Última actualización: 10 de julio de 2025
1.1 Ámbito de aplicación. El presente documento establece las condiciones generales de uso (en adelante, las "Condiciones") de la plataforma online denominada "Tuduu" (en adelante, la "Plataforma"), desarrollada y proporcionada por Drilldown S.r.l., con sede legal en Viale Isonzo 8, 20135 Milán (MI), Italia, P. IVA/C.F. 12392590969 (en adelante "Drilldown"). Las presentes Condiciones se aplican a todos los Usuarios Profesionales que se registran en la Plataforma y utilizan sus servicios. Por Usuarios Profesionales se entienden, a título enunciativo: los profesionales de la nutrición (p. ej., nutricionistas, dietólogos, dietistas) que utilizan las secciones "Ricette" y "Nutrition"; los creadores de contenidos y content providers (que utilizan principalmente la sección "Ricette"); y los operadores de e-commerce (que utilizan las secciones "Shop" y "Ricette").
1.2 Aceptación. El acceso, el registro y cualquier uso de la Plataforma por parte del Usuario presuponen la lectura íntegra y la aceptación expresa de las presentes Condiciones, así como de cualquier documento relacionado con ellas (como la Privacy Policy y el Acuerdo sobre el tratamiento de los datos, cuando sea aplicable). En ausencia de aceptación, no se permite el uso de la Plataforma. El Usuario declara haber leído las Condiciones y se compromete a respetarlas en todo momento.
1.3 Requisitos del Usuario. La Plataforma está destinada a Usuarios Profesionales mayores de edad y con capacidad jurídica. Al registrarse, el Usuario garantiza tener al menos 18 años (o la edad de mayoría legal en su país) y, si actúa en nombre de una sociedad o entidad, tener los poderes de representación necesarios. Drilldown se reserva el derecho de solicitar información o documentación adicional para verificar la condición profesional del Usuario (por ejemplo, inscripción en un Colegio profesional para los nutricionistas, cuando lo exija la normativa vigente).
2.1 Procedimiento de registro. El registro en la Plataforma puede realizarse (i) a través del formulario de inscripción online disponible en el sitio web de la Plataforma, en el que el Usuario facilitará los datos solicitados, o (ii) mediante invitación directa enviada por Drilldown (por ejemplo, en el marco de colaboraciones, programas piloto o afiliaciones). En ambos casos, al completar el registro se creará al Usuario una cuenta personal (en adelante, la "Cuenta").
2.2 Datos facilitados y credenciales. El Usuario se compromete a proporcionar durante el registro información exacta, completa y veraz (por ejemplo: nombre, apellidos, dirección de correo electrónico, datos profesionales, etc.) y a mantenerla actualizada. Las credenciales de acceso a la Cuenta (usuario y contraseña) son personales e intransferibles. El Usuario está obligado a custodiar sus credenciales con la máxima confidencialidad y a no compartirlas con terceros. En caso de pérdida, robo o sospecha de uso no autorizado de la Cuenta, el Usuario deberá informar inmediatamente a Drilldown, que podrá adoptar las medidas necesarias (p. ej., suspensión temporal de la Cuenta).
2.3 Unicidad de la Cuenta. Cada Usuario puede crear una sola Cuenta, salvo autorización escrita distinta de Drilldown por necesidades específicas (por ejemplo, cuentas separadas para distintos colaboradores de una misma organización). Drilldown se reserva el derecho de eliminar o unificar cuentas duplicadas relativas al mismo Usuario.
2.4 Gestión y suspensión de la Cuenta. El Usuario es responsable de todas las actividades realizadas a través de su Cuenta. Drilldown se reserva la facultad de rechazar, suspender o cancelar un registro o una Cuenta, en cualquier momento y sin previo aviso, en caso de que considere que existen violaciones de las presentes Condiciones, uso indebido de la Plataforma, o por motivos de seguridad. En caso de cancelación de la Cuenta por parte de Drilldown por violación de las Condiciones, el Usuario no tendrá derecho a ningún reembolso de eventuales importes pagados por periodos de servicio no utilizados, salvo lo que disponga de otro modo la ley aplicable.
3.1 Sección "Ricette". La Plataforma pone a disposición una sección "Ricette" en la que los Usuarios pueden crear, cargar y gestionar recetas culinarias. Esta sección es accesible a todos los Usuarios Profesionales registrados, en particular: (i) profesionales de la nutrición, que pueden crear recetas para incluir en planes alimentarios para sus clientes o para compartirlas con otros usuarios; (ii) creators y content providers, que pueden publicar recetas originales, con textos, ingredientes, instrucciones e imágenes, poniéndolas a disposición en la Plataforma; (iii) operadores de e-commerce, que pueden asociar los productos de su tienda online como ingredientes de las recetas, convirtiendo dichas recetas en una herramienta de promoción y venta de productos alimentarios. La sección Ricette permite aplicar filtros nutricionales y de preferencia alimentaria (por ej., recetas vegetarianas, veganas, sin gluten, etc.) para facilitar la búsqueda de platos adecuados a necesidades específicas. Las recetas cargadas son elaboradas por la Plataforma mediante algoritmos que analizan los ingredientes y calculan automáticamente los valores nutricionales (por ejemplo, calorías, macronutrientes, etc.) por porción, así como la compatibilidad con determinados regímenes dietéticos en función de los ingredientes indicados.
3.2 Sección "Shop". La sección "Shop" está dedicada a los Usuarios Profesionales que son operadores de e-commerce y/o retail, así como del sector alimentario o nutricional. En esta sección, el Usuario puede integrar su catálogo de productos alimentarios o ingredientes con la Plataforma Tuduu. En particular, el operador de e-commerce puede vincular los productos de su tienda online con las recetas presentes en Tuduu: esto permite, por ejemplo, que un ingrediente listado en una receta corresponda a un producto adquirible en la tienda del operador. Los usuarios finales de la Plataforma (p. ej., visitantes o clientes del operador) podrán así añadir dichos ingredientes/productos directamente al carrito de compra con un clic, creando una experiencia de "receta comprable". La Plataforma ofrece además funcionalidades SEO (Search Engine Optimization) automáticas para las recetas integradas con la tienda, con el fin de aumentar su visibilidad online. También para los productos asociados al Shop, la Plataforma puede aplicar algoritmos de análisis nutricional y categorización: por ejemplo, identificando las características nutricionales o la presencia/ausencia de alérgenos y generando automáticamente filtros (p. ej., "sin lactosa", "ecológico", etc.) que ayuden a los usuarios a encontrar productos alineados con sus necesidades dietéticas.
