Contrato de encargo del tratamiento de Vetty Scribe

1. Definiciones

1.1 Los términos definidos en las Condiciones tienen aquí el mismo significado. «Responsable del tratamiento», «encargado del tratamiento», «tratamiento», «datos personales», «interesado», «violación de la seguridad de los datos personales» y «autoridad de control» tienen el significado que les atribuye el RGPD. En el presente DPA:

• «Normativa de Protección de Datos Aplicable» («Applicable Data Protection Law») significa el RGPD, la Ley francesa de protección de datos (loi n° 78-17 du 6 janvier 1978) y cualquier otra ley de protección de datos aplicable al tratamiento de los Datos de la Clínica, incluidas, cuando resulten de aplicación, la Personal Data Protection Act 2012 de Singapur, la Privacy Act 1988 (Cth) de Australia, la Privacy Act 2020 de Nueva Zelanda y el Decreto-ley Federal n.º 45 de 2021 de los Emiratos Árabes Unidos sobre la protección de datos personales.
• «Cliente» («Client») significa la persona que lleva un animal a la Clínica, así como cualquier otra persona que participe en una consulta grabada con el Servicio.
• «Miembro» («Member») significa un veterinario u otro miembro del personal que tiene una cuenta en la Clínica, incluidos sus administradores.
• «Datos de la Clínica» («Practice Data») significa los datos personales contenidos en los Registros de la Clínica.
• «Registros de la Clínica» («Practice Records») significa las grabaciones de las consultas, las transcripciones, los hechos extraídos de ellas, los informes en borrador y firmados con sus versiones y su registro de auditoría, los datos de Clientes y Pacientes que introduce la Clínica y, si la Clínica utiliza la función opcional de envío de informes descrita en la cláusula 3.1(d), el registro de los informes enviados a los Clientes.
• «Paciente» («Patient») significa un animal atendido por la Clínica.
• «CCT» («SCCs») significa las cláusulas contractuales tipo para la transferencia de datos personales a terceros países aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914.
• «Servicio» («Service») significa Vetty Scribe, tal como se describe en las Condiciones.
• «Subencargado» («Sub-processor») significa un tercero al que Vetty recurre para tratar Datos de la Clínica.

1.2 Conforme a la Personal Data Protection Act 2012 de Singapur, Vetty es un «data intermediary» (intermediario de datos) que trata Datos de la Clínica por cuenta de la Clínica, que es la «organisation» (organización) responsable de ellos. Cuando otra Normativa de Protección de Datos Aplicable utilice otros términos para designar al responsable y al encargado del tratamiento, se entenderán en consecuencia.

2. Ámbito y funciones

2.1 La Clínica es la responsable del tratamiento, y Vetty el encargado del tratamiento, de los Datos de la Clínica. El Anexo 1 describe el tratamiento.

2.2 El presente DPA no abarca los datos personales que Vetty trata como responsable del tratamiento para sus propios fines: las cuentas y los perfiles de los Miembros, la cuenta, el equipo y los datos de facturación de la Clínica, las muestras de voz, las muestras de redacción, los registros de seguridad y la correspondencia de soporte y, si alguna vez se utiliza la función opcional de envío de informes, la cuenta de Vetty que un Cliente utiliza en vetty.app para leer un informe que se le haya enviado. El aviso de privacidad de Vetty Scribe disponible en vettyscribe.com/privacy abarca esos datos.

2.3 En caso de conflicto entre el presente DPA y las Condiciones en lo relativo al tratamiento de los Datos de la Clínica, prevalecerá el presente DPA. En caso de conflicto entre el presente DPA y las CCT, prevalecerán las CCT.

