PS-00250-2016

1/27 Procedimiento Nº PS/00250/2016 RESOLUCIÓN: R/02928/2016 En el procedimiento sancionador PS/00250/2016, instruido por la Agencia Española de Protección de Datos a las entidades SHERRYTEL SOLUCIONES, SL, y SOJETEL ON LINE S.L., vista la denuncia presentada por Dña. C.C.C., y en base a los siguientes, ANTECEDENTES PRIMERO: Con fecha de 27 de agosto de 2015 tiene entrada en esta Agencia un escrito de Dña. C.C.C. (en lo sucesivo la denunciante) en el que declara lo siguiente: Que en fecha de 17/06/2015 recibió una llamada telefónica en su móvil número E.E.E. ofreciéndole participar en una campaña de UNICEF. De dicha llamada le llamó atención que conocieran su nombre y número de móvil por lo que preguntó el origen de la información siendo informada que procedía de la base de datos SOJETEL, S.L. (en adelante SOJETEL). Tras buscar a la citada empresa en Internet averiguó que dicha empresa tiene la página web http://sojetel.net y consiguió hablar con un responsable de dicha entidad en el número ***TEL.1 que atendía al nombre de ***NOMBRE.1. Añade la denunciante que el Sr. ***NOMBRE.1 le informó que no podía decirle exactamente de donde habían sacado sus datos por encontrarse fuera de la oficina, pero que la mayoría procedían de concursos de televisión emplazándola para llamarla otro día y facilitarle información más concreta. Añade la denunciante que a la semana siguiente recibió la llamada del Sr. ***NOMBRE.1 que grabó y que aporta junto a su denuncia. En dichas conversación la informan que sus datos los obtuvieron de una página web en la que afirman concursó para ganar un IPAD y que la han dado de alta en la lista Robinson para que no la llamen más. Considera la denunciante que la empresa SOJETEL incumple la normativa de protección de datos ya que afirma no le consta haber facilitado sus datos en ninguna página web para un concurso televisivo y en todo caso, no ha recibido información alguna acerca de la cesión de sus datos a terceros. Junto a las denuncias se aportaron los siguientes documentos:  Grabación de la conversación que mantuvo con el SR. ***NOMBRE.1, portavoz de SOJETEL y cuyo resumen es el siguiente: Una persona con voz masculina que se presenta como ***NOMBRE.1 afirma llamar de SOJETEL y dice que tras consultar al departamento de sistemas de su empresa le han confirmado que en fecha de 2/2/2015 se registró en una página web para el sorteo de un Ipad. El sorteo se realizó en la página cazamillones. Tras negar la C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 2/27 denunciante haber utilizado dicha página ya que afirma no le suena de nada el portavoz de SOJETEL le informa que en la citada página aparecen unos banners sorteando Ipads, Minis, etc. y donde al clicar sobre uno de ellos se solicita el teléfono y si se es mayor de edad. La denunciante manifiesta que además de dichos datos la persona que la llamó de UNICEF también conocía su nombre y solicita la informen de que datos tienen de ella. El portavoz de SOJETEL le dice que al solicitar participar en el concurso tiene que proporcionar el nombre y apellidos, teléfono y aceptar la política de privacidad donde figura un texto del tipo estos datos pueden cederse a terceras empresas de seguros, banca, ONG´s, etc. El portavoz de SOJETEL señala que desde UNICEF le llamaron dos veces: una el 17/6/2015 donde se la llamó pero no contestó y otra el 19/6/2015 que si fue atendida y donde dijo que no le interesaba. Añade el portavoz de SOJETEL que la han pasado a ROBINSON para no volver a llamarla SEGUNDO: A la vista de los hechos denunciados, en fase de actuaciones previas, por los Servicios de Inspección se efectuó visita de inspección en SOJETEL, teniendo constancia de los siguientes extremos conforme al informe de actuaciones de inspección E/06869/2015 que se transcribe: “ACTUACIONES PREVIAS 1. Tras realizar una inspección a la entidad SOJETEL se ha averiguado lo siguiente: 1.1. SOJETEL se dedica a la realización de campañas de marketing telefónico para terceros. 1.2. Para cada campaña de marketing SOJETEL utiliza una base de datos especifica generada a partir de diversas fuentes: datos proporcionados por la propia empresa contratante de la campaña y datos proporcionados por proveedores de datos que son cedidos a SOJETEL en régimen de alquiler para la campaña y con limitaciones tanto en el número de usos como en el periodo de uso. 1.3. Los distintos ficheros que SOJETEL utiliza en las diferentes campañas forman una base de datos con datos de carácter personal que se encuentra registrada en el Registro General de Protección de la Agencia Española de Protección de Datos con el código ***CÓD.1. 1.4. La estructura de datos personales utilizada por SOJETEL es muy básica ya que se limita a disponer de datos identificativos de nombre y apellidos, número de teléfono, fecha de nacimiento para determinar si es mayor de edad y código postal. 