consent at any time. The withdrawal of consent shall not affect the lawfulness of processing based on consent before its withdrawal.
In case the data processing is based on our legitimate interest, Art. 6 (1) (f) GDPR, you have the right to object, on grounds relating to your situation, at any time.
b) Your requests for the assertion of data protection rights and our answers to them will be kept for documentation purposes for a period of up to three years and, in individual cases, for the establishment, exercise or defense of legal claims even beyond. The legal basis is Art. 6 (1) (f) GDPR, based on Joint Controllers’ legitimate interest in defending against any civil law claims pursuant to Art. 82 GDPR, the avoidance of fines pursuant to Art. 83 GDPR and the fulfillment of their accountability under Art. 5 (2) GDPR.
c) As a data subject you have the right to lodge a complaint with a supervisory authority, in particular in the Member State of your habitual residence, place of work or place of the alleged infringement if you consider that the processing of personal data relating to you infringes the GDPR-regulations.
8. Automated decision-making processing
Please note that for the processing of your personal data carried out by the Contractor as result of the JCA, there is NO type of automated decision-making process pursuant to Art. 22 GDPR.
9. Changes to this Notice
The Joint Controllers will always keep their notices up to date. Therefore, we reserve the right to change the present notice from time to time and to introduce changes in the processing of your personal data.
ATC- Choco Communication France SAS
Version 1.1
Effective March 30, 2023
DownloadTable of Contents
Finalité du traitement des données | Fourniture des Services Intégrés qui comprennent la transmission (i) des commandes de le Prestataire en temps réel via l'une des technologies de transmission ou des fournisseurs ERP du Client convenus entre les parties ou sur un serveur (S)FTP au Client, (ii) des confirmations de commande du Client à le Prestataire via une technologie de transmission sélectionnée et convenue, et (iii) des informations auxiliaires liées aux deux points précédents d'une partie à l'autre (par exemple, la confirmation de la livraison ou les questions des clients). |
Nature et portée du traitement des données |
|
Type de données |
|
Groupe de personnes concernées |
|
Privacy Notice- Choco Communication SAS
Version 1.1
Effective March 28, 2023
DownloadTable of Contents
- Entreprises faisant partie du groupe Choco ;
- Votre employeur, dans le cadre de votre rôle d'employé ou de contractant d'une société ou d'une autre entité juridique ;
- Les tiers qui aident le Prestataire à vous fournir ses services. Pour les tiers qui fournissent des services commerciaux ou opérationnels, des services d'infrastructure, des services informatiques et des services administratifs à Choco ou au nom de Choco, veuillez vous référer à l'annexe I de la Politique de confidentialité de l'application Choco ; et
- Les tiers qui fournissent au Prestataire des outils pour l'enregistrement statistique et l'analyse du comportement général d'utilisation sur la base des données d'accès, et d'autres tâches opérationnelles visant à améliorer et à assurer la fonctionnalité de l'application Choco, comme spécifié dans l'art. 4 ("Outils d'analyse") de la Politique de confidentialité de l'application Choco.
- S'assurer que la Commission européenne a pris une décision d'adéquation, ce qui signifie que le pays destinataire est réputé assurer une protection adéquate de ces données à caractère personnel ; ou
- Mettre en place les clauses contractuelles types avec le destinataire qui ont été approuvées par la Commission européenne pour les transferts en dehors de l'EEE. Les clauses contractuelles types comprennent certaines garanties et exigent la mise en œuvre de mesures de sécurité supplémentaires pour protéger vos données à caractère personnel.
- Droit d'accès à leurs données personnelles (article 15 du RGPD) ;
- Droit de rectification (article 16 du RGPD) ;
- Droit à l'effacement ("droit à l'oubli", article 17 du RGPD) ;
- Droit à la limitation du traitement (article 18 du RGPD) ;
- Droit à la portabilité des données (article 20 du RGPD) ;
- Droit d'opposition (article 21 du RGPD) ;
- Droit de ne pas faire l'objet d'une décision fondée exclusivement sur un traitement automatisé (article 22 du RGPD) ;
- Droit d'introduire une réclamation auprès d'une autorité de contrôle (article 77 du RGPD).
