Acuerdo de Procesamiento de Datos (APD) - TRACE.Parser

§1 Objeto y Duración del Tratamiento

1. El presente contrato regula el tratamiento de datos personales por parte del Encargado del Tratamiento por encargo del Responsable del Tratamiento en el marco del uso del servicio TRACE.Parser (parser.trace-electricity.com; análisis de perfiles de producción de electricidad conforme a la descripción de la prestación en las Condiciones de Uso (CU-Parser)).
2. El tratamiento tendrá lugar durante la vigencia de la relación contractual. Tras su finalización, serán de aplicación las disposiciones del §10 del presente contrato.
3. El presente contrato prevalece sobre todos los acuerdos anteriores entre las partes relativos al encargo del tratamiento en el marco de TRACE.Parser.
4. La descripción de las actividades de tratamiento consta en el Anexo A del presente contrato, que forma parte integrante del mismo.
5. El presente APD está disponible en trace-electricity.com/es/dpa-parser/.

El presente APD se aplica exclusivamente al tratamiento en el marco de TRACE.Parser. Para TRACE.App y TRACE.Configurator/Studio rigen acuerdos separados.

§2 Naturaleza y Finalidad del Tratamiento

El tratamiento de datos personales se lleva a cabo exclusivamente para la prestación de los servicios acordados contractualmente, en particular:

• Análisis y evaluación de perfiles de producción de electricidad cargados (archivos CSV/Excel)
• Provisión de visualizaciones, indicadores clave e informes basados en los datos cargados
• Almacenamiento y gestión de los archivos y resultados en la cuenta de usuario del Responsable del Tratamiento
• Operación técnica de la plataforma, registro de errores y supervisión de la seguridad
• Comunicación con los usuarios en el marco del soporte técnico

No se lleva a cabo ningún tratamiento para fines propios del Encargado del Tratamiento. Las estadísticas de uso anonimizadas que no sean atribuibles a personas concretas (p. ej., número de cargas, tamaño medio de los archivos) quedan excluidas de esta prohibición.

Datos de entrenamiento de IA: Los proveedores de servicios de IA (OpenAI, Anthropic, Servicios de IA de AWS) no podrán utilizar datos personales del responsable para el entrenamiento de sus modelos base. TRACE Electricity tiene prohibido utilizar datos personales del responsable para el entrenamiento de modelos de IA propios.

TRACE Electricity se reserva el derecho de utilizar agregados completamente anonimizados de perfiles de producción (no constituyen datos personales en el sentido del Art. 4(1) RGPD) para mejorar la calidad del análisis de TRACE.Parser. Las modalidades de anonimización (k-anonimato, Privacidad Diferencial) están documentadas en las Medidas Técnicas y Organizativas (MTO-Parser). El responsable será informado sobre cambios sustanciales en el uso de datos de entrenamiento y podrá oponerse al uso de sus datos (incluso anonimizados) en cualquier momento dirigiéndose a privacy@trace-electricity.com.

Concreción: Finalidad: prestación del servicio TRACE.Parser (análisis de perfiles de consumo eléctrico, generación de informes de evaluación). Categorías de interesados: administradores, empleados y personas de contacto del Responsable del Tratamiento. Categorías de datos personales: nombre, correo electrónico, datos empresariales, datos de consumo energético.

Nota: Las herramientas de análisis de sitios web (Google Analytics 4, Hotjar, LinkedIn Insight Tag) utilizadas en la página de destino de TRACE.Parser en trace-electricity.com no están sujetas al presente Acuerdo de Procesamiento de Datos; en ese ámbito, TRACE Electricity GmbH actúa como Responsable del Tratamiento independiente conforme al Art. 4(7) RGPD. Los detalles se regulan en el Aviso de Privacidad - TRACE.Parser.