1.5. Con antelación a realizar las llamadas de telemarketing SOJETEL filtra el listado de personas a contactar en la campaña con el fichero LISTA ROBINSON suministrado por ADIGITAL, asociación de la que SOJETEL es socio. Adicionalmente SOJETEL realiza también un filtrado con la lista propia de personas que han solicitado directamente a SOJETEL que excluya su teléfono de acciones de telemarketing. 1.6. En la citada inspección se pudo constatar mediante comprobaciones en la base C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 3/27 de datos lo siguiente: 1.6.1.Se realizó una búsqueda partir del número de teléfono E.E.E. obteniéndose un registro en el que consta que para dicho número de teléfono se ha solicitado directamente a SOJETEL sea excluido de acciones de telemarketing. 1.6.2.Se realizó una búsqueda directamente a las tablas de la base datos por el número de teléfono E.E.E. obteniéndose un registro con la siguiente información: nombre: C.C.C., teléfono: E.E.E., fecha de nacimiento: F.F.F., sexo: M. No constan en el citado registro datos de apellidos ni domicilio. Asociado a dicho registro consta que se realizó una llamada comercial al teléfono que figura en el registro en fecha de 19-6-2015 dentro de una campaña contratada por UNICEF, siendo el resultado de la llamada tipificado como denegación (código 3) y no está interesado (código 311). El origen de los datos que figuran en el registro es la empresa EGENTIC.. 1.6.3.El representante de SOJETEL manifestó que EGENTIC realiza captaciones de datos para campañas de marketing a través de la página web http://www.llevateloahora.com realizándose una consulta desde un ordenador a dicha página e imprimiéndose copia de la pantalla principal así como de la declaración de protección de datos incluida en dicha página web. 1.6.4.Los inspectores requirieron al representante de SOJETEL para que remitiera a la Agencia copia de los contratos suscritos por SOJETEL con UNICEF y con EGENTIC para la realización de la campaña en cuyo desarrollo se realizó la llamada de marketing a la que se alude en el punto 1.6.2 2. Con posterioridad a la inspección, SOJETEL remitió un escrito a la Agencia en el que aclaran algunas informaciones aportadas durante la inspección. En este sentido señalan lo siguiente: 2.1. En la búsqueda realizada aparece registrado que se hizo una única llamada con fecha 15/06/2015 al teléfono de la denunciante para una campaña de la entidad sin ánimo de lucro UNICEF. La empresa encargada de realizar las llamadas para esta campaña no es SOJETEL ON-LINE S.L. sino SHERRYTEL SOLUCIONES S.L., cuya actividad es telemárketing y ha realizado numerosas campañas para UNICEF. 2.2. Todas las campañas de UNICEF han sido contratadas por la empresa THE FUNDRAISING COMPANY S.L. Se ha aportado copia del contrato entre SHERRYTEL SOLUCIONES SL y ésta última. 2.3. SOJETEL ON-LINE S.L. es la empresa encargada de la captación de bases de datos para algunas campañas, para esta campaña de UNICEF se contrató una base de datos de la empresa EGENTIC GMBH, pero hemos confirmado que en este caso concreto el teléfono de la denunciante no aparece en esa base de datos. En todo caso remitimos adjuntos los contratos entre estas sociedades. 2.4. Todas las entidades descritas exigen para la formalización de los contratos para la prestación de estos servicios a las demás un estricto cumplimiento de la normativa de Protección de Datos, en cuanto a medios técnicos y medidas organizativas. Para ello se realizan múltiples pruebas de verificación en cuanto C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 4/27 a los procedimientos, controles en las llamadas y confirmación de los consentimientos necesarios. 2.5. Tras investigar el hecho en los sistemas informáticos y con el personal, hemos llegado a la conclusión de que en este caso, y teniendo en cuenta que únicamente se disponía de nombre (sin apellidos) y teléfono, se trata de lo que denominamos "un referido"; esto se produce muy puntualmente cuando una persona a la que se ha llamado facilita al operador el contacto de otra persona que puede estar interesado. 2.6. Previamente a efectuar la llamada los datos de estos "referidos" se filtran para comprobar que no aparecen en LISTA ROBINSON suministrado por ADIGITAL, ni en el listado propio de personas que han manifestado que no desean que se les contacte anteriormente. 2.7. Tras la llamada, tal como se mostró a la inspección, se marcó en el sistema que no estaba interesada y también que no se le volviera a llamar, y así se hizo.” TERCERO: Con fecha 2 de junio de 2016, la Directora de la Agencia Española de Protección de Datos acordó iniciar, procedimiento sancionador a SHERRYTEL SOLUCIONES, S.L. (en adelante SHERRYTEL), y a SOJETEL ON LINE S.L. (en adelante SOJETEL), por presunta infracción del artículo 6.1 de la Ley Orgánica 15/1999, de 13/12, de Protección de Datos de Carácter Personal (en lo sucesivo LOPD), tipificada como grave en el artículo 44.3.

