Anexo de tratamiento de datos

1. 1. Definiciones

«Legislación de Protección de Datos» significa todas las leyes aplicables al tratamiento de Datos Personales conforme a este DPA, incluidos el Reglamento General de Protección de Datos de la UE (2016/679) («RGPD de la UE»), el RGPD del Reino Unido y la Ley de Protección de Datos de 2018 del Reino Unido, la Ley Federal Suiza de Protección de Datos y las leyes estatales de privacidad de EE. UU., incluida la CCPA en su versión modificada.

«Datos Personales» significa los datos personales, la información personal o su equivalente conforme a la Legislación de Protección de Datos, que VERA trata en nombre del Cliente en virtud de los Términos del Servicio. Los términos «Responsable del tratamiento», «Encargado del tratamiento», «Interesado», «Tratamiento», «Violación de la seguridad de los Datos Personales» y «Autoridad de control» tienen los significados que se les atribuyen en el RGPD de la UE.

«Subencargado» significa un tercero contratado por VERA para tratar Datos Personales. «Cláusulas Contractuales Tipo» o «CCT» significa las cláusulas anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión. «Anexo del Reino Unido» significa el Anexo de Transferencia Internacional de Datos (International Data Transfer Addendum) emitido por el Comisionado de Información del Reino Unido conforme al artículo 119A de la Ley de Protección de Datos de 2018 del Reino Unido.

2. 2. Roles y alcance

El Cliente es el Responsable del tratamiento y VERA es el Encargado del tratamiento respecto de los Datos Personales que el Cliente envía al Servicio sobre sus propios clientes, prospectos, contactos, empleados y contratistas.

VERA es un Responsable del tratamiento independiente con respecto a los datos de la cuenta propia del Cliente, los datos de facturación, la correspondencia de soporte y los datos de uso del producto. Dicho tratamiento se rige por la Política de Privacidad, no por este DPA.

El objeto del tratamiento es la prestación del Servicio. La duración es la vigencia de los Términos del Servicio más cualquier período previo a la eliminación conforme a la sección 10. La naturaleza y la finalidad consisten en alojar, almacenar, organizar, generar contenido a partir de, transmitir y mostrar Datos Personales para que el Cliente pueda operar su negocio.

• Categorías de titulares de los datos. Los clientes, clientes potenciales y prospectos del Cliente, los contactos en organizaciones clientes, los empleados, técnicos y cuadrillas del Cliente, y los destinatarios de los mensajes que el Cliente envía.
• Categorías de datos personales. Nombres, direcciones de correo electrónico, números de teléfono, direcciones postales y de servicio, datos de la empresa y de los trabajos, horarios de citas, contenido de las comunicaciones, incluidos el texto y los archivos multimedia de los mensajes SMS y MMS, registros de consentimiento y de baja de mensajería, contenido de cotizaciones y facturas, registros de gastos e imágenes de recibos, registros de kilometraje y sus imágenes de comprobación, fotografías de instalaciones y lugares de trabajo que pueden incluir personas de forma incidental, firmas recabadas en cotizaciones aceptadas, contenido para redes sociales enviado para su publicación y cualquier otro dato que el Cliente decida ingresar.
• Ubicación precisa y de quién se trata. Cuando el Cliente o su personal usen el registro de kilometraje, el Servicio trata lecturas de ubicación precisas tomadas durante un trayecto registrado, así como el punto de inicio y el destino del viaje derivados de ellas. Se trata de datos personales sensibles sobre una persona identificada, normalmente un empleado del propio Cliente, y el Cliente es su Responsable del Tratamiento. El Cliente es responsable de contar con una base jurídica y de informar a su personal, incluida cualquier consulta al comité de empresa o a los empleados que exija su propia legislación. El Servicio recopila la ubicación solo durante un trayecto que la persona inicia, ofrece el ingreso manual del kilometraje como alternativa, no proporciona ninguna vista de seguimiento o supervisión en tiempo real y permite al Cliente configurar la retención de las lecturas sin procesar, incluida la opción de desactivar su almacenamiento.
• Categorías especiales. El Servicio no está diseñado para tratar categorías especiales de datos conforme al Artículo 9, ni datos relativos a condenas penales. El Cliente no debe enviarlos. Si el Cliente lo hace de todos modos, lo hace bajo su propia responsabilidad y garantiza que cuenta con una base legal.