VGV- Choco Communications DACH GmbH
Version 1.3
Effective September 5, 2023
DownloadTable of Contents
Zweck der Datenverarbeitung | Erbringung der Integrierten Dienste, die die Übermittlung (i) der Bestellungen vom Verantwortlichen A in Echtzeit über eine der zwischen den Parteien vereinbarten Übertragungstechnologien oder den ERP-Provider des Verantwortlichen B oder auf einem (S)FTP-Server an den Verantwortlichen B, (ii) der Auftragsbestätigungen vom Verantwortlichen B an den Verantwortlichen A über eine ausgewählte und vereinbarte Übertragungstechnologie und (iii) Zusatzinformationen im Zusammenhang mit den beiden vorangegangenen Punkten von einer Partei an die andere (z. B. Lieferbestätigung oder Kundenanfragen) umfassen. |
Art und Umfang der Datenverarbeitung |
|
Art der Daten |
|
Kreis der betroffenen Personen |
|
Datenschutzhinweis- Choco Communications DACH GmbH
Version 1.5
Effective September 5, 2023
DownloadTable of Contents
Bitte beachten Sie, dass dieser Hinweis ausschließlich die vom Verantwortlichen A durchgeführte Datenverarbeitung betrifft. Gemäß der Vereinbarung über die gemeinsame Verantwortlichkeit verarbeiten der Verantwortliche A und der Verantwortliche B Ihre personenbezogenen Daten unter Einhaltung ihrer jeweiligen Verpflichtungen als für die Datenverarbeitung Verantwortliche gemäß den geltenden Datenschutzgesetzen. Wenn Sie Fragen dazu haben, wie der Verantwortliche B Ihre personenbezogenen Daten aufgrund der Vereinbarung über die gemeinsame Verantwortlichkeit verarbeitet, bitten wir Sie daher, sich direkt an den Verantwortlichen B zu wenden und diesem Ihre Datenschutzanfrage zu übermitteln.
II. Abschluss von Standarddatenschutzklauseln mit dem Empfänger, die von der Europäischen Kommission für Übermittlungen außerhalb des EWR genehmigt wurden. Die Standarddatenschutzklauseln stellen geeignete Garantien dar und verlangen die Umsetzung zusätzlicher Sicherheitsmaßnahmen zum Schutz Ihrer personenbezogenen Daten.
- Recht auf Auskunft zu ihren personenbezogenen Daten (Artikel 15 der Datenschutz-Grundverordnung);
- Recht auf Berichtigung (Art. 16 DSGVO);
- Recht auf Löschung ("Recht auf Vergessenwerden“, Art. 17 DSGVO);
- Recht auf Einschränkung der Verarbeitung (Art. 18 DSGVO);
- Mitteilungspflicht im Zusammenhang mit der Berichtigung oder Löschung personenbezogener Daten oder Einschränkung der Verarbeitung (Art. 19 DSGVO)
- Recht auf Datenübertragbarkeit (Art. 20 DSGVO);
- Recht auf Widerspruch (Art. 21 DSGVO);
- Das Recht, keiner Entscheidung unterworfen zu werden, die ausschließlich auf einer automatisierten Verarbeitung beruht (Art. 22 DSGVO);
- Recht auf Beschwerde bei einer Aufsichtsbehörde (Art. 77 DSGVO).
ATC- Choco Communications Espagna SL
Version 1.0
Effective March 31, 2023
DownloadTable of Contents
Acuerdo de Tratamiento Conjunto
Preámbulo
El presente Acuerdo de Tratamiento Conjunto («ATC») especifica las obligaciones y los derechos de las Partes en materia de protección de datos en relación con el tratamiento de datos personales tratados por Choco (en adelante, el «Contratista») y el Proveedor (en adelante, el «Cliente») como corresponsables del tratamiento en el sentido del artículo 26 del RGPD (según se define más adelante) en el marco del Contrato de Software como Servicio celebrado entre las Partes (en adelante, el «Contrato Principal»).
