Acuerdo de Tratamiento de Datos
Este Acuerdo de Tratamiento de Datos ("DPA") forma parte de los Términos del servicio entre Marko Omelyash VARSOFIA ("Encargado", "nosotros") y la organización cliente ("Responsable", "usted") y se aplica siempre que tratemos datos personales por su cuenta en relación con el Servicio. Se celebra al amparo del artículo 28 del Reglamento (UE) 2016/679 (RGPD) y complementa la Política de privacidad.
1. Roles de las partes
El Responsable es el responsable del tratamiento de cualesquiera datos personales contenidos en el Contenido del Cliente (incluidos los datos de Usuarios Finales / firmantes). El Encargado es el encargado que trata dichos datos personales por cuenta del Responsable, siguiendo sus instrucciones documentadas, con el único fin de prestar el Servicio. Cada parte es responsable de forma independiente de sus propias obligaciones como responsable conforme al RGPD.
2. Objeto, duración, naturaleza y finalidad
Objeto: prestación del Servicio. Duración: el plazo del Acuerdo y cualquier periodo de exportación/eliminación pactado posteriormente. Naturaleza y finalidad: alojamiento, transmisión, almacenamiento y tratamiento de los datos personales necesarios para ofrecer flujos de firma electrónica, incluida la firma, la auditoría, la notificación y el almacenamiento de los documentos completados.
3. Categorías de interesados y de datos personales
Interesados: usuarios, administradores, firmantes y otras personas mencionadas en el Contenido del Cliente del Responsable. Datos personales: datos de identificación y contacto (nombre, correo electrónico, teléfono, dirección IP, user-agent), el contenido de los documentos que el Responsable decida cargar, evidencias de firma y entradas de la pista de auditoría. El Responsable es responsable de no cargar categorías especiales de datos (art. 9 RGPD) ni datos de menores salvo que exista una base jurídica adecuada y garantías adicionales.
4. Tratamiento conforme a instrucciones documentadas
El Encargado tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluso para las transferencias de datos personales a un tercer país, salvo que esté obligado a actuar de otro modo en virtud del Derecho de la Unión o del Estado miembro al que esté sujeto. Las instrucciones del Responsable se establecen en el Acuerdo (estos Términos, la Política de privacidad y este DPA), en la configuración de la organización del Responsable en el Servicio y en cualquier directriz documentada que el Responsable dicte posteriormente por escrito.
5. Confidencialidad
El Encargado garantiza que las personas autorizadas a tratar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal apropiada de confidencialidad, y que el acceso se limite al personal que lo necesite para desempeñar sus funciones.
6. Medidas de seguridad (art. 32 RGPD)
El Encargado implementa medidas técnicas y organizativas adecuadas, incluido el cifrado en tránsito y en reposo, el hash moderno de contraseñas, el soporte para autenticación multifactor, el control de acceso basado en roles, un registro de auditoría de solo adición con integridad de cadena de hash, protección perimetral (terminación TLS, mitigación DDoS, WAF) y procedimientos probados de copia de seguridad y restauración. Las medidas detalladas se describen en la Política de privacidad y pueden actualizarse periódicamente, siempre que no se reduzca el nivel de protección.
7. Subencargados
El Responsable concede al Encargado autorización general por escrito para contratar subencargados que asistan en la prestación del Servicio. La lista actual de subencargados se mantiene en línea y forma parte de este DPA por referencia. El Encargado notificará al Responsable (por correo electrónico y/o mediante banner en el producto) cualquier adición o sustitución prevista de subencargados con al menos 30 días de antelación, dando al Responsable la oportunidad de oponerse por motivos razonables. Cuando el Responsable se oponga por motivos razonables y las partes no alcancen un acuerdo en otros 30 días, el Responsable podrá resolver la parte afectada del Servicio. El Encargado seguirá siendo plenamente responsable ante el Responsable del cumplimiento de las obligaciones del subencargado. La lista actual está publicada en sign.yt/subprocessors.
8. Transferencias internacionales
Cuando los datos personales se transfieran fuera del Espacio Económico Europeo, el Encargado se basará en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914) y en medidas técnicas y organizativas complementarias coherentes con la sentencia Schrems II. Cuando el Responsable seleccione funciones o proveedores que impliquen transferencias (por ejemplo, determinados proveedores de IA), el Responsable reconoce e instruye dichas transferencias.
9. Asistencia con los derechos de los interesados
Teniendo en cuenta la naturaleza del tratamiento, el Encargado asiste al Responsable mediante medidas técnicas y organizativas apropiadas para cumplir con la obligación del Responsable de responder a las solicitudes de los interesados que ejerzan sus derechos conforme a los artículos 15-22 del RGPD, en particular proporcionando herramientas integradas en el producto para la exportación de datos, la supresión y la recuperación de la pista de auditoría.
10. Violaciones de seguridad de datos personales
El Encargado notifica al Responsable sin dilación indebida tras tener conocimiento de una violación de seguridad de los datos personales que afecte a los datos del Responsable, proporcionando la información razonablemente disponible para el Encargado a fin de permitir al Responsable cumplir sus propias obligaciones conforme a los artículos 33 y 34 del RGPD.
11. Auditorías
El Encargado pone a disposición del Responsable, previa solicitud razonable por escrito y con sujeción a confidencialidad, la información necesaria para demostrar el cumplimiento de este DPA. Las auditorías que excedan tal divulgación de información se limitan a (a) informes de auditor ya disponibles para el Encargado (por ejemplo, informes de aseguramiento de terceros, en su caso) y (b) una auditoría in situ al año, con al menos 30 días de aviso, realizada por un auditor mutuamente aceptable y a costa del Responsable, cuando una preocupación creíble de cumplimiento lo justifique razonablemente.
12. Devolución y eliminación de datos
A la terminación del Acuerdo, el Encargado eliminará el Contenido del Cliente de los sistemas activos en los plazos establecidos en los Términos del servicio (ventana de exportación seguida de eliminación). Las copias de seguridad que contengan Contenido del Cliente se sobrescribirán en el curso ordinario conforme al periodo de retención de copias rodantes. El Encargado podrá conservar datos personales cuando lo exija la ley aplicable (por ejemplo, registros contables).
13. Responsabilidad
La responsabilidad agregada de cada parte conforme a este DPA o en relación con él está sujeta a las limitaciones de responsabilidad establecidas en los Términos del servicio.
14. Ley aplicable
Este DPA se rige por la ley polaca y se interpreta de manera coherente con los Términos del servicio. En caso de conflicto entre este DPA y los Términos del servicio respecto al tratamiento de datos personales, prevalecerá este DPA.
15. Contacto
Para cualquier consulta sobre este DPA, póngase en contacto con support@sign.yt.