3.3 Sección "Nutrition". La sección "Nutrition" está dirigida principalmente a los profesionales de la nutrición (nutricionistas, dietólogos, dietistas u otras figuras habilitadas). En esta área de la Plataforma, el profesional puede gestionar información y planes nutricionales para sus clientes/pacientes. Las funcionalidades de la sección Nutrition incluyen herramientas para crear y personalizar planes alimentarios, dietas o informes nutricionales. El profesional puede utilizar las recetas (propias o disponibles en la Plataforma) dentro de los planes nutricionales, con la posibilidad de modificar las porciones y ver los impactos nutricionales en tiempo real gracias a los algoritmos de cálculo nutricional integrados. Además, la sección Nutrition ofrece la posibilidad de generar documentos PDF (por ejemplo, fichas de dieta o informes para entregar al cliente) y de aprovechar una app móvil dedicada: esta aplicación móvil permite al cliente final visualizar su plan nutricional, las recetas recomendadas y otra información compartida por el profesional, directamente en su smartphone. Esto favorece un seguimiento continuo y una interacción más directa entre el profesional y el cliente a través de la Plataforma.
3.4 Algoritmos de análisis nutricional. En todas las secciones descritas anteriormente, la Plataforma Tuduu utiliza algoritmos avanzados para el análisis nutricional de recetas y productos. Dichos algoritmos procesan los datos proporcionados por los Usuarios (ingredientes de las recetas, información nutricional de los productos, porciones, etc.) y producen automáticamente resultados como: el cálculo de los valores nutricionales (p. ej., energía, macronutrientes, micronutrientes), indicaciones sobre alérgenos o sustancias específicas presentes, y sugerencias sobre la compatibilidad de recetas/productos con dietas particulares (por ejemplo, si una receta es apta para una dieta vegana o sin gluten). Los algoritmos pretenden proporcionar información útil y precisa; sin embargo, operan en función de los datos disponibles y de reglas generales, sin intervención humana directa. Por tanto, los resultados generados pueden no ser siempre perfectamente precisos o adecuados a cada circunstancia. Es responsabilidad del Usuario (especialmente del profesional de la nutrición) revisar y verificar la exactitud de la información nutricional y de las sugerencias proporcionadas algorítmicamente antes de utilizarlas o comunicarlas a sus clientes. Las modalidades con las que los Usuarios deben gestionar eventuales errores o incoherencias se describen en las secciones siguientes de las presentes Condiciones.
4.1 Uso conforme y lícito. El Usuario se compromete a utilizar la Plataforma y los servicios relacionados de manera conforme a las presentes Condiciones, a las instrucciones eventualmente proporcionadas por Drilldown, y respetando las leyes y reglamentos aplicables. Queda prohibido al Usuario utilizar la Plataforma para fines ilegales o no autorizados. En particular, el Usuario no deberá: (i) utilizar la Plataforma de forma que vulnere derechos de terceros o normas legales (por ejemplo, normas en materia de propiedad intelectual, protección de datos personales, competencia leal, etc.); (ii) introducir contenidos o materiales dañinos, ofensivos, difamatorios, obscenos o de otro modo inapropiados; (iii) intentar acceder sin autorización a las funcionalidades de la Plataforma, a cuentas ajenas o a sistemas informáticos de Drilldown, ni comprometer la seguridad o la integridad de la Plataforma (por ejemplo, mediante la introducción de virus, malware u otras actividades perturbadoras).
4.2 Verificación de los resultados algorítmicos. Como se describe en el párrafo 3.4, la Plataforma genera automáticamente información nutricional y sugerencias mediante algoritmos. El Usuario reconoce que dicha información es de carácter indicativo y debe evaluarse siempre críticamente. Es obligación del Usuario, en particular si es profesional de la nutrición, comprobar la exactitud y la coherencia de los resultados algorítmicos (por ejemplo, valores nutricionales calculados para una receta, etiquetas nutricionales o dietéticas asignadas a un producto) antes de utilizarlos con fines profesionales o de compartirlos con sus clientes o con el público. Si el Usuario detecta errores, incoherencias o anomalías en los datos generados por la Plataforma, se compromete a comunicarlo de inmediato a Drilldown a través de las herramientas de asistencia o contacto puestas a disposición. El Usuario es consciente de que el incumplimiento de esta obligación de verificación podría conllevar la difusión de información inexacta, de la que él mismo será considerado responsable.
4.3 Contenidos del Usuario – Licencias y garantías. Todos los contenidos cargados, publicados o de otro modo introducidos por el Usuario en la Plataforma (incluyendo, a título enunciativo: textos, recetas, ingredientes, fotos, vídeos, marcas, logotipos, descripciones de productos) deben estar legítimamente a disposición del Usuario. El Usuario garantiza disponer de los derechos necesarios (de propiedad intelectual y/o de uso) sobre dichos contenidos, o en todo caso haber obtenido las autorizaciones oportunas de los titulares de los derechos, de modo que el uso de los contenidos en la Plataforma y por parte de Drilldown conforme a las presentes Condiciones no vulnere derechos de terceros. Además, al cargar contenidos en la Plataforma, el Usuario concede a Drilldown el derecho y la licencia no exclusivos, sublicenciables y gratuitos de utilizar, reproducir, modificar, publicar, traducir, distribuir, visualizar y ejecutar dichos contenidos exclusivamente en relación con la prestación de los servicios de la Plataforma y las actividades promocionales de la misma. Dicha licencia cesará en el momento en que el Usuario elimine los contenidos de la Cuenta o de la Plataforma, salvo en los casos en que la conservación sea requerida por obligaciones legales o para la tutela de derechos. El Usuario garantiza además que los contenidos facilitados son exactos, veraces (por ejemplo, la información nutricional o los ingredientes de una receta se corresponden con la realidad) y no contrarios a normas legales o reglamentos (por ejemplo, no contienen afirmaciones engañosas o no permitidas en el ámbito alimentario). El Usuario asume la plena responsabilidad por los contenidos que introduce en la Plataforma, manteniendo indemne a Drilldown frente a cualquier reclamación de terceros derivada de dichos contenidos (véase también la Cláusula de Indemnidad en el apartado 9.4). Drilldown se reserva el derecho de eliminar u ocultar cualquier contenido del Usuario que considere, a su entera discreción, que vulnera las presentes Condiciones o derechos de terceros, o que resulte inapropiado.
4.4 Obligaciones específicas para operadores de e-commerce. El Usuario que utiliza la sección Shop en calidad de operador de e-commerce es el único responsable de los productos que pone a disposición y de las transacciones comerciales eventualmente concluidas a través de la Plataforma. Esto incluye, a título enunciativo pero no limitativo: la conformidad de los productos alimentarios con la normativa vigente (por ejemplo, en materia de seguridad alimentaria, etiquetado, indicaciones nutricionales y saludables autorizadas); la veracidad e integridad de las descripciones de los productos (ingredientes, alérgenos, características nutricionales, precio, etc.); la gestión de los pedidos realizados por los usuarios finales, su envío, entrega, facturación, así como la asistencia posventa, devoluciones y reembolsos conforme a lo previsto por la ley aplicable (por ejemplo, el Código del Consumo, si fuese aplicable al cliente final). Drilldown proporciona exclusivamente la infraestructura tecnológica de la Plataforma para facilitar el encuentro entre el operador de e-commerce y los usuarios finales compradores: Drilldown, salvo intervención de partners terceros, no es parte contractual de las compraventas de productos entre el Usuario operador de e-commerce y los clientes finales, ni asume obligaciones de garantía sobre los productos vendidos por dichos Usuarios. El operador de e-commerce mantendrá completamente indemne a Drilldown de cualquier responsabilidad o coste derivado de reclamaciones, impugnaciones, daños o infracciones relativos a los productos por él ofrecidos o a las transacciones comerciales efectuadas a través de la Plataforma.
