Acuerdo de tratamiento de datos (DPA)

Traducción

Este texto es una traducción facilitada con fines meramente informativos. Solo la versión francesa es jurídicamente vinculante: consulte la versión francesa.

Artículo 1 – Partes, objeto y ámbito de aplicación

El presente acuerdo (el «DPA») fija las condiciones en las que HaiSoft trata datos personales por cuenta de sus clientes, de conformidad con el artículo 28 del Reglamento (UE) 2016/679 («RGPD»).

Entre:

• HaiSoft SARL, con un capital de 250.000 €, RCS Orléans 451 475 651, domicilio social en 7 rue Vieille Levée, 45100 Orléans, representada por Frédéric VAGNER, gerente, que actúa tanto en su propio nombre como bajo sus nombres comerciales SG Autorépondeur y MailJump (en lo sucesivo el «Encargado del tratamiento»);
• el Cliente, tal como se identifica en su área de cliente o en el formulario de pedido (en lo sucesivo el «Responsable del tratamiento»).

Ámbito de aplicación. El DPA se aplica a todos los servicios de HaiSoft en cuyo marco HaiSoft aloja o trata datos personales cuyos fines y medios determina el Cliente: alojamiento web, servidores dedicados y virtuales gestionados, correo electrónico, copias de seguridad y servicio de e-mailing comercializado bajo los nombres comerciales SG Autorépondeur y MailJump (en lo sucesivo el «Servicio de e-mailing»).

Formación del contrato. El DPA forma parte integrante de las condiciones generales de servicio de HaiSoft (las «CGS») y se aplica desde su aceptación. También puede firmarse por separado a petición del Cliente; la versión firmada prevalece entonces sobre la versión en línea.

Prevalencia. En caso de contradicción entre el DPA y las CGS en un punto relativo a la protección de los datos personales, prevalece el DPA.

Artículo 2 – Definiciones y funciones de las partes

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les da el artículo 4 del RGPD.

• Datos del Cliente: los datos personales que el Cliente, sus usuarios o sus propios clientes almacenan, transmiten o hacen tratar a través de los servicios de HaiSoft (contenidos alojados, buzones de correo, bases de datos, listas de contactos del Servicio de e-mailing, etc.).
• Subencargado del tratamiento: todo tercero al que HaiSoft confía la totalidad o parte del tratamiento de los Datos del Cliente.

Reparto de funciones. Respecto de los Datos del Cliente, el Cliente es responsable del tratamiento y HaiSoft es encargada del tratamiento. El Cliente garantiza que dispone de una base jurídica para cada tratamiento, que ha informado a los interesados y, para el Servicio de e-mailing, que ha recabado su consentimiento cuando la ley lo exige.

Fuera del ámbito. Los datos que HaiSoft trata por cuenta propia (gestión de las cuentas de clientes, facturación, asistencia, prevención de abusos, registros técnicos necesarios para la seguridad) se rigen por la política de privacidad de HaiSoft, actuando entonces HaiSoft como responsable del tratamiento.

Artículo 3 – Obligaciones del encargado del tratamiento

HaiSoft trata los Datos del Cliente únicamente para prestar los servicios contratados, conforme a las instrucciones documentadas del Cliente.

