Contrato de encargo del tratamiento

1. Partes

Este contrato de encargo del tratamiento (en adelante, «el Contrato») se celebra entre:

– El Responsable: el cliente del software de gestión de Brami3d que ha aceptado los Términos del servicio del software, identificado con los datos de su cuenta.

– El Encargado: Alesander Rivero Dorta, con NIF 43807041E y domicilio en C/ Chineguas, 181, 38107 Santa Cruz de Tenerife (España), correo de contacto para protección de datos brami3d@gmail.com.

El Contrato da cumplimiento al artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD), y al artículo 33 de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD). Forma parte de los Términos del servicio del software y se acepta junto con ellos. En lo que regula, prevalece sobre ellos.

2. Objeto, duración, naturaleza y finalidad

Objeto. El Contrato regula el tratamiento de los datos personales que el Responsable introduce en el software de gestión de Brami3d (en adelante, «el Servicio») y que el Encargado trata por cuenta de aquel.

Naturaleza. Alojamiento, almacenamiento, organización, consulta, copia de seguridad, envío de comunicaciones transaccionales en nombre del Responsable (por ejemplo, presupuestos y facturas que el Responsable envía a sus clientes desde el Servicio) y supresión de los datos.

Finalidad. Exclusivamente la prestación del Servicio de gestión de presupuestos, pedidos, clientes, impresoras, stock y coste de material, facturación e informes, y el soporte técnico asociado. El Encargado no tratará los datos para ninguna finalidad propia y, en particular, no los usará para su servicio de impresión 3D.

Duración. La misma que la suscripción al Servicio, más el periodo de exportación y supresión previsto en el apartado 10.

3. Tipos de datos e interesados

El Encargado tratará las siguientes categorías de datos, en la medida en que el Responsable las introduzca en el Servicio:

– datos identificativos y de contacto: nombre y apellidos, razón social, NIF, dirección postal, correo electrónico y teléfono;

– datos comerciales: presupuestos, pedidos, piezas encargadas, importes e historial de compras;

– datos económicos y de facturación: facturas emitidas y estado de los cobros (el Servicio no almacena números completos de tarjeta);

– datos de acceso del Responsable: correo, contraseña cifrada y registros técnicos de errores.

Los interesados son los clientes y potenciales clientes del Responsable, sus personas de contacto, y los empleados o colaboradores del Responsable que usan el Servicio.

El Servicio no está diseñado para tratar categorías especiales de datos (artículo 9 del RGPD) ni datos relativos a condenas o infracciones penales. El Responsable se compromete a no introducirlos.

4. Instrucciones documentadas

El Encargado tratará los datos únicamente siguiendo las instrucciones documentadas del Responsable. Se consideran instrucciones documentadas este Contrato, los Términos del servicio del software y las acciones que el Responsable y sus usuarios realizan con la configuración y las funciones del Servicio.

Si el Encargado considera que una instrucción infringe el RGPD u otra norma de protección de datos, informará de inmediato al Responsable. Si el Derecho de la Unión o de un Estado miembro obliga al Encargado a tratar los datos de otro modo, se lo comunicará al Responsable antes del tratamiento, salvo que esa norma lo prohíba.

5. Confidencialidad del personal

El Encargado garantiza que las personas autorizadas para tratar los datos se han comprometido por escrito a respetar su confidencialidad, o están sujetas a una obligación legal de confidencialidad, también después de terminar su relación con el Encargado. El acceso del personal a las cuentas del Responsable se limita al titular de Brami3d, para soporte o seguridad.

6. Medidas de seguridad

El Encargado aplica las medidas técnicas y organizativas apropiadas al riesgo que exige el artículo 32 del RGPD. Las medidas vigentes se describen en el Anexo II. El Encargado puede actualizarlas siempre que no reduzcan el nivel de protección.

7. Subencargados

El Responsable otorga una autorización general para que el Encargado recurra a los subencargados indicados en la página de Subencargados, que se reproduce en el Anexo III.

El Encargado informará al Responsable de cualquier alta o sustitución de un subencargado con al menos 30 días de antelación, por correo electrónico al administrador de la cuenta. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos en ese plazo. Si las partes no llegan a un acuerdo, el Responsable podrá terminar la suscripción sin penalización y con el reembolso proporcional de lo pagado por adelantado.