4.5 Cumplimiento de la normativa profesional. Si el Usuario es un profesional sujeto a normas deontológicas o requisitos legales específicos (por ejemplo, un nutricionista inscrito en un Colegio profesional), está obligado a utilizar la Plataforma de manera coherente con las obligaciones derivadas de su condición profesional. Por ejemplo, el profesional de la nutrición deberá asegurarse de que el uso de las herramientas de la Plataforma (como la elaboración de dietas o consejos nutricionales) se realice respetando las directrices y normativas aplicables a su profesión. Nada en las presentes Condiciones exime al Usuario del cumplimiento de tales obligaciones profesionales.
5.1 Servicios de pago y planes SaaS. El acceso a algunas funcionalidades o secciones de la Plataforma (por ejemplo, el uso avanzado de la sección Ricette para e-commerce, o herramientas avanzadas de la sección Nutrition) podría estar supeditado a la suscripción de un plan de suscripción SaaS (Software-as-a-Service) de pago. Drilldown puede ofrecer distintos planes con diferentes niveles de servicio (por ejemplo: planes con un número máximo de recetas gestionables, funcionalidades adicionales como recetas "comprables", eliminación de la marca de agua Tuduu, soporte prioritario, etc.), como se describe en la Plataforma o en la documentación comercial de Drilldown. Algunos planes podrían prever un periodo inicial de prueba gratuita, al término del cual la suscripción pasará a ser de pago salvo cancelación oportuna por parte del Usuario.
5.2 Contraprestaciones y modalidades de pago. Los precios de los distintos paquetes de suscripción (en adelante, "Contraprestaciones") se indican en la Plataforma o son comunicados por Drilldown al Usuario en el momento de la suscripción. Las Contraprestaciones se expresan por norma general sin IVA y sin los posibles impuestos aplicables, que se añadirán si proceden según la normativa fiscal vigente. El pago de las Contraprestaciones se realiza mediante sistemas de pago electrónico externos, como a título enunciativo Stripe. En el momento de la suscripción, al Usuario se le podrá solicitar introducir los datos de una tarjeta de crédito u otro método de pago compatible, y el Usuario autoriza a Drilldown (o al proveedor tercero Stripe) a cargar automáticamente la Contraprestación debida con la periodicidad prevista por el plan elegido (p. ej., mensual o anual). Todas las transacciones están sujetas a los términos y condiciones del proveedor de pago Stripe; Drilldown no almacena los datos completos de las tarjetas de crédito del Usuario, que son gestionados de forma segura por Stripe.
5.3 Variaciones de precio. Drilldown se reserva el derecho de modificar el precio de los planes de suscripción en cualquier momento. Cualesquiera variaciones de precio serán efectivas no antes del siguiente periodo de facturación tras la comunicación al Usuario. Drilldown informará al Usuario de forma apropiada (por ejemplo, por correo electrónico o mediante notificación dentro de la Plataforma) sobre las modificaciones de precio con una antelación razonable. Si el Usuario no desea aceptar el nuevo precio, podrá cancelar la suscripción antes de que la modificación sea efectiva; la continuación en el uso del servicio tras la entrada en vigor de la modificación constituirá aceptación del nuevo precio.
5.4 Duración de la suscripción y cancelación. Salvo indicación en contrario, las suscripciones se entienden de renovación automática: al vencimiento de cada periodo (mensual, anual, etc.), la suscripción se renueva automáticamente por un nuevo periodo de igual duración, salvo cancelación por parte del Usuario o desistimiento por parte de Drilldown dentro de los plazos indicados a continuación. El Usuario puede rescindir la suscripción en cualquier momento a través de la funcionalidad correspondiente en la Plataforma (por ejemplo, en los ajustes de la Cuenta) o contactando con el soporte de Drilldown para solicitar su cancelación. La cancelación surtirá efecto al final del periodo de suscripción ya pagado: hasta dicho momento el Usuario mantendrá el acceso a las funcionalidades de pago, y no se prevén reembolsos por eventuales periodos no utilizados. En caso de impago de la Contraprestación (por ejemplo, por tarjeta de crédito no válida o insuficiencia de fondos) o de incumplimiento de las presentes Condiciones por parte del Usuario, Drilldown podrá suspender o resolver la suscripción; en tal caso el Usuario seguirá obligado al pago de las cantidades devengadas hasta la fecha de cese, sin perjuicio del derecho de Drilldown a reclamar daños adicionales si la resolución se ha producido por incumplimiento del Usuario.
En caso de que Drilldown y el Usuario hayan suscrito un acuerdo escrito específico que prevea términos y condiciones particulares para el uso de la Plataforma (por ejemplo, un contrato de servicio personalizado, un convenio empresarial o de partner), o la publicación de los contenidos (recetas y productos) en canales externos como el marketplace Tuduu.it u otros canales compartidos, las disposiciones de dicho acuerdo particular se aplicarán además de las presentes Condiciones. En caso de conflicto entre las cláusulas del contrato personalizado y lo previsto en estas Condiciones generales, prevalecerán las cláusulas del contrato personalizado, limitadamente a los aspectos en conflicto. Queda entendido que, para todo lo no expresamente regulado en el acuerdo específico, se aplicarán las presentes Condiciones Generales.
7.1 Plataforma y contenidos de Drilldown. La Plataforma (incluidos el software, el código fuente, el diseño, la interfaz de usuario, las bases de datos, las marcas "Tuduu" y "Drilldown", los logotipos, los nombres de dominio, y todos los demás contenidos y materiales presentes en el sitio y en la app, con excepción de los Contenidos del Usuario definidos arriba) es propiedad exclusiva de Drilldown o de sus eventuales licenciantes. Dichos elementos están protegidos por las leyes de derechos de autor, marcas, patentes, diseño industrial y/u otras normas de tutela de la propiedad intelectual. El Usuario se compromete a no copiar, modificar, distribuir, vender o crear obras derivadas de ninguna parte de la Plataforma o de sus contenidos propietarios, salvo lo expresamente permitido por Drilldown o por la ley. El acceso a la Plataforma no implica en ningún caso la transferencia al Usuario de derechos de propiedad intelectual sobre el software u otros elementos propiedad de Drilldown, sino únicamente la concesión de una licencia de uso limitada, revocable y no exclusiva, destinada al uso de la Plataforma conforme a las presentes Condiciones.
