Acuerdo de tratamiento de datos

Esta página describe nuestro acuerdo de tratamiento de datos estándar para que pueda revisarlo antes de solicitarlo. No constituye en sí misma un acuerdo ni crea obligaciones. Lo que rige es el acuerdo de tratamiento de datos suscrito, con sus anexos, y cuando esta página difiera de él, prevalecerá el acuerdo de tratamiento de datos suscrito.

Siempre que construimos, alojamos, mantenemos o damos soporte a un sistema que contiene datos personales que le pertenecen a usted o a sus usuarios. Usted es el responsable del tratamiento (o «business»); DCI Brands LLC es el encargado del tratamiento (o proveedor de servicios). El acuerdo de tratamiento de datos forma parte del contrato de proyecto. Cuando haya información sanitaria protegida, también se firma un Acuerdo de Asociado Comercial y, respecto de esos datos, prevalecen sus condiciones.

Todo lo que exige el artículo 28, apartado 3, del RGPD, y los equivalentes conforme al RGPD del Reino Unido y a la Ley Federal suiza de Protección de Datos (FADP):

1. La descripción del tratamiento: objeto, duración, naturaleza y finalidad, tipos de datos personales y categorías de interesados, en un anexo específico de su proyecto.
2. El tratamiento únicamente siguiendo sus instrucciones documentadas, también respecto de las transferencias, y nuestro compromiso de informarle si consideramos que una instrucción infringe la normativa de protección de datos.
3. Confidencialidad: todas las personas a las que autorizamos a tratar sus datos están sujetas a una obligación de confidencialidad por escrito.
4. Seguridad: las medidas técnicas y organizativas del anexo, conformes con el artículo 32. Podemos actualizarlas siempre que la protección no se reduzca sustancialmente.
5. Subencargados del tratamiento: su autorización general por escrito, nuestra imposición por escrito de obligaciones equivalentes y nuestra responsabilidad por su cumplimiento.
6. Asistencia con los derechos de los interesados: acceso, rectificación, supresión, portabilidad, limitación y oposición, teniendo en cuenta la naturaleza del tratamiento.
7. Asistencia con los artículos 32 a 36: seguridad, notificación de violaciones de la seguridad, evaluaciones de impacto relativas a la protección de datos y consulta previa, teniendo en cuenta la información de que disponemos.
8. Supresión o devolución al final del proyecto, a su elección.
9. Información y auditorías, como se describe en la sección 8.
10. Condiciones de transferencia: las cláusulas contractuales tipo, la Adenda del Reino Unido y las modificaciones suizas, con los anexos cumplimentados.
11. Condiciones de los estados de EE. UU.: actuamos como proveedor de servicios o encargado del tratamiento, no vendemos ni compartimos sus datos, no los conservamos, utilizamos ni comunicamos fuera de la relación comercial directa ni para ningún fin distinto de la ejecución del proyecto, y no los combinamos con datos de otras fuentes.
12. Sus garantías: que dispone de una base jurídica, que ha facilitado la información y obtenido los consentimientos que corresponden a sus usuarios, y que sus instrucciones son lícitas.

Los tratamos únicamente siguiendo sus instrucciones documentadas y solo para ejecutar el proyecto: construir, probar, implantar, alojar, supervisar, hacer copias de seguridad y dar soporte al sistema. No los utilizamos para nuestros propios fines y no los vendemos.

No utilizamos sus datos personales para entrenar, ajustar ni mejorar ningún modelo, y nuestros subencargados del tratamiento están configurados contractualmente para no hacerlo tampoco. Podemos generar estadísticas agregadas sobre el funcionamiento del sistema solo cuando no puedan vincularse a usted, a sus usuarios ni a ninguna persona física.

Recurrimos a subencargados del tratamiento solo cuando el proyecto lo requiere, en virtud de condiciones escritas que ofrecen al menos la misma protección que el acuerdo de tratamiento de datos, y seguimos siendo responsables de lo que hacen. Categorías: infraestructura en la nube en la región que indique su presupuesto, entrega de correo electrónico transaccional y proveedores de voz, lenguaje y modelos cuando una función lo requiera y el presupuesto lo indique. El acuerdo de tratamiento de datos suscrito enumera los proveedores concretos de su proyecto.

Avisamos con 30 días de antelación antes de añadir uno. Puede oponerse dentro de ese plazo por motivos razonables de protección de datos, colaboraremos con usted de buena fe y, si no podemos resolverlo, cualquiera de las partes puede resolver el servicio afectado con un reembolso proporcional de las tarifas prepagadas no utilizadas. Ese es el único remedio. Las entregas en las instalaciones del cliente y en entornos aislados (air-gapped) eliminan por completo el subencargado del tratamiento de infraestructura.

Los sistemas entregados incorporan las medidas establecidas en el anexo de seguridad: como mínimo, cifrado en tránsito y en reposo, control de acceso basado en roles, registro de auditoría estructurado y eliminación segura de los archivos temporales. El acceso del personal se limita a personas identificadas que lo necesitan y queda registrado. Los proyectos regulados añaden los controles indicados en su anexo.

Le notificamos sin dilación indebida después de tener conocimiento de una violación de la seguridad de los datos personales que afecte a sus datos y, en cualquier caso, en un plazo de 72 horas desde que tengamos conocimiento de ella. La notificación expone lo que sabemos, lo que hemos hecho y lo que recomendamos; una primera notificación puede ser preliminar y la completamos a medida que sabemos más. No notificamos los intentos de acceso fallidos, los escaneos ni los pings, y una notificación no constituye un reconocimiento de culpa ni de responsabilidad.

Le ayudamos a responder a las solicitudes de acceso, rectificación, supresión y portabilidad dentro del plazo que le concede la ley.

Las auditorías empiezan por los documentos. Previa solicitud, una vez cada 12 meses, le facilitamos nuestra documentación de seguridad, nuestro anexo de medidas y un cuestionario de seguridad cumplimentado. Cuando eso sea realmente insuficiente, o tras una violación de la seguridad confirmada que afecte a sus datos, o cuando una autoridad de control lo exija, puede auditarnos con un preaviso por escrito de 30 días, una vez cada 12 meses, en horario laboral, a su cargo, con sujeción a confidencialidad, sin perturbar nuestras operaciones ni los datos de otros clientes y recurriendo a un auditor que no sea competidor nuestro.

Los datos de producción en reposo permanecen en la región indicada en su presupuesto. El acceso administrativo desde otras ubicaciones, y cualquier transferencia inevitable fuera del EEE, el Reino Unido o Suiza, están cubiertos por las cláusulas contractuales tipo y las adendas aplicables.

Devolvemos o suprimimos sus datos personales, a su elección, y certificamos la supresión. Las copias en las copias de seguridad cifradas se suprimen en el ciclo ordinario de copias de seguridad y permanecen protegidas hasta entonces. Solo conservamos lo que la ley nos obliga a conservar.

Escriba a constantine@vavusai.com con la referencia de su presupuesto. Se lo enviamos para su firma junto con el contrato de proyecto. Revisaremos su propio acuerdo de tratamiento de datos y lo firmaremos cuando sus condiciones sean sustancialmente coherentes con las nuestras; en caso contrario, prevalece el nuestro.