§3 Naturaleza de los Datos Personales y Categorías de Interesados

Categorías de interesados

• Usuarios de TRACE.Parser (empleados, representantes o delegados del Responsable del Tratamiento)
• En su caso, personas físicas cuyos datos figuren en los perfiles de producción (en la medida en que los datos cargados contengan datos de carácter personal)

Categorías de datos personales

• Datos de uso: dirección de correo electrónico, hash de contraseña, datos de sesión, dirección IP (anonimizada antes del almacenamiento permanente; no se persiste la dirección IP completa)
• Archivos cargados y su contenido: perfiles de producción y los datos contenidos en ellos (de carácter personal en la medida en que el Responsable del Tratamiento los haya completado como tales)
• Resultados del análisis: informes y visualizaciones generados a partir de los archivos cargados
• Metadatos de las cargas: marca de tiempo, nombre del archivo, tamaño del archivo, estado del procesamiento
• Datos técnicos de registro: informes de errores, tiempos de acceso (registros del sistema: máx. 30 días, borrado automático posterior; registros de auditoría de seguridad: 12 meses conforme al Art. 6(1)(c) RGPD en relación con los §§ 147 AO, 257 HGB alemanes)

El Responsable del Tratamiento es el único responsable de disponer de una base jurídica adecuada conforme al Art. 6 RGPD para transmitir al Encargado del Tratamiento los datos personales contenidos en los perfiles de producción cargados.

Las categorías especiales de datos personales conforme al Art. 9 RGPD no están incluidas en el objeto del presente contrato y no podrán ser introducidas por el Responsable del Tratamiento en la plataforma.

El Responsable del Tratamiento se asegurará de que exista una base jurídica adecuada para la transmisión de datos de usuarios del equipo a TRACE (p. ej., el § 26 BDSG alemán para empleados).

§4 Condición Jurídica y Obligaciones del Responsable del Tratamiento

1. El Responsable del Tratamiento es el único responsable de la legalidad de la transmisión de datos y del tratamiento realizado por el Encargado del Tratamiento, en particular de que exista una base jurídica adecuada conforme al Art. 6 RGPD para el tratamiento.
2. Las instrucciones se transmiten habitualmente por escrito (también por correo electrónico a privacy@trace-electricity.com). Las instrucciones verbales se confirmarán por escrito sin demora. El Responsable del Tratamiento está facultado para emitir instrucciones adicionales en cualquier momento. Las instrucciones deben formularse en forma textual (el correo electrónico es suficiente). TRACE documenta las instrucciones recibidas y su ejecución.
3. El Responsable del Tratamiento informará al Encargado del Tratamiento sin demora cuando, al examinar los resultados del encargo, detecte errores o irregularidades que puedan tener relevancia para la protección de datos.
4. El Responsable del Tratamiento se asegurará de que todas las personas involucradas en el tratamiento de su parte estén informadas sobre los requisitos aplicables en materia de protección de datos.

§5 Obligaciones del Encargado del Tratamiento

El Encargado del Tratamiento se compromete frente al Responsable del Tratamiento, en particular:

Las medidas técnicas y organizativas (MTO) conforme al Art. 32 RGPD se describen en la documentación de MTO, disponible en: Medidas Técnicas y Organizativas TRACE.Parser (MTO). TRACE está facultado para adaptar las MTO siempre que no se reduzca el nivel de protección.