7.2 Contenidos del Usuario. El Usuario mantiene la plena titularidad de los derechos sobre sus propios contenidos que carga en la Plataforma (según se define en el apartado 4.3). Sin embargo, de conformidad con lo establecido en la cláusula 4.3, el Usuario concede a Drilldown una licencia de uso de dichos contenidos para las finalidades y con las limitaciones allí descritas. El Usuario toma nota de que dichos contenidos publicados en la Plataforma podrían ser visibles para otros usuarios o, en el caso de recetas o informaciones hechas públicas, también para visitantes no registrados, y autoriza a Drilldown a realizar eventuales actividades de publicación, compartición o indexación necesarias para dar visibilidad a dichos contenidos en los términos previstos por las funcionalidades de la Plataforma.
7.3 Feedback y sugerencias. En caso de que el Usuario proporcione a Drilldown comentarios, sugerencias o ideas relativas a la Plataforma o a los servicios (por ejemplo, indicación de nuevas funcionalidades o mejoras), dichos aportes no se considerarán confidenciales. Drilldown será libre de utilizar dicho feedback para cualquier fin, sin que ello genere para el Usuario derecho a compensación o reconocimiento alguno, y sin que ello suponga transferencia de derechos al Usuario sobre eventuales modificaciones o mejoras implementadas.
8.1 Tratamiento de los datos personales. Drilldown trata los datos personales facilitados por el Usuario o de otro modo recopilados durante el uso de la Plataforma de conformidad con el Reglamento UE 2016/679 ("GDPR") y con la normativa de privacidad italiana aplicable. La información sobre las modalidades y finalidades del tratamiento de los datos personales se detalla en la Información de Privacidad facilitada al Usuario y disponible en el sitio de la Plataforma. El Usuario, al aceptar las presentes Condiciones, declara haber leído dicha información.
8.2 Datos de terceros introducidos por el Usuario. En caso de que el Usuario (por ejemplo, un profesional de la nutrición) introduzca en la Plataforma datos personales de terceros, como información sobre sus clientes o pacientes (p. ej., nombre, contacto, datos relativos a la salud o al régimen alimentario), garantiza haber obtenido dichos datos de manera lícita y, cuando sea necesario, haber obtenido el consentimiento informado de los interesados para el uso de dichos datos dentro de la Plataforma. En relación con dichos tratamientos, el Usuario actúa como Responsable del tratamiento y Drilldown opera como Encargado del tratamiento a efectos del art. 28 GDPR, limitadamente a las actividades de conservación y elaboración necesarias para prestar los servicios de la Plataforma. A este respecto, podrá prepararse un Acuerdo específico sobre el Tratamiento de los Datos (Data Processing Agreement) que regule en detalle las respectivas obligaciones en materia de protección de datos personales; dicho acuerdo, cuando sea aplicable, se entiende parte integrante de las presentes Condiciones.
8.3 Datos de uso y datos agregados. Drilldown está autorizada a recopilar y tratar datos relativos al uso de la Plataforma por parte de los Usuarios (por ejemplo, funcionalidades utilizadas, número de recetas creadas, parámetros de búsqueda, estadísticas de navegación, feedback proporcionado, etc.) con el fin de mejorar el servicio y garantizar el correcto funcionamiento de la Plataforma. Dichos datos de uso, una vez recopilados, podrán someterse a procesos de anonimización y agregación, de forma que ya no permitan la identificación directa o indirecta de los Usuarios o de personas físicas. El Usuario toma nota y acepta expresamente que Drilldown, respetando la normativa vigente, podrá utilizar estos datos anónimos y agregados con fines de análisis estadístico, investigación y desarrollo, y también con fines comerciales y de monetización. Esto podrá incluir, por ejemplo, la publicación de informes o insights sobre tendencias nutricionales obtenidos a partir de los datos globales de los usuarios, o la compartición de datos estadísticos con terceros interesados (por ejemplo, partners comerciales) en forma estrictamente anónima. En ningún caso tales actividades implicarán la comunicación a terceros de datos personales identificativos del Usuario sin el consentimiento de este último o sin otra base válida de licitud prevista por la ley.
9.1 Funcionamiento de la Plataforma - "tal como se ve". La Plataforma Tuduu y todos sus servicios y funcionalidades se proporcionan al Usuario bajo la fórmula "tal como están" y "según disponibilidad" ("as is" y "as available"). Esto significa que, aunque Drilldown se compromete a mantener la Plataforma operativa y actualizada, no se emite ninguna garantía específica acerca de la ausencia de errores o interrupciones. En particular, Drilldown no garantiza que: (i) la Plataforma satisfaga plenamente las necesidades específicas del Usuario; (ii) los resultados obtenidos mediante el uso de la Plataforma (incluidos los análisis nutricionales algorítmicos) sean siempre precisos, exactos o fiables; (iii) el funcionamiento de la Plataforma esté libre de interrupciones, retrasos, fallos o errores; (iv) eventuales defectos o bugs del software se corrijan inmediatamente. El Usuario acepta que el uso de la Plataforma se realiza bajo su propio riesgo.
9.2 Limitación de responsabilidad de Drilldown. En la máxima medida permitida por la ley aplicable, Drilldown no será responsable de daños indirectos, incidentales, consecuenciales, especiales o punitivos sufridos por el Usuario o por terceros en conexión con el uso de la Plataforma o la imposibilidad de usarla. Quedan en todo caso excluidos de la indemnización, dentro de los límites anteriores, daños como: pérdida de beneficios, lucro cesante o ahorro dejado de obtener, pérdida de oportunidades comerciales, pérdida de datos, interrupción de la actividad o reclamaciones de terceros contra el Usuario. En caso de que Drilldown fuera considerada responsable por cualquier motivo en el marco de la relación contractual con el Usuario, la responsabilidad total de Drilldown no podrá exceder el importe de las contraprestaciones que el Usuario haya abonado a Drilldown en los 12 meses anteriores al evento que haya generado la responsabilidad (o, si el uso de la Plataforma es gratuito, un importe equivalente a 100 euros como máximo). Esta limitación de responsabilidad se aplica en la máxima medida permitida por la ley, y nada en las presentes Condiciones pretende limitar la responsabilidad de Drilldown por dolo o culpa grave, u otros casos en los que por ley no se admita limitación.
9.3 Ninguna consulta médica o diagnóstica. El Usuario reconoce que la Plataforma y las funcionalidades proporcionadas no tienen carácter de dispositivo médico y no constituyen en modo alguno una oferta de consulta médica, diagnóstico o tratamiento sanitario personalizado. La información nutricional, los datos y las sugerencias generados a través de Tuduu tienen exclusivamente fines informativos y de apoyo profesional, y no sustituyen en ningún caso el consejo médico o la evaluación de un profesional sanitario habilitado. Cualquier decisión relativa a la salud, la dieta o el tratamiento de una persona debe ser tomada por un profesional competente sobre la base de la evaluación directa del caso específico. Si el Usuario es un profesional de la nutrición, sigue siendo plenamente responsable de las consultas proporcionadas a sus clientes/pacientes: el uso de la Plataforma no exime al Usuario del deber de valoración personal y del respeto de las mejores prácticas profesionales. Si el Usuario no es un profesional sanitario, deberá consultar siempre a médicos o especialistas cualificados para diagnósticos o consejos terapéuticos. Drilldown no garantiza ningún resultado en términos de salud o condición física derivado del uso de la Plataforma, ni asume responsabilidad por consecuencias derivadas de la confianza exclusiva en informaciones obtenidas a través de la Plataforma.