En virtud del Contrato Principal, el Cliente podrá solicitar al Contratista que preste los servicios de integración descritos en las TCG de Integración (en lo sucesivo, «Servicios de Integración»), por lo que, con la creación de la infraestructura técnica como resultado de la prestación de dichos Servicios de Integración, el Cliente podrá recibir y transmitir información y datos al Contratista (en lo sucesivo, «Servicios Integrados»).
En caso de que existan incoherencias entre el presente ATC y las disposiciones de los demás contratos, concretamente del Contrato Principal, prevalecerán las disposiciones del presente ATC.
Las modificaciones y los acuerdos paralelos al presente ATC deberán realizarse por escrito. Esta regla también se aplica a este requisito de presentación por escrito. Los acuerdos sobre la ley aplicable y la jurisdicción en el marco del Contrato Principal se aplicarán en consecuencia a este ATC.
Definiciones
A los efectos de la presente ATC, se entenderá por «Leyes de protección de datos» todas las leyes y reglamentos aplicables en cualquier jurisdicción pertinente en relación con el uso o el tratamiento de datos personales, incluidos: (i) el Reglamento 2016/679 de la UE («RGPD»); (ii) cualquier ley o reglamento que ratifique, implemente, adopte, complemente o reemplace el RGPD; (iii) cualquier ley y reglamento que implemente o se realice de conformidad con la Directiva 2002/58/CE de la UE (modificada por 2009/136/CE); en cada caso, según se actualice, modifique o reemplace de vez en cuando; y los términos "interesado", "datos personales", "tratamiento", "encargado del tratamiento", "corresponsables del tratamiento" y "responsable del tratamiento" tendrán los significados establecidos del RGPD.
1. Ámbito de aplicación
Exclusivamente para la prestación de los Servicios Integrados, las Partes tratarán los datos personales («Datos tratados conjuntamente») como corresponsables del tratamiento, determinando conjuntamente los fines y medios del tratamiento de los datos personales.
2. Objeto y alcance del tratamiento conjunto
2.1 Las Partes procesarán los Datos tratados conjuntamente para los fines especificados en el Anexo 1 del presente ATC. El tratamiento de los Datos tratados conjuntamente se referirá únicamente a los tipos de datos personales y categorías de interesados designados en el mismo.
2.2 La duración del tratamiento de los Datos tratados conjuntamente se corresponde con la duración del Contrato principal.
2.3 Las partes procesarán los Datos tratados conjuntamente cumpliendo cada una con sus respectivas obligaciones como responsables del tratamiento en virtud de las Leyes de protección de datos. Cada parte cumplirá sus obligaciones derivadas del presente ATC a su propio coste.
3. Obligaciones
3.1 Cada una de las Partes deberá:
a) asegurarse de que dispone de todas las notificaciones y bases legales necesarias para el tratamiento de los Datos tratados conjuntamente;
b) proporcionar toda la información establecida del presente ATC a cualquier interesado cuyos datos personales puedan ser tratados en virtud del presente ATC de conformidad con los artículos 13 y 14 del RGPD;
c) atender las solicitudes de los interesados de conformidad con los artículos 15 a 22 del RGPD;
d) garantizar que todas las personas autorizadas a acceder a los Datos tratados conjuntamente estén comprometidas con la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad cuando traten los Datos tratados conjuntamente;
d) aplicar las medidas técnicas y organizativas adecuadas necesarias para garantizar un nivel de protección de los Datos tratados conjuntamente proporcional al riesgo, teniendo en cuenta el estado de la técnica, el coste de la aplicación y la naturaleza, el alcance, las circunstancias y los fines del tratamiento de los Datos tratados conjuntamente, así como la probabilidad y gravedad variables del riesgo para los derechos y libertades de los interesados;
e) no transferirá, accederá ni procesará ningún Dato Controlado Conjuntamente fuera del EEE, ni contratará a ningún procesador de datos, a menos que la transferencia o contratación esté permitida por las Leyes de protección de datos.
