E-02939-2020 | Europaius

1/35  Procedimiento Nº: E/02939/2020 RESOLUCIÓN DE ARCHIVO DE ACTUACIONES De las actuaciones practicadas por la Agencia Española de Protección de Datos y teniendo como base los siguientes HECHOS PRIMERO: La reclamación interpuesta por A.A.A. (en adelante, el reclamante) tiene entrada con fecha 9 de octubre de 2019 en la Agencia Española de Protección de Datos. La reclamación se dirige contra MASTERZEN, S.L., con NIF B87154944 (en adelante, el reclamado o MASTERZEN). Los motivos en que basa la reclamación son la captura y posteriores tratamientos efectuados con los datos personales recabados a través de los formularios de participación en promociones y sorteos publicados por esta entidad en internet. SEGUNDO: La Subdirección General de Inspección de Datos procedió a la realización de actuaciones previas de investigación para el esclarecimiento de los hechos objeto de la reclamación, teniendo conocimiento de los siguientes extremos: ANTECEDENTES Con fecha de 20 de marzo de 2020 la Directora de la Agencia Española de Protección de Datos instó a la Subdirección General de Inspección de Datos (SGID) iniciar las actuaciones previas de investigación al objeto de determinar la adecuación, tanto a la normativa de protección de datos de carácter personal como a la ley de servicios de la sociedad de la información y comercio electrónico, de la política de privacidad del reclamado y de la captura y posteriores tratamientos efectuados con los datos personales recabados a través de los formularios de participación en promociones y sorteos publicados por esta entidad en internet. De las actuaciones de inspección llevadas a cabo por al AEPD, se desprende lo siguiente:

El día 9 de octubre de 2019 se recibió en la AEPD el escrito de reclamación número 047843/2019 en relación con el supuesto tratamiento de datos personales del reclamante sin legitimación. En particular se denunciaba, entre otras cuestiones, la recepción a través de correo electrónico de mensajes de contenido publicitario procedentes del reclamado.
En respuesta al ejercicio del derecho de acceso efectuado por el reclamante anterior, el reclamado le informa de que, a día 4 de octubre de 2019, dispone de su nombre, apellidos, número de teléfono, correo electrónico y código postal en virtud del alta de los mismos efectuada el día 7 de septiembre de 2018 a las 16:42 horas en el contexto del sorteo de un viaje publicitado en la página de internet www.ofertasperfectas.com. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 2/35
El mismo día 9 de octubre de 2019 se recibió en la AEPD un escrito de reclamación análogo al anterior contra AD735 DATA MEDIA ADVERTISING S.L. (en adelante, AD735). Esta reclamación se registró de entrada en la Agencia con el número 047851/
En respuesta al ejercicio del derecho de acceso efectuado por el reclamante frente a AD735, ésta le informa de que, a día 20 de septiembre de 2019, dispone de su nombre, apellidos, número de teléfono, correo electrónico y código postal. Ello, según señala, en virtud del alta de los mismos realizada el día 7 de septiembre de 2018 a las 16:42 horas en el contexto del sorteo de un viaje publicitado en la página de internet www.premium-sales.es.
Entendiendo inverosímil que los datos del interesado fueran introducidos al mismo tiempo a través de dos formularios distintos, el día 3 de diciembre de 2019 se dio traslado de ambas reclamaciones a AD735 y el reclamado. Se da la situación, además, de que ambas entidades tienen externalizado el servicio de Delegado de Protección de Datos (DPD) en el mismo despacho profesional, VÁZQUEZ LEGAL.
El día 4 de marzo de 2020 se registró de entrada en la AEPD bajo el número 010688/2020 la contestación del reclamado al traslado indicado en el punto anterior. Según explica, habría comunicado por error que los datos fueron obtenidos a través del formulario de participación correspondiente a la promoción alojada en el sitio web www.ofertasperfectas.com, cuando en realidad fueron obtenidos a través del formulario del sitio web www.premium-sales.es, cuya titularidad corresponde a AD
Añade además que, durante el periodo de tiempo comprendido entre los días 1 de junio y 31 de diciembre de 2018, el reclamado y AD735 realizaron una acción de mercadotecnia consistente en el sorteo de un viaje para dos personas en formato de “corregistro” a través del sitio web www.premium-sales.es. Así, según manifiesta, mediante la participación en esta promoción los datos de los participantes pasaron a formar parte de los ficheros de datos de las dos compañías. Apunta que dicha circunstancia explica que la obtención de los datos por ambas entidades se produjera al mismo tiempo.
El reclamante niega su participación en sorteo de viaje a través de las mencionadas páginas de internet.
Vista la situación descrita en los puntos anteriores, el día 3 de marzo de 2020 se consulta la política de privacidad del reclamado publicada en la página de internet https://ofertasperfectas.com/index.php/politica-de-privacidad/. Según se especifica en la misma, fue actualizada por última vez el 14 de junio de 2018 e incluye entre otras cuestiones: la obligatoriedad de cumplimentación de todos los datos para garantizar la participación en los concursos promocionados; la posibilidad de que el usuario facilite datos de terceros, derivando en estos casos la responsabilidad a estos usuarios de haber obtenido el consentimiento del tercero así como de facilitarle la información recogida en el artículo 14 del RGPD; y un apartado dedicado a la cesión de datos personales en el que se informa de que el reclamado podrá compartir los datos recabados con terceras empresas a fin de que terceras empresas anunciantes en los sectores indicados puedan dirigir al usuario “información de tu interés, y/o relacionada con los sorteos o promociones en los que participas””. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 3/35 Los antecedentes que constan en los sistemas de información son los siguientes: Con fecha de 21 de febrero de 2020, en el procedimiento E/11385/2019, la Agencia Española de Protección de Datos admitió a trámite la reclamación presentada frente al reclamado (número de registro de entrada en la AEPD 047843/2019) por posible vulneración del derecho de acceso del reclamante. En el contexto de este procedimiento el reclamado detalló las medidas adoptadas para el cumplimiento con la normativa de protección de datos personales en los siguientes términos (número de registro de entrada en la AEPD 010688/2020): <<1.- Con fecha 7 de junio de 2019, MASTER ZEN, S.L. crea la figura del Delegado de Protección de Datos dentro de la empresa, y se procede a la comunicación de su nombramiento a la AEPD. 2.- Con frecuencia se revisan y adaptan todos los protocolos de comunicación con los usuarios de MASTER ZEN, S.L. para facilitar y optimizar el ejercicio de los derechos reconocidos en el RGPD, poniendo a su disposición para ello mecanismos sencillos, gratuitos, efectivos y rápidos para obtener satisfacción a sus demandas. 3.- Desde el buzón de correo dpo@masterzen.es se atienden personalmente todas las solicitudes/peticiones recibidas, y se facilita a todos los usuarios la posibilidad de ejercer sus derechos de una forma sencilla, rápida, gratuita y efectiva. 4.- Se ha habilitado el sitio web http://masterzen.es/RGPD/, y se facilita el mismo en todas las comunicaciones que MASTERZEN y/o su personal mantiene con los afectados, ya sean automáticas o personalizadas, para informarles de forma clara y comprensible de los procedimientos y cauces para el ejercicio de sus derechos. Los textos contenidos en este sitio web se revisan periódicamente, y se modifican cuando ello resulta necesario, buscando siempre mejorar la atención a los usuarios, y mantener actualizada la normativa legal indicada. 5.- Se ha puesto a disposición de los afectados el buzón de correo electrónico dpo@masterzen.es, para, y siguiendo los procedimientos legales establecidos, facilitar a los usuarios respuesta a sus dudas, y asegurarles el ejercicio de sus derechos RGPD. 6.- Se han establecido revisiones periódicas y frecuentes entre responsable y encargados del tratamiento, al objeto de atender todos los derechos ejercidos por los usuarios y evitar que haya usuarios que no vean satisfechas sus solicitudes. 7.- Se ha habilitado la web www.masterzen.es/bajas para que los usuarios que lo deseen puedan, de una forma efectiva y automática, ejercer sus derechos de supresión/oposición. Una vez que un usuario ha ejercido su derecho de supresión, éste recibe inmediatamente la siguiente confirmación en su correo electrónico: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 4/35 “Estimado/a Sr./Sra. _______, En atención a su solicitud de supresión de sus datos de carácter personal, le confirmamos que hemos procedido a suprimir del fichero de datos personales OFERTAS PERFECTAS todos los datos de su titularidad que constan en el mismo, la supresión será efectiva en un plazo máximo de 7 días. Adicionalmente, le informamos que, dado que el derecho de supresión ejercitado por usted implica el cese en el tratamiento de sus datos con fines de mercadotecnia directa desarrollados por nuestra entidad, no sólo se han habilitado las medidas oportunas para cesar en el tratamiento, sino que además nuestra entidad ha procedido a la inclusión de sus datos en nuestra "Lista Robinson", y a la comunicación de esta medida a los encargados del tratamiento, cesando así en el tratamiento de sus datos con fines de mercadotecnia. Le informamos, igualmente, de la existencia de ficheros comunes de exclusiones generales o sectoriales para el envío de comunicaciones comerciales y, en concreto la Lista Robinson (www.listarobinson.es). En cualquier caso, le informamos que puede ejercitar los derechos de acceso, rectificación, limitación del tratamiento, oposición, a la portabilidad de los datos o a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, así como retirar el consentimiento prestado para el tratamiento de sus datos (www.masterzen.es/rgpd). Todo ello sin perjuicio del derecho a presentar cualquier tipo de reclamación ante la Autoridad de control pertinente, siendo en España la Agencia Española de Protección de Datos: www.aepd.es. En Master Zen, S.L. garantizamos el ejercicio de los derechos de nuestros usuarios, y el uso legal y ético de sus datos de carácter personal. Esperando haber dado respuesta a sus peticiones, reciba un cordial saludo, Master Zen, S.L.” Esta es una medida poco frecuente en el sector del marketing digital, en el que es costumbre confirmar al usuario la supresión de sus datos, únicamente, mediante un sencillo mensaje en de confirmación en la pantalla de la web. La medida adoptada por MASTERZEN permite a los usuarios tener constancia de la fecha y hora en la que se atiende el derecho ejercitado. 8.- Aún [sic] cuando existe un número ínfimo de incidencias, creemos que las medidas y protocolos adoptados por MASTER ZEN, S.L., como responsable del tratamiento, son adecuados y efectivos, y que, a pesar del error subsanado, el derecho ejercitado por el Sr. A.A.A. ha sido atendido efectivamente. Dado el gran volumen de datos tratados, existe el riesgo de que se pueda cometer algún error en el tratamiento de datos, no obstante, MASTERZEN realiza sus mejores C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 5/35 esfuerzos para proteger en todo momento los datos de los usuarios y realizar un tratamiento acorde al RGPD. Si MASTERZEN identifica un error en el tratamiento de los datos, lleva a cabo cuantas acciones sean requeridas para subsanar el error identificado. 9.- MASTER ZEN, S.L., siguiendo las instrucciones de es AEPD, ha implementado las siguientes medidas organizativas y técnicas, qué son conocidas y aplicadas por todo su personal: 1.- Medidas Organizativas. A.- Deber de confidencialidad y secreto.
