ANEXO 3 MARCO DE PRESTACIÓN DE SERVICIOS SOBRE DATOS DE CARÁCTER PERSONAL 1. Las partes han suscrito un Acuerdo de Colaboración Bono Temporada Ski Pirineos cuyas disposiciones prevalecen sobre cualesquiera otras contenidas en este documento. 2. Sin perjuicio de lo expuesto en el párrafo anterior, las sociedades relacionadas en el Acuerdo pretenden prestarse entre sí, los servicios accesorios detallados en la Tabla I del presente Anexo (en adelante, los “Servicios Accesorios”) con carácter recurrente, ya sea de forma individual, ya de forma combinada, teniendo acceso, con ocasión de la prestación de los citados Servicios Accesorios, a datos de carácter personal. 3. Con la finalidad de regular los términos y condiciones en que deberá de llevarse a cabo el tratamiento de los datos de carácter personal a los que las tienen acceso con ocasión de la prestación de los Servicios Accesorios, las Partes -reconociéndose mutua y recíprocamente capacidad legal para contratar y obligarse- han convenido la firma del presente Anexo, Marco de prestación de servicios de tratamiento externo de datos de carácter personal (en adelante, el “Anexo”), que se regirá por las siguientes: CLÁUSULAS 1) Las partes, de forma individual o combinada, podrán prestar servicios de tratamiento externo de datos de carácter personal a otra u otras empresas para la consecución de los Servicios Accesorios que ésta/s última/s demande/n (en adelante, los “Servicios de Tratamiento”). A los efectos de lo previsto en el presente Anexo, la/s sociedad/es prestadora/s de los Servicios de Tratamiento referidos en el párrafo anterior será/n designada/s como el “Proveedor” o “Proveedores” y la/s sociedad/es beneficiaria/s de los citados servicios será/n designada/s como el “Cliente” o “Clientes”. 2) Los datos personales obtenidos se van a utilizar con las finalidades propias necesarias para llevar a cabo los servicios accesorios enumerados en la Tabla I, y de manera enumerativa pero no exhaustiva: - La gestión de incidencias con motivo de la prestación de sus servicios según el Acuerdo de Colaboración Bono Temporada Ski Pirineos. 3) Los Servicios de Tratamiento objeto del presente Anexo podrán ser prestados en las instalaciones del Proveedor, o en las instalaciones del Cliente, en función de la naturaleza de los Servicios Accesorios a prestar. Página 1 de 7 4) El Proveedor llevará a cabo la prestación de servicio en calidad de encargado del tratamiento de los datos personales, no suponiendo en ningún caso cesión de los mismos, y acogiéndose por tanto al régimen del artículo 28 Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales. De conformidad con lo previsto en el párrafo anterior, el Proveedor garantiza que el tratamiento de los datos personales se va a desarrollar conforme a lo descrito en su “Sistema de Gestión de Protección de Datos” y siempre conforme a lo descrito en el citado reglamento y a la normativa nacional que lo desarrolla. 5) Sin perjuicio de la prestación de Servicios de Tratamiento para diferentes Clientes, cada uno de los Proveedores se reconoce como “Encargado del Tratamiento” respecto a los datos de cada Cliente a los que haya tenido acceso. Asimismo, cada uno de los Clientes será considerado “Responsable del Tratamiento” (según se define este término en el RGPD) comprensivo de los datos de carácter personal que sean responsabilidad de dicho Cliente en cuestión. 6) El Proveedor únicamente tratará los datos conforme a las instrucciones procedentes del Cliente y no los aplicará o utilizará con otro fin que no sea el de la buena conclusión de los Servicios Accesorios de que se trate. 7) El Proveedor aplicará bajo su responsabilidad las medidas de índole técnica y organizativas necesarias que garantizan la seguridad de los datos de carácter personal objeto del Servicio de Tratamiento prestado al Cliente y evitará su alteración, pérdida, tratamiento o acceso no autorizado. 8) El Cliente, mediante la firma del presente documento, autoriza la realización de trabajos, almacenamiento, tratamiento, y labores de recuperación de los datos personales destinados a la conclusión de los Servicios Accesorios, según lo establecido por el presente Anexo. 9) Con ocasión de la finalización de la prestación de los Servicios Accesorios, cualquiera que sea la causa, el Proveedor deberá destruir o devolver los datos de carácter personal, a elección del Cliente, al igual que cualquier soporte y documentos en que conste algún dato de carácter personal objeto del tratamiento. El Proveedor podrá conservar aquellos datos que sean estrictamente necesarios para el cumplimiento de Página 2 de 7 sus obligaciones legales, de acuerdo con lo previsto en la legislación aplicable en cada momento, o en cualquier otra normativa sectorial que regule la conservación de información. 