Acuerdo de Encargo del Tratamiento para Iglesias en el Extranjero

La iglesia que utiliza el servicio fuera de la República de Corea (la «Iglesia») y Wesleysoft (la «Empresa») acuerdan lo siguiente en relación con el tratamiento, por parte de la Empresa y por cuenta de la Iglesia, de los datos personales que la Iglesia introduce en Wesley Gyojeok (웨슬리 교적), Wesley Jaejeong (웨슬리 재정) y Wesley Simbang Plus (웨슬리 심방플러스) (el «Servicio»). El presente Acuerdo se aplica junto con las Condiciones de Uso de la Empresa, su Política de Privacidad y el «Anexo a la Política de Privacidad para Iglesias en el Extranjero» (el «Anexo»). En caso de discrepancia entre ellos en cuanto al tratamiento de datos personales, prevalecerá el presente Acuerdo.

Artículo 1 (Funciones)

1. Con respecto a los datos personales que la Iglesia introduce en el Servicio, la Iglesia determina los fines y medios del tratamiento (responsable del tratamiento) y la Empresa trata los datos por cuenta de la Iglesia (encargado del tratamiento).
2. La Iglesia es responsable de garantizar que la recogida de datos personales y su introducción en el Servicio cumplan la legislación del país de la Iglesia, e informa a los miembros del tratamiento y obtiene su consentimiento cuando sea necesario.

Artículo 2 (Detalles del tratamiento)

El objeto y la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados se establecen en el Apéndice 1.

Artículo 3 (Tratamiento conforme a las instrucciones de la Iglesia)

1. La Empresa trata los datos personales únicamente siguiendo instrucciones documentadas de la Iglesia. El uso de funciones y la elección de configuraciones por parte de la Iglesia en las pantallas del Servicio se consideran instrucciones de la Iglesia.
2. La Empresa no trata datos personales para ningún fin distinto de la prestación del Servicio, salvo que esté obligada a ello por ley. Cuando la ley exija el tratamiento, la Empresa informará a la Iglesia antes del tratamiento, salvo que la ley lo prohíba.
3. Si la Empresa considera que una instrucción de la Iglesia infringe la normativa de protección de datos, informará de ello a la Iglesia sin dilación.

Artículo 4 (Confidencialidad)

La Empresa limita al mínimo necesario las personas que pueden tratar datos personales y garantiza que estén sujetas a un deber de confidencialidad. Este deber subsiste una vez finalizado su trabajo.

Artículo 5 (Medidas de seguridad)

La Empresa adopta medidas técnicas y organizativas apropiadas a los riesgos para los datos personales, según se establece en el Apéndice 2. La Empresa podrá modificar dichas medidas en función de la evolución tecnológica, pero no reducirá el nivel de protección.

Artículo 6 (Separación por iglesia)

La Empresa mantiene los datos de la Iglesia separados de los datos de otras iglesias y garantiza que los usuarios de otras iglesias no puedan ver los datos de la Iglesia.

Artículo 7 (Subencargo del tratamiento)

1. La Iglesia autoriza a la Empresa a recurrir a los subencargados enumerados en el Apéndice 3.
2. Si la Empresa tiene intención de añadir o sustituir un subencargado, informará a la Iglesia con al menos 30 días de antelación, y la Iglesia podrá oponerse por motivos razonables dentro de dicho plazo. Si la Empresa no acepta la oposición, la Iglesia podrá resolver el contrato de servicio sin penalización.
3. La Empresa impone contractualmente a cada subencargado obligaciones de protección de datos del mismo nivel que las del presente Acuerdo, y sigue siendo responsable ante la Iglesia si un subencargado incumple dichas obligaciones.

Artículo 8 (Asistencia en relación con los derechos de los interesados)

1. Cuando los miembros u otros interesados ejerzan derechos como los de acceso, rectificación, supresión, limitación del tratamiento o portabilidad de los datos, la Empresa facilitará las funciones del Servicio y la cooperación necesarias para que la Iglesia pueda responder.
2. Si un interesado dirige una solicitud directamente a la Empresa, esta la remitirá sin dilación a la Iglesia y no responderá directamente sin instrucciones de la Iglesia.