Se deberá evitar el acceso de personas no autorizadas a los datos personales, a tal fin se evitará: dejar los datos personales expuestos a terceros (pantallas electrónicas desatendidas, documentos en papel en zonas de acceso público, soportes con datos personales, etc.), esta consideración incluye las pantallas que se utilicen para la visualización de imágenes del sistema de videovigilancia. Cuando se ausente del puesto de trabajo, se procederá al bloqueo de la pantalla o al cierre de la sesión.
Los documentos en papel y soportes electrónicos se almacenarán en lugar seguro (armarios o estancias de acceso restringido) durante las 24 horas del día.
No se desecharán documentos o soportes electrónicos (cd, pen drives, discos duros, etc.) con datos personales sin garantizar su destrucción.
No se comunicarán datos personales o cualquier información personal a terceros, se prestará atención especial en no divulgar datos personales protegidos durante las consultas telefónicas, correos electrónicos, etc.
El deber de secreto y confidencialidad persiste incluso cuando finalice la relación laboral del trabajador con la empresa. B.- Derechos de los titulares de los datos. MASTER ZEN, S.L. ha informado a todo su personal acerca del procedimiento para atender los derechos de los interesados, definiendo de forma clara los mecanismos por los que pueden ejercerse los derechos (medios electrónicos, referencia al Delegado de Protección de Datos si lo hubiera, dirección postal, etc.) teniendo en cuenta lo siguiente:
Previa presentación de su documento nacional de identidad o pasaporte, los titulares de los datos personales (interesados) podrán ejercer sus derechos de acceso, rectificación, supresión, oposición y portabilidad. El responsable del tratamiento deberá dar respuesta a los interesados sin dilación indebida. Para el DERECHO DE ACCESO se facilitará a los interesados la lista de los datos personales de que disponga junto con la finalidad para la que han sido recogidos, la identidad de los destinatarios de los datos, los plazos de conservación, y la identidad C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 6/35 del responsable ante el que pueden solicitar la rectificación supresión y oposición al tratamiento de los datos. Para el DERECHO DE RECTIFICACIÓN se procederá a modificar los datos de los interesados que fueran inexactos o incompletos atendiendo a los fines del tratamiento. Para el DERECHO DE SUPRESIÓN se suprimirán los datos de los interesados cuando los interesados manifiesten su negativa u oposición al consentimiento para el tratamiento de sus datos y no exista deber legal que lo impida. Para el DERECHO DE PORTABILIDAD los interesados deberán comunicar su decisión e informar al responsable, en su caso, sobre la identidad del nuevo responsable al que facilitar sus datos personales. MASTER ZEN, S.L. ha informado a todas las personas con acceso a los datos personales acerca de los términos de cumplimiento para atender los derechos de los interesados, la forma y el procedimiento en que se atenderán dichos derechos. C.- Violaciones de seguridad de datos de carácter personal. Cuando se produzcan violaciones de seguridad DE DATOS DE CARÁCTER PERSONAL, como, por ejemplo, el robo o acceso indebido a los datos personales MASTER ZEN, S.L. notificará a la Agencia Española de Protección de Datos en término de 72 horas acerca de dichas violaciones de seguridad, incluyendo toda la información necesaria para el esclarecimiento de los hechos que hubieran dado lugar al acceso indebido a los datos personales. La notificación se realizará por medios electrónicos a través de la sede electrónica de la Agencia Española de Protección de Datos en la dirección: https://sedeagpd.gob.es D.- Captación de imágenes con cámaras y finalidad de seguridad (videovigilancia). En las oficinas de MASTER ZEN, S.L. no existen cámaras de videovigilancia instaladas. 2.- Medidas Técnicas. A.- Identificación.
Cuando el mismo ordenador o dispositivo se utilice para el tratamiento de datos personales y fines de uso personal se dispondrá de varios perfiles o usuarios distintos para cada una de las finalidades Debiéndose mantener separados el uso profesional y personal del ordenador.
Se dispondrá de perfiles con derechos de administración para la instalación y configuración del sistema y usuarios sin privilegios o derechos de administración para el acceso a los datos personales. Esta medida pretende garantizar que en caso de ataque de ciberseguridad puedan obtenerse privilegios de acceso o modificar el sistema operativo. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 7/35
Se garantizará la existencia de contraseñas para el acceso a los datos personales almacenados en sistemas electrónicos. La contraseña tendrá al menos 8 caracteres, mezcla de números y letras.
Cuando a los datos personales accedan distintas personas, para cada persona con acceso a los datos personales, se dispondrá de un usuario y contraseña específicos que permitan una identificación inequívoca.
Se garantizará la confidencialidad de las contraseñas, evitando que queden expuestas a terceros. En ningún caso el personal de MASTER ZEN, S.L. compartirá las contraseñas ni dejará anotadas las mismas en lugar común y con acceso de personas distintas del usuario. B.- Deber de salvaguarda.
ACTUALIZACIÓN DE ORDENADORES Y DISPOSITIVOS: Los dispositivos y ordenadores utilizados para el almacenamiento y el tratamiento de los datos personales deberán mantenerse actualizados en la media posible.
MALWARE: En los ordenadores y dispositivos donde se realice el tratamiento automatizado de los datos personales se dispondrá de un sistema de antivirus que garantice en la medida posible el robo y destrucción de la información y datos personales. El sistema de antivirus deberá ser actualizado de forma periódica.
CORTAFUEGOS O FIREWALL: Para evitar accesos remotos indebidos a los datos personales se velará por garantizar la existencia de un firewall activado en aquellos ordenadores y dispositivos en los que se realice el almacenamiento y/o tratamiento de datos personales.
CIFRADO DE DATOS: Cuando se precise realizar la extracción de datos personales fuera del recinto donde se realiza su tratamiento, ya sea por medios físicos o por medios electrónicos, se deberá valorar la posibilidad de utilizar un método de encriptación para garantizar la confidencialidad de los datos personales en caso de acceso indebido a la información.
COPIA DE SEGURIDAD: Periódicamente se realizará una copia de seguridad en un segundo soporte distinto del que se utiliza para el trabajo diario. La copia se almacenará en lugar seguro, distinto de aquél en que esté ubicado el ordenador con los ficheros originales, con el fin de permitir la recuperación de los datos personales en caso de pérdida de la información. 10.- Identificada la incidencia que ha originado la presente reclamación, MASTERZEN, S.L., conjuntamente con AD735 DATA MEDIA ADVERTISING, S.L., ha realizado una revisión del tratamiento de datos relacionado con la promoción llevada a cabo mediante corregistro entre las dos empresas, y ha constatado que no se han producido incidencias similares.” ENTIDADES INVESTIGADAS Durante las presentes actuaciones se han investigado las siguientes entidades: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 8/35 MASTERZEN, S.L. (el reclamado) con NIF B87154944 y domicilio en C/ ARTURO SORIA, 330-16 D - 28033 MADRID (MADRID) RESULTADO DE LAS ACTUACIONES DE INVESTIGACIÓN En el marco de la presente investigación se han testado las páginas de sorteos y promociones objeto de análisis. El resultado de estas interacciones se ha incorporado al procedimiento a través de la “Diligencia Participación Sorteos”. No se observa que se articulen mecanismos cuyo fin sea verificar la identidad de quien completa el formulario. El reclamado ha facilitado la siguiente información en el marco de las presentes actuaciones (número de registro de entrada en la AEPD 026670/2020; fecha de registro, 27 de julio de 2020):
En relación con el origen y volumen de los datos de carácter personal tratados: Según señala, las páginas de internet enfocadas a promociones y sorteos a través de las cuales ha recogido datos personales desde el pasado 25 de mayo de 2018 son: http://www.ofertasperfectas.com (en adelante “página de ofertas perfectas”). Sobre esta manifiesta que se encuentra activa y que los datos recogidos a través de ella son de responsabilidad exclusiva del reclamado. Especifica que, a través de ella, se ha recogido la siguiente cantidad de datos desde el 25 de mayo de 2018: - Sorteo Patinete Eléctrico: 27.141 registros - Sorteo Crucero: 2.298 registros - Sorteo SmartTV: 17.463 registros www.premium-sales.es (en adelante “página de premium sales”). Sobre esta manifiesta que “Durante el periodo de tiempo comprendido entre los días 01/06/2018 y 31/12/2018, ambos incluidos, MASTERZEN, S.L. realizó, junto con la empresa AD735 DATA MEDIA ADVERTISING, S.L., una acción de captación de registros, en modalidad corregistro, en la web www.premiumsales.es, de la que es propietaria AD735 DATA MEDIA ADVERTISING, S.L. Esta acción dejó de estar activa el día 31/12/
Desde entonces, MASTERZEN, S.L. no ha realizado ninguna captación desde la web www.premium-sales.es”. Según señala, a través de esta página, entre el 1 de junio y el 31 de diciembre de 2018, se habrían recogido 31.547 registros en el contexto del “Sorteo Viaje para Dos”. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 9/35
Sobre las categorías de datos de carácter personal tratados: 2.