3.2 El Contratista proporcionará a los interesados información general sobre la recopilación, el tratamiento y el intercambio de datos personales con el Cliente, incluido un extracto significativo del presente ATC e incluyendo, si procede, todos los destinatarios de los datos personales con el Contratista;
3.3 El Cliente facilitará a los interesados toda la información sobre la recogida, el tratamiento y el intercambio de datos personales con el Contratista, incluido un extracto significativo del presente ATC y, en su caso, todos los destinatarios de los datos personales por parte del Cliente;
4. Asistencia mutua
Cada una de las partes prestará asistencia razonable a la otra en el cumplimiento de los requisitos aplicables de las Leyes de protección de datos. En particular, cada una de las Partes deberá:
a) informar sin demora a la otra parte sobre la recepción de cualquier solicitud de los interesados y otras personas, incluidas las autoridades de supervisión, los reguladores y los tribunales, así como sobre cualquier control o inspección por parte de dichas autoridades en relación con los Datos tratados conjuntamente;
b) no divulgará, modificará ni suprimirá ningún Dato controlado conjuntamente sin informar previamente a la otra parte siempre que sea posible;
c) proporcionar a la otra parte la asistencia adecuada para el cumplimiento de las solicitudes de los interesados y las obligaciones establecidas en los artículos 32 a 36 del RGPD;
d) informar a la otra parte sin demora indebida tras haber tenido conocimiento de la violación de los Datos tratados conjuntamente. La notificación deberá incluir al menos la información mencionada en el artículo 33, apartado 3, del RGPD, así como cualquier información necesaria para la comunicación de una violación de datos personales a los interesados;
e) informarse mutuamente de forma inmediata de cualquier circunstancia que haya puesto o pueda poner en peligro el tratamiento lícito de los Datos tratados conjuntamente o el cumplimiento de las Leyes de protección de datos.
f) facilitar a la otra parte los datos de contacto de al menos un empleado como punto de contacto y gestor responsable para todas las consultas derivadas de los interesados o relacionadas con el presente ATC o las Leyes de protección de datos.
Anexo 1 - Finalidad, naturaleza y alcance del tratamiento de datos, tipo de datos y grupo de interesados
Objeto del tratamiento de datos | Prestación de los Servicios Integrados que incluyen la transmisión de (i) los pedidos del Contratista en tiempo real a través de una de las tecnologías de transmisión o proveedores ERP del Cliente acordadas entre las Partes o en un servidor (S)FTP al Cliente, (ii) las confirmaciones de pedido del Cliente al Contratista a través de una tecnología de transmisión seleccionada y acordada, y (iii) información auxiliar relacionada con los dos puntos anteriores de una parte a la otra (por ejemplo, confirmación de entrega, o consultas de los clientes). |
Naturaleza y alcance del tratamiento de datos |
|
Tipo de datos |
|
Grupo de interesados |
|
Aviso de protección de datos- Choco Communications Espagna SL
Version 1.0
Effective March 31, 2023
DownloadTable of Contents
Aviso de protección de datos para los interesados
Preámbulo
De conformidad con el artículo 13 del RGPD, y en relación con el tratamiento de datos personales previsto por el Acuerdo de Tratamiento Conjunto entre el Contratista y el Cliente (ambos definidos en la sección 1 de este aviso), nos gustaría informarle sobre los principios del tratamiento de los datos personales proporcionados por usted como interesado.
Tenga en cuenta que este aviso se refiere exclusivamente al tratamiento de datos realizado por el Contratista. De conformidad con el Acuerdo de Tratamiento Conjunto, el Contratista y el Cliente tratarán sus datos personales cumpliendo cada uno con sus respectivas obligaciones como responsables de datos en virtud de la legislación aplicable.
Por lo tanto, para cualquier duda que tenga sobre la forma en que el Cliente trata sus datos personales como resultado del Acuerdo de Tratamiento Conjunto, le invitamos a ponerse en contacto directamente con el Cliente y remitirle su solicitud de protección de datos.
