Política de protección de datos

La presente Política de Protección de Datos establece la forma en que Capital Markets Elite Group (UK) Limited ("la Empresa") trata los datos personales de nuestros clientes, proveedores, empleados, trabajadores y otros terceros ("Sujetos de Datos"). Somos los responsables del tratamiento de todos los datos personales relativos a los Sujetos de Datos y de los datos personales utilizados en nuestro negocio para nuestros propios fines comerciales.

Esta política se aplica a todos los datos personales (cualquier información que identifique a un Sujeto de Datos o información relacionada con un Sujeto de Datos que podamos identificar (directa o indirectamente) a partir de esos datos solos o en combinación con otros identificadores que poseamos o a los que podamos acceder razonablemente) que la Empresa procese, independientemente de los medios en los que se almacenen esos datos o de si están relacionados con empleados, trabajadores, clientes, clientes o contactos de proveedores, accionistas, usuarios del sitio web o cualquier otro Sujeto de Datos pasado o presente.

Esta política se aplica a todos los empleados, trabajadores, contratistas, trabajadores de agencias, consultores, directores, miembros y otros.

Debe leer, comprender y cumplir esta política cuando procese datos personales en nombre de la Empresa y asistir a cursos de formación sobre sus requisitos. Esta política establece lo que esperamos de usted para que la empresa cumpla la legislación aplicable. El cumplimiento de esta política es obligatorio. Cualquier incumplimiento de esta política puede dar lugar a medidas disciplinarias.

Esta política es un documento interno y no puede compartirse con terceros, clientes o reguladores sin la autorización previa del Responsable de Cumplimiento.

Esta política no forma parte de ningún contrato de trabajo o de prestación de servicios y podemos modificarla en cualquier momento sin previo aviso.

La presente Política no prevalece sobre las leyes y normativas nacionales aplicables en materia de protección de datos en los países en los que opera la Empresa.

Alcance

Reconocemos que el tratamiento correcto y lícito de los datos personales mantendrá la confianza en la organización y facilitará el éxito de las operaciones comerciales. Proteger la confidencialidad y la integridad de los datos personales es una responsabilidad fundamental que nos tomamos en serio en todo momento. La empresa se expone a posibles multas por incumplimiento de las disposiciones del RGPD.

Todos los niveles de dirección son responsables de garantizar el cumplimiento de esta Política y deben aplicar prácticas, procesos, controles y formación adecuados para garantizar dicho cumplimiento.

Póngase en contacto con el Responsable de Cumplimiento si tiene alguna pregunta sobre el funcionamiento de esta política o el Reglamento General de Protección de Datos u otras leyes de protección de datos ("GDPR") o si le preocupa que esta Política no se esté cumpliendo o no se haya cumplido. En particular, debe ponerse siempre en contacto con el Responsable de Cumplimiento en las siguientes circunstancias:

• Si no está seguro de la base jurídica en la que se apoya para tratar los datos personales (incluidos los intereses legítimos utilizados por la empresa) (véase la sección Legalidad y equidad más adelante);
• Si necesita basarse en el consentimiento y/o necesita captar el consentimiento explícito;
• Si necesita redactar avisos de privacidad (véase la sección sobre Transparencia más adelante);
• Si se ha producido una violación de datos personales (sección sobre notificación de violaciones de datos personales más abajo);
• Si necesita ayuda para tramitar los derechos invocados por un interesado (véase la sección
  Derechos y solicitudes de los interesados);
• cuando vaya a emprender una actividad de tratamiento nueva o modificada que pueda requerir una Evaluación de Impacto sobre la Protección de Datos (EIPD) (véase la sección Privacidad desde el diseño y EIPD más adelante) o tenga previsto utilizar datos personales para fines distintos de aquellos para los que se recogieron;
• Si necesita ayuda para cumplir la legislación aplicable al llevar a cabo actividades de marketing directo (véase la sección Marketing directo más adelante).
  

Principios de protección de datos personales

Nos adherimos a los principios relativos al tratamiento de datos personales establecidos en el GDPR, que se exponen en esta política. Somos responsables del cumplimiento de estos principios y debemos poder demostrarlo.

Principios de protección de datos personales

Los datos personales deben tratarse de forma lícita, leal y transparente en relación con el interesado.