A través de la página de ofertas perfectas: En relación con las categorías de datos personales recogidas a través de la página de ofertas perfectas, el reclamado facilita el siguiente listado (entre paréntesis la opcionalidad u obligatoriedad de su cumplimentación): Género (opcional); Nombre (obligatorio); Apellidos (obligatorio); Fecha de Nacimiento (obligatorio); Teléfono (obligatorio); Correo electrónico (obligatorio); Dirección Postal (opcional); Código Postal (obligatorio); Localidad (opcional); Provincia (opcional). Además de éstos, lista los siguientes “campos de aceptación” de los tratamientos de datos personales contenidos en los formularios de participación: He leído y acepto la Política de Privacidad de Ofertas Perfectas. (Obligatorio) Acepto recibir comunicaciones comerciales por parte de Ofertas Perfectas sobre servicios y productos relacionados con los sectores de actividad reflejados en la política de privacidad de Ofertas Perfectas. (Opcional). Acepto que Ofertas Perfectas ceda el tratamiento de mis datos a terceras empresas relacionadas con los sectores de actividad que se detallan en la política de privacidad de Ofertas Perfectas. (Opcional). Además de los recogidos a través del formulario, el reclamado refiere un conjunto de datos adicionales que se almacenan en la base de datos durante el proceso de recogida de datos del formulario. A saber: identificación del registro; fecha y hora de recepción del registro; dirección IP; sorteo en el que ha participado el usuario; estado del registro (“a efectos de acciones de mercadotecnia”); consentimientos aceptados (“Check 1”, “Check 2”, “Check 3”). Se adjunta al escrito (documento anexo número 1) una muestra de los registros del fichero de datos del reclamado recogidos de la página de ofertas perfectas. En el documento se observa: La fecha y hora de recepción de los registros de la muestra se corresponde con los días 1, 2, y 3 de septiembre de
El campo identificación de registro (“id”) es un número natural (1,2,3,...) que identifica unívocamente cada registro. Todos los registros tienen valores asignados para los campos: identificador (“id”); género; nombre; apellidos; Código Postal; fecha de nacimiento (“dob”); teléfono (“movil”); Correo electrónico; fecha y hora de recepción del registro (“timestamp”); dirección IP; sorteo; estado; y campos de aceptación (“check 1”, “check 2”, “check 3”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 10/35 Existen registros que no contienen un valor asignado para los campos relativos a la dirección postal, a la localidad, y a la provincia. Todos los registros de la muestra tienen un valor (“Activo” o “Inactivo”) asignado en el campo relativo al estado. Los valores consignados para el campo “sorteo” en los diferentes registros son “Patinete” o “TV”. El campo relativo a la aceptación de la política de privacidad (“check 1”) contiene en todos los casos el valor “si”. Los campos relativos a la aceptación de comunicaciones comerciales y la cesión de datos a terceros (“check 2” y “check 3”) contienen el valor “si” o “no”. Hay varios registros

(49)cuyo valor para los campos “check 2” y “check 3” es “no”. 2.

A través de la página de premium sales: En relación con las categorías de datos personales recogidas a través de la página de premium sales, el reclamado facilita el siguiente listado (entre paréntesis la opcionalidad u obligatoriedad de su cumplimentación): Género (obligatorio); Nombre (obligatorio); Apellidos (obligatorio); Correo electrónico (obligatorio); Teléfono móvil (obligatorio); Dirección (opcional); Código Postal (obligatorio); Localidad (opcional); Provincia (opcional); Fecha de nacimiento (obligatoria). Además de éstos, lista los siguientes “campos de aceptación” de los tratamientos de datos personales contenidos en los formularios de participación: - He leído y acepto la Política de Privacidad. (Obligatorio) Acepto recibir comunicaciones comerciales sobre servicios y productos relacionados con los sectores de actividad reflejados en la política de privacidad. (Opcional). Acepto la cesión del tratamiento de mis datos a terceras empresas relacionadas con los sectores de actividad que se detallan en la política de privacidad. (Opcional). Además de los recogidos a través del formulario, el reclamado refiere un conjunto de datos adicionales que se almacenan en la base de datos durante el proceso de recogida de datos del formulario. A saber: Identificador del registro; Fecha y hora de recepción del registro; Dirección IP; URL del formulario; Estado del registro (a efectos de acciones de mercadotecnia); Consentimientos aceptados (“Check 1, Check 2, Check 3”). C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 11/35 Se adjunta al escrito (documento anexo número 2) la reproducción de la página de premium sales “publicada entre los días 1 de junio y 31 de diciembre de 2018, en la que se realizó la campaña de corregistro”. Se aprecia que el formulario incluido en la reproducción contiene los campos listados en el primer párrafo del presente apartado. Se adjunta al escrito (documento anexo número 3) una muestra de los registros del fichero de datos del reclamado recogidos de la página de premium sales. En el documento se observa: La fecha y hora de recepción de los registros de la muestra se corresponde con los días 1, y 2 de junio de
El campo identificador de registro (“id”) es un número natural (1,2,3,...) que identifica unívocamente cada registro. Todos los registros tienen valores asignados para los campos: identificador (“id”); género; nombre; apellidos; código postal; fecha de nacimiento (“dob”); teléfono (“movil”); correo electrónico; fecha y hora de recepción del registro (“timestamp”); dirección IP; sorteo; estado; y campos de aceptación (“check 1”, “check 2”, “check 3”). Existen registros que no contienen un valor asignado para los campos relativos a la dirección postal, a la localidad, y a la provincia. Todos los registros de la muestra tienen un valor (“Activo” o “Inactivo”) asignado en el campo relativo al estado. El valor consignado para el campo “sorteo” en los diferentes registros es “https://www.premium-sales.es”. El campo relativo a la aceptación de la política de privacidad (“check 1”) contiene en todos los casos el valor “si”. Los campos relativos a la aceptación de comunicaciones comerciales y la cesión de datos a terceros (“check 2” y “check 3”) contienen el valor “si” o “no”. Hay varios registros

(29)cuyo valor para los campos “check 2” y “check 3” es “no”.

Sobre la política de privacidad: 3.
De la página de ofertas perfectas: Como parte del escrito el reclamado ha facilitado la siguiente redacción de la política de privacidad vinculada a la página de ofertas perfectas: “DATOS IDENTIFICATIVOS Y TITULARIDAD C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 12/35 A través de este documento se regula el tratamiento de los datos personales facilitados por los usuarios, visitantes e interesados en los servicios ofrecidos por este portal, en adelante “el sitio web”. Los datos que el usuario facilite durante el uso del sitio web www.masterzen.es se incorporarán a los correspondientes ficheros de los que es titular Master Zen SL, con CIF B87154944, y domicilio en la Calle Arturo Soria, 330, 16D, 28033 Madrid. DELEGADO DE PROTECCIÓN DE DATOS El Delegado de Protección de Datos es la persona designada por MASTERZEN para velar por el cumplimiento de la normativa vigente en materia de Protección de Datos. Cuando consideres que no han sido atendidos tus derechos y libertades de protección de datos, puedes ponerte en contacto con el Delegado de Protección de Datos en la dirección de correo electrónico, dpo@masterzen.es, o en la dirección postal de MASTERZEN. CONTENIDO Y ACEPTACIÓN DE LA POLÍTICA DE PRIVACIDAD La presente Política de Privacidad tiene por objeto dar a conocer el modo en que se recaban, tratan y protegen los datos de carácter personal a los que se accede por el formulario existente en el sitio web, a fin de que determines libre y voluntariamente si deseas facilitar tus datos personales a través del formulario online habilitado al efecto. Además, Master Zen SL te proporcionara los recursos técnicos adecuados para que, con carácter previo a la cumplimentación de los datos personales, puedas acceder a esta Política de Privacidad y a cualquier otra información relevante en materia de Protección de Datos de Carácter Personal. El acceso y uso del sitio web implica que aceptas en su totalidad, y te obligas a cumplir por completo los términos y condiciones recogidos en la presente Política de Privacidad, así como en las disposiciones contenidas en el Aviso Legal, configurándose ambos documentos en su conjunto como los Textos Legales aplicables. Puedes encontrar los enlaces correspondientes al pie del formulario de inscripción habilitado. Por favor, lee atentamente dichos Textos Legales cada una de las ocasiones en las que te propongas utilizar el sitio web, ya que éstos pueden sufrir modificaciones en función de novedades, exigencias legislativas y jurisprudenciales, o por necesidades de negocio. La presente Política de Privacidad será válida para los datos de carácter personal obtenidos para sitio web. RESPONSABLE DE LOS FICHEROS Y RECOGIDA DE LOS DATOS DE CARÁCTER PERSONAL. Master Zen SL, a través del formulario que pone a tu disposición en el sitio web, puede recopilar la información personal que se detallará a continuación con la finalidad de adecuar las ofertas comerciales a sus peticiones para poder ofrecerte un servicio más personalizado y eficaz: nombre y apellidos, sexo, dirección de correo C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 13/35 electrónico y código postal. Estos datos serán incorporados a los ficheros de datos de carácter personal titularidad de Master Zen SL quien garantiza la confidencialidad de los datos de carácter personal facilitados, y el cumplimiento de toda la normativa aplicable al efecto. Como usuario, proporcionas la información solicitada voluntariamente. Todos los campos que aparezcan recogidos en el formulario de registro serán de obligada cumplimentación, de tal modo que la omisión de alguno de ellos, o la negativa a suministrarla, por la propia naturaleza del servicio prestado, podría comportar la imposibilidad de que se pueda atender tu solicitud de participación en concursos y promociones. Al marcar la casilla correspondiente, aceptas expresamente y de forma libre, que tus datos personales sean tratados por Master Zen SL. Asimismo, al pulsar el botón “continuar”, o equivalente, incorporado en el formulario de registro, declaras que la información y los datos que en ellos has facilitado son exactos y veraces. Para que la información facilitada esté siempre actualizada y no contenga errores, deberás comunicar, a la mayor brevedad posible, las modificaciones de tus datos de carácter personal que se vayan produciendo, así como las rectificaciones de datos erróneos en caso de que detectes alguno. En el contexto de los tratamientos que se describen a continuación, es posible que suministres datos de carácter personal relativos a terceros. En este sentido, es tu responsabilidad informar de tal circunstancia al tercero cuyos datos nos vas a ceder, así como, haber obtenido previamente el consentimiento expreso de esta persona para que sus datos sea tratados por Master Zen SL, debiendo haberle informado previamente de todo lo previsto en el artículo 14 del Reglamento General de Protección de Datos. Master Zen SL garantiza su compromiso con el cumplimiento de la normativa aplicable en protección de datos y sociedad de la información. DESCRIPCIÓN DE LOS TRATAMIENTOS DE DATOS QUE SE REALIZAN A TRAVÉS DE LA PÁGINA WEB Las finalidades de la recogida y el tratamiento de los datos se recogen a continuación: – Gestionar tu alta como participante de concursos, promociones y/o sorteos organizados por Master Zen SL, o por terceros, y gestionar adecuadamente tu participación en los mismos. – Tratar tus datos con fines comerciales, siempre que hayas consentido el pertinente tratamiento de datos personales, ya sea por medios ordinarios o electrónicos, todo ello de conformidad con lo indicado en el apartado siguiente, “Comunicaciones comerciales”. – Dar respuesta a las dudas, quejas, comentarios o inquietudes que puedas tener relativas a la información incluida en la Página Web, y la resolución de incidencias relativas al tratamiento de tus datos personales, cuestiones referentes a los textos legales incluidos en el Portal. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 14/35 Los datos que recogidos para los fines anteriormente descritos serán tratados sobre la base del consentimiento que nos has proporcionados. Puedes retirar dicho consentimiento en cualquier momento, si bien ello no afectará a la licitud de los tratamientos efectuados con anterioridad. El hecho de facilitar los datos es voluntario, aunque, en caso de no hacerlo, no se podrá gestionar tu solicitud ni/o responder a la consulta correspondiente. Por tanto, la comunicación de tus datos personales a estos efectos es un requisito necesario para que podamos atender las peticiones formuladas por estas vías. LEGITIMACIÓN PARA EL TRATAMIENTO DE LOS DATOS PERSONALES La base legal para el tratamiento de los datos de carácter personal será el consentimiento del Usuario, en caso de que se haya solicitado y otorgado. CONSERVACIÓN Los datos personales proporcionados se conservarán mientras mantengas tu interés en participar en los concursos, promociones y/o sorteos organizados por Master Zen SL, o por terceros, y no solicites su supresión. Asimismo, serán conservados, a modo de histórico de comunicaciones, conforme a los plazos legales establecidos, tomando como referencia la última comunicación, salvo que solicites la supresión a Master Zen SL. COMUNICACIONES COMERCIALES Te informamos que a través del formulario de recogida de datos recabamos tu consentimiento para enviarte comunicaciones comerciales. Al dar tu consentimiento expreso a través de las casillas que aparecerán en el formulario de recogida de datos, podríamos ponernos en contacto contigo por correo ordinario, llamada telefónica, correo electrónico, SMS, aplicaciones de mensajería instantánea, redes sociales, notificaciones push, o cualquier otro medio de comunicación electrónica equivalente, para remitirte información sobre aquellos productos y/o servicios que creamos pueden ser de tu interés. Las comunicaciones podrán ir referidas a servicios de Master Zen SL, y a productos y/o servicios de terceros pertenecientes a diferentes sectores de actividad, seleccionados por Master Zen SL, tales como: FIANCIACION [sic]: Prestamos de entidades financieras y seguros. GRAN CONSUMO: Alimentación, moda y decoración, salud y belleza, textil, hogar, cuidado personal, material de oficina, automoción, droguería y limpieza, mobiliario. OCIO: Turismo, editorial, juguetería, coleccionismo, deportes, hobbies, comunicación, entretenimiento, turismo, decoración e interiorismo, jardinería, fotografía, imagen y sonido. TELECOMUNICACIONES: Productor y servicios de telecomunicaciones, tecnología e internet. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 15/35 AUTOMOCION: Productos y servicios relacionados con el automóvil, motocicletas y camiones. ONG: Productos y servicios relacionados con ONG. JOYERIAS Y PIEDRAS PRECIOSAS: Productos relacionados con la joyería, bisutería y piedras preciosas. ENERGIA Y AGUA: Productos relacionados con la electricidad, hidrocarburos, gas y agua. FORMACION: Productos relacionados con el ámbito educativo, libros de texto, material escolar o formativo, ofertas sobre cursos presenciales y a distancia, etc. Las comunicaciones comerciales podrán consistir, también, en el envío de encuestas, estadísticas, estudios de mercados y prospección comercial a fin de evaluar la calidad del servicio, tendencias de mercado, hábitos de consumo, análisis de evolución de ventas y tomas de decisiones de negocio e inversión, y el boletín de noticias de la página web. Si en un determinado momento no deseas seguir recibiendo comunicaciones de esta naturaleza, podrás revocar tu consentimiento mediante el envío de la notificación pertinente a las direcciones que constan en el apartado denominado “Ejercicio de derechos” de la presente Política de Privacidad, aportando copia de un documento que permita acreditar tu identidad, o bien utilizando el link habilitado al efecto en las comunicaciones comerciales que recibas. Tu solicitud será atendida a la mayor brevedad posible, dentro de los plazos establecidos por la normativa vigente. CESIÓN DE DATOS PERSONALES Para la correcta prestación del servicio, y el mantenimiento de la relación contigo, los datos de carácter personal previamente facilitados en el formulario de registro podrán ser tratados por terceros. Master Zen SL podrá compartir tus datos personales con terceras empresas a fin de que terceras empresas anunciantes en los sectores indicados puedan contactar contigo para hacerte llegar información de tu interés, y/o relacionada con los sorteos o promociones en los que participas. En el caso de que fuera necesario el acceso a los datos por parte de terceros para la prestación de algún servicio subcontratado por Master Zen SL se suscribirán los documentos necesarios para garantizar la seguridad de tus datos personales y el correcto ejercicio de tus derechos. Puedes consultar la identidad de los posibles cesionarios de tus datos personales aquí. SEGURIDAD Master Zen SL ha adoptado las medidas razonables para implementar y mantener los niveles de seguridad exigidos por la Ley para proteger los datos de carácter personal de los usuarios frente a pérdidas fortuitas y a accesos, tratamientos o revelaciones no autorizados, habida cuenta del estado de la tecnología, la naturaleza de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 16/35 almacenados y los riesgos a que están expuestos. No obstante, la transmisión de información a través de Internet no es totalmente segura; por ello, y a pesar de que Master Zen SL realiza sus mejores esfuerzos para proteger los datos de los usuarios, no puede garantizar la seguridad de estos durante el tránsito hasta el Portal. Por tanto, toda la información que facilites se enviará por tu cuenta y riesgo. Una vez recibidos tus datos, Master Zen SL utilizará rigurosos procedimientos y funciones de seguridad para impedir cualquier acceso no autorizado. CONFIDENCIALIDAD Los datos personales que podamos recabar a través del Portal, o por medio de las distintas comunicaciones que mantengamos contigo serán tratados con confidencialidad, comprometiéndonos a guardar secreto respecto de estos de acuerdo con lo establecido en la legislación aplicable. MENORES Los menores de edad no podrán participar en las promociones disponibles a través del Portal sin la previa autorización de sus padres, tutores o representantes legales, quienes serán los únicos responsables de todos los actos realizados a través del Portal por los menores a su cargo, incluyendo la cumplimentación de los formularios con los datos personales de dichos menores y la marcación, en su caso, de las casillas que los acompañan. En este sentido, y en la medida en que Master Zen SL no tiene capacidad para controlar si los usuarios son o no menores de edad, se advierte de que deberán ser los padres y tutores quienes habiliten los mecanismos necesarios para evitar que los menores accedan al Portal y/o faciliten datos de carácter personal sin su supervisión, no admitiendo Master Zen SL responsabilidad alguna al respecto. EJERCICIO DE DERECHOS Como interesado puedes ejercer los siguientes derechos: Derecho a solicitar el acceso a tus datos personales. Derecho a solicitar su rectificación o supresión. Derecho a solicitar la limitación de su tratamiento. Derecho a oponerte al tratamiento. Derecho a la portabilidad de los datos. Derecho a retirar el consentimiento prestado. Cualquier persona tiene derecho a obtener confirmación sobre si Master Zen SL está tratando datos personales que les conciernan, o no. Las personas interesadas tienen derecho a acceder a sus datos personales, así como a solicitar la rectificación de los datos inexactos o, en su caso, solicitar la supresión de los mismos cuando, entre otros motivos, ya no sean necesarios para los fines que fueron recogidos. En determinadas circunstancias, podrás solicitar la limitación del tratamiento de tus datos, en cuyo caso, Master Zen SL únicamente los conservará para el ejercicio o la defensa de posibles reclamaciones. En determinadas circunstancias, y por motivos relacionados con tu situación particular, podrás oponerte al tratamiento de tus datos. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 17/35 En este caso, Master Zen SL dejará de tratar los datos, salvo por motivos legítimos necesarios, o el ejercicio o la defensa de posibles reclamaciones. Si has otorgado tu consentimiento para alguna finalidad concreta, tienes derecho a retirar el consentimiento otorgado en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada. Para ello podrás emplear los formularios habilitados por la empresa, o bien mediante el envío de una notificación escrita, a la dirección Master Zen SL, Calle Arturo Soria, 330, 16d, 28033 Madrid., o el envío de un correo electrónico a la dirección dpo@masterzen.es En caso de que sientas vulnerados tus derechos en lo concerniente a la protección de sus datos personales, especialmente cuando no haya obtenido satisfacción en el ejercicio de sus derechos, puedes presentar una reclamación ante la Autoridad de Control en materia de Protección de Datos competente a través de su sitio web: www.agpd.es. En cumplimiento de lo prevenido en el artículo 21 de la Ley 34/2002 de servicios de la sociedad de la información y comercio electrónico, si no deseas recibir más información sobre nuestros servicios, puedes darte de baja en la dirección de correo electrónico de la entidad, bajas@masterzen.es, indicando en el asunto “No enviar correos”, o en el enlace situado en el pie del formulario de registro. ACTUALIZACIÓN Es posible que esta Política de Privacidad sufra actualizaciones, por ello es necesario que revises esta política periódicamente y si es posible cada vez que accedas al Portal con el objetivo de estar adecuadamente informado sobre el tipo de información recopilada y su tratamiento. Puedes encontrar la Política de Privacidad, junto con el Aviso Legal, en el pie del formulario de inscripción. Esta Política de Privacidad se actualizó por última vez el 15 de julio de 2019”. Según dispone la política de privacidad anterior, ésta refiere “los datos que el usuario facilite durante el uso del sitio web www.masterzen.es”. Igualmente, señala que se ha actualizado por última vez con fecha de 15 de julio de
Este texto se ha comparado con distintas versiones extraídas de internet e incorporadas al presente expediente a través de la “Dil. Política Privacidad Masterzen”. El resultado de dichas comparaciones ha sido el siguiente: En comparación con el texto extraído de la página de internet http://masterzen.es/politica-privacidad/ el día 12 de febrero de 2021 (Anexo 1 de la diligencia) se detallan las siguientes diferencias: C/ Jorge Juan, 6 28001 – Madrid - La política de privacidad publicada en el sitio de internet (Anexo 1 de la diligencia) refiere como fecha de última actualización el 14 de junio de
- La política de privacidad publicada en el sitio de internet (Anexo 1 de la diligencia) no incluye mención a la figura del Delegado de Protección de www.aepd.es sedeagpd.gob.es 18/35 Datos a excepción de citar dpo@masterzen.es como dirección a la que dirigir el escrito de retirada de consentimiento. En comparación con el texto extraído de la “caché” del buscador “Google” de la página de internet https://ofertasperfectas.com/index.php/politica-de-privacidad/ correspondiente al día 2 de febrero de 2021 (Anexo 4 de la diligencia), no se han advertido diferencias significativas. En comparación con el texto extraído de la página de internet https://ofertasperfectas.com/index.php/politica-de-privacidad/ el día 3 de marzo de 2020 (Anexo 5 de la diligencia) se detallan las siguientes diferencias: - La política de privacidad publicada en el sitio de internet (Anexo 5 de la diligencia) hace referencia a “los datos que el usuario facilite durante el uso del sitio web www.ofertasperfectas.com”. - La política de privacidad publicada en el sitio de internet (Anexo 5 de la diligencia) refiere como fecha de última actualización el 14 de junio de
La política de privacidad de la página de ofertas perfectas enlaza (apartado “CESIÓN DE DATOS PERSONALES”) con el listado de posibles cesionarios de los datos personales. Este listado no ha sido facilitado como parte del escrito. No obstante, se han descargado de internet (ver “Dil. Política Privacidad Masterzen”) dos versiones: La página de internet http://masterzen.es/cesionarios/ a día 17 de febrero de 2021 (Anexo 2 de la diligencia). A esta dirección de internet se enlaza tanto desde la versión de la política de privacidad presente en el sitio de internet http://masterzen.es/politica-privacidad/ el día 12 de febrero de 2021 como desde la versión https://ofertasperfectas.com/index.php/politica-deprivacidad/ extraída de la “caché” del buscador de Google correspondiente al día 2 de febrero de
Su contenido es el siguiente: “Empresas a las cuales podemos ceder sus datos. Telecomunicaciones  Grupo Masmovil (Xfera Móviles, S.A.U, y MásMóvil Ibercom, S.A.) para las marcas: Masmovil, Yoigo, Pepephone, HappyMovil, Llamaya.  Grupo Orange (Orange Espagne, S.A.U) para las marcas: Orange, Jazztel, Amena, Simyo.  Grupo Telefonica (Telefónica de España S.A.U) para las marcas: Movistar, Telefonica, O2, Vivo, Tuenti. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 19/35  Grupo Vodafone (Vodafone España S.A.U) para las marcas: Vodafone, Lowi, Ono. Seguros Salud  SegurCaixa Adeslas, S.A. de Seguros y Reaseguros para la marca Adeslas.  Sanitas S.A de Seguros para la marca Sanitas.  Mapfre Tech S.A. para la marca Mapfre.  Aegon ESPAÑA, S.A. de Seguros y Reaseguros, Unipersonal para la marca Aegon.  DKV Seguros y Reaseguros SAE para la marca DKV.  Asistencia Sanitaria interprovincial de seguors S.A.U. para la marca Asisa.  Asefa S.A. Seguros y Reaseguros para la marca Asefa. Distribuidores Autorizados  Neotec Comunicaciones S.L. (Distribuidor Autorizado de MásMovil)  Global Sales Solutions S.L. (Distribuidor Autorizado de Sanitas)  Kataisa Digital Consulting, S.L.  Marasapa, S.L.  Ignium Consulting, S.L. Otros  Repsol Comercializadora de Electricidad y Gas S.L.U.” - La página de internet http://masterzen.es/cesionarios/ a fecha de 3 de marzo de 2020 (Anexo 6 de la diligencia) enlazada desde la versión de la política de privacidad presente en el sitio de internet https://ofertasperfectas.com/index.php/politica-de-privacidad/ el día 3 de marzo de 2020 (Anexo 5 de la diligencia) enumera los mismos cesionarios listados en el párrafo anterior, con la salvedad de que no cita los siguientes: “Kataisa Digital Consulting, S.L.”, “Marasapa, S.L.”, “Ignium Consulting, S.L.”, y “Repsol Comercializadora de Electricidad y Gas S.L.U”. 3.
