Contrato de encargo de tratamiento

Borrador pendiente de revisión por asesor legal. Se acepta al activar cada instancia y forma parte de las Condiciones generales de contratación.

1. Partes y objeto

El Cliente, como responsable del tratamiento, encarga a Diego Martinez Gil (Nexora.Base), como encargado del tratamiento, el alojamiento y la operación de las instancias de las aplicaciones de la biblioteca que el Cliente active, en los términos del artículo 28 del RGPD y del artículo 33 de la LOPDGDD.

2. Naturaleza, finalidad y duración

• Tratamientos: almacenamiento, conservación, copia de seguridad, recuperación, exportación y supresión de los datos que el Cliente y sus usuarios introduzcan en la instancia, así como su puesta a disposición a través de la aplicación.
• Finalidad: prestar el servicio contratado.
• Duración: la del contrato más el periodo de 30 días previsto para la exportación y supresión.
• Categorías de datos e interesados: las que determine el Cliente según el uso del modelo (por ejemplo, datos identificativos y de contacto de sus clientes, empleados o proveedores). Si el Cliente va a tratar categorías especiales de datos (art. 9 RGPD), como datos de salud, deberá comunicarlo previamente para valorar las medidas adicionales necesarias.

3. Obligaciones del encargado

Nexora.Base se compromete a:

1. Tratar los datos únicamente siguiendo las instrucciones documentadas del Cliente, que se concretan en el uso de la aplicación y en este contrato.
2. Garantizar la confidencialidad de las personas autorizadas para tratar los datos.
3. Aplicar las medidas de seguridad del artículo 32 RGPD descritas en el anexo.
4. No acceder al contenido de la instancia salvo con acceso de soporte concedido expresamente por el Cliente, que es temporal, revocable y queda registrado en el registro de auditoría de la plataforma y en el de la propia instancia.
5. Asistir al Cliente en la atención de los derechos de los interesados y en el cumplimiento de los artículos 32 a 36 RGPD.
6. Notificar al Cliente, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de la seguridad de los datos de su instancia, con la información necesaria para que el Cliente pueda notificarla a la autoridad de control en el plazo de 72 horas.
7. Suprimir o devolver los datos al finalizar el servicio, a elección del Cliente, salvo obligación legal de conservación.
8. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

4. Subencargados

El Cliente autoriza de forma general la contratación de los subencargados indicados en la Política de privacidad (alojamiento y copias de seguridad en el Reino Unido, país con decisión de adecuación de la Comisión Europea). Nexora.Base informará de cualquier cambio con 30 días de antelación, plazo durante el cual el Cliente podrá oponerse y, en su caso, resolver el contrato.

5. Transferencias internacionales

Los datos de las instancias se alojan en el Reino Unido, país que cuenta con una decisión de adecuación de la Comisión Europea (art. 45 RGPD). No se realizarán transferencias internacionales sin garantías adecuadas conforme al capítulo V del RGPD.

Anexo · Medidas de seguridad

• Base de datos exclusiva por instancia con credenciales propias; ningún cliente puede conectarse a la base de datos de otro.
• Cifrado en tránsito (TLS 1.2 o superior) y en reposo; credenciales de bases de datos cifradas con AES-256-GCM.
• Autenticación de los usuarios de la instancia con contraseñas derivadas con algoritmos robustos y bloqueo ante intentos repetidos.
• Registro de auditoría de accesos de soporte y de acciones administrativas.
• Copias de seguridad periódicas cifradas y pruebas de restauración.
• Gestión de vulnerabilidades y actualizaciones de seguridad conforme a la política de seguridad.