Solo puede recopilar, procesar y compartir datos personales de forma justa y lícita y con fines específicos. El GDPR restringe nuestras acciones en relación con los datos personales a los fines legales especificados. Estas restricciones no pretenden impedir el tratamiento, sino garantizar que tratamos los datos personales de forma justa y sin afectar negativamente al interesado.

• El RGPD permite el tratamiento para fines específicos, algunos de los cuales se exponen a continuación:
• el interesado ha dado su consentimiento;
• el tratamiento es necesario para la ejecución de un contrato con el interesado;
• para cumplir nuestras obligaciones legales.;
• proteger los intereses vitales del interesado;
• perseguir nuestros intereses legítimos para fines en los que no prevalecen porque el tratamiento perjudica los intereses o los derechos y libertades fundamentales de los interesados. Los fines para los que tratamos datos personales por intereses legítimos deben establecerse en los avisos de privacidad aplicables.

Debe identificar y documentar el fundamento jurídico en el que se basa cada actividad de tratamiento

Consentimiento

Un responsable del tratamiento sólo debe tratar datos personales sobre la base de uno o varios de los fundamentos jurídicos establecidos en el RGPD, entre los que se incluye el consentimiento.

Un interesado consiente el tratamiento de sus datos personales si indica claramente que está de acuerdo con el tratamiento, ya sea mediante una declaración o una acción positiva. El consentimiento requiere una acción afirmativa, por lo que es poco probable que el silencio, las casillas marcadas previamente o la inactividad sean suficientes. Si el consentimiento se da en un documento que trata otros asuntos, el consentimiento debe mantenerse separado de esos otros asuntos.

Los interesados deben poder retirar fácilmente su consentimiento al tratamiento en cualquier momento, y la retirada debe respetarse sin demora. Puede ser necesario renovar el consentimiento si se pretende tratar datos personales para un fin diferente e incompatible que no se reveló cuando el interesado dio su consentimiento por primera vez.

A menos que podamos basarnos en otra base jurídica para el tratamiento, normalmente se requiere el consentimiento explícito para el tratamiento de datos personales sensibles, para la toma de decisiones automatizada y para las transferencias transfronterizas de datos.
Normalmente nos basaremos en otra base jurídica (y no requeriremos el consentimiento explícito) para tratar la mayoría de los tipos de datos sensibles. Cuando se requiera el consentimiento explícito (por escrito), deberá emitir una notificación de consentimiento al interesado para captar el consentimiento explícito.

Deberá demostrar que ha obtenido el consentimiento y llevar un registro de todos los consentimientos para que la empresa pueda demostrar el cumplimiento de los requisitos de consentimiento.

Transparencia (notificación a los interesados)

El RGPD exige a los responsables del tratamiento que proporcionen información detallada y específica a los interesados, dependiendo de si la información se ha obtenido directamente de los interesados o de otra fuente. Dicha información debe facilitarse a través de avisos de privacidad adecuados, que deben ser concisos, transparentes, inteligibles, fácilmente accesibles y estar redactados en un lenguaje claro y sencillo, de modo que el interesado pueda comprenderlos fácilmente.

Siempre que recopilemos datos personales directamente de los Sujetos de Datos, incluso para fines de recursos humanos o empleo, debemos proporcionar al Sujeto de Datos toda la información requerida por el GDPR, incluida la identidad del controlador de datos, cómo y por qué usaremos, procesaremos, divulgaremos, protegeremos y conservaremos esos datos personales a través de un aviso de privacidad que debe presentarse cuando el Sujeto de Datos proporciona por primera vez los datos personales.

Cuando los datos personales se recopilan indirectamente (por ejemplo, de un tercero o de una fuente disponible públicamente), debe proporcionar al interesado toda la información requerida por el GDPR tan pronto como sea posible después de recopilar/recibir los datos. También debe comprobar que los datos personales fueron recogidos por el tercero de conformidad con el GDPR y sobre una base que contemple nuestro tratamiento propuesto de esos datos personales.

Limitación de la finalidad

Los datos personales sólo deben recogerse con fines determinados, explícitos y legítimos. No deben tratarse posteriormente de manera incompatible con dichos fines.

No puede utilizar los datos personales para fines nuevos, diferentes o incompatibles con los que se revelaron cuando se obtuvieron por primera vez, a menos que haya informado al interesado de los nuevos fines y éste haya dado su consentimiento cuando sea necesario.