Artículo 9 (Violaciones de la seguridad de los datos personales)

1. Si la Empresa tiene conocimiento de un incidente en el que los datos personales de la Iglesia se hayan filtrado o puedan haberse filtrado, lo notificará a la Iglesia sin dilación y, en cualquier caso, en un plazo de 48 horas desde que tenga conocimiento de él.
2. La notificación describirá la naturaleza y las circunstancias del incidente, las categorías y el número aproximado de interesados y de registros de datos personales afectados, las posibles consecuencias, las medidas adoptadas o que vaya a adoptar la Empresa, y una persona de contacto. La información que no pueda facilitarse de una sola vez se facilitará por fases a medida que se conozca.
3. La Empresa facilita la información y la cooperación necesarias para que la Iglesia pueda notificarlo a la autoridad de control y a los interesados conforme a la legislación de su país.

Artículo 10 (Otra asistencia)

Teniendo en cuenta la naturaleza del tratamiento y la información a disposición de la Empresa, esta facilitará la información que la Iglesia necesite para cumplir sus obligaciones conforme a la legislación de su país, como garantizar la seguridad, realizar evaluaciones de impacto relativas a la protección de datos y efectuar la consulta previa a la autoridad de control.

Artículo 11 (Lugar de almacenamiento y transferencias internacionales)

1. La Empresa almacena los datos de la Iglesia en servidores ubicados en la República de Corea y no los transfiere fuera de la República de Corea, salvo en los casos descritos en el artículo 6 del Anexo (indicaciones de ruta).
2. Las transferencias desde el país de la Iglesia a la República de Corea se rigen por el artículo 4 del Anexo. Cuando la legislación de dicho país exija un mecanismo independiente, como cláusulas contractuales tipo, la Iglesia y la Empresa lo establecerán junto con el presente Acuerdo.

Artículo 12 (Devolución y destrucción tras la finalización del contrato de servicio)

1. La Iglesia puede descargar sus datos mediante la función de exportación del Servicio antes de la finalización del contrato de servicio y durante los 90 días siguientes a dicha finalización.
2. Transcurrido dicho plazo, la Empresa destruirá los datos de la Iglesia de forma que no puedan recuperarse. Si la Iglesia solicita la destrucción inmediata, la Empresa destruirá los datos sin dilación. Los datos cuya conservación exija la ley se conservarán durante el plazo exigido.
3. Los datos que permanezcan en copias de seguridad se destruirán transcurridos 90 días en el caso de las copias de seguridad en los servidores de la Empresa y transcurrido 1 año en el caso de las copias de seguridad en un dispositivo de almacenamiento independiente gestionado por la Empresa. Hasta entonces, no se utilizarán para ningún fin distinto de la restauración.
4. A petición de la Iglesia, la Empresa confirmará la destrucción por escrito.

Artículo 13 (Información y auditorías)

1. La Empresa pone a disposición de la Iglesia la información necesaria para demostrar el cumplimiento de las obligaciones del presente Acuerdo.
2. La Iglesia puede presentar preguntas por escrito una vez al año, a las que la Empresa responderá gratuitamente. Si la Iglesia o un auditor designado por la Iglesia desea realizar una auditoría in situ, la solicitud deberá presentarse con 30 días de antelación y los costes correrán a cargo de la Iglesia. El auditor estará sujeto a un deber de confidencialidad.

Artículo 14 (Responsabilidad)

Tanto la Iglesia como la Empresa responden de los daños causados a la otra parte por su incumplimiento del presente Acuerdo o de la ley. La responsabilidad de la Empresa se limita al importe total de las tarifas pagadas por la Iglesia en los 12 meses anteriores a la fecha en que se produjo el daño. Este límite no se aplica a los daños causados por dolo o negligencia grave de la Empresa, ni cuando la ley no permita limitar la responsabilidad.

Artículo 15 (Vigencia)

El presente Acuerdo surte efecto desde la fecha en que la Iglesia, tras haber sido aprobada por la Empresa, celebra el contrato de servicio, hasta que se hayan cumplido las obligaciones del artículo 12 tras la finalización del contrato de servicio.