De la página de premium sales: Como parte del escrito el reclamado ha facilitado la siguiente redacción de la política de privacidad vinculada a la página de premium sales: C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 20/35 <<POLÍTICA DE PRIVACIDAD Esta Política de Privacidad tiene por objeto dar a conocer, de acuerdo con lo establecido en el Reglamento 2016/679 General de Protección de Datos de la Unión Europea y en su normativa de desarrollo, tanto nacional como comunitaria, cómo obtenemos, tratamos y protegemos los datos personales que facilites o recojamos, a través formularios o cookies, en nuestro web http://premium-sales.es en adelante "el sitio web", para que puedas decidir, libremente y voluntariamente, si quieres que los tratemos. DATOS IDENTIFICATIVOS Y TITULARIDAD. El sitio web es titularidad de AD735 DATA MEDIA ADVERTISING, S.L., en adelante, AD735, con CIF B87781795, y con domicilio social en la calle Ibersierra, 15, Bajo A, de 28440 Guadarrama (Madrid), inscrita en el Registro Mercantil de Madrid al tomo 35.782, folio 201, Inscripción 1ª, hoja M-642.
RESPONSABLE DEL TRATAMIENTO. La promoción del sorteo de un viaje que se realiza a través del sitio web https://www.premium-sales.es, se realiza en modo de corregistro entre los días 1 junio y 31 de agosto del 2018, siendo las compañías responsables de decidir cómo se tratan tus datos: AD735 DATA MEDIA ADVERTISING, S.L., con CIF B87781795, y con domicilio social en la calle Ibersierra, 15, Bajo A, de 28440 Guadarrama (Madrid), y dirección de correo electrónico info [:: arroba ::] ad735.es, y MASTER ZEN, S.L., con CIF B87154944, y domicilio en la Calle Arturo Soria, 330, 16D, 28033 Madrid, info@masterzen.es. CONTENIDO Y ACEPTACIÓN DE LA POLÍTICA DE PRIVACIDAD En este documento te informamos sobre el tratamiento que realizan las empresas responsables del tratamiento de los datos personales obtenidos en el sitio web https://www.premium-sales.es entre los días 1 junio y 31 de agosto del 2018, y no es aplicable a otros sitios web de terceras empresas enlazadas, ni a otros sitios web propiedad de los responsables del tratamiento, ni a las promociones realizadas en fechas distintas a las indicadas. Por ello, te rogamos que leas detenidamente las políticas de privacidad de cada uno de estos sitios web que visites. Además, te recordamos la importancia de leer esta Política de Privacidad cada vez que requieras los servicios de los responsables del tratamiento, ya que puede sufrir modificaciones. La presente Política de Privacidad será válida para los datos de carácter personal obtenidos para el sitio web https://www.premium-sales.es/. QUÉ DATOS RECABAMOS Y PARA QUÉ A través del sitio web http://premium-sales.es/ recabamos los datos (género, nombre, apellidos, apellidos, dirección de correo electrónico, teléfono, dirección postal, código C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 21/35 postal, localidad, provincia y fecha de nacimiento), de aquellos usuarios que desean participar en el sorteo promovido en el sitio web y quieren recibir información comercial de productos y servicios que puedan ser de su interés. En concreto, las finalidades de la recogida y el tratamiento de los datos son:  Tramitar el alta de los usuarios en el Sorteo de su interés organizado por los responsables del tratamiento, solos o en colaboración con terceras empresas, y gestionar adecuadamente su participación en el mismo.  Tratar los datos personales de los usuarios con fines comerciales y de mercadotecnia, ya sea por medios ordinarios o electrónicos, todo ello de conformidad con lo indicado en el apartado, "Comunicaciones Comerciales", siempre que hayan consentido el tratamiento de sus datos personales a estos efectos.  Dar respuesta a las dudas, quejas, comentarios o inquietudes que puedan tener los participantes relativas a la información incluida en el sitio web http://premium-sales.es y la resolución de incidencias relativas al tratamiento de los datos personales y cuestiones referentes a los textos legales incluidos en el sitio web. CONSERVACIÓN DE LOS DATOS PERSONALES Los responsables del tratamiento conservarán los datos personales proporcionados durante todo el tiempo de desarrollo de la promoción realizada en el sitio web http://premium-sales.es, y, después, durante un periodo de cinco

(5)años desde la finalización del sorteo, salvo que nos comuniques que te das de baja para dejar de recibir comunicaciones comerciales de tu interés. Asimismo, tus datos serán conservados, a modo de histórico de comunicaciones, conforme a los plazos legales establecidos, tomando como referencia la última comunicación, salvo que solicites a cualquiera de los responsables del tratamiento la supresión los mismos. En este caso, una vez que hayamos recibido tu baja, destruiremos todos tus datos personales. RECOGIDA DE LOS DATOS DE CARÁCTER PERSONAL En cumplimiento con lo dispuesto en el REGLAMENTO (UE) 2016/679 DEL PARLAMENTO EUROPEO Y DEL CONSEJO de 27 de abril de 2016 relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE (Reglamento general de protección de datos, RGPD) y en la normativa española en materia de protección de datos, ponemos en tu conocimiento que los datos recabados a través del formulario de recogida de datos del sitio web serán incorporados a los ficheros automatizados de datos de carácter personal titularidad de C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 22/35 los responsables del tratamiento, quienes garantizan la confidencialidad de los datos de carácter personal facilitados y el cumplimiento de toda la normativa aplicable al efecto. Asimismo, al pulsar el botón "CONTINUAR", o equivalente, incorporado en el formulario de registro, declaras que la información y los datos que en ellos ha facilitado son exactos y veraces. Para que la información facilitada esté siempre actualizada y no contenga errores, deberás comunicar, a la mayor brevedad posible, las modificaciones de tus datos de carácter personal que se vayan produciendo, así como las rectificaciones de datos erróneos en caso de que detectes alguno. En el contexto de los tratamientos que descrito en esta Política de Privacidad, es posible que suministres datos de carácter personal relativos a terceros. En este sentido, es tu responsabilidad informar de tal circunstancia a los terceros cuyos datos nos va a ceder, así como, en caso de ser necesario, obtener su consentimiento expreso para suministrarnos dicha información. LEGITIMACIÓN PARA EL TRATAMIENTO DE LOS DATOS PERSONALES Los datos que recogidos para los fines descritos serán tratados sobre la base legal del consentimiento libre, informado, específico e inequívoco prestado con el envío de tus datos personales para tu participación en el concurso, y la recepción de información comercial de tu interés. Retirar el consentimiento es tan fácil como otorgarlo. Por ello, si cambias de opinión, y no deseas participar en el concurso, ni/o recibir comunicaciones comerciales, puedes retirar tu consentimiento en cualquier momento, si bien ello no afectará a la licitud de los tratamientos efectuados con anterioridad. COMUNICACIONES COMERCIALES Te informamos que al marcar la casilla "Acepto recibir comunicaciones comerciales de servicios y productos relacionados con los sectores de actividad reflejados en la política de privacidad" indicada en el formulario de recogida de datos, manifiestas tu consentimiento expreso para enviarte comunicaciones comerciales referidas a productos y/o servicios de terceros pertenecientes a diferentes sectores de actividad (empleo y formación, informática y tecnología, ocio y diversión, gastronomía y alimentación, muebles y electrodomésticos, antigüedades, decoración e interiores, organizaciones y asociaciones, entidades gubernamentales, subastas, bricolaje, mascotas, servicios financieros y seguros, ofertas inmobiliarias, motor y automoción, artículos para hombre/mujer, viajes y turismo, productos infantiles, música y libros, salud y bienestar, sociedad, deportes), seleccionados por los responsables del tratamiento. Las comunicaciones comerciales podrán ser remitidas por correo electrónico, llamada telefónica, SMS, aplicaciones de mensajería instantánea, redes sociales, notificaciones push, o cualquier otro medio de comunicación electrónica equivalente, o postal, para ofrecerte información sobre aquellos productos y/o servicios que creamos que pueden ser de tu interés. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 23/35 Si en un determinado momento no deseas seguir recibiendo comunicaciones comerciales, podrás revocar tu consentimiento mediante el envío de la solicitud pertinente a la dirección AD735 DATA MEDIA ADVERTISING, S.L., Calle Ibersierra, 15, bajo A, de 28440 Madrid, o el envío de un correo electrónico a la dirección bajas [:: arroba ::] ad735.es, o a la dirección MASTER ZEN, S.L., con CIF B87154944, y domicilio en la Calle Arturo Soria, 330, 16D, 28033 Madrid, o el envío de un correo electrónico a la dirección bajas@masterzen.es,aportando copia de un documento que permita acreditar tu identidad, o bien utilizando el link habilitado al efecto en las comunicaciones comerciales que reciba. Tu solicitud será atendida a la mayor brevedad posible, dentro de los plazos establecidos por la normativa vigente. CESIÓN DE DATOS PERSONALES Para la correcta prestación del servicio, y el mantenimiento de la relación contigo, los datos de carácter personal previamente facilitados en el formulario de registro podrán ser tratados por terceros, siempre y cuando hayas prestado tu consentimiento para ello. Los responsables del tratamiento podrán compartir tus datos personales a fin de que terceras empresas anunciantes en los sectores indicados puedan contactar contigo para hacerte llegar información de tu interés, y/o relacionada con los sorteos o promociones en los que participas. En el caso de que fuera necesario el acceso a los datos por parte de terceros para la prestación de algún servicio subcontratado por los responsables del tratamiento se suscribirán los documentos necesarios para garantizar la seguridad de tus datos personales y el correcto ejercicio de tus derechos. Puedes consultar la identidad de los posibles cesionarios de tus datos personales aquí. COMUNICACIÓN DE DATOS PERSONALES. Los datos personales que nos facilites podrán ser asimismo comunicados a los diferentes colaboradores y prestadores de servicios de los