Minimización de datos

Los datos personales deben ser adecuados, pertinentes y limitados a lo necesario en relación con los fines para los que se tratan.

Sólo puede tratar datos personales cuando el desempeño de sus funciones laborales lo requiera. No puede tratar datos personales por ningún motivo ajeno a sus funciones laborales.

Sólo puede recopilar los datos personales que necesite para realizar su trabajo: no recopile datos excesivos. Asegúrese de que los datos personales recogidos son adecuados y pertinentes para los fines previstos.

Debe asegurarse de que, cuando los datos personales ya no sean necesarios para los fines especificados, se eliminen o anonimicen de acuerdo con las directrices de conservación de datos de la Empresa.

Precisión

Los datos personales deben ser exactos y, en caso necesario, mantenerse actualizados. Deberán corregirse o suprimirse sin demora cuando sean inexactos.

Usted se asegurará de que los datos personales que utilizamos y conservamos sean exactos, completos, estén actualizados y sean pertinentes para el fin para el que los recopilamos. Deberá comprobar la exactitud de los datos personales en el momento de su recogida y posteriormente a intervalos regulares. Debe tomar todas las medidas razonables para destruir o modificar los datos personales inexactos o caducados.

Limitación de almacenamiento

Los datos personales no deben conservarse de forma identificable durante más tiempo del necesario para los fines para los que se tratan.

No debe conservar los datos personales en una forma que permita la identificación del interesado durante más tiempo del necesario para el fin o fines comerciales legítimos para los que los recopilamos originalmente, incluido el fin de satisfacer cualquier requisito legal, contable o de elaboración de informes.

La empresa mantendrá políticas y procedimientos de conservación que garanticen que los datos personales se eliminan transcurrido un tiempo razonable para los fines para los que se conservaban, a menos que una ley exija que dichos datos se conserven durante un tiempo mínimo.

Usted tomará todas las medidas razonables para destruir o borrar de nuestros sistemas todos los datos personales que ya no necesitemos, de conformidad con todos los calendarios y políticas de conservación de registros aplicables de la Empresa. Esto incluye solicitar a terceros que eliminen dichos datos cuando proceda.

Se asegurará de que los interesados estén informados del periodo durante el cual se almacenan los datos y de cómo se determina dicho periodo en cualquier aviso de privacidad aplicable.

Seguridad, integridad y confidencialidad

Protección de datos personales

Los datos personales deben protegerse mediante medidas técnicas y organizativas apropiadas contra el tratamiento no autorizado o ilícito y contra la pérdida, destrucción o daño accidentales.

Desarrollaremos, aplicaremos y mantendremos salvaguardias adecuadas a nuestro tamaño, alcance y actividad, nuestros recursos disponibles, la cantidad de datos personales que poseemos o mantenemos en nombre de terceros y los riesgos identificados (incluido el uso de cifrado y seudonimización cuando proceda). Evaluaremos y comprobaremos periódicamente la eficacia de dichas salvaguardias para garantizar la seguridad de nuestro tratamiento de datos personales. Usted es responsable de proteger los datos personales que poseemos. Debe aplicar medidas de seguridad razonables y adecuadas contra el tratamiento ilícito o no autorizado de datos personales y contra la pérdida accidental o el daño de los datos personales. Debe ejercer

especial cuidado en la protección de los datos personales sensibles frente a pérdidas y accesos, usos o divulgaciones no autorizados.

Usted debe seguir todos los procedimientos y tecnologías que ponemos en marcha para mantener la seguridad de todos los datos personales desde el punto de recogida hasta el punto de destrucción. Solo podrá transferir datos personales a terceros proveedores de servicios que acepten cumplir las políticas y procedimientos exigidos y que se comprometan a poner en práctica las medidas adecuadas, según se les solicite.

Debe mantener la seguridad de los datos protegiendo la confidencialidad, integridad y disponibilidad de los datos personales, definidos de la siguiente manera:

1. Confidencialidad significa que sólo pueden acceder a los datos personales las personas que tienen necesidad de conocerlos y están autorizadas a utilizarlos.
2. Integridad significa que los datos personales son exactos y adecuados para los fines para los que se tratan.
3. Disponibilidad significa que los usuarios autorizados puedan acceder a los datos personales cuando los necesiten para fines autorizados.