3. Obligaciones de la Clínica

3.1 La Clínica es responsable de su cumplimiento de la Normativa de Protección de Datos Aplicable como responsable del tratamiento. En particular:

• (a) dispone de una base jurídica para recoger los Datos de la Clínica y para que Vetty los trate tal como describe el presente DPA;
• (b) informa a sus Clientes, antes de que se grabe una consulta, de que la consulta se graba y se transcribe, de que el informe se redacta con inteligencia artificial y es revisado por un veterinario, y de cómo se tratan sus datos;
• (c) obtiene cualquier consentimiento a la grabación que exija la ley del lugar de la consulta, y no graba a nadie que haya denegado o retirado su consentimiento;
• (d) si activa el envío de informes a los Clientes, función opcional que no se ofrece en el momento del lanzamiento y que Vetty podrá ofrecer más adelante (descrita en la cláusula 9 de las Condiciones), dispone de una base jurídica para enviar cada informe e introduce la dirección de correo electrónico correcta;
• (e) atiende las solicitudes de sus Clientes para ejercer sus derechos sobre los Datos de la Clínica;
• (f) conserva los registros que exijan su organismo regulador veterinario o la ley, y los exporta antes de que se supriman (cláusula 10); y
• (g) imparte instrucciones conformes con la Normativa de Protección de Datos Aplicable.

3.2 El Servicio pide al Miembro que confirme, antes de cada grabación, que el Cliente ha dado su consentimiento, conserva esa confirmación junto con su hora y no permite firmar un informe sin ella. Esa confirmación constituye la declaración de la Clínica a Vetty. No transfiere a Vetty la responsabilidad de la Clínica conforme a la cláusula 3.1(c).

4. Obligaciones de Vetty

4.1 Vetty:

• (a) tratará los Datos de la Clínica únicamente siguiendo instrucciones documentadas de la Clínica, inclusive con respecto a las transferencias fuera del Espacio Económico Europeo, salvo que esté obligado a ello en virtud del Derecho de la Unión Europea o de un Estado miembro que se aplique a Vetty; en tal caso, Vetty informará a la Clínica de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba;
• (b) informará inmediatamente a la Clínica si, en su opinión, una instrucción infringe la Normativa de Protección de Datos Aplicable;
• (c) garantizará que todas las personas a las que autorice a tratar Datos de la Clínica estén sujetas a confidencialidad;
• (d) adoptará las medidas de seguridad exigidas por el artículo 32 del RGPD, entre las que figuran las del Anexo 3;
• (e) recurrirá a Subencargados únicamente en la medida en que lo permite la cláusula 6;
• (f) asistirá a la Clínica tal como se describe en la cláusula 8;
• (g) notificará a la Clínica las violaciones de la seguridad de los datos personales tal como se describe en la cláusula 9;
• (h) suprimirá o devolverá los Datos de la Clínica al término del Servicio tal como se describe en la cláusula 10; y
• (i) pondrá a disposición la información y permitirá las auditorías que se describen en la cláusula 11.

4.2 Vetty no venderá los Datos de la Clínica, no los utilizará para sus propios fines ni los utilizará para entrenar modelos de inteligencia artificial.

5. Instrucciones

5.1 Las instrucciones de la Clínica son las Condiciones, el presente DPA, la configuración y el uso del Servicio por parte de la Clínica y cualquier otra instrucción escrita que acuerden las partes. La Clínica encarga a Vetty el tratamiento de los Datos de la Clínica para prestar el Servicio tal como describe el Anexo 1.

5.2 En particular, la Clínica encarga a Vetty que el audio de las consultas sea transcrito, y los informes redactados y verificados, por los proveedores de inteligencia artificial que figuran como Subencargados. Ninguno de ellos puede entrenar con los Datos de la Clínica. Cada uno conserva los datos de entrada que recibe durante un breve período, conforme a sus propias condiciones, para detectar abusos.

5.3 Los plazos del audio forman parte de estas instrucciones y son fijos: el audio de una consulta cuyo informe no se ha firmado se suprime 30 días después de su grabación, y el audio de una consulta cuyo informe se ha firmado se suprime 7 días después de la primera firma. La transcripción y el informe se conservan tal como describe la cláusula 10.

5.4 Toda instrucción que modifique el Servicio, o que vaya más allá de lo que hace el Servicio, requiere el acuerdo escrito de Vetty.

6. Subencargados

6.1 La Clínica otorga a Vetty una autorización general por escrito para recurrir a Subencargados. Los Subencargados en uso en el momento en que la Clínica acepta el presente DPA son los que figuran en vettyscribe.com/subprocessors (Anexo 2), y la Clínica los autoriza.

6.2 Vetty recurre a cada Subencargado en virtud de un contrato escrito que le impone obligaciones de protección de datos no menos protectoras que las del presente DPA, en particular garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas.