1. A tratar los datos personales exclusivamente conforme a las instrucciones documentadas del Responsable del Tratamiento, salvo que esté obligado a ello por el Derecho de la Unión o de los Estados miembros; en tal caso, el Encargado del Tratamiento informará al Responsable del Tratamiento de dichas exigencias legales antes del tratamiento, a menos que el Derecho en cuestión lo prohíba.
2. Derecho de suspensión (suspensión ante instrucciones ilícitas): Si el responsable emite una instrucción que, a juicio de TRACE Electricity, infrinja el RGPD u otras disposiciones aplicables en materia de protección de datos, TRACE Electricity estará facultado y obligado a suspender de inmediato la ejecución de dicha instrucción e informar por escrito al responsable. TRACE Electricity ejecutará la instrucción únicamente tras la confirmación escrita del responsable de que la instrucción es lícita y de que se exime a TRACE Electricity de cualquier responsabilidad derivada de ello.
3. El encargado trata los datos personales exclusivamente por encargo y para los fines del responsable, y no para fines comerciales propios, salvo que esté legalmente obligado a ello; en este último caso, informará al responsable sin demora, en la medida en que lo permita la ley.
4. A garantizar que las personas autorizadas para tratar datos estén sujetas a la obligación de confidencialidad o a un deber legal de secreto adecuado.
5. A adoptar todas las medidas necesarias conforme al Art. 32 RGPD para garantizar la seguridad del tratamiento (§7).
6. A asistir al Responsable del Tratamiento, teniendo en cuenta la naturaleza del tratamiento, en la medida de lo posible, en el cumplimiento de su obligación de responder a las solicitudes de los interesados (§9).
7. A asistir al Responsable del Tratamiento en el cumplimiento de las obligaciones indicadas en los Arts. 32 a 36 RGPD, en particular en las evaluaciones de impacto sobre la protección de datos.
8. A suprimir o devolver, a elección del Responsable del Tratamiento, todos los datos personales una vez finalizada la prestación de los servicios de tratamiento (§10).
9. A poner a disposición del Responsable del Tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el Art. 28 RGPD y a permitir y contribuir a las auditorías, incluidas las inspecciones (§11).

§6 Confidencialidad del Tratamiento

1. El Encargado del Tratamiento garantizará que las personas autorizadas para tratar datos estén sujetas a la obligación de mantener la confidencialidad. Las correspondientes obligaciones de confidencialidad se acordarán por escrito y se supervisarán.
2. El Encargado del Tratamiento se asegurará de que solo accedan a los datos del Responsable del Tratamiento las personas que lo necesiten para el desempeño de sus funciones (principio de mínimo privilegio / need-to-know).
3. Esta obligación de confidencialidad continuará vigente tras la finalización del presente contrato.
4. El Responsable del Tratamiento otorga por el presente su autorización general para la subcontratación a los subencargados enumerados en el §8. TRACE informará al Responsable del Tratamiento de los cambios previstos con al menos 30 días de antelación. El Responsable del Tratamiento podrá oponerse a los cambios.

§7 Medidas Técnicas y Organizativas (Art. 32 RGPD)

El Encargado del Tratamiento ha adoptado, con carácter previo al inicio del tratamiento y de forma continua, medidas técnicas y organizativas (MTO) para garantizar un nivel de seguridad adecuado al riesgo conforme al Art. 32 RGPD.

La documentación completa de MTO (Medidas Técnicas y Organizativas TRACE.Parser (MTO)) constituye el Anexo B del presente APD. TRACE está facultado para adaptar las MTO siempre que no se reduzca el nivel de protección. Los cambios sustanciales se comunicarán al Responsable del Tratamiento.

§8 Uso de Subencargados del Tratamiento

1. El Responsable del Tratamiento otorga la autorización general para el uso de los siguientes subencargados del tratamiento:

2. El Encargado del Tratamiento informará al Responsable del Tratamiento oportunamente y con antelación (al menos 30 días) de cualquier incorporación de nuevos subencargados o sustitución de los existentes, mediante correo electrónico a la dirección de contacto registrada.
3. El Responsable del Tratamiento tiene derecho a oponerse al cambio. Si el Responsable del Tratamiento no se opone en el plazo de 30 días desde la recepción de la notificación, el cambio se considera aprobado. En caso de oposición fundada, se otorgará al Responsable del Tratamiento un derecho de rescisión extraordinaria. En caso de rescisión por oposición fundada, el Encargado del Tratamiento se asegurará de que los datos personales del Responsable del Tratamiento sean suprimidos o devueltos sin demora conforme a las disposiciones del §10.
4. El Encargado del Tratamiento comprometerá contractualmente a sus subencargados a las mismas obligaciones en materia de protección de datos que las acordadas en el presente contrato.