Debe cumplir y no intentar eludir las salvaguardias administrativas, físicas y técnicas que implementamos y mantenemos de conformidad con el GDPR y las normas pertinentes para proteger los datos personales.

Notificación de una violación de datos personales

El RGPD exige a los responsables del tratamiento que notifiquen cualquier violación de los datos personales a la autoridad reguladora aplicable y, en determinados casos, al interesado.

Por "violación de datos personales" se entenderá cualquier acción u omisión que comprometa la seguridad, confidencialidad, integridad o disponibilidad de los datos personales o las garantías físicas, técnicas, administrativas u organizativas que nosotros o nuestros proveedores de servicios terceros hayamos establecido para protegerlos. La pérdida, o el acceso no autorizado, la divulgación o la adquisición de datos personales constituye una violación de datos personales.

Hemos establecido procedimientos para hacer frente a cualquier sospecha de violación de datos personales y notificaremos a los interesados o a cualquier regulador aplicable cuando estemos legalmente obligados a hacerlo.

Si sabe o sospecha que se ha producido una violación de datos personales, no intente investigar el asunto usted mismo. Póngase inmediatamente en contacto con el Responsable de Cumplimiento en caso de violación de datos personales. Conserve todas las pruebas relacionadas con la posible violación de datos personales.

Limitación de transferencia

El GDPR restringe las transferencias de datos a países fuera del Espacio Económico Europeo (EEE) para garantizar que no se menoscabe el nivel de protección de datos que el GDPR ofrece a las personas. Usted transfiere datos personales originados en un país a través de las fronteras cuando transmite, envía, visualiza o accede a esos datos en o a un país diferente.

Sólo podrá transferir datos personales fuera del EEE si se cumple una de las siguientes condiciones:

1. la Comisión Europea ha emitido una decisión que confirma que el país al que transferimos los datos personales garantiza un nivel adecuado de protección de los derechos y libertades de los interesados;
2. existen salvaguardias adecuadas, como normas corporativas vinculantes (BCR), cláusulas contractuales tipo aprobadas por la Comisión Europea, un código de conducta aprobado o un mecanismo de certificación, cuya copia puede solicitarse al Responsable de Cumplimiento;
3. el interesado ha dado su consentimiento explícito a la transferencia propuesta tras haber sido informado de los posibles riesgos; o
4. la transferencia es necesaria por una de las otras razones establecidas en el GDPR, incluido el cumplimiento de un contrato entre nosotros y el Titular de los datos, razones de interés público, para establecer, ejercer o defender reclamaciones legales o para proteger los intereses vitales del Titular de los datos cuando el Titular de los datos está física o legalmente incapacitado para dar su consentimiento y, en algunos casos limitados, por nuestro interés legítimo.

Derechos y solicitudes del interesado

Los interesados tienen derechos en lo que respecta al tratamiento de sus datos personales. Entre ellos se incluyen los derechos a:

1. retirar su consentimiento al tratamiento en cualquier momento;
2. recibir determinada información sobre las actividades de tratamiento del Responsable del Tratamiento;
3. solicitar el acceso a los datos personales que obran en nuestro poder;
4. impedir que utilicemos sus datos personales con fines de venta directa;
5. pedirnos que borremos los datos personales si ya no son necesarios en relación con los fines para los que fueron recogidos o tratados, o rectificar los datos inexactos o completar los incompletos;
6. restringir el tratamiento en circunstancias específicas;
7. impugnar un tratamiento justificado por nuestros intereses legítimos o por el interés público;
8. solicitar una copia de un acuerdo en virtud del cual se transfieran datos personales fuera del EEE;
9. oponerse a las decisiones basadas únicamente en el tratamiento automatizado, incluida la elaboración de perfiles;
10. impedir un tratamiento que pueda causar daños o molestias al interesado o a cualquier otra persona;
11. ser notificado de una violación de datos personales que pueda suponer un alto riesgo para sus derechos y libertades;
12. presentar una reclamación ante la autoridad de control; y
13. en circunstancias limitadas, recibir o solicitar que sus datos personales se transfieran a un tercero en un formato estructurado, de uso común y lectura mecánica.

Debe verificar la identidad de la persona que solicita datos en virtud de cualquiera de los derechos enumerados anteriormente (no permita que terceros le persuadan para que revele datos personales sin la debida autorización).