responsables del tratamiento, quienes tratarán los datos personales como encargados del tratamiento en nombre y por cuenta de los responsables del tratamiento, con la finalidad de garantizar los servicios prestados por dichos responsables y cumplir con las obligaciones derivadas de la normativa aplicable, conforme el consentimiento prestado. En cualquiera de los casos descritos, te informamos que los servidores informáticos de dichos proveedores de servicios podrían estar situados en países fuera de la Unión Europea, donde, si el nivel de protección de la privacidad no fuera equivalente a la normativa sobre protección de datos personales europea y nacional, los responsables del tratamiento adoptarán las medidas adecuadas y necesarias para la mejor salvaguarda de los derechos de los interesados y la seguridad de la información, en base a las medidas técnicas disponibles en cada momento. C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 24/35 Por otra parte, y en el caso de que fuera necesario el acceso a los datos por parte de terceros para la prestación de algún servicio subcontratado por los responsables del tratamiento, se suscribirán los documentos necesarios. SEGURIDAD. Los responsables del tratamiento hemos adoptado las medidas razonables para implementar y mantener los niveles de seguridad exigidos por el Reglamento 2016/679 General de Protección de Datos de la Unión Europea, y su normativa de desarrollo, para proteger tus datos de carácter personal frente a pérdidas fortuitas y a accesos, tratamientos o revelaciones no autorizados, teniendo en cuenta el estado de la tecnología, la naturaleza de los datos almacenados y los riesgos a que están expuestos. No obstante, la transmisión de información a través de Internet no es totalmente segura; por ello, y a pesar de que los responsables del tratamiento realizan sus mejores esfuerzos para proteger los datos de los usuarios, no puede garantizar la seguridad de los mismos durante el tránsito hasta el Portal. Por tanto, toda la información que facilites, se enviará por tu cuenta y riesgo. Una vez recibidos tus datos, los responsables del tratamiento utilizarán procedimientos y funciones de seguridad para impedir cualquier acceso no autorizado. CONFIDENCIALIDAD. Los responsables del tratamiento somos conscientes de la importancia de tus datos personales, y los tratamos con absoluta confidencialidad, comprometiéndonos a guardar secreto respecto de los mismos y garantizando el deber de guardarlos adoptando todas las medidas que sean necesarias para evitar su alteración, pérdida, tratamiento o acceso no autorizado, de acuerdo con nuestras obligaciones legales como responsables del tratamiento de tus datos personales. MENORES Los menores de edad no podrán participar en las promociones disponibles a través del sitio web sin la previa autorización de sus padres, tutores o representantes legales, quienes serán los únicos responsables de todos los actos realizados a través del sitio web por los menores a su cargo, incluyendo la cumplimentación de los formularios con los datos personales de dichos menores y la marcación, en su caso, de las casillas que los acompañan. En este sentido, y en la medida en que los responsables del tratamiento no tenemos capacidad para controlar si los usuarios son o no menores de edad, se advierte de que deberán ser los padres y tutores quienes habiliten los mecanismos necesarios para evitar que los menores accedan al sitio web y/o faciliten datos de carácter personal sin su supervisión, no admitiendo los responsables del tratamiento responsabilidad alguna al respecto. EJERCICIO DE DERECHOS Tienes derecho a obtener confirmación sobre si los responsables del tratamiento estamos tratando datos personales que te conciernen, o no, además tienes derecho a acceder a tus datos personales, así como a solicitar la rectificación de los datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 25/35 inexactos o, en su caso, solicitar la supresión de los mismos cuando, entre otros motivos, ya no sean necesarios para los fines que fueron recogidos. En determinadas circunstancias, podrás solicitar la limitación del tratamiento de tus datos, en cuyo caso, los responsables del tratamiento únicamente los conservaremos para el ejercicio o la defensa de posibles reclamaciones. En determinadas circunstancias, y por motivos relacionados con tu situación particular, podrás oponerte al tratamiento de tus datos personales. En este caso, los responsables del tratamiento dejararemos [sic] de tratar los datos, salvo por motivos legítimos necesarios, o el ejercicio o la defensa de posibles reclamaciones. Si has otorgado tu consentimiento para alguna finalidad concreta, tienes derecho a retirar el consentimiento otorgado en cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada. En atención a lo anterior, le informamos que puedes ejercer los siguientes derechos relacionados con tus datos de carácter personal: Acceso: Consultar los datos personales incluidos en los ficheros de los responsables del tratamiento. Rectificación: Solicitar la modificación de tus datos personales. Oposición: Solicitar que no se traten tus datos personales. Supresión: Solicitar la eliminación de tus datos personales. Limitación de Tratamiento: Solicitar que se limite el tratamiento de tus datos personales en los casos permitidos. Portabilidad: Solicitar que se transmitan a otra entidad, en formato electrónico, tus datos personales. Puedes ejercer estos derechos enviando una solicitud por escrito, adjuntando fotocopia de un documento que acredite tu identidad, a las direcciones: AD735 DATA MEDIA ADVERTISING, S.L., Calle Ibersierra, 15, bajo A, de 28440 Madrid, o el envío de un correo electrónico a la dirección dpo [:: arroba ::] ad735.es, adjuntando fotocopia de un documento que acredite tu identidad, o firma electrónica. MASTER ZEN, S.L., con CIF B87154944, y domicilio en la Calle Arturo Soria, 330, 16D, 28033 Madrid, o el envío de un correo electrónico a la dirección bajas@masterzen.es, adjuntando fotocopia de un documento que acredite tu identidad, o firma electrónica. En cumplimiento de lo previsto en el artículo 21 de la Ley 34/2002 de Servicios de la Sociedad de la Información y Comercio Electrónico, si no deseas recibir más comunicaciones comerciales, puedes ejercer tu derecho de oposición en las direcciones de correo electrónico de los responsables del tratamiento, bajas [:: arroba ::] ad735.es, y bajas@masterzen.es indicando en el asunto la palabra "Baja" y a continuación tu dirección de correo electrónico o número de teléfono móvil. Para resolver cualquier duda relacionada con la presente Política de Privacidad, o si consideras que no hemos tratado tus datos personales de acuerdo con la normativa, puedes contactar con el Delegado de Protección de Datos de AD735 DATA MEDIA ADVERTISING, S.L. en la dirección en la dirección de correo electrónico dpo [:: arroba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 26/35 ::] ad735.es, o con el Responsable del Tratamiento de MASTER ZEN, S.L. en la dirección de correo electrónico bajas@masterzen.es. En caso de que entiendas vulnerados tus derechos en lo concerniente a la protección de sus datos personales, especialmente cuando no hayas obtenido satisfacción en el ejercicio de tus derechos, puedes presentar una reclamación ante la Autoridad de Control en materia de Protección de Datos competente a través de su sitio web: www.agpd.es. ACTUALIZACIÓN. Es posible que esta Política de Privacidad sufra actualizaciones, por ello es necesario que revises este texto periódicamente y, si es posible, cada vez que accedas al sitio web con el objetivo de estar adecuadamente informado sobre el tipo de información recopilada y su tratamiento. LEY APLICABLE. La ley aplicable en caso de disputa o conflicto de interpretación de los términos que conforman esta Política de Privacidad será la ley española. Esta Política de Privacidad se actualizó por última vez el 5 de diciembre de 2018.>> El día 15 de febrero de 2021 se introdujo en el navegador de internet la dirección de la página de premium sales al objeto de extraer el contenido de su política de privacidad. El resultado de la interacción y el contenido de la política de privacidad descargada se han incorporado al presente expediente a través de la “Dil. Política Privacidad Masterzen”. El resultado de la comparación es el siguiente: - Tanto la política de privacidad publicada en el sitio de internet como la facilitada por el reclamado en el escrito refieren como fecha de última actualización el 5 de diciembre de

- La política de privacidad facilitada por el reclamado en el escrito (transcrita en el presente informe) refiere el tratamiento de los datos personales recogidos del sitio de internet http://premium‐sales.es. Por otra parte, la consignada como Anexo 8 de la “Dil. Política Privacidad Masterzen” referencia los recopilados de http://prb.premium‐sales.es. - La política de privacidad facilitada por el reclamado en el escrito consigna el texto siguiente al objeto de especificar el responsable del tratamiento: <<La promoción del sorteo de un viaje que se realiza a través del sitio web https://www.premium-sales.es, se realiza en modo de corregistro entre los días 1 junio y 31 de agosto del 2018, siendo las compañías responsables de decidir cómo se tratan tus datos: AD735 DATA MEDIA ADVERTISING, S.L., con CIF B87781795, y con domicilio social en la calle Ibersierra, 15, Bajo A, de 28440 Guadarrama (Madrid), y dirección de correo electrónico info [:: arroba ::] ad735.es, y MASTER ZEN, S.L., con CIF B87154944, y domicilio en la Calle Arturo Soria, 330, 16D, 28033 Madrid, info@masterzen.es.>> C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 27/35 Por otro lado, la política de privacidad publicada en el sitio de internet no refiere en ningún punto al reclamado. La política de privacidad de la página de premium sales enlaza (apartado “CESIÓN DE DATOS PERSONALES”) con el listado de posibles cesionarios de los datos personales (URL http://www.premium-sales.es/cesionarios.html). Este listado no ha sido facilitado como parte del escrito. No obstante, con fecha 17 de febrero de 2021 se han descargado dos versiones : - La primera, de fecha 17 de febrero de 2021 (ver Anexo 9 “Dil. Política Privacidad Masterzen”), contiene la siguiente información: <<Empresas a las cuales podemos ceder sus datos. Telecomunicaciones  Grupo Masmovil (Xfera Móviles, S.A.U, y MásMóvil Ibercom, S.A.) para las marcas: Masmovil, Yoigo, Pepephone, HappyMovil, Llamaya.  