3. 3. Tratamiento según instrucciones documentadas

VERA trata los Datos Personales únicamente siguiendo las instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias internacionales, salvo que la legislación a la que VERA esté sujeta exija lo contrario, en cuyo caso VERA informará al Cliente antes del tratamiento, a menos que dicha legislación lo prohíba por razones importantes de interés público.

Los Términos del Servicio, este DPA, la configuración que el Cliente establece en el Servicio y las acciones que el Cliente realiza o aprueba en el Servicio constituyen, en conjunto, las instrucciones documentadas del Cliente. Las instrucciones adicionales requieren acuerdo y pueden conllevar una tarifa cuando exijan trabajo fuera de la funcionalidad ordinaria del Servicio.

VERA informará al Cliente si, en su opinión, una instrucción infringe la Ley de Protección de Datos.

VERA no vende Datos Personales, no los comparte para publicidad conductual entre contextos y no los conserva, usa ni divulga para ningún fin distinto de la prestación del Servicio, según lo exige la CCPA. VERA certifica que comprende estas restricciones y que las cumplirá.

4. 4. Confidencialidad

VERA garantiza que el personal autorizado para tratar Datos Personales esté sujeto a una obligación de confidencialidad adecuada y que solo se le conceda acceso cuando sea necesario para desempeñar su función.

El acceso a los datos de producción se limita al personal que lo necesita para operar y dar soporte al Servicio. Las acciones administrativas que realizan los operadores de VERA se registran en un registro de auditoría administrativa al que solo se pueden agregar entradas.

5. 5. Medidas de seguridad

VERA implementa medidas técnicas y organizativas adecuadas para proteger los Datos Personales, teniendo en cuenta el estado de la técnica, los costos de implementación y la naturaleza, el alcance, el contexto y los fines del tratamiento. Las medidas vigentes se describen en detalle en la Política de Seguridad y se resumen aquí:

• Cifrado en tránsito. HTTPS en todo momento, solicitudes HTTP redirigidas a HTTPS en producción y HTTP Strict Transport Security establecido con un max-age de dos años e includeSubDomains.
• Cifrado de credenciales en reposo. Tokens y claves de API de conectores de terceros cifrados con AES-256-GCM mediante una clave dedicada, que es obligatorio configurar en producción y que es distinta del secreto de firma de sesiones.
• Autenticación. Contraseñas procesadas con hash mediante bcrypt con un factor de trabajo de 12, verificación obligatoria del correo electrónico antes de iniciar sesión con contraseña, tokens de restablecimiento de un solo uso y con tiempo limitado, y un contador de revocación de sesiones que invalida todas las sesiones emitidas a la vez.
• Control de acceso. Cada consulta está limitada a la cuenta autenticada. El acceso administrativo está restringido a una lista explícita de operadores autorizados configurada en el entorno.
• Refuerzo de seguridad de la aplicación. Una Content Security Policy, bloqueo de inserción en marcos, detección de tipo MIME desactivada, una política de referencia restrictiva, una Permissions-Policy de camera=(), microphone=(self), geolocation=(self) que bloquea la cámara por completo y limita el micrófono y la ubicación a las páginas propias de VERA para que ningún tercero incrustado pueda solicitarlos, limitación de solicitudes persistente en los endpoints de autenticación y validación de las solicitudes del lado del servidor frente a rangos de redes privadas e internas.
• Integridad de los eventos externos. Webhooks entrantes verificados con el esquema de firma de cada proveedor y deduplicados por id de evento para que una entrega repetida no pueda aplicarse dos veces.
• Auditabilidad. Un registro de auditoría de solo anexión con cada propuesta, aprobación, ejecución y evento de seguridad de la cuenta.
• Seguridad de la configuración. Validación al iniciar que impide la ejecución en producción con un secreto de sesión predeterminado o sin una clave de cifrado.