Deberá remitir inmediatamente cualquier solicitud del interesado que reciba al Responsable de Cumplimiento.

Rendición de cuentas

El responsable del tratamiento de datos debe aplicar medidas técnicas y organizativas adecuadas de manera eficaz para garantizar el cumplimiento de los principios de protección de datos. El responsable del tratamiento es responsable del cumplimiento de los principios de protección de datos y debe ser capaz de demostrarlo.
La empresa debe disponer de los recursos y controles adecuados para garantizar y documentar el cumplimiento del RGPD:

1. nombrar a un ejecutivo responsable de la privacidad de los datos;
2. aplicar la privacidad desde el diseño en el tratamiento de datos personales y realizar evaluaciones de impacto sobre la protección de datos (EIPD) cuando el tratamiento presente un alto riesgo para los derechos y libertades de los interesados;
3. integrar la protección de datos en los documentos internos, incluida esta Política, cualquier documento relacionado o los avisos de privacidad;
4. formarle periódicamente sobre el GDPR, las políticas y los procedimientos internos, y las cuestiones de protección de datos, incluidos, por ejemplo, los derechos del interesado, el consentimiento, la base jurídica, la DPIA y las violaciones de datos personales. La Empresa debe mantener un registro de asistencia a la capacitación de todas las personas que emplea y contrata; y
5. Comprobación periódica de las medidas de protección de la intimidad aplicadas y realización de revisiones y auditorías periódicas para evaluar el cumplimiento, incluida la utilización de los resultados de las pruebas para demostrar el esfuerzo de mejora del cumplimiento.

Mantenimiento de registros

El GDPR nos obliga a mantener registros completos y precisos de todas nuestras actividades de procesamiento de datos.
Debe mantener y conservar registros corporativos precisos que reflejen nuestro procesamiento, incluidos los registros de los consentimientos de los Titulares de los datos y los procedimientos para obtener consentimientos.

Estos registros deben incluir, como mínimo, el nombre y los datos de contacto del responsable del tratamiento, descripciones claras de los tipos de datos personales, los tipos de interesados, las actividades de tratamiento, los fines del tratamiento, los terceros destinatarios de los datos personales, los lugares de almacenamiento de los datos personales, las transferencias de datos personales, el periodo de conservación de los datos personales y una descripción de las medidas de seguridad aplicadas. Con el fin de crear dichos registros, deben crearse mapas de datos que incluyan los detalles expuestos anteriormente junto con los flujos de datos apropiados.

Formación y auditoría

Debemos asegurarnos de que usted ha recibido la formación adecuada para poder cumplir la legislación sobre privacidad de datos. También debemos probar periódicamente nuestros sistemas y procesos para evaluar el cumplimiento.
Debe recibir toda la formación obligatoria relacionada con la privacidad de los datos y asegurarse de que su equipo recibe una formación obligatoria similar.

Debe revisar periódicamente todos los sistemas y procesos bajo su control para asegurarse de que cumplen esta Política y comprobar que existen controles de gobernanza y recursos adecuados para garantizar el uso y la protección adecuados de los datos personales.

Privacidad por diseño y dpias

Estamos obligados a aplicar medidas de privacidad desde el diseño en el tratamiento de datos personales mediante la aplicación de medidas técnicas y organizativas adecuadas (como la seudonimización) de manera eficaz, para garantizar el cumplimiento de los principios de privacidad de los datos.

Debe evaluar qué medidas de privacidad desde el diseño pueden aplicarse en todos los programas/sistemas/procesos que traten datos personales teniendo en cuenta lo siguiente:

1. el estado de la técnica;
2. el coste de la aplicación;
3. la naturaleza, el alcance, el contexto y los fines del tratamiento; y
4. los riesgos de diversa probabilidad y gravedad para los derechos y libertades de los interesados que plantea el tratamiento

Los responsables del tratamiento de datos también deben llevar a cabo DPIA con respecto al tratamiento de alto riesgo.

Deberá llevar a cabo una DPIA (y comentar sus conclusiones con el Responsable de Cumplimiento) cuando implante programas importantes de cambio de sistemas o de negocio que impliquen el tratamiento de datos personales, incluidos:

1. uso de nuevas tecnologías (programas, sistemas o procesos), o cambio de tecnologías (programas, sistemas o procesos);
2. Tratamiento automatizado, incluida la elaboración de perfiles y la toma de decisiones automáticas;
3. tratamiento a gran escala de datos sensibles; y
4. vigilancia sistemática a gran escala de una zona de acceso público.