Definiciones
A los efectos de la presente ATC, se entenderá por "Leyes de protección de datos" todas las leyes y reglamentos aplicables en cualquier jurisdicción pertinente en relación con el uso o el tratamiento de datos personales, incluidos: (i) el Reglamento 2016/679 de la UE ("RGPD"); (ii) cualquier ley o reglamento que ratifique, implemente, adopte, complemente o reemplace el RGPD; (iii) cualquier ley y reglamento que implemente o se realice de conformidad con la Directiva 2002/58/CE de la UE (modificada por 2009/136/CE); en cada caso, según se actualice, modifique o reemplace de vez en cuando; y los términos "interesado", "datos personales", "tratamiento", "encargado del tratamiento", "corresponsables del tratamiento" y "responsable del tratamiento" tendrán los significados establecidos del RGPD.
"Grupo Choco" se refiere al grupo mundial de empresas Choco, cuya empresa matriz es Choco Communications GmbH. "Política de Privacidad de la aplicación Choco" se refiere a la política de privacidad establecida por Choco Communications Espagna SL, disponible aquí, que define el alcance, la base jurídica, los derechos de los interesados y los datos personales tratados para la prestación de la aplicación de conformidad con las Leyes de protección de datos.
1. Los Corresponsables del Tratamiento
Choco Communications Espagna SL, C/ Sardenya 229, sobreático, 08013 Barcelona, España, dirección de correo electrónico: legal@choco.com, dirección de correo electrónico del responsable de protección de datos: datenschutz@choco.com (en lo sucesivo, "Contratista", "nosotros" o "Choco");
El Cliente, tal y como se identifica en el Acuerdo Principal.
Puede encontrar la esencia del Acuerdo de Tratamiento Conjunto (en adelante "ATC") en esta URL: https://legal.choco.com/jca#es.
2. Responsable de protección de datos
Para cualquier pregunta o comentario sobre el tratamiento de sus datos personales, y/o si desea ejercer sus derechos como interesado, diríjase a la siguiente dirección de correo electrónico: datenschutz@choco.com. Tenga en cuenta que no sólo el delegado de protección de datos de Choco recibirá su solicitud, sino también el equipo jurídico de Choco. Si desea ponerse en contacto únicamente con el delegado de protección de datos de Choco y/o si desea enviar información confidencial, diríjase en su correo electrónico al delegado de protección de datos de Choco y pídale que se ponga en contacto con usted.
3. Finalidad y fundamento jurídico del tratamiento de datos
a) Exclusivamente para la prestación de los Servicios Integrados (definidos en el preámbulo del ATC), el Contratista y el Cliente tratarán los datos personales como corresponsables del tratamiento, determinando conjuntamente los fines y medios del tratamiento de los datos personales de conformidad con el artículo 26 del RGPD (en lo sucesivo, "Corresponsables del Tratamiento").
b) En el marco de la prestación de los Servicios Integrados, sus Información obligatorios (nombre, número de teléfono, dirección de correo electrónico y dirección postal) se tratarán con arreglo al Art. 6 (1) (b) del RGPD, mientras que su Información voluntaria (apodo, fotos y capturas de pantalla) se tratará sobre la base de su consentimiento según lo establecido por el Art. 6 (1) (a) RGPD, tanto la Información obligatoria como la voluntaria se definen en el Art. 1 (3) ["Creación de una cuenta de usuario (registro) e inicio de sesión"] de la Política de Privacidad de la aplicación Choco.
Tenga en cuenta que, en caso de no proporcionar la Información Obligatoria, no podrá comunicarse y/o realizar sus pedidos al Cliente, mientras que si dicha omisión se refiere a la Información Voluntaria, no podrá disfrutar plenamente de todas las funcionalidades de Choco al interactuar con el Cliente.
Los Corresponsables del Tratamiento podrán tratar los datos para otros fines legítimos, previo consentimiento de los interesados con arreglo al art. 6 (1) (a) RGPD o el tratamiento es necesario para los fines de los intereses legítimos perseguidos por los Corresponsables del Tratamiento, cuando dichos intereses prevalezcan sobre sus derechos e intereses en la protección de sus datos personales en el sentido del Art. 6 (1) (f) RGPD.
c) El alcance y la naturaleza de este tratamiento de datos, el tipo de datos tratados y el grupo de interesados, incluida la participación de los responsables conjuntos en este tratamiento, se describen con más detalle en el Anexo 1 del ATC.
