Acuerdo de tratamiento de datos (artículo 28 del RGPD)

1. Partes y aceptación

Este acuerdo se celebra entre el usuario de la app SuitBadge que recoge contactos con un formulario (el responsable) y la sociedad indicada arriba (el encargado). Es anexo de las condiciones de uso y se acepta con ellas en la app.

2. Objeto, duración, naturaleza y finalidad

El encargado guarda las respuestas enviadas con los formularios del responsable y se las pone a disposición en la app, con notas, exportación y eliminación. El tratamiento dura lo que la cuenta del responsable. Su única finalidad es prestar esta función.

3. Datos e interesados

Interesados: quienes rellenan un formulario en la página del responsable. Datos: los campos que elige el responsable (por ejemplo nombre, email, teléfono, empresa, mensaje, una opción), el texto de consentimiento aceptado y la fecha. El responsable no recoge categorías especiales de datos (artículo 9 del RGPD) ni datos de menores.

4. Instrucciones

El encargado trata los datos solo según instrucciones documentadas del responsable: estas condiciones, los ajustes de los formularios y las acciones en la app. Si una instrucción parece infringir la normativa de protección de datos, lo comunica al responsable.

5. Confidencialidad

Las personas autorizadas a acceder a los datos están obligadas a la confidencialidad. El acceso se limita a lo necesario para operar y proteger el servicio.

6. Seguridad (artículo 32 del RGPD)

• respuestas y notas cifradas campo a campo con AES-256-GCM, con la clave guardada aparte en un almacén de secretos;
• seudonimización de la cuenta del responsable con ID interno aleatorio y huella con clave;
• cifrado en reposo de la base de datos y archivos y en tránsito (TLS);
• cada petición autorizada con el token de acceso del responsable; sin acceso a datos de otros usuarios;
• acceso a la infraestructura con mínimos privilegios, sin guardar IP de visitantes;
• datos en la Unión Europea (AWS, Fráncfort); copias de seguridad de 7 días.

7. Subencargados

El responsable da una autorización general para usar subencargados. Actuales: Amazon Web Services EMEA SARL (alojamiento, base de datos, archivos, distribución; Fráncfort, con la red CloudFront). Google Ireland Ltd y Google LLC (Firebase Authentication) solo tratan los datos de acceso del responsable, no los contactos. El encargado avisa en la app al menos 30 días antes de añadir o sustituir un subencargado; el responsable puede oponerse y, si no hay solución, eliminar la cuenta. Los subencargados asumen las mismas obligaciones.

8. Asistencia

El encargado ayuda al responsable a atender las solicitudes de los interesados (la app permite ver, exportar y eliminar cada contacto) y, en lo necesario, en seguridad, notificación de brechas, evaluaciones de impacto y consultas previas. Las solicitudes recibidas de interesados se trasladan al responsable sin demora.

9. Brechas de datos

El encargado notifica al responsable sin dilación indebida y en todo caso en 48 horas desde que tenga conocimiento de una brecha que afecte a los contactos, con la información disponible, y le asiste en sus obligaciones.

10. Fin del tratamiento

Cuando el responsable elimina un contacto o la cuenta, los datos se borran de inmediato de la base activa; las copias se sobrescriben en 7 días. Antes, el responsable puede exportar los contactos en CSV o JSON.

11. Auditorías

El encargado facilita la información necesaria para demostrar el cumplimiento y permite auditorías del responsable o de un auditor designado, con preaviso razonable y sin comprometer la seguridad y confidencialidad de otros usuarios. Pueden usarse como prueba las certificaciones de los subencargados.

12. Transferencias internacionales

Los contactos se guardan en la UE. Si fuera necesaria una transferencia fuera del EEE, solo se haría con garantías adecuadas según el capítulo V del RGPD (decisión de adecuación o cláusulas contractuales tipo).

13. Obligaciones del responsable

El responsable garantiza que la recogida es lícita: finalidad clara, texto de consentimiento correcto, uso de los contactos solo para esa finalidad y enlace al aviso para visitantes, que el encargado muestra bajo cada formulario.

Documentos relacionados

Aviso de privacidad de la app SuitBadge · Condiciones de uso de la app SuitBadge · Aviso para visitantes de las páginas SuitBadge · Privacidad y cookies