Acuerdo de encargo de tratamiento de datos

1. Ámbito y funciones

Este Acuerdo de encargo de tratamiento de datos ("DPA") forma parte de las Condiciones del servicio entre Rediacc OÜ ("Rediacc", el "Encargado") y el Cliente, cuando el Cliente utiliza los Servicios como empresa y Rediacc trata Datos Personales del Cliente por cuenta del Cliente. Los términos definidos en las Condiciones del servicio tienen aquí el mismo significado. Este DPA está redactado en inglés; las traducciones se ofrecen únicamente a título informativo y, en caso de discrepancia, prevalece la versión en inglés.

Respecto de los Datos Personales del Cliente, el Cliente es el responsable del tratamiento (o un encargado que actúa para su propio responsable) y Rediacc es el encargado (o subencargado). Respecto de los registros de Cuenta, facturación y aceptación y de los Datos de Telemetría, Rediacc es un responsable del tratamiento independiente, según se describe en la Política de privacidad, y este DPA no se aplica a ese tratamiento.

Rediacc no trata los Datos del Cliente que se encuentran en las Máquinas del Cliente. El almacenamiento cifrado de configuraciones y las copias de seguridad alojadas se cifran con claves que Rediacc no posee, por lo que Rediacc almacena esos bloques pero no puede leer su contenido.

2. Definiciones

• "Leyes de Protección de Datos" son el Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679, "RGPD"), el RGPD del Reino Unido (UK GDPR) y cualquier otra ley de protección de datos que se aplique al tratamiento regulado por este DPA.
• "Datos Personales del Cliente" son los datos personales que Rediacc trata por cuenta del Cliente al prestar la Plataforma, como los nombres y las direcciones de correo electrónico de los Usuarios Autorizados y de los miembros del equipo invitados por el Cliente, y los datos cifrados que el Cliente almacena en la Plataforma.
• "Violación de la Seguridad de los Datos Personales", "tratamiento", "responsable del tratamiento", "encargado del tratamiento" e "interesado" tienen el significado que les atribuye el RGPD.
• "CCT" son las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea.
• "Subencargado" es un tercero contratado por Rediacc para tratar Datos Personales del Cliente.

3. Tratamiento conforme a instrucciones

Rediacc trata los Datos Personales del Cliente únicamente conforme a las instrucciones documentadas del Cliente, que son las Condiciones del servicio, este DPA y el uso y la configuración que el Cliente haga de los Servicios, salvo que la ley exija otra cosa, en cuyo caso Rediacc informa al Cliente antes del tratamiento, a menos que la ley lo prohíba. Rediacc informa al Cliente si considera que una instrucción infringe las Leyes de Protección de Datos.

4. Detalles del tratamiento

• Objeto y finalidad: prestación de la Plataforma, incluidas la gestión de Cuentas y equipos, la emisión de licencias, el almacenamiento cifrado de configuraciones, el almacenamiento alojado de copias de seguridad y el soporte
• Duración: la vigencia de las Condiciones del servicio, más el plazo de supresión de la Sección 11
• Naturaleza del tratamiento: recogida, almacenamiento, transmisión, consulta y supresión
• Categorías de interesados: los Usuarios Autorizados del Cliente, los miembros del equipo invitados y los contactos de socios
• Categorías de datos personales: nombres, direcciones de correo electrónico, organización y cargo, datos de autenticación (hashes de contraseñas, claves públicas de passkeys), direcciones de red y agentes de usuario de las sesiones, y cualquier dato personal contenido en los datos cifrados que el Cliente almacena en la Plataforma
• Categorías especiales: ninguna prevista; el Cliente no debe almacenar categorías especiales de datos en la Plataforma sin cifrar

5. Confidencialidad

Rediacc garantiza que toda persona autorizada para tratar Datos Personales del Cliente está sujeta a una obligación de confidencialidad.

6. Seguridad

Rediacc aplica medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, entre ellas:

• cifrado en tránsito (TLS 1.2 o posterior) y en reposo, y cifrado en el cliente del almacenamiento de configuraciones y de las copias de seguridad alojadas con claves que Rediacc no posee
• acceso a los sistemas de producción limitado al personal autorizado, con autenticación multifactor
• separación lógica de los datos de los clientes y almacenamiento regional de datos
• registro y supervisión de los sistemas de producción, y pruebas periódicas de las medidas de seguridad

7. Subencargados

El Cliente autoriza a Rediacc a contratar Subencargados. Rediacc impone a cada Subencargado obligaciones de protección de datos no menos protectoras que las de este DPA y sigue siendo responsable del cumplimiento de sus Subencargados. Los Subencargados actuales son:

• Cloudflare, Inc. (Estados Unidos; red global): alojamiento del portal de cuentas y de la API (Workers), de la base de datos de cuentas (D1), del almacenamiento alojado de copias de seguridad y de objetos (R2), entrega de contenido y DNS, y protección contra bots en los formularios (Turnstile)
• Amazon Web Services, Inc. (Amazon Simple Email Service, en la región de AWS que presta servicio a la región de la cuenta del Cliente): envío de correo electrónico transaccional, como enlaces de inicio de sesión, avisos y facturas
• Stripe, Inc. y sus filiales (Estados Unidos e Irlanda): procesamiento de pagos, facturación de suscripciones, emisión de facturas y cálculo de impuestos para las Suscripciones de pago
• Hostinger (servidores virtuales en la Unión Europea): alojamiento del punto de conexión de telemetría y observabilidad (otlp.rediacc.io) que recibe los Datos de Telemetría y los registros de servicio

Rediacc avisa con al menos treinta (30) días de antelación antes de añadir o sustituir un Subencargado, actualizando esta página y notificándolo al correo electrónico de la Cuenta. El Cliente puede oponerse dentro de ese plazo por motivos razonables de protección de datos. Si las partes no pueden resolver la oposición, el Cliente puede resolver los Servicios afectados y recibir el reembolso de las tarifas prepagadas correspondientes al período posterior a la resolución.

Las analíticas del sitio web (Plausible) no tratan Datos Personales del Cliente y se rigen por la Política de privacidad.

8. Transferencias internacionales

Cuando se transfieran Datos Personales del Cliente a un país fuera del Espacio Económico Europeo que no cuente con una decisión de adecuación, las CCT se incorporan a este DPA por referencia: el Módulo Dos (de responsable a encargado) cuando el Cliente es responsable, y el Módulo Tres (de encargado a encargado) cuando el Cliente es encargado. Para las CCT: se aplica la cláusula de acoplamiento opcional (Cláusula 7); se aplica la Cláusula 9, letra a), Opción 2 (autorización general) con el plazo de aviso de la Sección 7; no se aplica la redacción opcional de la Cláusula 11; las Cláusulas 17 y 18 designan la ley y los tribunales de Estonia; y los Anexos I y II se completan con las Secciones 1, 4 y 6, y el Anexo III con la Sección 7 de este DPA.

Para las transferencias sujetas al RGPD del Reino Unido (UK GDPR), se aplica, junto con las CCT, el International Data Transfer Addendum emitido por el Information Commissioner del Reino Unido. Rediacc se apoya en el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) para los Subencargados certificados conforme a él.

9. Solicitudes de los interesados y asistencia

Rediacc remite sin demora al Cliente cualquier solicitud de un interesado relativa a Datos Personales del Cliente y no responde por sí mismo salvo siguiendo instrucciones del Cliente. Teniendo en cuenta la naturaleza del tratamiento, Rediacc asiste al Cliente en la respuesta a dichas solicitudes y en el cumplimiento de sus obligaciones conforme a los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto relativas a la protección de datos y las consultas previas.

10. Violación de la seguridad de los datos personales

Rediacc notifica al Cliente sin dilación indebida, y en cualquier caso en un plazo de setenta y dos (72) horas, tras tener conocimiento de una Violación de la Seguridad de los Datos Personales que afecte a Datos Personales del Cliente. La notificación describe, en la medida en que se conozca, la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las posibles consecuencias y las medidas adoptadas o propuestas. Rediacc adopta medidas razonables para contener y remediar la violación.

11. Supresión o devolución

Al finalizar los Servicios, el Cliente puede exportar los Datos Personales del Cliente en un plazo de treinta (30) días. Después, Rediacc suprime los Datos Personales del Cliente de los sistemas activos y, en un plazo de noventa (90) días, de las copias de seguridad, salvo que la ley obligue a Rediacc a conservarlos.

12. Auditorías

Rediacc pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, principalmente mediante respuestas por escrito a cuestionarios de seguridad razonables y mediante los informes de auditoría y las certificaciones disponibles de Rediacc y de sus Subencargados. Cuando esa información sea insuficiente o lo exija una autoridad de control, el Cliente puede realizar una auditoría, a su costa, con un preaviso de treinta (30) días, en horario laboral, como máximo una vez al año, con obligaciones de confidencialidad y sin perturbar los Servicios ni a otros clientes.

13. Responsabilidad y prelación

La responsabilidad de cada parte conforme a este DPA está sujeta a las limitaciones de las Condiciones del servicio, salvo cuando las Leyes de Protección de Datos no lo permitan. Si este DPA entra en conflicto con las Condiciones del servicio, prevalece este DPA para el tratamiento de Datos Personales del Cliente; si las CCT entran en conflicto con este DPA, prevalecen las CCT.

14. Origen de este DPA

Partes de este DPA se han adaptado de los Common Paper Data Processing Agreement Standard Terms Version 1.1 (commonpaper.com/standards/data-processing-agreement/1.1), publicados por Common Paper, Inc. bajo la licencia Creative Commons Attribution 4.0 International (CC BY 4.0). El texto ha sido modificado: se ha reestructurado, abreviado y adaptado a los Servicios. Common Paper, Inc. no respalda este DPA.