1. b)de la citada Ley Orgánica. CUARTO: Notificado el acuerdo de inicio, SHERRYTEL efectuó las siguientes alegaciones: 1ª. SOJETEL ha sido únicamente encargada de la captación de bases de datos para la campaña de UNICEF, habiendo contratado para tal fin una base de datos de la empresa EGENTIC GMBH, sin más participación en el tratamiento de datos. 2ª. Lo ocurrido se debe a un error puntual de un operador de SHERRYTEL al añadir los datos de la denúnciate a la base de datos por lo que SOJETEL no ha intervenido en el tratamiento de los datos de la denunciante. SHERRYTEL reconoce voluntariamente la responsabilidad y exime de cualquier responsabilidad a SOJETEL. 3ª. En la base de datos únicamente se encontraba número de teléfono y un nombre, sin apellidos y ningún otro dato identificativo de la denunciante. Estaba marcada como “no llamar”, tal como pudo comprobar la inspección, y no se le volvió hacer llamada comercial alguna, tras su primera negativa. El error por parte del operador es haber llamado a lo que entienden debe ser un “referido” (cuando al llamar a un usuario, éste facilita el contacto de una persona conocida que le puede interesar), o puede ser que el operador recogiera el dato de internet. La denunciante tiene una web A.A.A. en la que indica su nombre y teléfono entre otros datos en el apartado CONTACT/ABOUT. QUINTO: Notificado el acuerdo de inicio, SOJETEL efectuó las siguientes alegaciones: 1ª. SOJETEL ha sido únicamente encargada de la captación de bases de datos para la campaña de UNICEF, habiendo contratado para tal fin una base de datos de la empresa EGENTIC GMBH, sin más participación en el tratamiento de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 5/27 2ª. Lo ocurrido se debe a un error puntual de un operador de SHERRYTEL al añadir los datos de la denúnciate a la base de datos por lo que SOJETEL no ha intervenido en el tratamiento de los datos de la denunciante. SHERRYTEL ha reconocido voluntariamente la responsabilidad y exime de cualquier responsabilidad a SOJETEL. SEXTO: En fecha 26/0/2016 se emitió propuesta de resolución en el sentido de imponer a SHERRYTEL y a SOJETEL sendas multas de 15.000 € por la infracción del artículo 6.1 de la LOPD, tipificada como grave en el artículo 44.3.
2. b)de dicha norma. SEPTIMO: Notificada la propuesta SHERRYTEL manifestó que la llamada efectuada a la denunciante se debió a un error puntual de un operador de la empresa al añadir los datos de la denunciante a su base de datos. En la base de datos de SHERRYTEL sólo se encontraba el número de teléfono y un nombre, sin apellidos ni otro dato identificativo de la denunciante. Estaba marcada como “no llamar” tal como comprobó la inspección, y no se le volvió a efectuar llamada comercial alguna. Afirma que la persona que atendió a los inspectores en la visita de inspección fue D.D.D., trabajador de SHERRYTEL. El servidor al cual accedieron los inspectores en la visita de inspección es de SHERRYTEL como aparece en la primera columna del documento aportado en la inspección cuando se efectuó consulta a la base de datos y en la cual figura SHERRYTEL bajo el epígrafe de VirtualCC (Virtual Contact Center) Reconoce voluntariamente la responsabilidad del error y exime de cualquier responsabilidad a SOJETEL. OCTAVO: Notificada la propuesta SOJETEL manifestó que el número de teléfono de la denunciante no pertenece a ninguna de sus bases de datos, ni a ninguno de sus proveedores. En la inspección no se contó con la presencia de ningún miembro de la plantilla de SOJETEL, y los servidores consultados no eran de su propiedad ya que SOJETEL no dispone de ninguno. Para acreditar estos extremos se insta a SHERRYTEL a que aporte el contrato de trabaja de la persona que presenció la inspección, D. D.D.D., que es trabajador de dicha empresa y no de SOJETEL. La llamada efectuada a la denunciante se debió a un error puntual de un operador de SHERRYTEL al añadir los datos de la denunciante a la base de datos facilitada por SOJETEL con posterioridad a que hubiera sido facilitada por SOJETEL, por lo que SOJETEL no ha intervenido en el tratamiento ni almacenamiento de los datos de la denunciante. HECHOS PROBADOS PRIMERO: Con fecha de 27 de agosto de 2015 tiene entrada en esta Agencia un escrito de la denunciante en el que manifiesta que en fecha de 17/06/2015 recibió una llamada telefónica en su móvil número E.E.E. en la que el interlocutor se dirigió a ella por su nombre “***NOMBRE.2”, ofreciéndole participar en una campaña de UNICEF. Al requerir información sobre el origen de los datos utilizados para efectuar la llamada, el interlocutor le informó que procedían de una base de datos de SOJETEL. Contactó C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 6/27 telefónicamente con SOJETEL siendo informada que sus datos los obtuvieron de una página web en la que afirman concursó para ganar un IPAD y a petición suya han dado de alta en la lista Robinson para que no la llamen más. La denunciante afirma no le consta haber facilitado