Acuerdo de tratamiento de datos personales
Preámbulo
Ofelia podrá actuar como Encargado del tratamiento en relación con las operaciones de Tratamiento de Datos realizadas por cuenta del Cliente, quien actúa como Responsable del tratamiento en el sentido del Reglamento (UE) 2016/679 (el «Reglamento»), según lo establecido en el artículo «Datos Personales» de las Condiciones Generales de Venta (CGV).
Ofelia ha tomado conocimiento del Reglamento y, en particular, de su artículo 28 relativo a las obligaciones impuestas a todo Encargado del tratamiento que actúe por cuenta de un Responsable del tratamiento de datos personales.
El presente documento establece los compromisos de Ofelia frente al Cliente en materia de protección de datos en el marco de la prestación de los Servicios.
Definiciones
Los términos empleados en el presente documento tienen el significado establecido en el Reglamento, incluyendo:
«Decisión de adecuación» designa una decisión adoptada por la Comisión Europea que establece que un Tercer País garantiza un nivel adecuado de protección de los Datos Personales en razón de su legislación interna o de los compromisos internacionales que haya asumido.
«Datos» o «Datos Personales» designa toda información relativa a una persona física identificada o identificable (en adelante, la «persona interesada»); una «persona física identificable» es aquella cuya identidad pueda determinarse, directa o indirectamente, en particular mediante un identificador como un nombre, un número de identificación, datos de localización, un identificador en línea, o uno o varios elementos específicos de la identidad física, fisiológica, genética, psíquica, económica, cultural o social de dicha persona física.
«EEE» designa el Espacio Económico Europeo.
«Tercer País» designa un país que no es miembro ni de la UE ni del EEE.
«Responsable del tratamiento» designa la persona física o jurídica, autoridad pública, servicio u otro organismo que, solo o junto con otros, determina los fines y los medios del Tratamiento; cuando los fines y los medios de dicho Tratamiento estén determinados por el Derecho de la Unión o de los Estados miembros, el Responsable del tratamiento podrá ser designado, o los criterios específicos aplicables a su designación podrán ser previstos, por el Derecho de la Unión o de los Estados miembros.
«Encargado del tratamiento» designa la persona física o jurídica, autoridad pública, servicio u otro organismo que trata Datos Personales por cuenta del Responsable del tratamiento.
«Subencargado del tratamiento» designa el encargado contratado por el Encargado del tratamiento y que trata Datos Personales por cuenta de este último.
«Transferencia fuera de la UE» o «Tratamiento fuera de la UE» o «Transferencia» designa la transmisión de Datos desde un país miembro de la UE o del EEE hacia un Tercer País, o el acceso a Datos localizados dentro de un país miembro de la UE o del EEE desde un Tercer País (por ejemplo, el acceso remoto a una base de datos ubicada en Europa).
«Tratamiento de datos personales» o «Tratamiento» o «Tratar» designa cualquier operación o conjunto de operaciones realizadas sobre Datos o conjuntos de Datos Personales, ya sea por medios automatizados o no, tales como la recogida, el registro, la organización, la estructuración, la conservación, la adaptación o modificación, la extracción, la consulta, la utilización, la comunicación por transmisión, difusión o cualquier otra forma de habilitación de acceso, el cotejo o la interconexión, la limitación, la supresión o la destrucción.
«UE» designa la Unión Europea.
«Violación de Datos» o «Violación» designa una violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales transmitidos, conservados o tratados de otra forma, o la comunicación o el acceso no autorizados a dichos Datos.
Descripción de las operaciones de Tratamiento de Datos
Las operaciones de Tratamiento de Datos realizadas por Ofelia en calidad de Encargado del tratamiento se efectúan con los fines establecidos en el Anexo A.
Ejecución de las operaciones de Tratamiento
Ofelia se compromete a cumplir las instrucciones escritas del Cliente en lo que respecta al uso que pueda hacerse de los Datos. La lista de operaciones de Tratamiento que Ofelia puede realizar por cuenta del Cliente se adjunta al presente documento como Anexo A – Registro de las actividades de tratamiento realizadas en calidad de Encargado del tratamiento (artículo 30 del RGPD).
Ofelia informará inmediatamente al Cliente si, en su opinión, alguna de las instrucciones del Cliente pudiera constituir una infracción del Reglamento.
En caso de que el Cliente considere que una nueva operación de tratamiento de datos encomendada a Ofelia requiere una evaluación de impacto relativa a la protección de datos en el sentido del artículo 35 del Reglamento, Ofelia asistirá al Cliente en la realización de dicha evaluación de impacto. Esta asistencia podrá ser objeto de facturación.