6. 6. Subencargados del tratamiento

El Cliente otorga a VERA una autorización general para contratar Subencargados del tratamiento. La lista vigente, con la función y la ubicación de cada uno, se publica en la página Lista de Subencargados, que forma parte de este DPA.

VERA notificará al Cliente con al menos 30 días de anticipación antes de agregar o reemplazar un Subencargado, actualizando esa página y notificando a los titulares de cuentas. El Cliente podrá oponerse por motivos razonables de protección de datos dentro de ese plazo. Si no podemos resolver la objeción, el Cliente podrá rescindir la parte afectada del Servicio y recibir un reembolso proporcional de las tarifas pagadas por adelantado correspondientes al resto no utilizado del plazo.

VERA impone a cada Subencargado obligaciones de protección de datos que no sean menos protectoras que las de este DPA, y sigue siendo plenamente responsable ante el Cliente por el desempeño de cada Subencargado.

7. 7. Transferencias internacionales

VERA trata los Datos Personales en los Estados Unidos. Cuando el Cliente transfiera a VERA Datos Personales sujetos al RGPD de la UE, al RGPD del Reino Unido o a la legislación suiza, las partes acuerdan que las Cláusulas Contractuales Tipo se incorporan a este DPA por referencia y se aplican de la siguiente manera.

El Módulo Dos (de responsable a encargado) se aplica cuando el Cliente es responsable del tratamiento. El Módulo Tres (de encargado a encargado) se aplica cuando el Cliente es a su vez encargado del tratamiento. En la Cláusula 7, se aplica la cláusula de incorporación. En la Cláusula 9, se aplica la Opción 2 (autorización general por escrito) con el plazo de preaviso de 30 días previsto en la sección 6. En la Cláusula 11, no se selecciona el organismo independiente de resolución de litigios opcional. En la Cláusula 17, las cláusulas se rigen por la legislación de Irlanda. En la Cláusula 18(b), los litigios se resuelven ante los tribunales de Irlanda. El Anexo I se completa con la sección 2 de este DPA y la Lista de Subencargados; el Anexo II se completa con la sección 5.

Para las transferencias sujetas al RGPD del Reino Unido, el Anexo del Reino Unido se aplica a las CCT, con las Tablas 1 a 3 completadas según lo indicado anteriormente y, en la Tabla 4, ninguna de las partes podrá dar por terminado el Anexo según lo establecido en la Sección 19. Para las transferencias sujetas a la legislación suiza, las referencias al RGPD se interpretarán como referencias a la FADP suiza, la autoridad competente es el Comisionado Federal de Protección de Datos e Información de Suiza, y las cláusulas también protegen los datos de las personas jurídicas.

8. 8. Asistencia al Cliente

Teniendo en cuenta la naturaleza del tratamiento, VERA asiste al Cliente mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, en el cumplimiento de la obligación del Cliente de responder a las solicitudes de los Interesados conforme al Capítulo III del RGPD y leyes equivalentes.

En la práctica, el propio Servicio ofrece la mayor parte de esa capacidad: el Cliente puede encontrar, corregir, exportar y eliminar directamente los registros sobre un Titular de los datos. Cuando una solicitud llega a VERA en lugar de al Cliente, VERA no la responderá en cuanto al fondo; le indicará al Titular de los datos que se comunique con el Cliente y notificará al Cliente sin demora indebida.

VERA asiste al Cliente en el cumplimiento de los artículos 32 a 36, teniendo en cuenta la información de la que dispone VERA, incluso en lo relativo a las evaluaciones de impacto relativas a la protección de datos y a la consulta previa a una Autoridad de Control.