6.3 Vetty notificará a la Clínica con una antelación mínima de 30 días antes de que un Subencargado nuevo o sustituto trate Datos de la Clínica, actualizando la lista disponible en vettyscribe.com/subprocessors y enviando un correo electrónico a los administradores de la Clínica.

6.4 La Clínica podrá oponerse al cambio por motivos razonables de protección de datos, por escrito dirigido a privacy@vetty.app, dentro de ese plazo de preaviso. Las partes examinarán la oposición de buena fe. Si no logran resolverla antes de que el cambio surta efecto, la Clínica podrá cancelar su suscripción a Vetty Scribe o cerrar la Clínica, tal como describen las Condiciones.

6.5 Cuando un Subencargado deba sustituirse con urgencia para mantener la seguridad o la disponibilidad del Servicio, Vetty podrá efectuar el cambio con un preaviso más breve. Lo notificará a la Clínica lo antes posible, y la Clínica conservará su derecho de oposición conforme a la cláusula 6.4.

6.6 Vetty sigue siendo responsable ante la Clínica del cumplimiento de las obligaciones de cada Subencargado.

7. Transferencias internacionales

7.1 Vetty almacena los Datos de la Clínica en la Unión Europea, en Fráncfort (Alemania).

7.2 Algunos Subencargados tratan Datos de la Clínica en Estados Unidos, o pueden acceder a ellos desde allí, tal como muestra el Anexo 2. Cuando un Subencargado trata Datos de la Clínica o accede a ellos en un país que no cuenta con una decisión de adecuación de la Comisión Europea, la transferencia está amparada por el Marco de Privacidad de Datos UE-EE. UU. cuando el Subencargado esté certificado conforme a dicho marco y, en caso contrario, por las CCT (Módulo Tres, de encargado a encargado) incluidas en el contrato de Vetty con ese Subencargado, junto con las medidas complementarias del Anexo 3. La Clínica autoriza estas transferencias.

7.3 Cuando la Clínica esté establecida fuera del Espacio Económico Europeo en un país que no cuente con una decisión de adecuación, y el RGPD considere una transferencia el hecho de que Vetty ponga los Datos de la Clínica a disposición de la Clínica, las partes acuerdan el Módulo Cuatro (de encargado a responsable) de las CCT, que se incorporan al presente DPA por remisión. A tal efecto, Vetty es el exportador de datos y la Clínica el importador de datos, el Anexo 1 contiene la descripción de la transferencia, la cláusula de incorporación opcional no se aplica, y las CCT se rigen por el Derecho francés, correspondiendo los litigios a los tribunales de Francia.

7.4 Cuando otra Normativa de Protección de Datos Aplicable restrinja las transferencias fuera del país de la Clínica, Vetty transferirá los Datos de la Clínica únicamente en la medida en que dicha normativa lo permita, incluso en virtud de garantías contractuales que otorguen a los datos un nivel de protección comparable al de dicha normativa.

8. Asistencia

8.1 Solicitudes de los interesados. El Servicio permite a la Clínica consultar los Datos de la Clínica, rectificar un informe modificándolo y suprimir el audio de una consulta. Vetty exportará los Registros de la Clínica previa solicitud (cláusula 10.1) y suprimirá la transcripción y el informe de una consulta, o los datos de un Cliente, siguiendo la instrucción escrita de la Clínica. Si Vetty recibe de un interesado una solicitud relativa a Datos de la Clínica, la trasladará a la Clínica sin dilación indebida y no la responderá salvo siguiendo las instrucciones de la Clínica o cuando la ley lo exija. Teniendo en cuenta la naturaleza del tratamiento, Vetty asistirá a la Clínica, a través de medidas técnicas y organizativas apropiadas, siempre que sea posible, para responder a dichas solicitudes.

8.2 Otras obligaciones. Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, Vetty ayudará a la Clínica a cumplir sus obligaciones conforme a los artículos 32 a 36 del RGPD: la seguridad, la notificación de violaciones, las evaluaciones de impacto relativas a la protección de datos y la consulta previa a una autoridad de control.