La EIPD debe incluir

1. una descripción del tratamiento, sus fines y, en su caso, los intereses legítimos del responsable del tratamiento;
2. una evaluación de la necesidad y proporcionalidad del tratamiento en relación con su finalidad;
3. una evaluación del riesgo para las personas; y
4. las medidas de mitigación de riesgos aplicadas y la demostración de su cumplimiento.

Tratamiento automatizado (incluida la elaboración de perfiles) y toma de decisiones automatizada (adm)

En general, la ADM está prohibida cuando una decisión tiene un efecto legal o similar significativo sobre un individuo, a menos que:

1. El interesado ha dado su consentimiento explícito;
2. el tratamiento está autorizado por la ley; o
3. el tratamiento es necesario para la ejecución o la celebración de un contrato.

Si se tratan determinados tipos de datos sensibles, los motivos (b) o (c) no estarán permitidos, pero dichos datos sensibles podrán tratarse cuando sea necesario (a menos que puedan utilizarse medios menos intrusivos) para un interés público sustancial, como la prevención del fraude.

Si una decisión va a basarse únicamente en el tratamiento automatizado (incluida la elaboración de perfiles), deberá informarse a los interesados, en la primera comunicación con ellos, de su derecho a oponerse. Este derecho debe señalarse explícitamente a su atención y presentarse de forma clara y separada del resto de la información. Además, deben establecerse medidas adecuadas para salvaguardar los derechos y libertades del interesado y sus intereses legítimos.

También debemos informar al interesado de la lógica implicada en la toma de decisiones o la elaboración de perfiles, la importancia y las consecuencias previstas y darle derecho a solicitar la intervención humana, expresar su punto de vista o impugnar la decisión.

Debe realizarse una EIPD antes de emprender cualquier tratamiento automatizado (incluida la elaboración de perfiles) o actividad de GAD.

Marketing directo

Estamos sujetos a ciertas normas y leyes de privacidad cuando comercializamos con nuestros clientes.

Por ejemplo, se requiere el consentimiento previo del interesado para el marketing directo electrónico (por ejemplo, por correo electrónico, mensajes de texto o llamadas automáticas). La excepción limitada para los clientes existentes conocida como "soft opt in" permite a las organizaciones enviar textos o correos electrónicos de marketing si han obtenido los datos de contacto en el curso de una venta a esa persona, están comercializando productos o servicios similares, y dieron a la persona la oportunidad de optar por no participar en el marketing al recoger los datos por primera vez y en cada mensaje posterior.
El derecho a oponerse al marketing directo debe ofrecerse explícitamente al interesado de manera inteligible para que se distinga claramente de otra información.

La oposición de un interesado a la mercadotecnia directa debe ser atendida con prontitud. Si un cliente se opone en cualquier momento, sus datos deben suprimirse lo antes posible. La supresión implica conservar la información suficiente para garantizar que las preferencias de marketing se respeten en el futuro.

Compartir datos personales

En general, no estamos autorizados a compartir datos personales con terceros a menos que se hayan establecido determinadas salvaguardias y acuerdos contractuales.

Sólo puede compartir los datos personales que tenemos con otro empleado, agente o representante de nuestro grupo (que incluye nuestras filiales y nuestra sociedad matriz junto con sus filiales) si el destinatario tiene una necesidad laboral de conocer la información y la transferencia cumple con cualquier restricción de transferencia transfronteriza aplicable.

Sólo puede compartir los datos personales que tenemos con terceros, como nuestros proveedores de servicios, si:

1. necesitan conocer la información para prestar los servicios contratados;
2. compartir los datos personales cumple con el Aviso de Privacidad proporcionado al Titular de los Datos y, si es necesario, se ha obtenido el consentimiento del Titular de los Datos;
3. el tercero ha aceptado cumplir las normas, políticas y procedimientos de seguridad de datos exigidos y ha implantado las medidas de seguridad adecuadas;
4. la transferencia cumple con cualquier restricción de transferencia transfronteriza aplicable; y
   se ha obtenido un contrato escrito completamente ejecutado que contiene cláusulas de terceros aprobadas por el GDPR.