Artículo 16 (Legislación aplicable y jurisdicción)

El presente Acuerdo se rige por la legislación de la República de Corea. No obstante, siguen siendo aplicables las disposiciones de la legislación de protección de datos del país de la Iglesia que no puedan modificarse por acuerdo, así como las competencias de la autoridad de control de dicho país. Los litigios relacionados con el presente Acuerdo se someterán al tribunal competente del domicilio de la Empresa.

Artículo 17 (Idioma y celebración)

1. La versión coreana del presente Acuerdo es el original auténtico. Si una traducción difiere de ella, prevalecerá el original coreano, salvo que la legislación del país de la Iglesia disponga otra cosa.
2. El presente Acuerdo se celebra cuando la Iglesia selecciona «Aceptar» (동의) para el presente Acuerdo en la pantalla. La Empresa conserva un registro de ello y facilita una copia firmada a petición de la Iglesia.

Apéndice 1 — Detalles del tratamiento

Objeto	Datos de los miembros y registros financieros que la Iglesia introduce en el Servicio
Categorías de interesados	Miembros y sus familias, nuevos miembros y visitantes, donantes, personal de la iglesia y usuarios del Servicio
Tipos de datos personales	Los elementos del artículo 2 de la Política de Privacidad y del artículo 3 del Anexo — nombre (apellido(s) y nombre en caracteres latinos), sexo, fecha de nacimiento (opcional), datos de contacto, dirección, fotografía, cargo eclesiástico, distrito (subdivisión de la congregación) y reunión de clase, categoría de miembro, registros de bautismo y confirmación, funciones de servicio y profesión, relaciones familiares, asistencia, registros de visitas y peticiones de oración, notas de atención, registros de ofrendas, registros de consentimiento relativo a los datos personales e información de los donantes para los recibos de donativos de dicho país
Categorías especiales de datos	El hecho de ser miembro de la iglesia y los registros de la vida religiosa (datos que revelan las convicciones religiosas); datos relativos a la salud que la Iglesia introduce en las notas de atención
Naturaleza y finalidad	Prestación del Servicio — almacenamiento, consulta, edición, impresión, exportación, copia de seguridad, envío de correos electrónicos y elaboración de borradores de textos para visitas (no se envía ninguna información que identifique a un miembro)
Duración	La vigencia del contrato de servicio y los 90 días posteriores a su finalización (copias de seguridad: artículo 12, apartado 3 — 90 días en los servidores, 1 año en el dispositivo de almacenamiento independiente)

Apéndice 2 — Medidas de seguridad

• Cifrado en tránsito (HTTPS)
• Contraseñas almacenadas únicamente mediante un método irreversible
• Separación de los datos por iglesia — una barrera para cada iglesia en la base de datos, de modo que no puedan leerse los datos de otras iglesias
• Permisos basados en funciones y conservación de los registros de acceso
• Cortafuegos — solo están abiertos los puertos necesarios para el acceso web y el acceso administrativo; no es posible acceder a la base de datos desde fuera del servidor
• Programa antimalware — actualización automática de firmas y análisis diarios
• Copias de seguridad periódicas — diarias en el servidor, copiadas a un dispositivo de almacenamiento independiente gestionado por la Empresa (servidores 90 días, dispositivo de almacenamiento independiente 1 año)

Apéndice 3 — Subencargados (todos establecidos en la República de Corea y que tratan los datos en ella)

Subencargado	Actividad
YourIT Co., Ltd.	Suministro de servidores y espacio de almacenamiento; almacenamiento de datos
NHN Cloud Corp.	Envío de correos electrónicos (no se envían mensajes de texto a números de móvil de fuera de Corea)
Upstage Co., Ltd.	Elaboración de borradores de sermones en Wesley Simbang Plus (no se envía ninguna información que identifique a un miembro)
Toss Payments Co., Ltd.	Procesamiento del pago de las tarifas (las Iglesias en el Extranjero pagan actualmente mediante transferencia bancaria)