1. Finalidad
Este anexo se aplica cuando un proveedor, consultor, socio, banco, inversor, asesor u otro tercero recibe acceso a datos, documentos o archivos de RBC Real Estate S.R.L. o relacionados con ella.
2. Protected Data
Datos Protegidos significa toda información recibida, accedida, almacenada o generada en relación con RBC Real Estate S.R.L., sus clientes, trabajos de asesoría, proyectos o mandatos, incluidos datos personales, archivos de proyecto, documentos comerciales, financieros, inmobiliarios y bancarios, datos KYC/AML, información sobre titularidad real, contratos, hojas de términos, mandatos, modelos financieros, permisos, estudios, datos de acceso, registros, metadatos y copias.
3. Main Prohibition
Ningún tercero puede acceder, usar, almacenar, copiar, analizar, transmitir, divulgar, publicar, modificar, combinar, eliminar, archivar o tratar Datos Protegidos sin la aprobación escrita previa de RBC Real Estate S.R.L.
4. Conditions for Authorisation
RBC Real Estate S.R.L. solo puede autorizar a un tercero si existe una finalidad clara, documentada y legítima, el acceso es necesario, el tercero está identificado y evaluado, se ha firmado un NDA, DPA o contrato equivalente, se siguen las instrucciones escritas de RBC REAL ESTATE Srl, existen medidas de seguridad adecuadas, los datos no se usan para fines propios del tercero y no se produce transferencia posterior ni subtratamiento sin aprobación escrita.
5. Mandatory Seguridad
- Control de acceso basado en roles y autenticación fuerte.
- Cifrado en tránsito y, cuando sea posible, en reposo.
- Registros de acceso y trazabilidad.
- Separation of clients and proyectos.
- Contractual confidencialidad for personnel.
- Secure backup and incident-response procedure.
- Supresión o devolución al finalizar el mandato.
- No AI training, scoring, marketing, resale or profiling without separate written aprobación.
6. Processor Obligations
Cuando un tercero actúe como encargado del tratamiento conforme al RGPD, solo podrá tratar datos personales siguiendo instrucciones documentadas de RBC Real Estate S.R.L., únicamente para la finalidad y duración aprobadas, bajo obligaciones de confidencialidad, con medidas técnicas y organizativas adecuadas y con asistencia para derechos de interesados, respuesta a brechas, auditorías y documentación de cumplimiento.
7. Sub-Processors
Un encargado del tratamiento no puede contratar a otro encargado sin autorización previa escrita, específica o general, de RBC Real Estate S.R.L. Todo subencargado aprobado debe estar sujeto a las mismas obligaciones de protección de datos, y el encargado inicial sigue siendo responsable de los actos y omisiones del subencargado.
8. International Transfers
Los Datos Protegidos no pueden transferirse fuera del Espacio Económico Europeo ni a una organización internacional sin la aprobación escrita de RBC Real Estate S.R.L. Las transferencias de datos personales deben cumplir el Capítulo V del RGPD y pueden requerir una decisión de adecuación, cláusulas contractuales tipo, normas corporativas vinculantes, evaluación de impacto de transferencia, garantías suplementarias o una excepción legal.
9. Incident Notice
Todo tercero que sospeche o descubra acceso no autorizado, pérdida, divulgación, alteración, indisponibilidad o brecha de seguridad debe notificar a RBC Real Estate S.R.L. sin demora indebida y preferiblemente dentro de 24 horas. La notificación debe incluir la naturaleza del incidente, datos afectados, personas o proyectos afectados, periodo, medidas adoptadas, riesgo estimado y persona de contacto.
10. Devolución y supresión
A solicitud de RBC Real Estate S.R.L. o al finalizar el mandato, el tercero debe devolver o eliminar todos los Datos Protegidos, incluidas copias, copias de seguridad y extractos, salvo que la conservación sea exigida por ley. Puede requerirse confirmación escrita de eliminación.
11. Recommended Contract Clause
"El Tercero confirma que no accederá, usará, almacenará, copiará, divulgará, transferirá, combinará, analizará ni tratará, directa o indirectamente, ningún dato, información o documento recibido de RBC Real Estate S.R.L. o relacionado con ella sin la aprobación escrita previa de RBC Real Estate S.R.L. Todo tratamiento aprobado se realizará estrictamente conforme a las instrucciones escritas de RBC Real Estate S.R.L., bajo obligaciones de confidencialidad, seguridad, trazabilidad, no uso propio y no subtratamiento no autorizado. En caso de datos personales, el Tercero cumplirá el RGPD, la Ley rumana 190/2018 y todas las normas internacionales aplicables, incluidas las normas de transferencia internacional."