10) El Proveedor no comunicará los datos, ni siquiera para su conservación, a terceras personas, exceptuando las cesiones de datos personales previstas por la legislación vigente. 11) El Proveedor garantizará que las personas autorizadas para tratar datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza estatutaria. 12) El Proveedor asistirá al responsable, teniendo cuenta la naturaleza del tratamiento, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para que este pueda cumplir con su obligación de responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados. 13) El Proveedor ayudará al responsable a garantizar el cumplimiento de las obligaciones establecidas en los artículos 32 a 36, teniendo en cuenta la naturaleza del tratamiento y la información a disposición del encargado. 14) El Proveedor pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el presente acuerdo, así como para permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del responsable o de otro auditor autorizado por dicho responsable. 15) El Proveedor será considerado “Responsable del Tratamiento” de datos de carácter personal y responderá como tal de las infracciones en que hubiese incurrido, en el caso de que destine los datos personales a otra finalidad distinta de la establecida en este Anexo, los comunique a terceras personas, vulnere el deber de guardar secreto sobre los mismos o los utilice indebidamente en contravención de lo dispuesto en la normativa legal y reglamentaria sobre protección de datos personales. 16) El Cliente, autoriza de manera previa y general al Proveedor la subcontratación con terceros de la prestación de los Servicios de Tratamiento objeto del presente Anexo. No obstante lo anterior, será posible la subcontratación siempre y cuando se cumplan todos y cada uno de los siguientes requisitos: Página 3 de 7 - Que se especifique en el presente documento los servicios que puedan ser objeto de subcontratación y, si es posible, la empresa con la que se vaya a subcontratar. Cuando no se identificase en la Tabla II la empresa con la que se vaya a subcontratar, será preciso que el Proveedor comunique al Cliente los datos que la identifiquen antes de proceder a la subcontratación y, - Que el tratamiento de datos de carácter personal por parte del subcontratista se ajuste a las instrucciones del Cliente y, - Que el Proveedor y la empresa subcontratista formalicen un Contrato por escrito, en los términos previstos en el presente Anexo. 17) Si durante la prestación del servicio resultase necesario subcontratar una parte del mismo y dicha circunstancia no hubiera sido prevista en el Anexo, deberán someterse al Cliente los extremos señalados en la Cláusula 16 anterior. 18) Lugar de ejercicio de derechos sobre los datos de carácter personal para las partes. ARAMÓN: Edificio "Sextas", Estación de Esquí de Formigal-Panticosa, Sallent de Gállego 22640 (Huesca) o a protecdatos@aramon.es. CANDANCHÚ: Estación de Esquí de Candanchú, Oficina de Atención al cliente, carretera de Francia, s/n, Aisa 22889 (Huesca) o a protecciondedatos@candanchu.com. ESTACIÓN INVERNAL VALLE DE ASTÚN: Referencia “Datos Personales”, especificando el derecho que se quiere ejercer y respecto a qué datos personales. Dirección postal: Pº de la Independencia 19, 50001 Zaragoza (España). Correo electrónico: astun@astun.com 19) La revisión de los nuevos Servicios Accesorios que se vayan añadiendo al Anexo se hará coincidir con las actuaciones de revisión en materia de protección de datos, o cuando los servicios prestados a incorporar conlleven modificaciones sustanciales sobre el escenario existente. 20) En cualquier caso, ello no obsta para que el nuevo servicio prestado incorpore todas las disposiciones relativas a protección de datos indicadas en el presente Anexo y en la normativa legal aplicable. Página 4 de 7 21) El Anexo tendrá una duración indefinida. No obstante lo anterior, cualquiera de las Partes podrá notificar por escrito a las demás Partes su voluntad de darlo por finalizado con, al menos dos (2) meses de antelación a la fecha en la que se pretenda su finalización. 