8.3 Las solicitudes de asistencia se dirigen a privacy@vetty.app.

9. Violaciones de la seguridad de los datos personales

9.1 Vetty notificará a la Clínica toda violación de la seguridad de los datos personales que afecte a Datos de la Clínica sin dilación indebida y, en cualquier caso, dentro de las 48 horas siguientes a que haya tenido constancia de ella, mediante correo electrónico dirigido a los administradores de la Clínica.

9.2 La notificación describirá, en la medida en que Vetty los conozca, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas para ponerle remedio y mitigar sus efectos, y un punto de contacto. Cuando Vetty no pueda facilitar toda esta información a la vez, la facilitará de manera gradual sin más dilación indebida.

9.3 Vetty adoptará medidas razonables para contener la violación y limitar sus efectos, y llevará un registro de ella. Brahim Ouasti gestiona todos los incidentes por cuenta de Vetty y es el punto de contacto, en privacy@vetty.app.

9.4 La Clínica decide si notifica a su autoridad de control y a los interesados, y es quien lo hace. Vetty no les notificará una violación de la seguridad de los Datos de la Clínica salvo que la ley lo exija o la Clínica lo solicite. Cuando la misma violación afecte también a datos personales de los que Vetty es responsable del tratamiento, Vetty la notifica a la CNIL dentro de las 72 horas siguientes a que haya tenido constancia de ella cuando el RGPD exija la notificación, y a cualquier otra autoridad dentro del plazo que exija la legislación aplicable.

9.5 Una notificación conforme a la presente cláusula no constituye un reconocimiento de culpa ni de responsabilidad.

10. Supresión y devolución

10.1 Mientras la Clínica esté abierta, podrá suprimir una consulta en cualquier momento. Ello elimina su audio inmediatamente y la oculta de las listas de la Clínica; su transcripción y su informe permanecen en los Registros de la Clínica hasta el cierre de la Clínica, salvo que la Clínica dé instrucciones por escrito a Vetty para suprimirlos antes. La Clínica también puede solicitar una exportación de sus registros escribiendo a support@vettyscribe.com. El enlace de exportación es válido durante 7 días. Si la suscripción se cancela o vence, Vetty no suprime ningún Registro de la Clínica, salvo el audio conforme a la cláusula 5.3; permanecen hasta el cierre de la Clínica.

10.2 El Servicio finaliza para la Clínica cuando esta se cierra, por decisión de un administrador o porque su último miembro la abandona. Durante los 30 días siguientes al cierre, la persona que la cerró puede descargar una exportación: un archivo que contiene todos los informes firmados, las transcripciones en formato de texto y las listas de las consultas, los Clientes, los Pacientes y las notas. La exportación no incluye el audio.

10.3 Transcurridos esos 30 días, Vetty suprime los Registros de la Clínica: el audio de las consultas, las consultas, las transcripciones y los informes con sus versiones y su registro de auditoría; los Clientes y Pacientes y las notas sobre ellos; las plantillas de informe, el membrete y el logotipo; y las exportaciones. Si se ha utilizado la función opcional de envío de informes, la cuenta de Cliente en vetty.app creada para ello se suprime al mismo tiempo, salvo que el Cliente haya iniciado sesión en ella o la haya confirmado, o que otra clínica o una reserva haga referencia a ella.

10.4 Al cerrar la Clínica, la Clínica opta por la devolución mediante la exportación seguida de la supresión, tal como permite el artículo 28.3.g) del RGPD. Vetty no conserva ninguna copia de los Registros de la Clínica suprimidos, salvo cuando el Derecho de la Unión Europea o de Francia le exija conservarlos, y salvo en las copias de seguridad cifradas de sus proveedores hasta que se sobrescriben, lo que ocurre en un plazo de 30 días.

10.5 Previa solicitud escrita de la Clínica, Vetty confirmará por escrito que se ha efectuado la supresión.

11. Información y auditorías

11.1 Previa solicitud, Vetty pondrá a disposición de la Clínica la información necesaria para demostrar que cumple el artículo 28 del RGPD y el presente DPA, incluida una descripción de sus medidas de seguridad y los documentos de cumplimiento de los propios Subencargados cuando estos los publiquen.