4. Divulgación de sus datos personales
a) Los Corresponsables del Tratamiento pueden transferir sus datos personales a destinatarios siempre que exista una base jurídica y/o usted haya dado su consentimiento al tratamiento de los datos. Además, sus datos personales son tratados por proveedores de servicios que actúan como encargados de datos en el sentido del RGPD. Los Corresponsables del Tratamiento se asegurarán de que cualquier tercero con el que compartan sus datos personales esté sujeto a obligaciones equivalentes del ATC y las leyes aplicables.
b) Choco, como Corresponsable del Tratamiento, podrá revelar sus datos personales a:
I. Empresas de propiedad o bajo propiedad común (en lo sucesivo, "filiales"), que también incluye las filiales (es decir, cualquier organización que poseamos o controlemos), consulte aquí la lista completa;
II. Su empleador, en relación con su función como empleado o contratista de una empresa u otra entidad jurídica.
III. Terceros que ayudan al Contratista a prestarle sus servicios. Para los terceros que prestan servicios empresariales u operativos, suministro de infraestructuras, servicios informáticos y servicios administrativos para Choco o en nombre de Choco, consulte el Anexo 1 de la Política de Privacidad de la aplicación Choco.
IV. Terceros que proporcionan al Contratista herramientas para el registro estadístico y el análisis del comportamiento de uso general sobre la base de los datos de acceso, y otras tareas operativas destinadas a mejorar y garantizar la funcionalidad de la App Choco, tal y como se especifica en el Art. 4 ("Herramientas de análisis") de la Política de Privacidad de la aplicación Choco.
c) Los Corresponsables del Tratamiento tienen el deber de revelar o compartir sus datos personales para cumplir cualquier obligación legal, cualquier solicitud legítima de la administración o de las fuerzas y cuerpos de seguridad y en la medida en que sea necesario para cumplir requisitos de seguridad nacional o de aplicación de la ley o para impedir actividades ilegales. Cualquier divulgación de los datos personales está justificada por el hecho de que el tratamiento es necesario para cumplir una obligación legal a la que están sujetos los Corresponsables del Tratamiento de conformidad con el Art. 6 (1) (c) RGPD en los requisitos legales nacionales para la divulgación de datos a las autoridades policiales.
d) En el contexto del desarrollo ulterior de los negocios de los Corresponsables del Tratamiento, la estructura de sus empresas puede cambiar modificando la forma jurídica, fundando, adquiriendo o transfiriendo filiales, partes de empresas o componentes. De acuerdo con dichas operaciones, la información de los clientes podrá compartirse con la parte de la empresa que vaya a transferirse. Cada vez que se transmitan datos personales a terceros en la medida descrita anteriormente, los Corresponsables del Tratamiento se asegurarán de que se haga de conformidad con la Leyes de protección de datos. Cualquier divulgación de datos personales está justificada por el hecho de que los Corresponsables del Tratamiento tienen un interés legítimo en adaptar su forma corporativa a las circunstancias económicas y legales si es necesario y sus derechos e intereses en la protección de sus datos personales en el sentido del Art. 6 (1) (f) RGPD no prevalece.
5. Transferencia de datos a terceros países
a) Sus datos personales pueden ser compartidos con entidades fuera del Espacio Económico Europeo ("EEE").
b) Nos gustaría informarle de que el Escudo de Privacidad UE-EE.UU. (decisión de adecuación) ha sido declarado inválido y que, en caso de transferencias de datos a terceros países inseguros (en este caso: EE.UU.), no existe un nivel adecuado de protección de datos según las normas de la UE. En particular, existe el riesgo de que sus datos sean tratados por las autoridades estadounidenses, con fines de control y seguimiento, posiblemente también sin ningún recurso legal.
c) Si los Corresponsables del Tratamiento facilitan datos personales suyos a entidades no pertenecientes al EEE, los Corresponsables del Tratamiento tomarán las medidas oportunas para garantizar que el destinatario de sus datos personales los proteja adecuadamente de conformidad con las obligaciones que les incumben en virtud del ATC y de la Leyes de protección de datos.
