Acuerdo de encargo del tratamiento de TwinOry
1. Instrucciones de las partes y aplicabilidad
Este acuerdo de encargo del tratamiento se aplica únicamente cuando el cliente/responsable identificado en un ENT-02 formalizado encomienda a SMARTEDTECH SL como encargado respecto de TwinOry. Para la cuenta propia del operador, la facturación, la seguridad o fines legales, puede ser en cambio responsable del tratamiento. Los prestadores y las instituciones independientes siguen siendo responsables de su propio tratamiento. El anexo A debe identificar el objeto, la duración, la naturaleza, la finalidad, las categorías de datos, los interesados, las instrucciones del responsable y las ubicaciones permitidas antes de que comience el tratamiento. Ningún anexo en blanco autoriza un tratamiento no restringido.
2. Finalidad documentada y confidencialidad
El encargado actúa únicamente conforme a instrucciones documentadas, incluidas las transferencias, salvo que una ley imperativa exija otra cosa; informa al responsable de esa exigencia cuando la ley lo permita. Señala sin demora una instrucción que considere razonablemente ilícita. Solo se autoriza al personal que necesita acceso, que está formado y sujeto a confidencialidad. De este acuerdo no se derivan publicidad, venta ulterior, entrenamiento de modelos ajeno a la finalidad, enriquecimiento entre plataformas ni publicación de datos privados.
3. Seguridad y acceso autorizado
Utilice medidas adecuadas al riesgo conforme al artículo 32, documentadas en el anexo B: aislamiento de inquilinos/RLS, mínimo privilegio y MFA para el acceso privilegiado, cifrado y gestión de claves cuando estén efectivamente implantados, enmascaramiento de secretos, gestión de parches y vulnerabilidades, restauración y recuperación probadas, integraciones acotadas, controles de carga, escalado de incidentes e integridad de la prueba. Son requisitos contractuales que deben acreditarse, no una certificación de que cada medida ya ha superado la comprobación. Explique y corrija las desviaciones sustanciales antes del tratamiento en producción. No se escribe contenido privado en los registros de consentimiento inmutables; utilice referencias minimizadas y una conservación lícita.
4. Subencargados y transferencias
El anexo C identifica cada subencargado real, su finalidad, ubicación, acceso a los datos y base de aprobación. Conforme a la autorización general por escrito, notifique las adiciones o sustituciones previstas y permita un procedimiento de oposición razonable y acordado; resuelva o detenga el tratamiento afectado si no pueden acordarse garantías lícitas. Imponga deberes de tratamiento equivalentes y siga siendo responsable en los términos exigidos por el artículo 28. Las transferencias restringidas requieren el instrumento válido real y la evaluación de DAT-02. Un logotipo de proveedor o un ajuste de API no constituye un acuerdo de encargo formalizado ni una garantía de transferencia.
5. Derechos e incidentes
Asista al responsable en las solicitudes de los interesados mediante una autenticación proporcionada y una búsqueda, exportación, rectificación o supresión acotadas. No decida de forma independiente la respuesta salvo que esté autorizado o lo exija la ley. Notifique al responsable una violación de datos personales sin dilación indebida tras tener conocimiento de ella, con los hechos disponibles, las categorías y cifras aproximadas, los efectos probables, la mitigación y el contacto. Facilite actualizaciones escalonadas y conserve las pruebas pertinentes; no espere a un informe perfecto. El deber del responsable de notificar a la autoridad de control en 72 horas es distinto de la notificación del encargado y no se aplica automáticamente a cada alerta de seguridad. Las partes coordinan las notificaciones a las personas afectadas sin bloquear los plazos legales.
6. Evaluaciones, auditoría y autoridades
Facilite la información razonablemente necesaria para el cumplimiento del artículo 28, las pruebas de seguridad pertinentes, asistencia en las EIPD y en la consulta previa, y auditorías o inspecciones proporcionadas sujetas a la confidencialidad, la seguridad y los derechos de terceros. Limite el acceso a los datos pertinentes; no exija nunca secretos en bruto ni registros de inquilinos ajenos. Se mantiene el acceso legal del regulador. No deniegue la cooperación esencial en una auditoría por el mero hecho de que no haya un certificado disponible.
7. Fin del servicio y conservación
A elección del responsable, devuelva o suprima los datos personales y las copias existentes al finalizar el servicio encomendado, salvo que una ley imperativa exija una conservación concreta. Acuerde en el anexo D el formato real de exportación, el calendario, la caducidad de las copias de seguridad y la verificación de la supresión. Restrinja cualquier registro conservado por ley a la finalidad y la duración concretas. El requisito de prueba de solo adición no autoriza a conservar indefinidamente contenido identificable; minimice o separe criptográficamente las cargas útiles de forma compatible con la ley aprobada y el diseño técnico.
8. Anexos de formalización
El anexo A utiliza los campos de servicio, objeto y finalidad de ENT-02; el anexo B es la lista de medidas técnicas y organizativas respaldada por evidencias; el anexo C es el registro real de destinatarios, ubicación y aviso de cambios; el anexo D indica la conservación, la exportación, la supresión y los contactos de incidentes. Siguen siendo datos pendientes hasta que se completen a partir de la configuración del inquilino o del servicio. Firman el responsable y el encargado reales. Las obligaciones legales de tratamiento y los derechos imperativos prevalecen sobre las condiciones comerciales incompatibles.
Términos específicos de la plataforma
Roles respecto de los datos
1. Datos de la plataforma. El Operador es el responsable de los datos personales tratados para operar la plataforma: cuenta, verificación de identidad, registros de aceptación, pagos, seguridad, soporte, comunicaciones y analítica.
2. Datos del suministro del prestador. Cuando un prestador suministra servicios a un cliente a través de la plataforma, el prestador es responsable independiente de los datos que necesita para ese suministro (reserva, pedido, historiales clínicos, educativos o profesionales), y el Operador es responsable del registro a nivel de plataforma de la transacción. Cada parte cumple sus propias obligaciones; ninguna actúa por la otra.
3. Servicios como encargado. Cuando el Operador trata datos personales por cuenta de un cliente empresarial siguiendo las instrucciones de este (por ejemplo, los datos de empleados de un inquilino empresarial), se aplica y rige el Acuerdo de encargo del tratamiento (DAT-01); se firma como parte del pedido.
4. Comunicación entre plataformas SET. Los datos personales no se comparten con ninguna otra plataforma operada por el Operador o por su grupo salvo que usted habilite el destino concreto en sus ajustes. Habilitar un destino no habilita los demás, y puede deshabilitarlo en cualquier momento.
5. Transferencias internacionales. Los datos personales se almacenan en el Espacio Económico Europeo (o, en el caso de wellbridge.uk, en el Reino Unido). Cuando se utiliza un encargado situado fuera de esas zonas, la transferencia queda cubierta por las cláusulas contractuales tipo o por la Adenda del Reino Unido/IDTA, indicadas en el anexo de subencargados.
---