Grupo Orange (Orange Espagne, S.A.U) para las marcas: Orange, Jazztel, Amena, Simyo.  Grupo Telefonica (Telefónica de España S.A.U) para las marcas: Movistar, Telefonica, O2, Vivo, Tuenti.  Grupo Vodafone (Vodafone España S.A.U) para las marcas: Vodafone, Lowi, Ono. Seguros Salud  SegurCaixa Adeslas, S.A. de Seguros y Reaseguros para la marca Adeslas.  Sanitas S.A de Seguros para la marca Sanitas.  Mapfre Tech S.A. para la marca Mapfre.  Aegon ESPAÑA, S.A. de Seguros y Reaseguros, Unipersonal para la marca Aegon.  DKV Seguros y Reaseguros SAE para la marca DKV.  Asistencia Sanitaria interprovincial de seguors S.A.U. para la marca Asisa.  Asefa S.A. Seguros y Reaseguros para la marca Asefa. Distribuidores Autorizados  Neotec Comunicaciones S.L. (Distribuidor Autorizado de MásMovil) C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 28/35  Global Sales Solutions S.L. (Distribuidor Autorizado de Sanitas) Otros  Digital Media Publicidad Marketing y Distribución, S.L.  Beleader Internet Marketing S.L.  Feebbo Solution S.L.  Master Zen S.L.  Repsol Comercializadora de Electricidad y Gas S.L.U.  Iberinfo Multimedia Marketing, S.L.  Emailing Network, SARL  Marasapa, S.L.  Ignium Consulting, S.L.  TOTAL QUALITY MANAGEMENT MARKETING, S.L.  TUCAN SOLUCIONES INTEGRALES, S.L>> - La segunda, de fecha 11 de junio de 2019 (ver Anexo 10 “Dil. Política Privacidad Masterzen”) contiene el listado anterior a excepción de los siguientes: “Feebbo Solution S.L.”; “Master Zen S.L.”; “Repsol Comercializadora de Electricidad y Gas S.L.U.”; “Iberinfo Multimedia Marketing, S.L.”; “Emailing Network, SARL”; “Marasapa, S.L.”; “Ignium Consulting, S.L.”; “TOTAL QUALITY MANAGEMENT MARKETING, S.L.”; “TUCAN SOLUCIONES INTEGRALES, S.L.”.
Sobre las campañas de mercadotecnia directa realizadas desde el 25 de mayo de 2018: El reclamado afirma haber suscrito acuerdos para la realización de campañas de mercadotecnia con dos entidades:  KATAISA DIGITAL CONSULTING, S.L. (en adelante Kataisa) y  ATRATO MEDIA, S.L. (en adelante Atrato). Ambas entidades “negocian acciones de mercadotecnia con diferentes anunciantes o agencias de medios con el fin de monetizar la [sic] bases de datos de MASTERZEN”. A este respecto añade que la actividad de estas entidades se realiza siempre actuando en nombre del reclamado citándolo como responsable e indicando los canales C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 29/35 habilitados por el reclamado para facilitar a los usuarios el ejercicio de los derechos reconocidos en el Reglamento General de Protección de Datos (RGPD). Añade además que, al encontrarse vigentes los encargos a ambas entidades, ninguna de ellas ha procedido aún a la supresión o devolución de los datos personales de responsabilidad del reclamado. Se adjunta al escrito como documento número 4 el Contrato de Prestación de Servicios suscrito entre el reclamado y Kataisa con fecha de 24 de junio de
Se subrayan los siguientes contenidos del contrato: - Especifica el carácter de responsable del tratamiento del reclamado y de encargado del tratamiento de Kataisa. - El objeto del contrato es el desarrollo de acciones de mercadotecnia a través de medios electrónicos del encargado por cuenta del responsable. Para ello, el responsable habilita al encargado a tratar el fichero de datos de carácter personal “Zentral” que contiene nombre, apellidos, dirección de correo electrónico, y número de teléfono móvil “de aquellos de sus clientes que han mostrado una disposición favorable a ser contactados por anunciantes con fines comerciales mediante correo electrónico y mediante mensajes de texto entre otros medios electrónicos”. Además, el responsable faculta al encargado para establecer las oportunas relaciones comerciales con los anunciantes interesados en remitir publicidad a los individuos que figuran en el fichero. - En relación con el desarrollo de las campañas, el contrato incluye una cláusula (decimotercera) que incluye el siguiente texto: C/ Jorge Juan, 6 28001 – Madrid - “El RESPONSABLE DEL TRATAMIENTO autoriza de forma expresa mediante el presente a ENCARGADO DEL TRATAMIENTO para la realización de ofertas, promociones, comercialización y contratación de productos en los sectores de ocio, cultura, deporte, enseñanza, artes gráficas, alimentación, bebidas, banca, actividad financiera, construcción, obras públicas, inmobiliario, nuevas tecnologías, automoción, caza, pesca, sanidad, seguros, transportes, vigilancia, seguridad, comercio, oficinas, despachos, hostelería, restauración, turismo, medios de comunicación, publicidad, salud, belleza, textil, calzado, complementos, minería, metalurgia, energía, química, farmacia, administración local, autonómica y del estado gestionados por ENCARGADO DEL TRATAMIENTO o terceras empresas anunciantes que participen en tales sectores.” - “El RESPONSABLE DEL TRATAMIENTO se asegurará de que el FICHERO DE DATOS sea enriquecido mensualmente con nuevos registros y actualizado semanalmente con la Lista de Supresión y/o Bajas”. “A tal efecto, el RESPONSABLE DEL TRATAMIENTO garantiza la actualización del FICHERO DE DATOS con la Lista Robinson, por lo www.aepd.es sedeagpd.gob.es 30/35 que no enviará datos de sujetos que se hubieran Inscrito en la mencionada lista u opuesto a la comunicación con el mismo de alguna o:ra manera, manteniendo indemne a ENCARGADO DEL TRATAMIENTO en todo momento de las consecuencias que pudieran derivarse del incumplimiento de la presente manifestación”. - - “El RESPONSABLE DEL TRATAMIENTO reconoce que ha hecho todas las notificaciones exigidas por los organismos reguladores de acuerdo con la Ley sobre Protección de Datos, y garantiza haber recabado el consentimiento de los interesados a través de un acto afirmativo claro que refleje una manifestación de voluntad libre, específica, informada, e inequívoca de aceptar el tratamiento de datos de carácter personal, siendo las notificaciones realizadas correctas y suficientes para permitir el procesamiento de datos de cualquier forma de la Base de Datos por parte de ENCARGADO DEL TRATAMIENTO y sus subcontratistas, incluida la cesión.” El contrato incluye una cláusula (séptima) que refiere las obligaciones del encargado de tratamiento, entre las que se encuentran: C/ Jorge Juan, 6 28001 – Madrid - “Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios, o cualesquiera otros distintos a los establecidos.” - “Tratar los datos de acuerdo con las instrucciones del RESPONSABLE DEL TRATAMIENTO, y asegurarse, en todo momento, que los SUBENCARGADOS DEL TRATAMIENTO, gestionan y procesan los datos, igualmente, de acuerdo con las instrucciones del RESPONSABLE DEL TRATAMIENTO. Si el ENCARGADO DEL TRATAMIENTO considera que alguna de las instrucciones infringe el RGPD, o cualquier otra disposición en materia de protección de datos de la Unión o de los Estados miembros, éste deberá informará inmediatamente al RESPONSABLE DEL TRATAMIENTO”. - “No transferir la BASE DE DATOS, o cualesquiera datos personales contenidos en aquélla, a un país fuera de la Unión Europea”. - “No revelar, transferir, ceder o comunicar de cualquier otra forma los datos personales, ya sea verbalmente o por escrito, por medios electrónicos, papel o mediante acceso informática -ni siquiera para su conservación- a ningún tercero, salvo que cuente con autorización expresa del RESPONSABLE DEL TRATAMIENTO o sea necesaria para la ejecución del presente contrato.” www.aepd.es sedeagpd.gob.es 31/35 - “Devolver los datos al RESPONSABLE DEL TRATAMIENTO una vez finalizado el encargo, y proceder a la destrucción de toda la documentación que obre en su poder una vez devuelto los datos.” - El contrato incluye una cláusula (octava) que refiere la asistencia del encargado al responsable, cuando sea oportuno, en respuesta al ejercicio de derechos contenidos en el capítulo III del RGPD. En concreto señala que cuando los interesados ejerzan sus derechos ante el encargado de tratamiento éste trasladará la petición de manera inmediata a la dirección de correo electrónico dpo@masterzen.es. - El contrato incluye una cláusula (decimocuarta) en la que se responsabiliza al encargado de tratamiento de incluir un texto “opt-out” claro y adecuado en cada comunicación comercial. Según señala el reclamado, las campañas realizadas por Kataisa en nombre del reclamado corresponderían a las siguientes entidades: “Endesa”, “Seguro de Salud Sanitas”, “Seguros de Decesos Helvetia”, “CEU Dental”, “Virgin”, “ALDRO Energía”. Se adjunta al escrito como documento número 5 el Contrato de Prestación de Servicios suscrito entre el reclamado y Atrato con fecha de 2 de agosto de
Se subrayan los siguientes contenidos del contrato: - Especifica el carácter de responsable del tratamiento del reclamado y de encargado del tratamiento de Atrato. - El objeto del contrato es prestar el servicio de intermediación en la comercialización de ficheros para acciones de mercadotecnia directa. En concreto señala que el tratamiento consiste en promover la utilización del fichero de datos personales del responsable para la realización de campañas o acciones publicitarias de terceras entidades, siempre y cuando tales campañas correspondan a productos o servicios relacionados con los sectores de actividad siguientes: financiación, gran consumo, ocio, telecomunicaciones, automoción, ONG, joyerías y piedras preciosas, energía y agua, formación. - La ejecución del contrato implica la puesta a disposición de Atrato de un fichero de datos personales compuesto por registros formados por los siguientes campos: nombre, apellidos, teléfono, código postal. - El contrato incluye una cláusula (cuarta) que refiere las obligaciones del encargado de tratamiento, entre las que se encuentran: - C/ Jorge Juan, 6 28001 – Madrid “Utilizar los datos personales objeto de tratamiento, o los que recoja para su inclusión, sólo para la finalidad objeto de este encargo. En ningún caso podrá utilizar los datos para fines propios.” www.aepd.es sedeagpd.gob.es 32/35 - “Tratar los datos de acuerdo con las instrucciones del responsable del tratamiento.” - “No comunicar los datos a terceras personas, salvo que cuente con la autorización expresa del responsable del tratamiento, en los supuestos legalmente admisibles. El encargado puede comunicar los datos a otros encargados del