9.4 Indemnidad del Usuario. El Usuario se compromete a indemnizar y mantener indemne a Drilldown, así como a sus representantes, empleados y colaboradores, de cualquier pérdida, daño, responsabilidad, coste o gasto (incluidos los gastos legales razonables) derivados de cualquier reclamación o pretensión de terceros causada por o relacionada con: (i) contenidos proporcionados por el Usuario en la Plataforma, que vulneren derechos de terceros o normas legales; (ii) incumplimiento por parte del Usuario de las presentes Condiciones o de obligaciones legales en el uso de la Plataforma; (iii) negligencia, imprudencia o dolo del Usuario en el uso de la Plataforma; (iv) productos vendidos o comercializados por el Usuario a través de la Plataforma (en el caso de operador de e-commerce), incluidas eventuales impugnaciones sobre la calidad, conformidad o seguridad de dichos productos. Drilldown notificará oportunamente al Usuario la eventual aparición de tales reclamaciones y colaborará razonablemente en la defensa, quedando entendido que será facultad de Drilldown disponer autónomamente de su propia defensa legal.
10.1 Duración del contrato. El presente acuerdo contractual entre el Usuario y Drilldown entra en vigor en el momento de la aceptación de las Condiciones por parte del Usuario (registro y/o primer uso de la Plataforma) y permanece vigente durante todo el tiempo de uso de la Plataforma por parte del Usuario. La cuenta y la eventual suscripción del Usuario son de duración indefinida con renovaciones periódicas automáticas como se ha descrito arriba, salvo cese según lo previsto a continuación.
10.2 Desistimiento del Usuario. El Usuario puede desistir en cualquier momento de la presente relación contractual solicitando la cancelación de su Cuenta y cesando el uso de la Plataforma. La cancelación de la Cuenta puede efectuarse mediante la funcionalidad correspondiente en la Plataforma (si estuviera disponible) o contactando por escrito con Drilldown. En caso de desistimiento voluntario, el Usuario no tendrá derecho a reembolso alguno de las contraprestaciones ya pagadas por servicios no disfrutados íntegramente, sin perjuicio de lo previsto en el anterior apartado 5.4 para las suscripciones en curso. El cierre de la Cuenta implica la inaccesibilidad futura a los datos y contenidos introducidos por el Usuario en la Plataforma, sin perjuicio de las obligaciones de conservación de datos para el cumplimiento de obligaciones legales o la tutela de derechos, tal como se indica en la Privacy Policy.
10.3 Suspensión o resolución por parte de Drilldown. Drilldown se reserva el derecho de suspender temporalmente el acceso del Usuario a la Plataforma o de resolver el presente contrato con efecto inmediato (deshabilitando la Cuenta), en los siguientes casos: (i) cuando ello sea necesario para garantizar la seguridad de la Plataforma o de los datos (por ejemplo, en caso de vulneración o amenaza a la seguridad informática); (ii) en caso de violación grave o reiterada por parte del Usuario de las presentes Condiciones (por ejemplo, uso ilícito de la Plataforma, impago de contraprestaciones debidas, divulgación no autorizada de datos reservados, etc.); (iii) si así lo requiere una resolución de la Autoridad o una norma legal; (iv) en caso de cese de la actividad de Drilldown relativa a la Plataforma o de imposibilidad sobrevenida de prestar los servicios. Salvo que ello esté prohibido por la ley o por resoluciones (p. ej., orden de la autoridad de oscurecimiento inmediato), Drilldown proporcionará al Usuario una comunicación escrita de la suspensión o resolución, indicando las respectivas motivaciones, con un preaviso razonable cuando sea posible. En caso de resolución no imputable al Usuario (por ejemplo, supuesto (iv) anterior), Drilldown, cuando proceda, reembolsará al Usuario la parte de la contraprestación ya pagada relativa al periodo de suscripción no disfrutado posterior a la fecha de efectividad de la resolución.
10.4 Efectos del cese. Tras el cese de la relación contractual, por cualquier causa, el Usuario deberá cesar inmediatamente el uso de la Plataforma. Todas las cláusulas de las presentes Condiciones que por su naturaleza estén destinadas a sobrevivir al cese (como, a título enunciativo: las obligaciones de pago devengadas, las exclusiones de garantía, las limitaciones de responsabilidad, las indemnidades, las disposiciones en materia de propiedad intelectual y tratamiento de datos) seguirán teniendo plena eficacia. El cese de la eficacia de las Condiciones no perjudica eventuales derechos o remedios legales devengados en favor de las partes hasta ese momento.
Drilldown se reserva el derecho de actualizar o modificar en cualquier momento las presentes Condiciones, por ejemplo para adaptarlas a cambios normativos, introducción de nuevas funcionalidades o servicios, o por otras necesidades organizativas. En caso de modificación sustancial de las Condiciones, Drilldown lo comunicará al Usuario con la antelación adecuada, mediante publicación de un aviso en el sitio de la Plataforma y/o mediante envío de una comunicación a la dirección de correo electrónico registrada del Usuario. Las modificaciones serán efectivas a partir de la fecha indicada en la comunicación (o, en ausencia de indicación, transcurridos 15 días desde la comunicación). Si el Usuario no desea aceptar las modificaciones, podrá desistir del contrato antes de la fecha de efectividad de las mismas, cancelando su Cuenta. En ausencia de desistimiento dentro de dicho plazo, las nuevas Condiciones se entenderán aceptadas y serán aplicables al Usuario a partir de la fecha de efectividad indicada.
Las presentes Condiciones y todas las relaciones contractuales que de ellas se deriven se rigen por la ley italiana. Cualquier controversia que surja entre Drilldown y el Usuario en relación con la interpretación, validez, ejecución o resolución de las presentes Condiciones, o en cualquier caso relativa al uso de la Plataforma, será sometida a la competencia exclusiva del Foro de Milán, sin perjuicio de los fueros inderogables previstos por la ley aplicable.
13.1 Integridad del acuerdo. Las presentes Condiciones (junto con los documentos mencionados o adjuntos, como la Información de Privacidad y, cuando sea aplicable, el Acuerdo sobre el Tratamiento de los Datos) constituyen el acuerdo íntegro entre el Usuario y Drilldown en relación con el uso de la Plataforma por parte del Usuario, y sustituyen cualquier acuerdo o convenio previo, oral o escrito, alcanzado entre las partes sobre el mismo objeto. Queda a salvo la posibilidad de celebrar contratos ad hoc según lo previsto en el art. 6 anterior.
13.2 Nulidad parcial. Si cualquier disposición de las presentes Condiciones fuera considerada nula, inválida o ineficaz por una autoridad competente (por ejemplo, un Tribunal), se aplicará en la máxima medida permitida y ello no afectará a la validez y eficacia de las restantes disposiciones, que seguirán siendo plenamente válidas y vinculantes.