Nota: GA4, Hotjar y LinkedIn Insight Tag son utilizados por TRACE como Responsable del Tratamiento independiente para fines de marketing y no son objeto del presente APD.

§9 Obligaciones de Asistencia del Encargado del Tratamiento

El Encargado del Tratamiento asistirá al Responsable del Tratamiento en el cumplimiento de sus obligaciones en materia de protección de datos, en particular:

1. Derechos de los interesados (Arts. 15–22 RGPD): El Encargado del Tratamiento asistirá al Responsable del Tratamiento en la atención de solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición de los interesados. Para asistencia adicional, contacte con privacy@trace-electricity.com.
2. Evaluación de impacto sobre la protección de datos (Art. 35 RGPD): A solicitud del responsable, el encargado apoyará la realización de una evaluación de impacto sobre la protección de datos y de una consulta previa conforme al Art. 36 RGPD.
3. Consulta previa (Art. 36 RGPD): En caso necesario, el Encargado del Tratamiento asistirá al Responsable del Tratamiento en la consulta con la autoridad de control competente.
4. Seguridad del tratamiento (Art. 32 RGPD): El Encargado del Tratamiento pondrá a disposición del Responsable del Tratamiento, a solicitud de este, una descripción actualizada de las MTO adoptadas.

Las prestaciones de asistencia que vayan más allá del alcance de los servicios acordados se remunerarán adecuadamente en función del tiempo empleado.

§10 Supresión y Devolución de Datos

1. Tras la rescisión definitiva o finalización de la relación de uso, el Encargado del Tratamiento suprimirá de forma irrevocable todos los datos personales del Responsable del Tratamiento en un plazo de 30 días naturales.
2. A solicitud del Responsable del Tratamiento, el Encargado del Tratamiento pondrá los datos tratados a disposición, antes de su supresión, en un formato legible por máquina (CSV o JSON). El Encargado del Tratamiento preparará la exportación de datos para su descarga en un plazo de 14 días desde la solicitud; el enlace de descarga tendrá una validez de 30 días.
3. La supresión abarcará todas las copias realizadas en el marco del encargo del tratamiento, incluidas las copias de seguridad. Los datos de facturación se conservarán conforme al § 147 AO y al § 257 HGB alemanes durante un máximo de 10 años.
4. A solicitud, el Encargado del Tratamiento confirmará la supresión completa por escrito mediante correo electrónico.
5. El plazo de supresión de 30 días naturales tras la finalización del contrato comienza al final del último período de facturación. Durante los primeros 14 días existe la posibilidad de exportación. Duración total máxima: 44 días.

§11 Derechos de Control del Responsable del Tratamiento

1. El Responsable del Tratamiento tiene derecho a controlar en cualquier momento el cumplimiento de las disposiciones en materia de protección de datos y de los acuerdos del presente contrato por parte del Encargado del Tratamiento.
2. Los controles podrán realizarse mediante: solicitud de información y documentación; consulta al responsable de protección de datos designado; inspecciones in situ (con preaviso razonable de al menos 14 días naturales).
3. Las auditorías están limitadas a una vez al año; los certificados de TRACE (ISO 27001, SOC 2) se aceptan como equivalentes.
4. En lugar de una inspección in situ, el Encargado del Tratamiento podrá transmitir certificaciones actuales, informes de auditoría (p. ej., ISO 27001, SOC 2) u otras pruebas equivalentes.
5. Los costes de las inspecciones in situ correrán a cargo del Responsable del Tratamiento, salvo que el Encargado del Tratamiento sea responsable de infracciones sustanciales.