Información a las personas interesadas
El Responsable del tratamiento informará a las personas interesadas de las operaciones de tratamiento de datos personales realizadas en el marco de los Servicios.
Medidas de seguridad
Ofelia se compromete a aplicar todas las medidas organizativas y técnicas necesarias para garantizar la seguridad física y lógica de los Datos conforme al estado de la técnica y a las recomendaciones publicadas por las Autoridades de Protección de Datos o las autoridades administrativas competentes en materia de seguridad informática.
Las medidas de seguridad y confidencialidad adoptadas por Ofelia deberán tener en cuenta las posibilidades técnicas más recientes y el coste de su aplicación, las características del tratamiento (naturaleza, alcance, finalidad, etc.), así como los riesgos que presenten para los derechos de las personas interesadas.
Las medidas de seguridad garantizarán en todo momento la integridad, la trazabilidad de los accesos, la confidencialidad y la disponibilidad de los Datos, e incluirán en particular:
La identificación y protección de los locales (por ejemplo: acceso con cerradura, acceso restringido que requiera autorización y autenticación);
La seguridad lógica (por ejemplo: cortafuegos, autenticación y archivado de los accesos a los Datos, simulaciones de incidentes);
La protección de los flujos de intercambio de Datos Personales de modo que no puedan ser explotados por un tercero no autorizado;
El registro de las actividades en el sistema informático;
La protección de los entornos informáticos mediante software antivirus actualizado (programas y firmas de virus);
La implementación de procedimientos de control para verificar el nivel de seguridad.
Ofelia velará por que únicamente se utilicen medios de comunicación seguros para tratar los Datos Personales.
Ofelia se compromete a limitar el acceso a los Datos exclusivamente a las personas autorizadas, según el principio de necesidad de conocer.
Ofelia velará asimismo por que las personas autorizadas a tratar los Datos Personales para los fines del presente documento, incluido su personal y el de cualquier Subencargado del tratamiento, se comprometan a respetar una obligación de confidencialidad adecuada.
Cooperación por parte de Ofelia
Ofelia se compromete a cooperar con el Cliente poniendo a su disposición, previa solicitud escrita, toda la información necesaria para demostrar el cumplimiento de sus obligaciones, y permitiendo al Cliente, con este fin, llevar a cabo cualquier verificación que considere útil, cuyas modalidades prácticas se acordarán mutuamente.
Subencargo del tratamiento
El Cliente autoriza por el presente el subencargo de la totalidad o parte de las operaciones de tratamiento encomendadas a Ofelia, y Ofelia se compromete a contratar únicamente a Subencargados del tratamiento que cumplan las disposiciones del RGPD.
La lista de los Subencargados del tratamiento actuales de Ofelia figura en el Anexo B. Podrá comunicarse al Cliente una versión actualizada en cualquier momento mediante simple solicitud.
Ofelia garantiza que sus Subencargados del tratamiento cumplirán los compromisos a los que ella misma está vinculada, en particular en lo que respecta a los compromisos que pueda asumir en materia de seguridad o en el marco de las cláusulas contractuales tipo o de cualquier otra garantía apropiada.
Transferencias de Datos
Ofelia no transfiere voluntariamente Datos Personales fuera del territorio de la UE o del EEE.
En caso de que, para la prestación de los Servicios, Ofelia se vea obligada a Transferir Datos fuera de la UE o del EEE, dichas operaciones de Tratamiento deberán cumplir los requisitos del Reglamento relativos a la Transferencia de Datos fuera de la UE, a saber:
El Tratamiento se realiza en un Tercer País que se beneficia de una Decisión de adecuación;
El Tratamiento se rige por cláusulas contractuales tipo publicadas por la Comisión Europea. En este caso, Ofelia y el Subencargado del tratamiento importador de datos incorporarán dichas cláusulas tipo a las CGV y se comprometerán a ratificarlas antes de la puesta en marcha de la(s) operación(es) de Tratamiento en cuestión;
El Tratamiento se rige por Normas Corporativas Vinculantes (NCV).
En caso de que la(s) excepción(es) utilizada(s) para la Transferencia dejen de ser válidas, Ofelia se compromete a modificar el mecanismo elegido y a sustituirlo por un mecanismo capaz de regir la Transferencia prevista.