sus datos en ninguna página web para un concurso televisivo y en todo caso, no ha recibido información alguna acerca de la cesión de sus datos a terceros. SEGUNDO: Consta en el expediente grabación de la conversación mantenida por la denunciante con ocasión de una llamada recibida por una persona que dice llamarla en nombre de SOJETEL para darle la información requerida por ésta sobre el origen de los datos utilizados para efectuar la llamada comercial de UNICEF objeto de denuncia, y cuyo resumen es el siguiente: Una persona con voz masculina que se presenta como ***NOMBRE.1 afirma llamar de SOJETEL y dice que tras consultar al departamento de sistemas de su empresa le han confirmado que en fecha de 02/02/2015 se registró en una página web para el sorteo de un Ipad. El sorteo se realizó en la página cazamillones. Tras negar la denunciante haber utilizado dicha página ya que afirma no le suena de nada el portavoz de SOJETEL le informa que en la citada página aparecen unos banners sorteando Ipads, Minis, etc. y donde al clicar sobre uno de ellos se solicita el teléfono y si se es mayor de edad. La denunciante manifiesta que además de dichos datos la persona que la llamó de UNICEF también conocía su nombre y solicita la informen de que datos tienen de ella. El portavoz de SOJETEL le dice que al solicitar participar en el concurso tiene que proporcionar el nombre y apellidos, teléfono y aceptar la política de privacidad donde figura un texto del tipo estos datos pueden cederse a terceras empresas de seguros, banca, ONG´s, etc. El portavoz de SOJETEL señala que en el sistema consta que le llamaron dos veces: una el 17/06/2015 donde se la llamó pero no contestó y otra el 19/06/2015 que si fue atendida y donde dijo que no le interesaba. Añade el portavoz de SOJETEL que la han pasado a ROBINSON para no volver a llamarla. TERCERO: En la inspección efectuada en fecha 17/02/2016 en SOJETEL sus representantes efectúan las siguientes manifestaciones: - SOJETEL se dedica a la realización de campañas de marketing telefónico para terceros. - Para cada campaña de marketing SOJETEL utiliza una base de datos especifica generada a partir de diversas fuentes: datos proporcionados por la propia empresa contratante de la campaña y datos proporcionados por proveedores de datos que son cedidos a SOJETEL en régimen de alquiler para la campaña y con limitaciones tanto en el número de usos como en el periodo de uso. - Los distintos ficheros que SOJETEL utiliza en las diferentes campañas forman una base de datos con datos de carácter personal que se encuentra registrada en el Registro General de Protección de la Agencia Española de Protección de Datos con el código ***CÓD.1. - La estructura de datos personales utilizada por SOJETEL es muy básica ya que se limita a disponer de datos identificativos de nombre y apellidos, número de C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 7/27 teléfono, fecha de nacimiento para determinar si es mayor de edad y código postal. En la citada inspección se accede a una base de datos acreditándose que existe un registro con la siguiente información: nombre: C.C.C., teléfono: E.E.E., fecha de nacimiento: F.F.F., sexo: **. No constan en el citado registro datos de apellidos ni domicilio. Asociado a dicho registro consta que se realizó una llamada comercial al teléfono que figura en el registro en fecha 19/06/2015 dentro de una campaña contratada por UNICEF, siendo el resultado de la llamada tipificado como denegación (código 3) y no está interesado (código 311). Los representantes de SOJETEL afirman que el origen de los datos de la denunciante que figuran en el registro es la empresa EGENTIC que realiza captaciones de datos para campañas de marketing a través de la página web http://www.llevateloahora.com. En la citada base de datos figura un registro donde consta que para dicho número de teléfono se ha solicitado la exclusión de acciones de telemarketing. SOJETEL y SHERRYTEL manifiestan que la base de datos consultada en la que constan los datos de la denunciante pertenece a SHERRYTEL. En el documento obtenido de la impresión de los datos de la denunciante que constan en la citada base de datos se observa que figura SHERRYTEL bajo el epígrafe de VirtualCC (Virtual Contact Center) CUARTO: En fecha 27/02/2016 SOJETEL informa a la AEPD de lo siguiente: - En la búsqueda realizada aparece registrado que se hizo una única llamada con fecha 15/06/2015 al teléfono de la denunciante para una campaña de la entidad sin ánimo de lucro UNICEF. La empresa encargada de realizar las llamadas para esta campaña no es SOJETEL sino SHERRYTEL, cuya actividad es telemárketing y ha realizado numerosas campañas para UNICEF. - SOJETEL es la empresa encargada de la captación de bases de datos para algunas campañas, para esta campaña de UNICEF se contrató una base de datos de la empresa EGENTIC GMBH, pero hemos confirmado que en este caso concreto el teléfono de la denunciante no