1. Instrucciones. Las instrucciones del Cliente están constituidas por las CGS, el presente DPA, la configuración de los servicios realizada por el Cliente y sus solicitudes por escrito. Si HaiSoft considera que una instrucción infringe el RGPD, informa de ello al Cliente sin demora y puede suspender su ejecución.
2. Obligación legal. Si la ley obliga a HaiSoft a tratar o comunicar Datos del Cliente (por ejemplo, un requerimiento judicial), informa de ello al Cliente antes del tratamiento, salvo que la ley lo prohíba.
3. No utilización. HaiSoft no utiliza, vende, alquila ni comunica los Datos del Cliente para fines propios, en particular comerciales o publicitarios.
4. Confidencialidad. Las personas autorizadas a acceder a los Datos del Cliente están sujetas a una obligación de confidencialidad, contractual o legal. Los accesos se limitan a lo necesario para la ejecución de los servicios, para la asistencia solicitada por el Cliente y para la seguridad.
5. Seguridad. HaiSoft aplica las medidas técnicas y organizativas descritas en el anexo 2, de conformidad con el artículo 32 del RGPD, y las hace evolucionar según el estado de la técnica. HaiSoft puede modificarlas siempre que no reduzca el nivel global de protección.
6. Registro. HaiSoft lleva el registro de las categorías de actividades de tratamiento efectuadas por cuenta de sus clientes (artículo 30.2 del RGPD).
7. Reparto de responsabilidades. En los servicios no gestionados (servidor administrado por el Cliente, acceso root), la seguridad del sistema operativo, de las aplicaciones y de los datos corresponde al Cliente. HaiSoft sigue siendo responsable de la seguridad física, de la infraestructura y de la red.

Artículo 4 – Subencargados del tratamiento

El Cliente otorga a HaiSoft una autorización general para recurrir a subencargados del tratamiento, en las siguientes condiciones.

• Lista. La lista actualizada de subencargados del tratamiento figura en el anexo 3 y en el sitio web de HaiSoft.
• Información previa. HaiSoft informa al Cliente por correo electrónico de cualquier adición o sustitución al menos 30 días antes de que surta efecto.
• Derecho de oposición. El Cliente puede oponerse al cambio por un motivo legítimo relacionado con la protección de datos, por escrito, durante este plazo. A falta de acuerdo sobre una solución alternativa, el Cliente puede resolver el servicio afectado sin coste antes de que el cambio surta efecto; las sumas pagadas por adelantado por el periodo no consumido le son reembolsadas.
• Mismas obligaciones. HaiSoft impone a cada subencargado del tratamiento, por contrato, obligaciones de protección de datos al menos equivalentes a las del presente DPA.
• Responsabilidad. HaiSoft sigue siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de sus subencargados del tratamiento.

Artículo 5 – Derechos de los interesados, violaciones de datos y asistencia

Derechos de los interesados. El Cliente responde por sí mismo a las solicitudes de los interesados (acceso, rectificación, supresión, oposición, portabilidad, limitación), principalmente mediante las herramientas de su área de cliente. Si una persona se dirige directamente a HaiSoft, HaiSoft transmite su solicitud al Cliente en un plazo de 5 días hábiles y no la responde por sí misma, salvo instrucción del Cliente. Para el Servicio de e-mailing, las bajas realizadas mediante el enlace de baja se aplican automáticamente.

Violaciones de datos. HaiSoft notifica al Cliente toda violación de la seguridad de los datos personales que afecte a los Datos del Cliente en un plazo máximo de 48 horas desde que tenga conocimiento de ella, a la dirección de correo electrónico del contacto técnico del área de cliente. La notificación contiene, en la medida de lo posible:

• la naturaleza de la violación, las categorías y el número aproximado de personas y de registros afectados;
• las consecuencias probables;
• las medidas adoptadas o propuestas para remediarla y limitar sus efectos;
• el nombre y los datos de contacto de un interlocutor en HaiSoft.

La información puede comunicarse de forma escalonada. Corresponde al Cliente, como responsable del tratamiento, notificar a la CNIL (la autoridad francesa de protección de datos) y, en su caso, a los interesados.

Asistencia. HaiSoft facilita al Cliente la información razonablemente necesaria para realizar una evaluación de impacto (EIPD) o una consulta a la CNIL. La asistencia que vaya más allá de la simple comunicación de información existente puede facturarse a la tarifa vigente, previo presupuesto aceptado.