13.3 No renuncia. El eventual ejercicio omitido o tardío de un derecho o facultad reconocido a favor de Drilldown por las presentes Condiciones no constituye en modo alguno renuncia a hacer valer dicho derecho o facultad, que podrá ejercitarse también en un momento posterior, dentro de los límites permitidos por la ley.
13.4 Cesión del contrato. El Usuario no puede ceder ni transferir a terceros el presente contrato (es decir, su Cuenta y los derechos/obligaciones derivados de las Condiciones) sin el previo consentimiento escrito de Drilldown. Drilldown, previa comunicación al Usuario, podrá ceder el presente contrato en el marco de transferencias de negocio, operaciones societarias extraordinarias o a sociedades matrices, filiales o vinculadas, sin perjuicio de que ello no perjudicará los derechos del Usuario conforme a las presentes Condiciones.
13.5 Idioma y versiones. Las presentes Condiciones Generales de Uso están redactadas en lengua italiana. Eventuales traducciones a otros idiomas o versiones locales se facilitan exclusivamente por comodidad de consulta; en caso de discrepancias o dudas interpretativas, prevalecerá el texto en lengua italiana sobre los demás.
13.6 Contacto. Para cualquier comunicación relativa a las presentes Condiciones o al uso de la Plataforma, el Usuario puede contactar con Drilldown en los datos indicados en el sitio (por ejemplo, en la dirección de correo electrónico de soporte facilitada). Drilldown podrá contactar con el Usuario en los datos (email, dirección) facilitados en el momento del registro.
Partes: El presente Acuerdo sobre el Tratamiento de los Datos se celebra entre:
Responsable del tratamiento (en adelante, "Responsable"): el profesional (persona física o jurídica) que utiliza el módulo nutrition y determina fines y medios del tratamiento de los datos personales de los pacientes;
Encargado del tratamiento (en adelante, "Encargado"): la sociedad proveedora del módulo nutrition (p. ej., plataforma software/CRM), que trata los datos personales por cuenta del Responsable.
1.1 Objeto
A efectos del art. 28 del Reglamento (UE) 2016/679 (GDPR), el presente acuerdo regula el tratamiento de los datos personales que el Encargado realiza por cuenta del Responsable en el ámbito del módulo nutrition del servicio prestado al Responsable. En particular, el Encargado tratará los datos introducidos por el Responsable en el CRM (nombre, apellidos, contactos, datos nutricionales de los pacientes, etc.) exclusivamente para proporcionar las funcionalidades del módulo nutrition y de conformidad con las instrucciones del Responsable (véase la Sección 6). El tratamiento de los datos personales se llevará a cabo mediante las operaciones permitidas por el art. 4(2) GDPR, como la recogida, registro, organización, conservación, consulta, uso, modificación, cancelación, etc., necesarias para prestar el servicio.
1.2 Duración
La duración del presente acuerdo coincide con la de la relación contractual entre Responsable y Encargado relativa al uso del módulo nutrition. El acuerdo permanece en vigor mientras el Encargado trate datos personales por cuenta del Responsable. En caso de cese del servicio principal (p. ej., cancelación de la cuenta o fin del contrato de servicio), serán de aplicación las disposiciones sobre devolución/cancelación de los datos recogidas en la Sección 10. El Responsable tiene la facultad de resolver con efecto inmediato el presente acuerdo en caso de incumplimiento grave por parte del Encargado de las normas sobre protección de datos o de las obligaciones aquí previstas. Queda a salvo el derecho de cada parte a reclamar la indemnización de eventuales daños derivados del incumplimiento del acuerdo.
El Encargado proporciona al Responsable una plataforma software (módulo nutrition) en modalidad Software as a Service para la gestión de la actividad nutricional de los pacientes. La finalidad del tratamiento es permitir al Responsable archivar y elaborar información sobre sus pacientes con el fin de ofrecer consultas nutricionales personalizadas, elaborar planes alimentarios, monitorizar la evolución del peso y otros parámetros sanitarios, así como gestionar comunicaciones con los pacientes y citas relacionadas. Dichas funcionalidades forman parte del ámbito de las prácticas médicas/nutricionales gestionadas por el software, de manera análoga a servicios digitales sanitarios para la gestión de historiales clínicos y planes de tratamiento.
En concreto, la naturaleza del tratamiento realizado comprende todas las operaciones necesarias para la prestación del servicio del módulo nutrition, entre ellas la recogida, organización, consulta, modificación, guardado, extracción, comunicación al propio Responsable, cancelación o destrucción de los datos introducidos en el sistema, según las instrucciones del Responsable. El Encargado no utilizará los datos para finalidades propias distintas de las pactadas, ni los comunicará a terceros salvo por instrucción del Responsable o por obligación legal (como se detalla más adelante).
En el ámbito del módulo nutrition, el Encargado tratará por cuenta del Responsable las siguientes tipologías de datos personales referidos a los pacientes del Responsable:
Datos identificativos y de contacto: nombre, apellidos, dirección de correo electrónico, fecha y lugar de nacimiento, números de teléfono y eventuales direcciones (p. ej., para contactar con el paciente).
Datos nutricionales/sanitarios: información sobre el estado de salud y los hábitos alimentarios del paciente, por ejemplo preferencias o restricciones nutricionales (dietas especiales, alergias alimentarias, opciones vegetarianas/veganas, etc.), datos de seguimiento del peso y parámetros antropométricos o de salud similares, así como eventuales notas sobre el estilo de vida relevantes para la nutrición. Esta información entra en la categoría de datos personales relativos a la salud a efectos del art. 4(15) GDPR y/o puede revelar indirectamente convicciones de carácter religioso o filosófico (p. ej., elecciones alimentarias), constituyendo categorías especiales de datos a efectos del art. 9 GDPR. En consecuencia, tanto el Responsable como el Encargado se comprometen a adoptar las precauciones y medidas de seguridad necesarias previstas por la normativa para proteger estos datos sensibles.
Las categorías de sujetos interesados cuyos datos se tratan en ejecución del presente acuerdo son: los pacientes (clientes) del Responsable, personas físicas que reciben asesoramiento nutricional u otros servicios del Responsable y cuyos datos personales se introducen en el módulo nutrition.
El Responsable se compromete a:
Licitud y transparencia: Garantizar que los datos personales de los pacientes confiados al Encargado se recogen y tratan lícitamente (por ejemplo, obteniendo cuando sea necesario el consentimiento informado del paciente u otra base jurídica válida a efectos del art. 6 GDPR) y que los interesados han sido informados adecuadamente sobre las finalidades y modalidades del tratamiento, conforme a los arts. 13 y 14 GDPR. El Responsable sigue siendo responsable frente a los interesados del cumplimiento de las obligaciones legales en relación con dichos datos.
Instrucciones documentadas: Facilitar al Encargado instrucciones documentadas, claras y actualizadas sobre el tratamiento de los datos (p. ej., mediante este acuerdo y eventuales políticas o indicaciones operativas). Cualesquiera instrucciones adicionales o modificaciones de las instrucciones iniciales deberán comunicarse por escrito (también vía correo electrónico PEC o sistema de tickets electrónico) y conservarse como referencia. El Encargado tratará los datos solo según las instrucciones recibidas. Si, a juicio del Encargado, una instrucción del Responsable vulnera la normativa de privacidad, el Encargado informará inmediatamente al Responsable (véase también la Sección 6).