tratamiento del mismo responsable, previa autorización y de acuerdo con las instrucciones del responsable. En este caso, el responsable identificará, de forma previa y por escrito, la entidad a la que se deben comunicar los datos, los datos a comunicar y las medidas de seguridad a aplicar para proceder a la comunicación. Si el encargado debe transferir datos personales a un tercer país o a una organización internacional, en virtud del Derecho de la Unión o de los Estados miembros que le sea aplicable, informará al responsable de esa exigencia legal de manera previa, salvo que tal Derecho lo prohíba por razones importantes de interés público.” - “No subcontratar ninguna de las prestaciones que formen parte del objeto de este contrato que comporten el tratamiento de datos personales, salvo los servicios auxiliares necesarios para el normal funcionamiento de los servicios del encargado. Si fuera necesario subcontratar algún tratamiento, este hecho se deberá comunicar previamente y por escrito al responsable, con una antelación mínima de 15 días, indicando los tratamientos que se pretende subcontratar e identificando de forma clara e inequívoca la empresa subcontratista y sus datos de contacto. La subcontratación podrá llevarse a cabo si el responsable no manifiesta su oposición en el plazo de 7 días desde que reciba la información.” - “Una vez finalizada la prestación, el encargado debe devolver al responsable del tratamiento los datos de carácter personal y, si procede, los soportes donde consten, una vez cumplida la prestación. La devolución debe comportar el borrado total de los datos existentes en los equipos informáticos utilizados por el encargado. No obstante, el encargado puede conservar una copia, con los datos debidamente bloqueados, mientras puedan derivarse responsabilidades de la ejecución de la prestación.” Según señala el reclamado las campañas realizadas por Atrato en nombre del reclamado corresponderían a las siguientes entidades: “Asociación Española Contra el Cancer (AECC)”, “Financiación Tarjetas WiZink”. FUNDAMENTOS DE DERECHO C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 33/35 I De acuerdo con los poderes de investigación y correctivos que el artículo 58 del Reglamento (UE) 2016/679 (Reglamento general de protección de datos, en adelante RGPD) otorga a cada autoridad de control, y según lo dispuesto en el artículo 47 de la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (en lo sucesivo LOPDGDD), es competente para resolver estas actuaciones de investigación la Directora de la Agencia Española de Protección de Datos. II El art. 13 del RGPD, dispone lo siguiente: <<Artículo 13 Información que deberá facilitarse cuando los datos personales se obtengan del interesado
Cuando se obtengan de un interesado datos personales relativos a él, el responsable del tratamiento, en el momento en que estos se obtengan, le facilitará toda la información indicada a continuación: a) la identidad y los datos de contacto del responsable y, en su caso, de su representante; b) los datos de contacto del delegado de protección de datos, en su caso; c) los fines del tratamiento a que se destinan los datos personales y la base jurídica del tratamiento; d) cuando el tratamiento se base en el artículo 6, apartado 1, letra f), los intereses legítimos del responsable o de un tercero; e) los destinatarios o las categorías de destinatarios de los datos personales, en su caso; f) en su caso, la intención del responsable de transferir datos personales a un tercer país u organización internacional y la existencia o ausencia de una decisión de adecuación de la Comisión, o, en el caso de las transferencias indicadas en los artículos 46 o 47 o el artículo 49, apartado 1, párrafo segundo, referencia a las garantías adecuadas o apropiadas y a los medios para obtener una copia de estas o al lugar en que se hayan puesto a disposición.
Además de la información mencionada en el apartado 1, el responsable del tratamiento facilitará al interesado, en el momento en que se obtengan los datos personales, la siguiente información necesaria para garantizar un tratamiento de datos leal y transparente: a) el plazo durante el cual se conservarán los datos personales o, cuando no sea posible, los criterios utilizados para determinar este plazo; b) la existencia del derecho a solicitar al responsable del tratamiento el acceso a los datos personales relativos al interesado, y su rectificación o supresión, o la limitación de su tratamiento, o a oponerse al tratamiento, así como el derecho a la portabilidad de los datos; c) cuando el tratamiento esté basado en el artículo 6, apartado 1, letra a), o el artículo 9, apartado 2, letra a), la existencia del derecho a retirar el consentimiento en C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 34/35 cualquier momento, sin que ello afecte a la licitud del tratamiento basado en el consentimiento previo a su retirada; d) el derecho a presentar una reclamación ante una autoridad de control; e) si la comunicación de datos personales es un requisito legal o contractual, o un requisito necesario para suscribir un contrato, y si el interesado está obligado a facilitar los datos personales y está informado de las posibles consecuencias de no facilitar tales datos; f) la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado.
Cuando el responsable del tratamiento proyecte el tratamiento ulterior de datos personales para un fin que no sea aquel para el que se recogieron, proporcionará al interesado, con anterioridad a dicho tratamiento ulterior, información sobre ese otro fin y cualquier información adicional pertinente a tenor del apartado
Las disposiciones de los apartados 1, 2 y 3 no serán aplicables cuando y en la medida en que el interesado ya disponga de la información.>> El art. 21 de la Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico (LSSICE), dispone lo siguiente: <<Artículo
Prohibición de comunicaciones comerciales realizadas a través de correo electrónico o medios de comunicación electrónica equivalentes.
Queda prohibido el envío de comunicaciones publicitarias o promocionales por correo electrónico u otro medio de comunicación electrónica equivalente que previamente no hubieran sido solicitadas o expresamente autorizadas por los destinatarios de las mismas.
Lo dispuesto en el apartado anterior no será de aplicación cuando exista una relación contractual previa, siempre que el prestador hubiera obtenido de forma lícita los datos de contacto del destinatario y los empleara para el envío de comunicaciones comerciales referentes a productos o servicios de su propia empresa que sean similares a los que inicialmente fueron objeto de contratación con el cliente. En todo caso, el prestador deberá ofrecer al destinatario la posibilidad de oponerse al tratamiento de sus datos con fines promocionales mediante un procedimiento sencillo y gratuito, tanto en el momento de recogida de los datos como en cada una de las comunicaciones comerciales que le dirija. Cuando las comunicaciones hubieran sido remitidas por correo electrónico, dicho medio deberá consistir necesariamente en la inclusión de una dirección de correo electrónico u otra dirección electrónica válida donde pueda ejercitarse este derecho, quedando prohibido el envío de comunicaciones que no incluyan dicha dirección.>> III En el presente caso, de las actuaciones de investigación llevadas a cabo por esta AEPD, se significa que del análisis de la política de privacidad que figura en los arriba C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es 35/35 citados sitios web de la entidad reclamada, no se infiere una conducta contraria a lo dispuesto en el art. 13 del RGPD. Por otro lado, respecto de lo dispuesto en la LSSICE en relación con la prohibición de comunicaciones comerciales, se debe señalar que los hechos analizados se corresponden con la excepción indicada en el art. 21.2, primer párrafo de la citada norma, así como consta que se cumplen los requisitos exigidos en los dos párrafos siguientes relacionados con el ejercicio de derechos tanto a través de mensajes telefónicos SMS como a través de correos electrónicos. Por otro lado, en cuanto al tratamiento de los datos del reclamante por parte de la reclamada, de la documentación obrante en el presente procedimiento existen indicios razonables para considerar que el reclamante autorizó de forma expresa e informada el tratamiento de sus datos para la participación en las actividades que se indican en la política de privacidad del reclamado. IV Por lo tanto, se ha acreditado que la actuación del reclamado como entidad responsable del tratamiento ha sido acorde con la normativa sobre protección de datos personales analizada en los párrafos anteriores. Por lo tanto, de acuerdo con lo señalado, por la Directora de la Agencia Española de Protección de Datos, SE ACUERDA: PRIMERO: PROCEDER AL ARCHIVO de las presentes actuaciones. SEGUNDO: NOTIFICAR la presente resolución al reclamante y reclamado. De conformidad con lo establecido en el artículo 50 de la LOPDGDD, la presente Resolución se hará pública una vez haya sido notificada a los interesados. Contra esta resolución, que pone fin a la vía administrativa según lo preceptuado por el art. 114.1.c) de la Ley 39/2015, de 1 de octubre, del Procedimiento Administrativo Común de las Administraciones Públicas, y de conformidad con lo establecido en los arts. 112 y 123 de la citada Ley 39/2015, de 1 de octubre, los interesados podrán interponer, potestativamente, recurso de reposición ante la Directora de la Agencia Española de Protección de Datos en el plazo de un mes a contar desde el día siguiente a la notificación de esta resolución o directamente recurso contencioso administrativo ante la Sala de lo Contencioso-administrativo de la Audiencia Nacional, con arreglo a lo dispuesto en el artículo 25 y en el apartado 5 de la disposición adicional cuarta de la Ley 29/1998, de 13 de julio, reguladora de la Jurisdicción Contencioso-Administrativa, en el plazo de dos meses a contar desde el día siguiente a la notificación de este acto, según lo previsto en el artículo 46.1 de la referida Ley. 940-0419 Mar España Martí Directora de la Agencia Española de Protección de Datos C/ Jorge Juan, 6 28001 – Madrid www.aepd.es sedeagpd.gob.es

🔗 A la fuente oficial

Explicación por IA a partir del texto oficial de la ley. Orientativa, no sustituye asesoramiento legal.