aparece en esa base de datos. QUINTO: En las alegaciones al acuerdo de inicio del presente procedimiento sancionador SHERRYTEL y SOJETEL manifestaron que SOJETEL ha sido únicamente encargada de la captación de bases de datos para la campaña de UNICEF, habiendo contratado para tal fin una base de datos de la empresa EGENTIC GMBH, sin más participación en el tratamiento de datos. La llamada comercial recibida por la denunciante se debe a un error puntual de un operador de SHERRYTEL al añadir los datos de la denunciante a la base de datos, datos que habría obtenido, o bien de lo que denominan un “referido” (cuando al llamar a un usuario, éste facilita el contacto de una persona conocida que le puede interesar), o bien de internet, puesto que la denunciante tiene una web A.A.A. en la que indica su nombre y teléfono entre otros datos en el apartado CONTACT/ABOUT. SEXTO: UNICEF ESPAÑA (en adelante UNICEF) suscribió un contrato con THE FUNDRAISING COMPANY, S.L. con el objeto de desarrollar una campaña de captación de socios los cuales provienen de acciones telefónicas de conversión de leads adquiridos a través de campañas en internet. SEPTIMO: En fecha 12/05/2014 THE FUNDRAISING COMPANY S.L. y SHERRYTEL C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 8/27 suscribieron un contrato de subcontratación de prestación de servicios campaña de corregistros que, entre otras cuestiones, contiene lo siguiente: “EXPONEN PRIMERO.- Que la sociedad “THE FUNDRAISING COMPANY S.L.”, a partir de ahora FRC, ha suscrito contrato con UNICEF ESPAÑA, en adelante UNICEF, con el objeto de desarrollar una campaña de captación de socios los cuales provienen de acciones telefónicas de conversión de leads adquiridos a través de campañas en internet. SEGUNDO.- Que en dicho contrato UNICEF permite a FRC la subcontratación parcial o total de los servicios que son objeto del contrato, estando interesada FRC en subcontratar los mismos. … CUARTO.- Que, en la fase precontractual, se ha definido conjuntamente con SHERRYTEL SOLUCIONES”, las necesidades reales de FRC, por lo que ha permitido cuantificar previamente el volumen de trabajo y por tanto, definir los módulos que componen la prestación de los servicios. QUNTO.- Que ambas partes, acuerdan suscribir el presente CONTRATO DE SUBCONTRATACIÓN DE PRESTACIÓN DE SERVICIOS DE CONVERSIÓN A SOCIOS Y PADRINOS DE LA CAMPAÑA DE CORREGISTROS PARA UNICEF, con arreglo a las siguientes: ESTIPULACIONES PRIMERA.- OBJETO FRC subcontrata a “SHERRYTEL SOLUCIONES S.L.” para la prestación de servicios consistente en: Adquisición de leads (corregistros) a través de subcontratación de proveedores de internet. Esta adquisición se realizará utilizando imágenes y textos provistos por UNICEF y cuyo diseño final ha de ser acordado por la ONG. Emisión de llamadas a los listados provistos por dicho proveedor de internet. El objetivo de la llamada es la conversión a socios y padrinos para UNICEF” SEGUNDA.- DURACION El presente contrato entrará en vigor en la fecha de su firma, y tendrá una duración hasta finalizada la campaña de UNICEF en cuanto a los ficheros que se subcontratatan. … CUARTA.- RESPONSABILIDADES SHERRYTEL SOLUCIONES responderá frente a los Responsables de los Ficheros del incumplimiento que en la normativa en materia de protección de datos le asignas a la figura del encargado del tratamiento de acuerdo con el artículo 12.4 LOPD. SHERRYTEL SOLUCIONES responderá frente a FRC del incumplimiento que en la normativa vigente en materia de protección de datos como Responsable de los Ficheros. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 9/27 … OCTAVA.- PROTECCION DE DATOS PERSONALES En ningún caso, se entenderá que la citada prestación de servicios es una comunicación de datos. En particular, y a los efectos de lo dispuesto en el artículo 12 LOPD, la sociedad “SHERRYTEL SOLUCIONES” será considerado a todos los efectos como encargado del tratamiento de cada Responsable del Fichero con el objeto de llevar a cabo los servicios descritos en el presente contrato. FRC contrata con la sociedad “SHERRYTEL SOLUCIONES” en nombre y por cuenta de los Responsables de los Ficheros los servicios descritos en el presente contrato. En consecuencia, el tratamiento realizado por la sociedad “SHERRYTEL SOLUCIONES” no será considerado una comunicación de datos y por tanto no será aplicable el artículo 11 LOPD, Y no los aplicará ni utilizará con fin distinto al del contrato y tampoco comunicará a otras personas.” OCTAVO: En fecha 12/01/2015 SOJETEL y SHERRYTEL (el CLIENTE) suscribieron un contrato marco de alquiler de bases de datos con, entre otro, el siguiente contenido: “CONSIDERANDO QUE A. SOJETEL es una entidad propietaria de unos ficheros de datos contenedores de datos personales, cumpliendo tales ficheros los principios inspiradores de la Ley 15/1999, de 13 de diciembre de Protección de Datos de Carácter Personal, en adelante LOPD, y que la utilización de tales datos ha sido