11.2 Cuando dicha información no sea suficiente, Vetty permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte de la Clínica o de un auditor independiente designado por ella que esté sujeto a confidencialidad y no sea competidor de Vetty. La Clínica notificará la auditoría por escrito con una antelación mínima de 30 días y no realizará más de una auditoría en cualquier período de 12 meses, salvo que una autoridad de control exija una auditoría o se haya producido una violación de la seguridad de los Datos de la Clínica. Las auditorías se realizan en horario laboral, de modo que no perturben el Servicio ni den acceso a datos de otros clientes, y a cargo de la Clínica.

11.3 Vetty pondrá a disposición los informes de auditoría y las certificaciones de los Subencargados cuando sus condiciones lo permitan, en lugar de una auditoría del Subencargado.

12. Responsabilidad

12.1 La responsabilidad de cada parte derivada del presente DPA o relacionada con él está sujeta a las exclusiones y a la limitación de responsabilidad previstas en las Condiciones. Las reclamaciones conforme al presente DPA y a las Condiciones comparten un único límite global: las cuotas que la Clínica haya pagado por Vetty Scribe en los 12 meses anteriores al hecho que dio lugar a la reclamación.

12.2 Nada de lo dispuesto en el presente DPA limita la responsabilidad de una parte frente a los interesados conforme al artículo 82 del RGPD, ni ninguna responsabilidad que la ley no permita limitar.

13. Duración, modificaciones y legislación aplicable

13.1 El presente DPA se aplica mientras Vetty trate Datos de la Clínica, y finaliza cuando los Registros de la Clínica hayan sido suprimidos conforme a la cláusula 10. Las cláusulas 9, 10 y 12 subsisten durante el tiempo que sea necesario.

13.2 Vetty podrá modificar el presente DPA en la medida en que las Condiciones permiten modificar las Condiciones, o para cumplir la Normativa de Protección de Datos Aplicable o una decisión de una autoridad de control. Ninguna modificación reducirá la protección global de los Datos de la Clínica.

13.3 El presente DPA se rige por el Derecho francés, y sus litigios se someten a los tribunales que designan las Condiciones, salvo que la cláusula 7.3 o la Normativa de Protección de Datos Aplicable exijan otra cosa.

Anexo 1. Detalles del tratamiento

• Objeto: la prestación de Vetty Scribe a la Clínica.
• Naturaleza y finalidad: grabar las consultas en el navegador del Miembro y cargarlas; almacenarlas; transcribir el audio; extraer los hechos clínicos, redactar el informe en la plantilla elegida, contrastar el borrador con la transcripción y, cuando se utilice, traducirlo o adaptarlo al estilo de redacción del veterinario, todo ello con inteligencia artificial; mostrar, editar, firmar y versionar los informes; exportar; y suprimir. Si Vetty ofrece más adelante, y la Clínica activa, el envío opcional de informes firmados a los Clientes, el tratamiento incluirá también su envío por correo electrónico con acceso en vetty.app.
• Duración: mientras la Clínica tenga una cuenta y, posteriormente, hasta la supresión conforme a la cláusula 10.
• Frecuencia: continua, siempre que los Miembros utilicen el Servicio.
• Categorías de interesados: los Clientes, y cualquier otra persona cuya voz capte una grabación; los Miembros, tal como figuran en los Registros de la Clínica (su voz, sus ediciones y su firma).
• Categorías de datos personales: el nombre y la dirección de correo electrónico de los Clientes; el audio de la consulta y todo lo que se dice en ella; las transcripciones; el nombre, la especie, la raza, el sexo y la edad de los Pacientes, así como su salud y su tratamiento, que se refieren al Cliente; las notas, los informes y la firma del veterinario; las confirmaciones de consentimiento con su hora; y, si se utiliza la función opcional de envío de informes, el registro de los informes enviados a los Clientes.
• Categorías especiales de datos: no se prevé ninguna. Una grabación puede captar tales datos cuando alguien los menciona, por ejemplo la salud del propio Cliente. La Clínica debe evitar grabarlos cuando no sean necesarios. Las voces se transcriben y no se utilizan para identificar a nadie.
• Conservación: el audio, tal como describe la cláusula 5.3; todo lo demás, tal como describe la cláusula 10.
• Transferencias: a los Subencargados del Anexo 2, para el tratamiento que el Anexo 2 indica para cada uno, con las garantías de la cláusula 7.
• Autoridad de control competente a efectos de las CCT: la Commission nationale de l’informatique et des libertés (CNIL) francesa.