d) Los Corresponsables del Tratamiento han celebrado con proveedores de servicios establecidos en terceros países, en función de la constelación contractual, un acuerdo de tratamiento de datos con arreglo al art. 28 RGPD o un acuerdo de tratamiento conjunto de conformidad con el art. 26 RGPD, además, los Corresponsables del Tratamiento garantizan que el destinatario de sus datos personales pueda protegerlos adecuadamente, a saber:
(i) Garantizar la existencia de una decisión de adecuación por parte de la Comisión Europea, lo que significa que se considera que el país receptor ofrece una protección adecuada de dichos datos personales; o bien
(ii) haber establecido con el destinatario las cláusulas contractuales tipo aprobadas por la Comisión Europea para las transferencias fuera del EEE. Las cláusulas contractuales tipo incluyen determinadas salvaguardias y exigen la aplicación de medidas de seguridad adicionales para proteger sus datos personales.
6. Almacenamiento de datos
Los Corresponsables del Tratamiento pueden tratar y compartir entre sí los datos personales recopilados durante el período necesario para prestar los Servicios Integrados establecidos en el Contrato Principal, y ningún requisito legal obliga a los Corresponsables del Tratamiento a seguir almacenándolos durante un período más largo. Además, los Corresponsables del Tratamiento también eliminarán sus datos personales tan pronto como usted presente a uno de ellos su solicitud, tenga en cuenta que también en este caso sus datos personales serán eliminados en la medida en que ningún requisito legal obligue a los Corresponsables del Tratamiento a seguir almacenándolos durante un período más largo.
7. Derechos de los interesados
a) Como interesados, tienen los siguientes derechos de conformidad con el art. 15 - 21, 77 RGPD:
- Derecho a acceder a sus datos personales (artículo 15 del RGPD);
- Derecho de rectificación (Art. 16 RGPD);
- Derecho de supresión ("derecho al olvido", art. 17 del RGPD);
- Derecho a la restricción del tratamiento (Art. 18 RGPD);
- Derecho a la portabilidad de los datos (Art. 20 RGPD);
- Derecho de oposición (Art. 21 RGPD);
- Derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado (art. 22 RGPD);
- Derecho a presentar una reclamación ante una autoridad de control (art. 77 RGPD).
En caso de que el tratamiento de datos se base en su consentimiento, tiene derecho a retirarlo en cualquier momento. La retirada del consentimiento no afectará a la licitud del tratamiento basado en el consentimiento antes de su retirada.
En caso de que el tratamiento de datos se base en nuestro interés legítimo, Art. 6 (1) (f) RGPD, tiene derecho a oponerse, por motivos relacionados con su situación, en cualquier momento.
b) Sus solicitudes para hacer valer los derechos de protección de datos y nuestras respuestas a las mismas se conservarán a efectos de documentación durante un periodo de hasta tres años y, en casos concretos, para el establecimiento, ejercicio o defensa de reclamaciones legales incluso más allá. La base jurídica es el art. 6 (1) (f) RGPD, basado en el interés legítimo de los Corresponsables del Tratamiento en la defensa contra cualquier reclamación de derecho civil de conformidad con el Art. 82 RGPD, la evitación de multas de conformidad con el Art. 83 RGPD y el cumplimiento de su responsabilidad en virtud del Art. 5 (2) RGPD.
c) Como interesado, tiene derecho a presentar una reclamación ante una autoridad de control, en particular en el Estado miembro de su residencia habitual, lugar de trabajo o lugar de la presunta infracción, si considera que el tratamiento de los datos personales que le conciernen infringe la normativa RGPD.
8. Decisiones individuales automatizadas, incluida la elaboración de perfiles
Tenga en cuenta que, para el tratamiento de sus datos personales llevado a cabo por el Contratista como resultado del ATC, NO existe ningún tipo de tratamiento automatizado de toma de decisiones de conformidad con el Art. 22 RGPD.
9. Modificaciones del presente anuncio
Los Corresponsables del Tratamiento conjunto mantendrán siempre actualizados sus avisos. Por lo tanto, nos reservamos el derecho a modificar el presente aviso de vez en cuando y a introducir cambios en el tratamiento de sus datos personales.