El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que este Contrato y seguirá respondiendo ante el Responsable del cumplimiento de esas obligaciones.

8. Asistencia con los derechos de los interesados

El Servicio permite al Responsable consultar, corregir, exportar y suprimir los datos de cada cliente, lo que le facilita atender los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición.

Si un interesado se dirige directamente al Encargado, este trasladará la solicitud al Responsable en un plazo máximo de 5 días laborables y no la contestará por sí mismo, salvo que el Responsable se lo indique.

9. Brechas de seguridad, EIPD y consulta previa

El Encargado notificará al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga constancia, cualquier violación de la seguridad que afecte a sus datos. La notificación incluirá, en la medida en que se conozca, la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Si no puede facilitar toda la información a la vez, lo hará por fases.

El Encargado ayudará al Responsable, teniendo en cuenta la información de que dispone, a cumplir sus obligaciones de notificar la brecha a la autoridad de control y a los interesados, de realizar evaluaciones de impacto relativas a la protección de datos (EIPD) y de efectuar la consulta previa a la autoridad de control, cuando proceda.

10. Supresión o devolución de los datos

El Responsable puede exportar sus datos en cualquier momento desde la cuenta en formatos abiertos. Al borrar la cuenta desde el Servicio, el Encargado suprime en el momento los datos y sus copias, salvo los que el Derecho de la Unión o de los Estados miembros obligue a conservar, como el registro de facturas. A petición del Responsable, el Encargado certificará por escrito la supresión.

11. Información y auditorías

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Contrato. Como primera vía, facilitará la documentación de seguridad y, cuando existan, los informes o certificaciones de sus subencargados.

Si esa información no basta, el Responsable podrá realizar una auditoría, por sí mismo o mediante un auditor independiente sujeto a confidencialidad, con un preaviso de 30 días, como máximo una vez al año, en horario laboral y sin interferir en la seguridad de otros clientes. Cada parte asumirá sus propios costes, salvo que la auditoría revele un incumplimiento grave del Encargado.

12. Transferencias internacionales

Los datos se alojan en servidores situados en la Unión Europea. El Encargado solo realizará transferencias a terceros países cuando lo exija un subencargado indicado en el Anexo III y siempre con alguna de las garantías previstas en el capítulo V del RGPD, como una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU.) o las cláusulas contractuales tipo aprobadas por la Comisión Europea.

13. Responsabilidad y terminación

Cada parte responde del cumplimiento de sus obligaciones conforme al artículo 82 del RGPD. Si el Encargado trata los datos para finalidades propias o incumple las instrucciones del Responsable, será considerado responsable del tratamiento con respecto a ese tratamiento. Las limitaciones de responsabilidad de los Términos del servicio del software se aplican a este Contrato en la medida en que la ley lo permita.

El Contrato termina automáticamente cuando termina la suscripción al Servicio. Las obligaciones de confidencialidad y de supresión siguen vigentes después de la terminación.

14. Anexos

Anexo I. Descripción del tratamiento

Anexo II. Medidas técnicas y organizativas

– Cifrado: datos cifrados en tránsito con TLS 1.2 o superior, y en reposo con AES-256.

– Control de acceso: separación lógica entre cuentas de clientes con políticas de seguridad por fila, y contraseñas con requisitos mínimos.

– Acceso del personal: solo el titular de Brami3d, para soporte o seguridad.

– Copias de seguridad: una copia mensual de los datos de cada cuenta, cifrada y guardada en el mismo proveedor dentro de la Unión Europea. El Responsable puede descargar además su propia copia cuando quiera.

– Registro de errores: los errores técnicos se registran para corregirlos, y el titular recibe un aviso si fallan las tareas programadas.

– Actualizaciones: aplicación de parches de seguridad del sistema y de las dependencias en un plazo máximo de 7 días para las vulnerabilidades críticas.

– Continuidad: copia mensual restaurable y copia descargable por el Responsable.

Anexo III. Subencargados autorizados

La lista vigente, con su historial de cambios, se mantiene en la página de Subencargados. A la fecha de esta versión es la siguiente:

¿Dudas sobre este texto? Escríbanos a brami3d@gmail.com.