plenamente aceptada por los afectados. B. CLIENTE, en el desarrollo de sus actividades, tiene interés en usar las páginas web y/o la información contenida en las BB.DD de SOJETEL, para la realización de campañas de publicidad directa bien en interés propio, bien en interés de terceros (“Clientes finales”). C. Las partes declaran y garantizan, mutua y recíprocamente, su compromiso a respetar integral y estrictamente el régimen jurídico aplicable, entre otros ámbitos, a la protección de los datos de carácter personal contenidos en tales Bases de Datos D. Los contratos que, en su caso, celebren las partes con terceros, deberán respetar, en todo caso, las reglas vigentes en materia a los regímenes jurídicos de protección de los datos de carácter personal y envíos publicitarios, ente otros ámbitos, asegurando la mayor protección y seguridad en los envíos, comunicaciones, custodia y tratamiento de dichos datos y obligándose a notificarse inmediatamente cualquier riesgo sobre la integridad y acceso a los datos. Y en interés de todas ellas, se comprometen a respetar y llevar a cabo el presente acuerdo de cooperación comercial de acuerdo a las siguientes ESTIPULACIONES 1. OBJETO: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 10/27 Con la firma del presente contrato, las partes inician una cooperación comercial en materia de explotación comercial, directa o indirecta, de la información contenida en las Bases de Datos de SOJETEL, mediante la realización de campañas de publicidad directa. CLIENTE contactará con los usuarios directamente por él, CLIENTE deberá formalizar la previa cesión hacia él de los datos de SOJETEL mediante el modelo de documento complementario que se acompaña como Anexo I, en el que se detallarían las características de cada cesión (beneficiario, número de registros, condiciones económicas, etc.). Todo contacto del CLIENTE con los usuarios finales se hará, consecuentemente, en relación con aquellos que se integren en la Base de datos propia del CLIENTE tras la correspondiente cesión. Todas las cesiones se realizarán con expresa indicación de la precisa finalidad del uso de los datos, los plazos para el uso de los mismos, la imposibilidad de cesión o acceso de los datos por terceros y la acreditación de la destrucción de los datos llegado el momento, entre otros aspectos. En cualquier caso, cualquier cesión implicará: 1. Que la cesión tenga por finalidad única y exclusiva aquella que en su momento se determine en el documento complementario aludido. A este respecto, CLIENTE solo podrá usar los datos para la finalidad acordada, sin variar en ningún momento ni el mensaje realizado, la temática del mismo, la identidad del beneficiario, las fechas acordadas, el número de envíos/comunicaciones, el argumentarlo de venta (si corresponde), o cualquier otra condición pactada 2. El pleno respeto del CLIENTE a la normativa de protección de datos aplicable y a las medidas de protecciones técnicas y organizativas que sean menester. 3. El pleno respeto del CUENTE al deber de informar sobre la titularidad de la base de datos, el origen de los mismos, y la identidad y medios de comunicación con el responsable del fichero cedido para el oportuno ejercicio de los derechos del afectado que correspondan (acceso, rectificación, cancelación, oposición, información, etc.) 4. La integración de los datos cedidos en un fichero conforme a la normativa aplicable a CLIENTE. 5. La destrucción de los datos cedidos tras el uso acordado de los mismos por parte del CLIENTE o tras alcanzarse la fecha última válida para su uso. La comunicación de la cesión que, en su caso, corresponda realizar a los usuarios finales en virtud de la realización de la cesión correrá de exclusiva responsabilidad de CLIENTE. …. 2. NORMATIVA PROTECCIÓN DE DATOS DE CARÁCTER PERSONAL Y NORMATIVA SECTORIAL Ambas partes garantizan su interés principal en la adecuada gestión legal de los C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 11/27 datos de carácter personal de acuerdo con la normativa que les resulte de aplicación, así como el pleno respeto a la normativa sectorial derivada bien del sector de actividad del producto/servicio ofrecido, bien por el medio de comunicación usado, bien por el carácter de consumidor del destinatario. Las partes se reconocen mutua y recíprocamente que las informaciones contenidas en los ficheros de las BBDD son de la exclusiva responsabilidad de los titulares correspondientes. Al propio tiempo, las partes se comprometen a realizar de modo seguro y encriptado cualquier comunicación que en su caso se realice en materia datos de carácter personal. CLIENTE se compromete únicamente a realizar, por cualquiera de los medios descritos en el punto anterior, actuaciones concordantes con los ámbitos de consentimiento propios de las BB.DD. y las páginas web que, en su caso, se utilicen, respondiendo directa y exclusivamente (dejando indemne SOJETEL) sobre este aspecto. Las partes