Legal Toolbox
Herramientas Jurídicas
Acuerdo de servicio
Contrato de Tratamiento de Datos Personales
Medidas Transfronterizas
Medidas sobre el Subcontratista
Avisos de Transparencia
×
Acuerdo de servicio
A service agreement covering the cloud service is required. In the service agreement, the service obligations of the CSC and the CSP are defined in terms of governing national law. The core of the defined obligation of the CSC is payment of the service fees. The core of the defined obligation of the CSP is the provision of the cloud service. Whether further provisions are included – and what they are – depends on the requirements of the contract parties (e.g. provisions regarding late payment, blocking of the service, the service level, availability, performance, etc.).
×
Contrato de Tratamiento de Datos Personales
The data processing agreement is a contract for whose content the governing national law specifies certain requirements. If these requirements are met, the contract defines the specific involvement of a contractor in accordance with data protection law. Therefore, it is a preferable form for the involvement of contractors.
×
Medidas Transfronterizas
The “cross-border” package of measures includes guidelines for data-protection-compliant configuration of cross-border data processing. There are various differences to observe depending on which country the data are transferred to.
×
Medidas sobre el Subcontratista
The “subcontractor” package of measures includes guidelines for the involvement of subcontractors by the CSP. Special requirements apply to these measures due to the data processing agreement as well as due to possible further cross-border data processing.
×
Avisos de Transparencia
Particularly the involvement of subcontractors creates a transparency obligation for the CSP vis-à-vis the CSC. The “transparency notice” tool acknowledges and explains this obligation.
Paso 1
En este primer paso del CPC, comprobamos si el supuesto de hecho dado incluye cualquier información personal identificable.
No
Si la respuesta es NO, entonces no aplican medidas relativas a la protección de datos personales. El único instrumento aplicable es el contrato entre el prestador del servicio de nube y el cliente del servicio de nube.
Sí
Si la respuesta es SÍ, tiene que cumplirse con el segundo paso del Cloud Privacy Check (CPC).
Paso 2
En este segundo paso del CPC, comprobamos si hay terceras partes involucradas en la configuración del servicio de nube, que tratan datos personales o que tienen acceso a datos personales.
No
El diseño técnico del servicio, según lo previsto, es crucial. Por lo tanto, un abogado debe analizar y comprender la configuración técnica, por ejemplo, el diseño del servicio. En el diseño del servicio, un punto de cambio puede ser definido. Por tanto, el análisis conforme al CPC puede ser detenido. El único instrumento aplicable será acuerdo de servicio entre el cliente del servicio de nube y el prestador del servicio de nube. Si la descripción marcada por el punto de cambio se supera, será necesario implementar controles adicionales.
Sí
En particular, debe firmarse un acuerdo de tratamiento de datos personales. Esto además del acuerdo de servicio. Después del segundo paso, debe cumplirse con las pruebas tercera y cuarta.
Paso 3
En este tercer paso del CPC comprobamos si los datos personales salen de la jurisdicción del cliente del servicio de nube.
No
Si la respuesta es NO, entonces no se requiere ningún instrumento de protección de datos conforme a la comprobación y el análisis puede continuar con el cuarto paso.
Sí
Sí la respeusta es SÍ entonces debe aplicarse el “paquete transfronterizo”. Ese paquete incluye algún papeleo (el acuerdo de cláusulas modelo de la UE con el prestador del servicio de nube, activación del régimen de Puerto Seguro y las respectivas notificaciones a las autoridades, si se requieren). Después tiene que cumplirse con el cuarto paso.
Paso 4
En esta cuarto análisis, consideramos si el prestador de servicios de nube recurre a subcontratistas.
No
Si la respuesta es NO, entonces el Cloud Privacy Check puede estar finalizado y no se necesita utilizar ningún instrumento adicional.
Sí
Si la respuesta es SÍ, el conjunto de medidas al que nos referimos como “Subcontratista” tiene que ser aplicado. Este paquete requiere que el prestador del servicio de nube imponga las obligaciones que tiene, en relación con el cliente del servicio de nube, al subcontratista.
Además, el cliente del servicio de nube debería ser informado del hecho de que hay subcontratistas involucrados y dónde operan. La acción en cuestión aquí es la “Notificación al Cliente del Servicio de Nube”. La finalidad de esta medida es aumentar la transparencia.
Contributors
ES submission contributed by:
Belén Arribas
+ 34 93 362 05 45
Andersen Tax & Legal
belen.arribas@andersentaxlegal.es