9. 9. Violación de datos personales

VERA notifica al Cliente sin dilación indebida, y en cualquier caso dentro de las 72 horas, tras tener conocimiento de una Violación de Datos Personales que afecte a Datos Personales tratados en virtud de este DPA.

La notificación describirá la naturaleza de la violación, las categorías y el número aproximado de Titulares de los Datos y de registros afectados, en la medida en que se conozcan, las consecuencias probables, las medidas adoptadas o propuestas, y un punto de contacto para obtener más información. Cuando no se disponga de inmediato del panorama completo, VERA proporciona la información por fases sin más demora indebida.

La notificación de VERA no constituye un reconocimiento de culpa ni de responsabilidad. Notificar a las Autoridades de Control y a los Titulares de los Datos es responsabilidad del Cliente en su calidad de Responsable del tratamiento; VERA brindará asistencia razonable.

10. 10. Devolución y eliminación

El Cliente puede exportar sus datos y eliminar su cuenta en cualquier momento desde el Servicio, lo que elimina permanentemente los Datos Personales de la base de datos activa, según se describe en la Política de Eliminación de Cuentas.

Al terminar o vencer los Términos de servicio, VERA, a elección del Cliente, eliminará o devolverá los Datos personales y eliminará las copias existentes, salvo que una ley a la que VERA esté sujeta exija que se sigan almacenando. Si el Cliente no elige ninguna opción, VERA conservará los datos mientras exista la cuenta y los eliminará cuando se elimine la cuenta.

Los registros limitados que se conservan tras la eliminación de la cuenta se indican en la Política de eliminación de cuentas. Consisten en registros de facturación en poder de nuestro procesador de pagos, registros de rendición de cuentas de los operadores, contadores antiabuso, identificadores de protección contra la repetición de webhooks, una caché de geocodificación indexada por hash y no por cuenta, registros laborales dentro de las empresas de otros clientes (que se cierran en lugar de borrarse), y registros de infraestructura y copias de seguridad que caducan según su propio ciclo: 30 días para las copias de seguridad diarias de la base de datos de VERA, y el calendario del proveedor para las instantáneas que conserva el proveedor.

11. 11. Derechos de auditoría

VERA pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del Artículo 28 y permite y contribuye a la realización de auditorías, incluidas inspecciones, llevadas a cabo por el Cliente o por un auditor designado por este.

En primera instancia, VERA atenderá una solicitud de auditoría proporcionando este DPA, la Política de seguridad, la Lista de subprocesadores y respuestas por escrito a un cuestionario de seguridad razonable. Actualmente, VERA no cuenta con un informe SOC 2 ni ISO 27001 que pueda ofrecer en su lugar.

Cuando esto sea realmente insuficiente para demostrar el cumplimiento, el Cliente podrá realizar una auditoría presencial o remota no más de una vez en cualquier período de 12 meses, con un aviso por escrito de al menos 30 días de antelación, en horario laboral, sujeta a confidencialidad, sin interrumpir de forma irrazonable las operaciones de VERA y sin acceso a los datos de ningún otro cliente ni a los aspectos internos de la infraestructura multiinquilino de VERA más allá de lo que requiera la auditoría. El Cliente asume sus propios costos y los costos razonables de VERA. Una Autoridad de Control podrá realizar auditorías en cualquier momento según lo disponga la ley.

12. 12. Responsabilidad y vigencia

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones y exclusiones de responsabilidad establecidas en los Términos de Servicio, en la medida en que lo permita la Ley de Protección de Datos. Nada de lo dispuesto en este DPA limita los derechos de un Titular de los Datos conforme a las Cláusulas Contractuales Tipo.

Este DPA entra en vigor cuando el Cliente acepta los Términos de servicio y continúa vigente hasta que VERA deje de procesar Datos Personales en nombre del Cliente. Las secciones relativas a la confidencialidad, la eliminación y la responsabilidad seguirán vigentes tras su terminación.

Para solicitar una copia firmada por ambas partes, o para plantear una pregunta sobre este DPA, escribe a legal@meetmyvera.com.