Supervisión y auditoría: Verificar, antes del inicio y luego regularmente, que el Encargado ofrezca garantías suficientes en términos de medidas técnicas y organizativas adecuadas para la protección de los datos confiados, y que respete las disposiciones del presente acuerdo. El Responsable tiene derecho a realizar o hacer realizar auditorías periódicas (p. ej., anuales) e inspecciones, con previo aviso razonable, sobre las actividades del Encargado relativas a los datos confiados, para comprobar el cumplimiento de las normas sobre protección de datos y de las instrucciones acordadas. El Encargado se compromete a cooperar proporcionando información o acceso razonable a las infraestructuras, dentro de los límites acordados (véanse las Secciones 6 y 8 para detalles sobre auditorías y subproveedores).
Comunicación de irregularidades: Informar con prontitud al Encargado si detecta errores, incoherencias o violaciones en las modalidades de tratamiento realizadas por el Encargado que puedan comportar un incumplimiento del presente acuerdo o de las normas de privacidad vigentes. Las partes cooperarán para subsanar con prontitud cualquier irregularidad detectada.
Confidencialidad de la información: Tratar como estrictamente confidenciales todas las informaciones relativas a las medidas de seguridad, los sistemas y los secretos comerciales del Encargado de las que llegue a conocimiento en el marco de la relación contractual. Dicha obligación de confidencialidad seguirá siendo válida también después de la extinción del presente acuerdo.
Gestión de las solicitudes de los interesados: El Responsable sigue siendo responsable de responder a las solicitudes de ejercicio de derechos presentadas por sus propios pacientes (acceso, rectificación, cancelación, oposición, portabilidad, etc. – Capítulo III GDPR). Si el Encargado recibe directamente comunicaciones o solicitudes de un interesado relativas a los datos objeto de este acuerdo, deberá transmitirlas inmediatamente al Responsable sin darles curso por su cuenta, salvo autorización específica. El Responsable facilitará al Encargado las instrucciones necesarias para atender dichas solicitudes, teniendo en cuenta que el Encargado asistirá al Responsable en la medida prevista por la ley (véase la Sección 6).
El Encargado se compromete a cumplir todas las obligaciones previstas en el art. 28 GDPR. En particular, sin perjuicio de las obligaciones detalladas adicionalmente en otras partes del presente acuerdo, el Encargado deberá:
Tratar solo bajo instrucciones: tratar los datos personales exclusivamente bajo instrucción documentada del Responsable. Esto también vale para eventuales transferencias de datos a países terceros u organizaciones internacionales: tales operaciones no están permitidas al Encargado sin previa instrucción/autorización del Responsable (véase también la Sección 9), salvo que una norma del Derecho de la Unión o del Estado miembro imponga al Encargado un determinado tratamiento; en tal caso el Encargado informará al Responsable de dicha obligación jurídica antes del tratamiento, a menos que la ley prohíba tal comunicación por importantes motivos de interés público.
Confidencialidad del personal: garantizar que las personas autorizadas por él a tratar los datos personales (sus propios empleados o eventuales colaboradores) hayan recibido instrucciones adecuadas sobre el cumplimiento de la normativa de privacidad y se hayan comprometido contractualmente a la confidencialidad (o estén sujetas a una apropiada obligación legal de confidencialidad). El Encargado velará para que cualquiera que actúe bajo su autoridad y tenga acceso a los datos personales del Responsable no los trate salvo bajo instrucción del propio Responsable. Esta obligación de confidencialidad subsiste también después de la finalización del presente acuerdo.
Seguridad de los datos: adoptar y mantener medidas técnicas y organizativas adecuadas conforme al art. 32 GDPR para garantizar un nivel de seguridad apropiado al riesgo de los tratamientos encomendados. Dichas medidas incluyen, entre otras, la seudonimización y cifrado de los datos personales (cuando proceda), sistemas de control de acceso y autenticación, la capacidad de asegurar la confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento, así como la capacidad de restablecer con prontitud el acceso a los datos en caso de incidentes físicos o técnicos. El Encargado adoptará procedimientos para probar, verificar y evaluar regularmente la eficacia de las medidas técnicas y organizativas implementadas (véase también la Sección 7 más abajo para más detalles sobre las medidas de seguridad).
Limitaciones de uso: no utilizar los datos personales facilitados por el Responsable para finalidades propias y no realizar copias o duplicados de los datos salvo que sean necesarios para la prestación del servicio y en todo caso previa autorización/instrucción del Responsable. El Encargado garantiza que mantiene los datos tratados para el Responsable lógicamente o físicamente separados de los de otros clientes o de sus propias bases de datos, a fin de evitar mezclas.
Subencargados: no encomendar a subencargados (sub-processors) la ejecución de actividades específicas de tratamiento por cuenta del Responsable sin autorización previa (por escrito) de este últimohttps://www.privacy-regulation.eu/it/28.htm. En caso de autorización para el uso de subencargados (véase la Sección 8 para detalles), el Encargado deberá imponer a dichos sujetos las mismas obligaciones en materia de protección de datos personales previstas en el presente acuerdo y seguirá siendo plenamente responsable frente al Responsable del cumplimiento por parte del subencargado de sus propias obligaciones.
Asistencia al Responsable: teniendo en cuenta la naturaleza del tratamiento y la información disponible, asistir al Responsable en el cumplimiento de sus obligaciones en materia de protección de datos. En particular, el Encargado proporcionará apoyo adecuado al Responsable para que este pueda atender las solicitudes de ejercicio de los derechos de los interesados (derecho de acceso, rectificación, cancelación, oposición, portabilidad, etc.), por ejemplo poniendo a disposición funcionalidades del software que permitan al Responsable extraer, rectificar o eliminar los datos de los pacientes a petición. Además, el Encargado asistirá al Responsable para garantizar el cumplimiento de las obligaciones de seguridad de los datos y, cuando proceda, de notificación de eventuales violaciones de datos personales a las autoridades de control o a los interesados, conforme a los arts. 32-34 GDPR (por ejemplo, facilitando prontamente al Responsable la información relativa a una violación de datos para permitirle efectuar la notificación dentro de 72 horas, véase también el punto siguiente). Del mismo modo, el Encargado cooperará con el Responsable en caso de que sea necesaria una evaluación de impacto sobre la protección de datos (DPIA) o consultas previas con la autoridad de control ex arts. 35-36 GDPR, proporcionando la información de su competencia.
Notificación de violaciones: informar inmediatamente al Responsable en caso de violaciones de seguridad o incidentes (p. ej., accesos no autorizados, pérdida, destrucción o divulgación accidental de los datos personales) relativos a los datos tratados por cuenta del Responsable. Dicha comunicación deberá incluir toda la información de la que el Encargado tenga conocimiento y que sea útil al Responsable para valorar la gravedad del evento y cumplir eventuales obligaciones de notificación ante la Autoridad de Protección de Datos y/o de comunicación a los interesados ex arts. 33 y 34 GDPR. El Encargado se compromete a apoyar al Responsable en las actividades de análisis y gestión del incidente y en la elaboración de las notificaciones o comunicaciones correspondientes, según las instrucciones del Responsable.
