Contrato de encargo del tratamiento

1. Partes y objeto

Responsable del tratamiento: la organización que crea la cuenta y el espacio de trabajo en el HUB («el cliente»).

Encargado del tratamiento:

• Titular: STARTIDEA CONSULTING S.L. (nombre comercial: Startidea)
• NIF: B25986480
• Domicilio: Calle Conde Cifuentes 33, 18005 Granada (Granada), España
• Correo electrónico: hola@startidea.es

Este contrato regula cómo tratamos, por cuenta del cliente, los datos personales que el cliente o sus usuarios suben, generan o conectan en el HUB. Forma parte de las Condiciones de uso del HUB, se acepta al darse de alta o al contratar y, en materia de protección de datos, prevalece sobre ellas. Cumple lo que exige el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD).

2. Duración

Dura lo mismo que la relación de servicio con el cliente y, después, el tiempo necesario para devolver o borrar los datos según el apartado 12.

3. Naturaleza y finalidad del tratamiento

Alojamiento, almacenamiento, organización, consulta, análisis, generación de contenidos con inteligencia artificial, envío de comunicaciones y publicación en canales digitales, según las funciones del HUB que use el cliente. La única finalidad es prestarle el servicio contratado.

4. Tipos de datos y categorías de interesados

Datos: identificativos y de contacto (nombre, correo, teléfono, cargo, organización); datos de relaciones comerciales y de seguimiento (CRM); contenidos (textos, imágenes, audios y vídeos) y lo que contengan; perfiles y publicaciones en redes sociales; datos de navegación de las webs del cliente si activa la medición; datos económicos (facturas, cuentas bancarias para domiciliaciones) si usa los módulos de facturación o tesorería.

Interesados: usuarios del cliente; sus clientes, socios, voluntarios, donantes, suscriptores y proveedores; personas de contacto; visitantes de sus webs; y personas que aparezcan en los contenidos.

El HUB no está pensado para categorías especiales de datos (salud, ideología, origen…). Si el cliente necesita tratarlas, debe contar con una base legal que lo permita y avisarnos antes.

5. Instrucciones del cliente

Tratamos los datos solo siguiendo las instrucciones documentadas del cliente: la configuración y el uso que hace del HUB, estas condiciones y las indicaciones que nos dé por escrito. Esto incluye las transferencias internacionales. Si una instrucción nos parece contraria al RGPD u otra norma de protección de datos, se lo diremos de inmediato. Solo trataremos datos sin instrucción cuando nos obligue la ley, y en ese caso se lo comunicaremos antes, salvo que la propia ley lo prohíba.

6. Nuestras obligaciones

• Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad.
• Aplicar las medidas de seguridad del apartado 7 (art. 32 RGPD).
• Recurrir a otros encargados solo en las condiciones del apartado 8.
• Ayudar al cliente a atender los derechos de los interesados (apartado 10).
• Ayudar al cliente a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (arts. 32 a 36 RGPD), teniendo en cuenta la información de que disponemos.
• Devolver o borrar los datos al terminar el servicio (apartado 12).
• Poner a disposición del cliente la información necesaria para demostrar el cumplimiento y permitir auditorías (apartado 13).
• Llevar el registro de actividades de tratamiento que efectuamos por cuenta de los clientes (art. 30.2 RGPD).

7. Medidas de seguridad

• Separación entre clientes: los datos de cada cliente viven en su espacio de trabajo y toda consulta a la base de datos se filtra por ese espacio. El acceso dentro de cada espacio depende de la función de cada usuario.
• Cifrado: conexiones cifradas (HTTPS); contraseñas guardadas con bcrypt; credenciales de las integraciones (tokens y claves de acceso) cifradas en reposo con AES-256-GCM.
• Copias de seguridad: copia diaria de la base de datos y de los ficheros, comprobada al hacerse, con copia fuera del servidor principal en un proveedor independiente (Cloudflare R2, cifrado en reposo por el proveedor). Las copias se conservan entre 14 y 30 días.
• Registro de auditoría: las acciones importantes (accesos, cambios de permisos, integraciones, aceptación de condiciones) quedan registradas con fecha y autor.
• Mínimo privilegio: el personal de Startidea solo accede a los datos de un cliente cuando hace falta para prestar o mantener el servicio, para atender su soporte o por obligación legal. El acceso a los servidores se hace con claves criptográficas.
• Protección del servicio: bloqueo automático de direcciones que atacan los servidores, límites de peticiones en los formularios públicos y registro de errores técnicos sin datos personales.
• Cambios revisados: el proceso de publicación de cambios incluye revisión, pruebas automáticas y búsqueda de secretos.

Revisamos estas medidas cuando cambia el servicio o el riesgo.

8. Subencargados

El cliente nos da una autorización general para recurrir a los proveedores de la lista de Subencargados del tratamiento. Les imponemos por contrato las mismas obligaciones de protección de datos que asumimos aquí y respondemos ante el cliente de lo que hagan.

Antes de añadir o sustituir un subencargado avisaremos por correo al titular de la cuenta con al menos 15 días de antelación. El cliente puede oponerse con motivos razonables; si no llegamos a una solución, puede dar por terminado el servicio sin penalización.

9. Transferencias internacionales

Solo transferimos datos fuera del Espacio Económico Europeo a los subencargados de la lista y con una de las garantías del capítulo V del RGPD (decisión de adecuación, incluido el Marco de Privacidad de Datos UE-EE. UU., o cláusulas contractuales tipo). La lista indica la garantía de cada uno.

10. Derechos de los interesados

Si un interesado nos pide ejercer sus derechos sobre datos del cliente, se lo trasladaremos al cliente en un máximo de 5 días hábiles y no contestaremos por nuestra cuenta salvo que el cliente nos lo indique. Ayudaremos al cliente a responder con las herramientas del HUB y, si no bastan, con exportaciones o correcciones a petición.

11. Brechas de seguridad

Si sufrimos una violación de la seguridad que afecte a datos del cliente, se lo notificaremos sin dilación indebida y, como máximo, en 72 horas desde que tengamos conocimiento, para que pueda cumplir su propio deber de notificación. Le daremos la información de que dispongamos: qué ha pasado, qué datos e interesados afecta aproximadamente, consecuencias probables, medidas tomadas o propuestas y una persona de contacto. Si no la tenemos toda a la vez, la daremos por fases.

12. Fin del encargo: devolución y borrado

Al terminar el servicio, el cliente elige si quiere que le devolvamos los datos (exportación en formato estructurado) o que los borremos. Si no dice nada, ofrecemos la exportación y borramos los datos en un máximo de 30 días desde la baja; de las copias de seguridad desaparecen en un máximo de 30 días más. Solo conservaremos, bloqueado, lo que una ley nos obligue a guardar. A petición del cliente, certificaremos el borrado.

13. Información y auditorías

Facilitaremos al cliente la información y documentación necesarias para demostrar que cumplimos este contrato. El cliente puede auditarlo, por sí mismo o mediante un auditor sujeto a confidencialidad, con un aviso previo de 30 días, como máximo una vez al año salvo que haya habido una brecha, y asumiendo su coste. Siempre que sea suficiente, la auditoría se hará sobre documentación.

14. Responsabilidad y contacto

Cada parte responde de sus obligaciones conforme al artículo 82 del RGPD. En lo que la ley permita, se aplican los límites de responsabilidad de las condiciones. Para cualquier asunto de este contrato: hola@startidea.es.

STARTIDEA CONSULTING S.L. actúa como responsable, no como encargado, de los datos de las propias cuentas del HUB; ese tratamiento se explica en la Política de privacidad.