Contrato de encargo del tratamiento

Respecto de unos datos su organización es responsable del tratamiento y nosotros encargados; respecto de otros somos responsables por derecho propio. La distinción no es un formalismo: determina quién responde ante quién. Actuamos como ENCARGADO por su cuenta respecto de: los contenidos y datos personales que publique o recoja a través de su micrositio, y todos los datos domésticos de Tagoror (perfiles seudonimizados de residentes, tareas, libro de gastos compartidos, reservas, incidencias, inventario, eventos), incluido el archivo cifrado de identidad. Actuamos como RESPONSABLES, por cuenta propia, respecto de: la cuenta de su organización con nosotros, las cuentas de las personas que inician sesión (incluidas las cuentas de invitado de los residentes, sus direcciones de correo y la autenticación por enlace mágico), la facturación, los registros de seguridad y la telemetría de la plataforma. Este contrato regula únicamente el primer bloque. El segundo se describe en nuestra Política de Privacidad.

Objeto: los datos personales descritos en la sección 3, tratados exclusivamente para prestar las funcionalidades de la plataforma que usted haya elegido usar. Naturaleza y finalidad: alojamiento, almacenamiento, visualización, transmisión, copia de seguridad y el tratamiento automatizado que usted active (revisión de contenidos asistida por IA, traducción e indexación para búsqueda). Duración: mientras su organización mantenga una cuenta activa con nosotros y, después, solo en lo que permite la sección 10. No tratamos sus datos para finalidades propias, no los vendemos y no los utilizamos para entrenar modelos de inteligencia artificial.

Interesados: sus clientes y visitantes, su personal y sus miembros y —si usa Tagoror— sus residentes y huéspedes. Datos personales: datos identificativos y de contacto; contenidos, imágenes y descripciones que publique; mensajes intercambiados a través de la plataforma; y, en Tagoror, seudónimos, registros de actividad doméstica, apuntes de gastos compartidos, reservas e incidencias de la vivienda. Ninguna funcionalidad de la plataforma solicita datos de categorías especiales, y no deben introducirse en campos de texto libre. Los datos de documentos de identidad (número de pasaporte o DNI, fecha de nacimiento, nacionalidad, domicilio) se tratan únicamente en el archivo cifrado y segregado descrito en la sección 6.

Trataremos los datos personales únicamente siguiendo sus instrucciones documentadas, incluso en materia de transferencias, salvo que nos obligue el Derecho de la Unión o de un Estado miembro, en cuyo caso se lo comunicaremos antes del tratamiento, salvo que ese Derecho lo prohíba por razones importantes de interés público. El uso que haga de las funcionalidades de la plataforma y la configuración que elija en ella constituyen sus instrucciones documentadas; este contrato y la documentación del producto las recogen. Si consideramos que una instrucción infringe la normativa de protección de datos, se lo indicaremos.

Toda persona autorizada para tratar datos personales en virtud de este contrato está sujeta a un deber de confidencialidad, contractual o legal, que subsiste tras la finalización de su relación. El acceso se limita al personal que lo necesita para operar y dar soporte al servicio.

Aplicamos medidas técnicas y organizativas apropiadas, entre ellas: cifrado de los datos en tránsito; cifrado en reposo de los datos de documentos de identidad y demás secretos, alojados en un archivo segregado que nunca se une a una consulta ordinaria y cuyo acceso está limitado por rol y auditado; roles de base de datos de mínimo privilegio; autenticación multifactor para el acceso administrativo; aislamiento entre organizaciones aplicado en la capa de consulta y verificado automáticamente en cada compilación; registro de auditoría de las acciones privilegiadas; copias de seguridad diarias cifradas con procedimiento de restauración documentado; y monitorización con alertas. Las medidas se revisan a medida que evoluciona el servicio; podremos modificarlas siempre que no se reduzca el nivel de protección.

Usted autoriza de forma general que recurramos a subencargados. La lista vigente está publicada y se mantiene actualizada; le comunicaremos con antelación razonable cualquier incorporación o sustitución prevista para que pueda oponerse por motivos razonables de protección de datos. Si se opone y no podemos atender su objeción, podrá resolver el servicio afectado. Todo subencargado queda vinculado por condiciones escritas que imponen las mismas obligaciones que este contrato, y seguimos siendo plenamente responsables ante usted de su actuación.

Teniendo en cuenta la naturaleza del tratamiento, le asistimos mediante medidas técnicas y organizativas apropiadas para que pueda atender las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición. La plataforma ofrece herramientas de exportación y supresión en autoservicio precisamente para ello. Si un interesado se dirige directamente a nosotros por datos que tratamos por su cuenta, no responderemos al fondo: le remitiremos a usted y se lo comunicaremos sin dilación.

Le notificaremos sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a datos tratados por su cuenta, con la información de que razonablemente dispongamos, para que pueda cumplir su propio plazo de 72 horas. Teniendo en cuenta la naturaleza del tratamiento y la información a nuestro alcance, le asistiremos en las evaluaciones de impacto y en la consulta previa de los artículos 35 y 36.

A su elección, suprimiremos o le devolveremos todos los datos personales al finalizar la prestación de los servicios, y suprimiremos las copias existentes, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación. En la práctica, la devolución es la exportación: completa, en autoservicio, gratuita y disponible mientras su cuenta esté abierta. Si algún día cerramos la plataforma, la sección 11 de los Términos fija un preaviso mínimo de 90 días durante el cual esa exportación sigue disponible, y esa misma exportación se genera y se le envía por correo antes de la fecha de cierre. Los datos que suprima pueden persistir en copias de seguridad rotativas durante un breve periodo hasta que se sobrescriban; no usamos las copias de seguridad para restaurar datos cuya supresión nos haya solicitado.

Pondremos a su disposición la información necesaria para demostrar el cumplimiento del artículo 28 y permitiremos y contribuiremos a la realización de auditorías, incluidas inspecciones, por su parte o por un auditor que usted mandate. Podremos satisfacer esta obligación facilitando nuestra documentación, las descripciones de seguridad y las certificaciones de terceros de que dispongamos. Las inspecciones presenciales requieren preaviso razonable, no pueden comprometer los datos de otros clientes y se limitan a lo proporcionado.

Los datos personales se tratan dentro del Espacio Económico Europeo, salvo cuando un subencargado identificado en la lista publicada opere fuera de él; en tal caso la transferencia se ampara en una decisión de adecuación o en Cláusulas Contractuales Tipo junto con las medidas complementarias que hayamos considerado necesarias. No transferiremos datos fuera del EEE por ninguna otra vía sin informarle.

Este contrato surte efecto cuando usted lo acepta y se mantiene mientras tratemos datos personales por su cuenta. Forma parte de los Términos; en caso de conflicto con ellos sobre el tratamiento de datos personales, prevalece este contrato. Las disposiciones de responsabilidad de los Términos se aplican a este contrato. Nada de lo aquí previsto limita las obligaciones ni la responsabilidad de las partes conforme al propio RGPD. Para cualquier consulta sobre este contrato, escriba a privacy@canarionet.com.