velarán por la adecuada utilización de los ficheros, impidiendo que por sí mismos o por sus representados, empleados o agentes, se cometa cualquier infracción en materia de protección de los datos de carácter personal, normativa publicitaria, de la sociedad de la información o de cualquier otro ámbito. SOJETEL entregará al CLIENTE los ficheros libres de registros contenidos en la "Lista Robinson" actualizada a la fecha de entrega. CLIENTE deberá previamente a la utilización de los datos, procurar excluir los que consten en la denominada "Lista Robinson" que exista, en su caso, en el sector, respondiendo directa y exclusivamente (dejando indemne a SOJETEL) por ello. Las partes priorizarán la atención a los derechos legales de los usuarios, facilitando las solicitudes (incluyendo la de baja) que reciban y comunicando al resto de las partes cualquier solicitud recibida en relación a los mismos. 3. MEDIDAS DE CONTROL SOJETEL se reserva el derecho a controlar la correcta utilización de los ficheros mediante, entre otros medios, la utilización de nombres, teléfonos y direcciones u otros datos “de control". Además, SOJETEL podrá requerir un modo válido de comprobación acerca del alcance y resultado final obtenido en la campaña, así como de la oportuna destrucción de los ficheros, cuando corresponda….” NOVENO: En fecha 15/01/2015 SOJETEL y SHERRYTEL (el CLIENTE) suscribieron un Anexo I al citado contrario marco de alquiler de bases de datos, con entre otros, el siguiente contenido: “CONSIDERANDO QUE: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 12/27 1.El CLIENTE exonerará a SOJETEL así como a los titulares de las BB.DD. de cualquier responsabilidad frente Administraciones y terceros sobre las formalidades o el contenido de la campaña a difundir. 2. La campaña dará comienzo en la fecha señalada en el apartado 9 y finalizará en la fecha señalada en el apartado 10. Ambas fechas podrán sufrir ligeras variaciones por cuestiones de carácter técnico. Asimismo la fecha de finalización podrá variar en atención a la modalidad del servicio (señalado asimismo en el apartado 18), bien sea por haber llegado antes al objetivo establecido, bien por ser conveniente extender el plazo para alcanzar el objetivo. Este último aspecto queda a la sola discreción de SOJETEL 3.SOJETEL garantiza al CLIENTE que los sujetos destinatarios finales de la camparía han sido cotejados el servicio de exclusión publicitaria gestionado por la Asociación Española de la Economía Digital publicados en la Lista Robinson. 4.Si algún usuario final se pusiera en contacto con el CLIENTE para ejercer sus derechos en materia de protección de datos, sin perjuicio del adecuado tratamiento al que se compromete el CLIENTE, se comunicará tal aspecto a SOJETEL para su oportuna transmisión, en su caso, a los titulares de las BB.DD. 5.Los datos incluidos en el presente documento, así como aquellos otros que pudieran ser facilitados por el CLIENTE con el objeto de darle mejor cumplimiento, podrán formar parte de un fichero automatizado titularidad de SOJETEL, frente a la que podrá en cualquier momento ejercerse los derechos legalmente reconocidos de acceso, rectificación, cancelación y oposición. Tales datos podrán cederse tanto a las empresas titulares de las BB.DD. como a terceras entidades para la gestión de cobros.” En el anexo se especifica que se trata de una campaña de UNICEF con fecha de inicio 12/01/2015, que los datos serán nombre, teléfono y código postal, y la segmentación se refiere a hombres y mujeres de entre 30 y 60 años. DECIMO: En fecha 20/02/2015 SOJETEL y EGENTIC GMBH (domiciliada en (C/...1), Alemania), suscribieron un contrato de cesión de base de datos y sus Anexos, con entre otro el siguiente contenido: “EXPONEN …. II. Que eGentic GmbH está interesado en obtener una copia de la base de datos descrita en el Anexo II para llevar a cabo las finalidades descritas en el objeto del presente contrato. III. Que eGentic GmbH está interesado en ceder la base de datos descrita en el Anexo II del presente contrato. IV. Las partes, según intervienen, se reconocen capacidad reciproca para formalizar el presente CONTRATO DE CESIÓN DE BASE DE DATOS PERSONALES, que se regirá por el principio de buena fe contractual, así como los principios generales del Derecho y por las siguientes: C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 13/27 CLAUSULAS PRIMERA.