Artículo 6 – Ubicación y transferencias

Los Datos del Cliente se alojan y se copian exclusivamente en Francia. HaiSoft no transfiere ningún Dato del Cliente fuera de la Unión Europea sin el acuerdo previo por escrito del Cliente y sin garantías adecuadas en el sentido del capítulo V del RGPD. Un acceso puntual desde el extranjero por el propio Cliente no es una transferencia realizada por HaiSoft.

Artículo 7 – Fin del contrato

Al final del servicio, sea cual sea su causa:

1. el Cliente puede recuperar sus datos mediante las herramientas de exportación de su área de cliente durante 60 días tras la desactivación del servicio;
2. al término de este plazo, HaiSoft suprime los Datos del Cliente de sus sistemas de producción;
3. las copias presentes en las copias de seguridad se eliminan a medida que rotan, como máximo 12 meses después de la supresión; hasta entonces, solo sirven para restaurar los sistemas tras un incidente;
4. HaiSoft facilita, previa solicitud, un certificado de supresión.

HaiSoft solo puede conservar los Datos del Cliente más allá de estos plazos si la ley se lo exige, y únicamente con esa finalidad.

Artículo 8 – Auditorías

HaiSoft pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del presente DPA: descripción de las medidas de seguridad, certificaciones, respuestas a un cuestionario de seguridad razonable.

El Cliente puede, como máximo una vez al año (y en cualquier momento en caso de violación de datos acreditada), hacer realizar una auditoría por sí mismo o por un auditor independiente sujeto a secreto y que no sea competidor de HaiSoft. La auditoría se anuncia por escrito con 30 días de antelación, se desarrolla en horario laboral sin perturbar los servicios ni comprometer la seguridad o la confidencialidad de los datos de los demás clientes. Sus costes corren a cargo del Cliente, salvo que ponga de manifiesto un incumplimiento significativo de HaiSoft.

Artículo 9 – Responsabilidad y duración

Cada parte es responsable de los daños causados por sus incumplimientos del RGPD y del presente DPA, en las condiciones del artículo 82 del RGPD. Entre profesionales, las limitaciones de responsabilidad de las CGS se aplican al presente DPA, salvo falta grave o dolosa.

El DPA se aplica durante toda la vigencia de los servicios y hasta la supresión efectiva de los Datos del Cliente. Se rige por el derecho francés; las controversias corresponden a los tribunales previstos en las CGS.

Anexo 1 – Descripción de los tratamientos

El Cliente se prohíbe confiar a HaiSoft datos sensibles en el sentido del artículo 9 del RGPD a través del Servicio de e-mailing. Para los demás servicios, informa de ello a HaiSoft previamente para adaptar las medidas de seguridad.

Anexo 2 – Medidas de seguridad

• Ubicación: alojamiento y copias de seguridad en Francia, en centros de datos con acceso físico controlado.
• Accesos: cuentas nominativas, principio de mínimo privilegio, autenticación fuerte para los accesos de administración, revocación de los accesos cuando un colaborador se marcha.
• Red: cortafuegos, filtrado y protección contra ataques de denegación de servicio, cifrado de los flujos (TLS) para las interfaces de administración y los servicios expuestos.
• Sistemas: aplicación regular de parches de seguridad en los componentes gestionados por HaiSoft, supervisión y registro de los eventos de seguridad.
• Copias de seguridad: copias de seguridad regulares de los servicios gestionados, conservadas 12 meses como máximo, con pruebas de restauración.
• Organización: obligación de confidencialidad del personal, procedimiento de gestión de incidentes y de violaciones de datos, dirección de notificación abuse@haisoft.net.
• Servicio de e-mailing: separación lógica de las cuentas de clientes, contraseñas almacenadas en forma cifrada (hash), baja automática, control de los volúmenes de envío.

Anexo 3 – Subencargados del tratamiento

En la fecha del presente DPA, HaiSoft no recurre a ningún subencargado del tratamiento para el conjunto de sus servicios, incluido el Servicio de e-mailing. Toda evolución seguirá el procedimiento del artículo 4.