Contrato de encargo de tratamiento

1. Alcance y funciones

Este Contrato de encargo de tratamiento (el «Contrato de encargo») forma parte de los Términos del servicio entre NoSix y el Cliente. Se aplica a los datos personales que NoSix trata por cuenta del Cliente al prestar el servicio.

Para esos datos, el Cliente es el responsable del tratamiento y NoSix es el encargado del tratamiento. Los términos definidos en el RGPD tienen aquí el mismo significado.

Cuando NoSix decide por sí mismo los fines, por ejemplo para la administración de cuentas, la facturación y la seguridad, NoSix es responsable del tratamiento y se aplica la Política de privacidad.

2. Detalles del tratamiento

• Objeto y finalidad: prestar la plataforma NoSix al Cliente como se describe en los Términos.
• Naturaleza: alojar, almacenar, estructurar, analizar (también con funciones de IA), mostrar y eliminar datos.
• Duración: la vigencia del contrato, más el periodo hasta la eliminación según este Contrato de encargo.
• Interesados: los usuarios del Cliente y otras personas que aparecen en los datos o documentos que añade el Cliente, como personal, proveedores y contactos.
• Tipos de datos personales: nombres, datos de contacto profesionales, roles, registros de cuenta y de uso, y datos personales contenidos en documentos subidos, como facturas de suministros y otras facturas.
• Categorías especiales de datos personales: no se prevén. El Cliente no las añade.

3. Instrucciones del Cliente

• NoSix trata los datos personales solo siguiendo instrucciones documentadas del Cliente. Los Términos, este Contrato de encargo y el uso que hace el Cliente de las funciones del servicio son esas instrucciones.
• NoSix avisa al Cliente si considera que una instrucción infringe la normativa de protección de datos, y puede suspender esa instrucción hasta que se aclare.
• Si la ley obliga a NoSix a tratar los datos de otra manera, NoSix avisa antes al Cliente, salvo que la ley lo prohíba.
• El Cliente es responsable de tener una base jurídica para los datos que añade y de informar a las personas afectadas.

4. Confidencialidad

NoSix se asegura de que todas las personas a las que autoriza a tratar los datos personales estén obligadas a la confidencialidad y solo tengan acceso en la medida en que su trabajo lo requiera.

5. Seguridad

NoSix adopta medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD. Entre ellas:

• cifrado de los datos en tránsito y en reposo;
• control de acceso basado en roles en la aplicación y acceso restringido a los sistemas de producción;
• registro de los cambios en los datos;
• actualizaciones periódicas y comprobaciones de vulnerabilidades de las dependencias de software.

NoSix puede actualizar estas medidas siempre que no disminuya el nivel de protección.

6. Subencargados

• El Cliente da a NoSix una autorización general para recurrir a subencargados. Los subencargados actuales figuran en el Anexo 1.
• NoSix impone a cada subencargado obligaciones de protección de datos que no protegen menos que las de este Contrato de encargo, y sigue siendo responsable de su trabajo.
• NoSix anuncia un subencargado nuevo o sustituto con al menos 30 días de antelación, por correo electrónico o en esta página. El Cliente puede oponerse en ese plazo por motivos razonables de protección de datos. Si las partes no encuentran una solución, el Cliente puede terminar el servicio afectado y recibe el reembolso de los importes pagados por adelantado por el periodo restante.

7. Transferencias internacionales

NoSix almacena los Datos del Cliente en la Unión Europea.

Si un subencargado trata datos personales fuera del Espacio Económico Europeo, NoSix se asegura de que se aplique un mecanismo de transferencia válido: una decisión de adecuación o las cláusulas contractuales tipo de la Comisión Europea.

8. Solicitudes de los interesados

NoSix ayuda al Cliente, con medidas técnicas y organizativas adecuadas, a responder a las solicitudes de las personas que ejercen sus derechos según el RGPD. Si NoSix recibe directamente una solicitud de este tipo, la traslada al Cliente sin dilación indebida y no la responde por sí mismo, salvo que la ley lo exija.

9. Violaciones de la seguridad de los datos

NoSix notifica al Cliente sin dilación indebida, y cuando sea posible en un plazo de 48 horas, tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Cliente.

La notificación describe lo que se sabe: la naturaleza de la violación, los datos y las personas afectados, las consecuencias probables y las medidas adoptadas. NoSix añade información a medida que está disponible y ayuda al Cliente a cumplir sus propias obligaciones de notificación.

10. Ayuda con el cumplimiento

NoSix presta al Cliente una ayuda razonable con las evaluaciones de impacto relativas a la protección de datos y con las consultas a la autoridad de control, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone NoSix.

11. Devolución y eliminación

Durante el contrato y hasta 30 días después de su fin, el Cliente puede exportar sus datos o pedir una exportación a NoSix.

Después, NoSix elimina los datos personales en un plazo de 90 días, salvo que la ley exija conservarlos. Las copias de seguridad se sobrescriben en su ciclo normal y entretanto no se usan para nada más.

12. Auditorías

A petición del Cliente, NoSix le facilita la información necesaria para demostrar que cumple el artículo 28 del RGPD.

Si esa información no basta, el Cliente puede realizar una auditoría, por sí mismo o mediante un auditor independiente obligado a la confidencialidad. Una auditoría se realiza como máximo una vez al año, con al menos 30 días de preaviso, en horario laboral y sin perturbar el servicio. El Cliente asume sus propios costes. NoSix puede cobrar costes razonables por una auditoría que dure más de un día laborable.

13. Responsabilidad y prevalencia

Los límites de responsabilidad de los Términos se aplican a este Contrato de encargo.

Si este Contrato de encargo y los Términos entran en conflicto en materia de protección de datos personales, prevalece este Contrato de encargo. Si se aplican cláusulas contractuales tipo y entran en conflicto con este Contrato de encargo, prevalecen las cláusulas.

Anexo 1: Subencargados

• Supabase: base de datos, autenticación y almacenamiento de archivos.
• Vercel: alojamiento de la aplicación.
• Anthropic: modelos de IA que leen documentos y hacen funcionar el asistente de IA.
• Resend: correos de servicio, como invitaciones y notificaciones.
• Sentry: supervisión de errores.