22) Las Partes acuerdan mantener confidencial el presente Anexo, así como su objeto, términos y condiciones y los documentos e informaciones derivados o relacionados con el mismo, por lo que no podrán revelar ninguno de sus aspectos a ningún tercero distinto de aquellos que integren su órgano de administración o su alta dirección o de quienes participen profesionalmente en la negociación en condición de asesor jurídico, contable, financiero o de otra especialidad, a no ser que sean requeridas para ello por cualquier órgano regulador, inspector o supervisor o instancia judicial. 23) Este Anexo se extinguirá en los supuestos siguientes: - Por el transcurso del plazo de duración del Acuerdo de Colaboración Bono Temporada SKI PIRINEOS. - Por mutuo acuerdo de las Partes formalizado por escrito. - Por la extinción de la personalidad jurídica de todas las Partes. - A elección de la Parte no incumplidora, por el incumplimiento sustancial, total o parcial, de alguna de las obligaciones legal o contractualmente establecidas. No obstante lo anterior, si el cumplimiento es aún posible, la Parte in bonis notificará por escrito a la otra su incumplimiento y la voluntad de aquélla de dar el Anexo por extinguido si la Parte incumplidora no cumple correctamente en el plazo de diez (10) días siguientes a la recepción de la notificación. Transcurrido dicho plazo sin que el incumplimiento se hubiese subsanado, la Parte notificante podrá dar por resuelto el Anexo mediante su notificación por escrito a la Parte incumplidora y reclamarle los daños y perjuicios que pudieran corresponderle. Cuando el cumplimiento no fuera posible, el Anexo finalizará con la recepción de la notificación escrita en la que conste la voluntad de darlo por extinguido y la causa de extinción. - Por cualquier otra causa prevista en la Ley o en el presente Anexo. 24) Todas las comunicaciones y notificaciones que deban realizarse las Partes en virtud del Anexo deberán efectuarse por escrito, y mediante: - Entrega en mano con confirmación escrita de la recepción por la otra Parte; Página 5 de 7 - Conducto notarial; o - Correo postal o electrónico, así como cualquier otro medio, siempre que en todos estos casos se deje constancia de su debida recepción por el destinatario o destinatarios. Las comunicaciones y notificaciones entre las Partes deberán ser remitidas a los domicilios y a la atención de las personas que se indiquen en el Anexo. Cualquier modificación en los domicilios a efectos de notificaciones deberá ser inmediatamente comunicada a la otra Parte de acuerdo con las reglas establecidas en esta Cláusula. En tanto una Parte no haya recibido notificación de tales cambios, las notificaciones que ésta realice conforme a dichas reglas de acuerdo con los datos originarios se entenderán correctamente efectuadas. 25) La ilicitud, invalidez o inefectividad de cualquiera de las Cláusulas del Anexo no afectará a la eficacia del resto, siempre que los derechos y obligaciones de las Partes derivados del Anexo no se vieran afectados de forma esencial. Se entiende por esencial cualquier situación que lesione gravemente los intereses de cualquiera de las Partes, o que recaiga sobre el objeto mismo del Anexo previsto en la Cláusula 1. Dichas Cláusulas deberán reemplazarse o integrarse con otras que, siendo conformes a la Ley, respondan a la finalidad de las sustituidas. 26) No se entenderá que existe renuncia de las Partes a alguno de los derechos dimanantes del Anexo o derivados del incumplimiento del mismo salvo cuando dicha renuncia se haga de forma expresa y por escrito. Si alguna de las Partes renunciara a alguno de los derechos derivados del Anexo o de cualquier incumplimiento de la otra Parte de conformidad con el párrafo anterior, dicha renuncia no podrá en modo alguno interpretarse como renuncia a cualquier otro derecho derivado del Anexo o de cualquier incumplimiento de la otra Parte, aun cuando sean similares. 27) El presente Anexo se regirá por el Derecho español. 28) Cualquier controversia o litigio relativo a la interpretación, aplicación o ejecución del Anexo se someterá a los Tribunales y Juzgados de la ciudad de Zaragoza con expresa renuncia de las partes a cualquier otro fuera que pudiera corresponderles. Página 6 de 7 Y en prueba de conformidad con cuanto antecede, las Partes firman el presente Anexo en un único ejemplar y a un solo efecto en el lugar y fecha indicados en el encabezamiento. EMPRESA FIRMA Y SELLO - - - TABLA I - IDENTIFICACIÓN DE LAS EMPRESAS CON LOS SERVICIOS PRESTADOS PROVEEDOR SERVICIO DATO AFECTADO CLIENTE ARAMÓN Gestión de incidencias Datos identificativos CANDANCHÚ ASTÚN CANDANCHÚ Gestión de incidencias Datos identificativos ARAMÓN ASTÚN ASTÚN Gestión de incidencias Datos identificativos ARAMÓN CANDANCHÚ TABLA II - IDENTIFICACIÓN DE LAS EMPRESAS SUBCONTRATADAS Página 7 de 7