§12 Obligaciones de Notificación

1. El encargado informará al responsable sin demora, y a más tardar en el plazo de 24 horas desde el conocimiento del hecho, sobre cualquier violación de la seguridad de los datos personales en el sentido del Art. 4(12) RGPD. La notificación deberá contener toda la información requerida por el Art. 33(3) RGPD en la medida en que sea conocida. La información no disponible en la notificación inicial se aportará sin demora, y a más tardar 72 horas después (Art. 33(2) RGPD). La notificación a la autoridad de control competente conforme al Art. 33(1) RGPD corresponde exclusivamente al responsable.
2. La notificación inicial debe contener al menos: una descripción de la naturaleza de la violación; el número aproximado de personas afectadas y registros de datos; las consecuencias probables; y las medidas adoptadas o propuestas para hacer frente a la violación.
3. Las solicitudes de las autoridades de control relacionadas con el tratamiento por encargo del Responsable del Tratamiento serán remitidas sin demora por el Encargado del Tratamiento al Responsable del Tratamiento sin pronunciarse sobre su fondo.
4. Las solicitudes de los interesados recibidas por el Encargado del Tratamiento serán remitidas sin demora al Responsable del Tratamiento.
5. Los cambios sustanciales del presente contrato, en particular los cambios en la lista de subencargados, se comunicarán al Responsable del Tratamiento conforme al §8(2).

§13 Disposiciones Finales

1. El presente contrato se rige por el Derecho de la República Federal de Alemania, con exclusión de la Convención de las Naciones Unidas sobre los Contratos de Compraventa Internacional de Mercaderías. El fuero exclusivo para todas las controversias es Hamburgo, Alemania.
2. Transferencias a terceros países (Art. 46 RGPD): Para las transferencias a terceros países rigen las CCE de la UE (Decisión 2021/914). Para transferencias del Responsable al Encargado rige el Módulo 2; para transferencias entre Encargados rige el Módulo 3.
3. Si alguna disposición del presente contrato fuera inválida, ello no afectará a la validez de las restantes disposiciones.
4. Las modificaciones y adiciones al presente contrato requieren forma textual (el correo electrónico es suficiente).
5. En la medida en que las disposiciones del presente contrato sean incompatibles con las exigencias del RGPD, prevalecerán las exigencias del RGPD.
6. TRACE Electricity GmbH designa como persona de contacto para cuestiones de protección de datos: privacy@trace-electricity.com.
7. El Encargado del Tratamiento llevará, conforme al Art. 30(2) RGPD, un registro de todas las categorías de actividades de tratamiento realizadas por encargo de los responsables.

Mecanismo alternativo DPF: En la medida en que la transmisión de datos a EE.UU. se base en el Marco de Privacidad de Datos UE-EE.UU. (DPF) y esta Decisión sea declarada inválida, se considerará automáticamente acordado el recurso a las CCE de la UE conforme a la Decisión (UE) 2021/914.

§14 Responsabilidad

Cada parte responderá de las infracciones de protección de datos que le sean imputables. En la medida en que un interesado exija indemnización conforme al Art. 82 RGPD a una parte que no haya causado el daño o no lo haya causado en exclusiva, la otra parte estará obligada a exonerar a la parte que satisfaga la indemnización en la relación interna, de forma proporcional al grado de culpa respectivo.

§15 Cese de Actividades e Insolvencia

(1) En caso de insolvencia, liquidación o cese definitivo de actividades del Encargado del Tratamiento, todos los datos personales del responsable almacenados serán devueltos sin demora, y a más tardar en el plazo de 30 días naturales, en un formato legible por máquina (JSON o CSV), o suprimidos de forma irrevocable conforme a instrucciones documentadas del responsable.

(2) El Encargado del Tratamiento informará sin demora al responsable sobre un inminente cese de actividades.

(3) Esta disposición se aplica con carácter complementario a las Cláusulas Contractuales Estándar (Cláusula 8.5 de las CCE 2021/914).

Anexo A — Descripción de la Actividad de Tratamiento

El presente Anexo describe conforme al Art. 28(3) RGPD el objeto del encargo del tratamiento en el marco de TRACE.Parser.