Prueba de la conformidad y auditoría: poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones previstas en el presente acuerdo. A solicitud del Responsable, el Encargado facilitará documentación que acredite las medidas de seguridad implementadas (p. ej., certificaciones, informes de auditoría internos/externos, atestaciones de conformidad) y facilitará la realización de inspecciones o verificaciones por parte del Responsable o de un sujeto designado por este. Las modalidades de auditoría (tiempos, alcance, medidas de seguridad para proteger los datos de otros clientes, etc.) serán acordadas entre las partes respetando sus respectivas necesidades.
Comunicación de instrucciones en conflicto: si el Encargado considera que una instrucción impartida por el Responsable vulnera el GDPR u otras disposiciones legales en materia de protección de datos, deberá informarlo oportunamente al Responsable antes de ejecutar dicha instrucción, pudiendo suspender su aplicación hasta su confirmación o modificación por parte del Responsable (como permite el art. 28(3) GDPR).
El Encargado declara haber adoptado medidas técnicas y organizativas idóneas para garantizar un nivel de seguridad adecuado al riesgo de los tratamientos efectuados, de conformidad con el art. 32 GDPR. La selección de dichas medidas se ha realizado teniendo en cuenta el estado de la técnica, los costes de implementación, la naturaleza, el alcance, el contexto y la finalidad del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas. En particular, el Encargado aplica medidas como:
Control de accesos: acceso a los datos personales permitido solo al personal autorizado para las finalidades estrictamente necesarias; adopción de sistemas de autenticación segura para usuarios y administradores (p. ej., contraseñas robustas, autenticación de dos factores).
Cifrado y seudonimización: uso de protocolos de cifrado para proteger los datos personales durante la transmisión (p. ej., HTTPS/TLS) y, cuando sea posible, cifrado de los datos en reposo en los servidores o en las copias de seguridad. Eventual seudonimización de los datos identificativos de los pacientes en los análisis agregados, de modo que no puedan atribuirse a personas físicas concretas sin información adicional.
Integridad y disponibilidad: sistemas de copias de seguridad regulares de los datos y procedimientos de restauración para asegurar la disponibilidad y el acceso a los datos personales en tiempos breves en caso de incidentes físicos o técnicos. Uso de medidas anti-malware, cortafuegos y monitorización para prevenir accesos no autorizados o pérdida de datos.
Pruebas y monitorización: verificación periódica de la eficacia de las medidas de seguridad adoptadas, mediante auditorías internas, pruebas de vulnerabilidad, monitorización de los registros de seguridad y, en su caso, corrección rápida de eventuales puntos débiles detectados.
Las medidas de seguridad adoptadas por el Encargado se describen con mayor detalle en una documentación técnica específica (p. ej., anexo sobre Medidas Técnicas y Organizativas), que puede entregarse al Responsable a petición y que se entiende parte integrante del presente acuerdo. El Encargado garantiza mantener actualizadas dichas medidas para adaptarlas a la evolución de los riesgos y de las mejores prácticas de seguridad, notificando al Responsable eventuales cambios sustanciales que puedan afectar a la protección de los datos confiados.
El Encargado podrá involucrar a otros sujetos como subencargados del tratamiento (subproveedores) solo previa autorización del Responsable. La autorización puede ser específica para un único subencargado, o bien general para categorías de subencargados (por ejemplo, proveedores de hosting, servicios de email, etc.) conocidos en el momento de la firma: en este último caso el Encargado informará en todo caso al Responsable de cualquier previsión de adición o sustitución de dichos subencargados, dándole la posibilidad de oponerse a tales cambios antes de que el subencargado inicie el tratamiento de los datos.
Los eventuales subencargados autorizados estarán vinculados por escrito por el Encargado mediante un contrato que imponga al menos las mismas obligaciones en materia de protección de datos previstas en el presente acuerdo, incluidas en particular garantías adecuadas de seguridad y confidencialidad. El Encargado sigue siendo plenamente responsable frente al Responsable del cumplimiento de las obligaciones a cargo de los subencargados que nombre; si un subencargado incumple sus obligaciones, el Encargado responderá personalmente ante el Responsable por cualquier incumplimiento.
El tratamiento de los datos personales objeto del presente acuerdo se realizará exclusivamente en infraestructuras (servidores, centros de datos) situadas en territorios de la Unión Europea o del Espacio Económico Europeo. No está prevista ninguna transferencia de datos personales a países terceros (fuera del EEE) por parte del Encargado, salvo lo que eventualmente sea necesario para el uso de subencargados autorizados por el Responsable según la Sección 8. En cualquier caso, cualquier transferencia de datos a un país tercero o una organización internacional por parte del Encargado (o de sus subencargados) solo podrá tener lugar conforme a lo previsto en el Capítulo V GDPR. En particular, deberá obtenerse la autorización previa del Responsable y deberán concurrir las condiciones previstas en los arts. 44 y siguientes GDPR, por ejemplo sobre la base de una decisión de adecuación de la Comisión Europea o mediante la adopción de cláusulas contractuales tipo aprobadas por la Comisión, normas corporativas vinculantes u otras garantías apropiadas. El Encargado informará al Responsable sobre las modalidades y las bases jurídicas de la transferencia propuesta para que el Responsable pueda evaluar y conceder (o denegar) la autorización.
Al cesar, por cualquier causa, la relación de servicio entre las partes relativa al módulo nutrition (por ejemplo, en caso de desistimiento o vencimiento del contrato principal, o de suspensión definitiva del servicio por parte del Encargado), el Encargado cesará cualquier tratamiento ulterior de los datos personales realizado por cuenta del Responsable. A elección del Responsable, comunicada por escrito en el momento de la extinción del contrato o dentro de un plazo acordado, el Encargado procederá a devolver todos los datos personales tratados por cuenta del Responsable (por ejemplo mediante exportación en formato interoperable) o a eliminar definitivamente todos esos datos de sus sistemas. En cualquier caso, el Encargado eliminará eventuales copias existentes de los datos (incluidas copias de seguridad) salvo en la medida en que la conservación de los datos sea requerida por la normativa de la Unión o de los Estados miembros aplicable al Encargado (en tal caso, el Encargado comunicará al Responsable los datos y la normativa que imponen la conservación, tratándolos solo para dicha finalidad de conservación legal). La eliminación realizada a solicitud será acreditada por escrito por el Encargado a petición.
Subsisten también después de la extinción del acuerdo las obligaciones de confidencialidad asumidas por el Encargado y por el personal autorizado durante su vigencia. El Encargado además garantiza que, en caso de cese, eventuales subencargados nombrados quedarán vinculados a las mismas obligaciones de devolución/cancelación de los datos personales del Responsable.