- Objeto El objeto de la cesión de datos alcanzará a todos los campos de la base de datos indicados en el Anexo II del presente contrato, incluyendo todos los ficheros, archivos electrónicos o analógicos, que sean necesarios para la correcta utilización y explotación de la base de datos. eGentic GmbH manifiesta expresamente que no fomenta o promociona el uso de contenidos ilegales, inmorales, contrarios a la moral pública, garantizando a SOJETEL que no remite, ni autoriza el envió de correos electrónicos masivos mediante el uso de sus bases de datos, no deseados y/o basura que no hubiera sido previamente solicitados. eGentic GmbH garantiza a SOJETEL que la base de datos proporcionada es propiedad de eGentic GmbH, no existiendo derechos de propiedad Intelectual de terceros previos. La cesión de la base de datos podrá realizarse mediante envío físico en soporte magnético o mediante la puesta a disposición en una dirección web disponible para su descarga SEGUNDA-. Condiciones de la Cesión. eGentic GmbH garantiza que los datos personales almacenados en la base de datos cedida son completamente lícitos y para el uso por parta propia como de SOJETEL Asimismo eGentic GmbH garantiza a SOJETEL que toda base de datos será recabada de fuentes accesibles al público, y de acuerdo con el articulo 5.S de la Ley Orgánica 15/1999 y al artículo 2.2 del Real Decreto 1720/2007, informándole en todo momento del origen de los datos mediante un campo añadido en todo registro conteniendo la URI de dicho dato en internet. Articulo 5.5 de la Ley Orgánica 15/1999: Asimismo, tampoco regirá lo dispuesto en el apartado anterior cuando los datos procedan de fuentes accesibles al público y se destinen a la actividad de publicidad o prospección comercial, en cuyo caso, en cada comunicación que se dirija al interesado se le Informará del origen de los datos y de la identidad del responsable del tratamiento así como de los derechos que le asisten. Articulo 2.2 del Real Decreto 1720/2007: Este reglamento no será aplicable a los tratamientos de datos referidos a personas jurídicas, ni a los ficheros que se limiten a incorporar los datos de las personas físicas que presten sus servicios en aquéllas, consistentes únicamente en su nombre y apellidos, fas fondones o puestos desempeñados, así como la dirección postal o electrónica, teléfono y número de fax profesionales. eGentic GmbH exime de cualquier otra responsabilidad a SOJETEL por el incumplimiento de la obtención masiva fraudulenta de los datos personales de los titulares que aparecieran inducidos en la base de datos. C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 14/27 eGentic GmbH se responsabiliza absolutamente del incumplimiento de la Ley de Servidos de la Sociedad de la Información y del Comercio Electrónico y la normativa de protección de datos personales, así como de cualquier otra normativa que pudiera ser aplicable. Ambas partes se comprometen con la otra a que en caso de que se produzca cualquier tipo de reclamación por parte de un tercero, liberarán por completo a la otra parte de cualquier tipo de responsabilidad respecto a procedimientos judiciales o extrajudiciales que pudieran derivarse de dichas reclamaciones. A todos los efectos, las partes asumirán como propios sus daños emergentes y lucros cesantes, derivados de la reclamación interpuesta SOJETEL, de forma expresa se compromete a garantizar que cualquier mensaje publicitario remitido a las personas que aparecen en la base de datos cedida, cumplirá Con las obligaciones dispuestas en materia de envío de comunicaciones comerciales no deseadas, (spam), por cualquier medio, normativa publicitaria, protección de consumidores y usuarios, competencia, defensa de la competencia, moral, orden público, propiedad intelectual e industrial, y muy especialmente la protección de menores y discapacitados. Asimismo SOJETEL se compromete a informar en cada comunicación que se dirija a las personas que aparecen en la base de datos cedida que sus datos han sido obtenidos de fuentes accesibles al público y de la entidad de la que hubieran sido obtenidos. No se contarán como válidos y por ello se repondrán aquellos registros que se codifiquen como: • Menores de Edad. • Teléfonos erróneos. • Cerrados en Máximo de intentos. • El teléfono no coincidan con la persona registrada … SEXTA LOPD. En cuanto a la política de protección de Datos de Carácter Personal, XXXXX declara que dispone en sus instalaciones y equipos de medidas de seguridad correspondientes, de acuerdo con lo establecido en la Legislación aplicable en materia de Protección de Datos Personales. eGentic GmbH garantiza a SOJETEL que todos los datos personales incluidos en la base de datos han sido obtenidos de forma lícita y conforme a la legislación vigente, prestando especial atención al cumplimiento de la Ley Orgánica de Protección de Datos Personales (LOPD) y al Reglamento de Desarrollo de la LOPD. eGentic GmbH garantiza a SOJETEL que en el momento de la obtención de los datos, cumplió con las obligaciones de información y obtención del consentimiento de tos artículos 5 y 6 de la LOPD, así como que cumple con las obligaciones de seguridad C/ Jorge Juan, 6 28001 – Madrid www.agpd.es sedeagpd.gob.es 15/27 dispuestas en la normativa vigente. eGentic GmbH se compromete a verificar que ninguno de los registros cedidos se encuentra inscrito en la Lista Robinson. Anexo I CONTRATO DE PRESTACIÓN DE SERVICIOSEN MATERIA DE PROTECCIÓN DE DATOS. / CONTRATO DE ACCESO A DATOS POR CUENTA DE TERCEROS