Anexo 2. Subencargados

La lista de Subencargados, con la entidad jurídica de cada uno, el servicio que presta, los datos que recibe, su ubicación y la garantía de la transferencia, está disponible en vettyscribe.com/subprocessors. Dicha lista, tal como se actualice conforme a la cláusula 6, constituye el presente Anexo.

Anexo 3. Medidas técnicas y organizativas

Alojamiento y cifrado

• La base de datos y el almacenamiento de archivos están alojados en Fráncfort (Alemania), y las funciones de servidor de la aplicación también se ejecutan allí.
• Los datos se cifran en tránsito entre los usuarios, el Servicio y los Subencargados, y se cifran en reposo en la base de datos y en el almacenamiento de archivos.

Control de acceso

• Las reglas de seguridad a nivel de fila de la base de datos mantienen separados los datos de cada Clínica y limitan el acceso a una consulta al veterinario que la grabó y a los administradores de la Clínica. Las plantillas de informe propias de un veterinario solo son visibles para ese veterinario.
• El audio de las consultas, las muestras de voz y las exportaciones se conservan en contenedores de almacenamiento privados y solo se accede a ellos mediante solicitudes autenticadas verificadas conforme a las mismas reglas. Una exportación solo se descarga mediante una solicitud autenticada de la persona que la solicitó, nunca a través de un enlace público.
• El proveedor de transcripción recibe el audio a través de un enlace firmado que caduca al cabo de una hora.
• Cada acción en la consola de administración de Vetty se verifica contra una lista de operadores autorizados, y las decisiones sobre licencias, facturación y exenciones se registran en un registro de auditoría.
• El acceso del personal de Vetty se limita a las personas que lo necesitan para explotar el Servicio o prestar soporte, que están sujetas a confidencialidad.

Autenticación y prevención de abusos

• Los Miembros inician sesión con una contraseña de 8 a 72 caracteres tras confirmar su dirección de correo electrónico con un código de seis dígitos, o con Google.
• El registro está limitado a cinco intentos por hora desde una misma dirección de red, y el inicio de sesión y otras solicitudes están sujetos a limitación de frecuencia.

Minimización y supresión

• El audio de las consultas se suprime automáticamente: 30 días después de la grabación si el informe no está firmado, y 7 días después de la primera firma si está firmado.
• La copia de cada transcripción que conserva el proveedor de transcripción se suprime una vez que Vetty la ha recuperado y ha terminado de procesar la consulta.
• Vetty utiliza OpenAI, cuando está seleccionado, con el almacenamiento de respuestas desactivado, y ha excluido el uso de sus datos para entrenamiento en su cuenta de ElevenLabs.
• Las muestras de redacción se desidentifican antes de almacenarse.
• Vetty Scribe no envía ningún correo electrónico a los Clientes en el momento del lanzamiento; si más adelante se ofrece la función opcional de envío de informes, esos correos no contendrán contenido clínico ni archivos adjuntos. Las notificaciones push a los Miembros solo mencionan al Paciente, y su contenido está cifrado de modo que el servicio de notificaciones push no puede leerlo.

Integridad y responsabilidad proactiva

• Una grabación no puede iniciarse sin la confirmación del Miembro de que el Cliente ha dado su consentimiento, y un informe no puede firmarse sin ella.
• Cada informe conserva sus versiones y un registro de auditoría de los eventos de la consulta, incluidas la firma y las modificaciones.
• El resultado sin procesar del proveedor de transcripción se conserva con el registro como prueba en la que se basa la transcripción.

Disponibilidad y resiliencia

• El audio se guarda en el almacenamiento del navegador del dispositivo de grabación antes de cargarse, de modo que una pérdida de conexión no haga perder una consulta.
• El proveedor de alojamiento realiza copias de seguridad de la base de datos y del almacenamiento de archivos, y las copias de seguridad se sobrescriben en un plazo de 30 días.

Incidentes y Subencargados

• Brahim Ouasti es responsable de la respuesta a incidentes y lo notifica a la Clínica en un plazo de 48 horas (cláusula 9).
• Cada Subencargado actúa en virtud de un contrato escrito que incluye obligaciones de protección de datos (cláusula 6).