Cuando Ofelia contrate Subencargados del tratamiento, velará por que estos hayan aplicado las medidas técnicas y organizativas apropiadas para garantizar, en caso de Transferencia de Datos, un nivel de protección de los Datos transferidos al menos equivalente al previsto en el presente documento (cláusulas contractuales tipo, NCV, etc.).
Delegado de Protección de Datos
Ofelia ha designado un Delegado de Protección de Datos: la empresa Virtual DPO – contact@virtual-dpo.fr.
El Cliente comunicará a Ofelia, en el momento de la firma de la Propuesta Comercial, la identidad y los datos de contacto de su Delegado de Protección de Datos.
En caso de que el Cliente no haya designado un Delegado de Protección de Datos, comunicará a Ofelia el nombre y los datos de contacto detallados de una persona de contacto pertinente a quien pueda solicitarse información sobre el Tratamiento de los Datos.
Notificación en caso de Violación de Datos Personales
En caso de un incidente que pueda afectar a la seguridad de los Datos Personales, en caso de compromiso probable o confirmado de la integridad de los Datos Personales, o en caso de violación probable o confirmada de las normas de confidencialidad aplicadas a los Datos Personales, Ofelia informará al Cliente lo antes posible. Esta información se facilita para permitir al Cliente cumplir sus obligaciones de notificación ante la CNIL y las personas interesadas, de conformidad con las disposiciones del artículo 33 del RGPD.
Ofelia llevará a cabo las investigaciones necesarias para facilitar al Cliente, a medida que avancen, toda la información útil sobre la naturaleza y el alcance de la posible Violación de Datos y las medidas correctoras aplicadas.
Ofelia describirá la violación de seguridad y, en la medida de lo posible, las categorías y el número de personas afectadas por la violación, así como los Datos implicados.
Ofelia se compromete además a cooperar con el Cliente y a aplicar los medios necesarios para resolver el incidente.
Notificación de solicitudes de divulgación por parte de terceros
Ofelia se compromete a notificar al Cliente cualquier solicitud de transmisión o consulta de los Datos emitida por una autoridad judicial o administrativa lo antes posible y antes de dar cualquier respuesta, salvo que la legislación aplicable prohíba dicha notificación por motivos de interés público.
Ejercicio de los derechos por parte de las personas interesadas
Toda persona física cuyos Datos sean recogidos por Ofelia por cuenta del Cliente tiene derecho de acceso, limitación, rectificación, supresión y, en su caso, oposición al tratamiento o portabilidad de los Datos Personales que le conciernen, de conformidad con las disposiciones de la normativa aplicable.
Los derechos establecidos en el párrafo anterior se ejercerán directamente ante el Responsable del tratamiento.
En consecuencia, Ofelia notificará al Cliente lo antes posible cualquier solicitud de ejercicio de los derechos mencionados y se atendrá a las instrucciones del Cliente, siempre que estas cumplan la normativa aplicable y hayan sido comunicadas previamente a Ofelia.
Plazo de conservación de los Datos / Extinción de la Suscripción
Ofelia conservará los Datos tratados durante la vigencia de la Suscripción, salvo solicitud en contrario del Cliente o salvo que una obligación legal imponga un plazo de conservación distinto.
En cualquier caso, Ofelia se compromete a suprimir todos los Datos a la primera solicitud del Cliente.
Ofelia facilitará al Cliente, previa solicitud, un certificado que acredite la destrucción de los Datos.
Los Datos podrán ser objeto de un archivado intermedio durante un período máximo correspondiente al plazo legal de prescripción.
Anexo A – Registro de las operaciones de Tratamiento realizadas por cuenta del Cliente
Para todas estas operaciones de tratamiento:
Base jurídica: definida por el Cliente, que actúa como Responsable del tratamiento.
Gestión de identidades, acceso de los Usuarios y creación de cuentas por parte de los Administradores
Ingesta e indexación de la base de conocimientos (RAG)
Alojamiento de la base de datos
Alojamiento de los datos relativos a las instrucciones (prompts) enviadas por los Usuarios
Análisis de las instrucciones (prompts) y formulación de respuestas
Ejecución de acciones en herramientas de terceros
Configuración y ejecución de procesos de negocio
Gestión de las solicitudes de soporte de los Usuarios (Soporte)
Anexo B – Lista de Subencargados del tratamiento autorizados
Algunas notas de terminología: he mantenido «CNIL» tal cual, ya que el documento hace referencia específica a la autoridad francesa (el equivalente español sería la AEPD). También he conservado «Ofelia» y «Virtual DPO» como nombres propios. Si lo prefieres, puedo pasártelo en un archivo Word o PDF listo para enviar.