Contrato de Encargado del Tratamiento

Partes

Responsable del tratamiento ("Cliente")

Encargado del tratamiento ("Alvoru")

En lo sucesivo, conjuntamente: "las Partes".

Considerando que

• las Partes han celebrado un contrato principal en virtud del cual Alvoru, como Encargado del tratamiento, trata datos personales en nombre del Cliente (en lo sucesivo, el "Contrato Principal");
• en virtud del artículo 28, apartado 3, del RGPD se exige un contrato de encargado del tratamiento por escrito en el que se establezcan las condiciones sobre la forma en que el Encargado trata los datos personales;
• este contrato de encargado del tratamiento (en lo sucesivo, el "DPA") forma parte integral del Contrato Principal.

Artículo 1 — Definiciones

Los términos escritos con mayúscula inicial en este DPA tienen el significado que les atribuye el RGPD, complementado con las definiciones de los Términos y Condiciones de Alvoru.

Artículo 2 — Objeto y duración

2.1 Este DPA regula el tratamiento de datos personales por parte de Alvoru por encargo del Cliente en el marco del Contrato Principal.

2.2 Este DPA entra en vigor en la fecha de inicio del Contrato Principal y finaliza de pleno derecho al extinguirse el Contrato Principal, sin perjuicio de aquellas disposiciones que, por su naturaleza, estén destinadas a seguir vigentes.

Artículo 3 — Naturaleza y finalidad del tratamiento

3.1 La naturaleza y la finalidad del tratamiento consisten en la prestación del Servicio descrito en el Contrato Principal (atención al cliente con IA, incluidos chatbot, correo electrónico y agenda).

3.2 Alvoru trata los datos personales exclusivamente siguiendo las instrucciones documentadas del Cliente, salvo obligaciones legales en contrario (art. 28, apartado 3, letra a, del RGPD). En este último caso, Alvoru informará al Cliente de dicha obligación antes del tratamiento, salvo que la ley lo prohíba por razones importantes de interés público.

Artículo 4 — Tipo de datos personales y categorías de interesados

No se tratan categorías especiales de datos personales (art. 9 del RGPD) ni datos penales (art. 10 del RGPD), salvo acuerdo adicional por escrito.

Artículo 5 — Obligaciones del Encargado del tratamiento

5.1 Alvoru trata los datos personales exclusivamente para las finalidades establecidas en el Contrato Principal y en este DPA, y siguiendo las instrucciones por escrito del Cliente.

5.2 Alvoru garantiza que las personas que traten datos personales estén sujetas a un deber de confidencialidad, ya sea en virtud de la ley o de un contrato.

5.3 Alvoru presta al Cliente, teniendo en cuenta la naturaleza del tratamiento, una asistencia razonable para atender las solicitudes de los interesados en el ejercicio de sus derechos en virtud del RGPD.

5.4 Alvoru pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD.

5.5 Prohibición de entrenamiento de IA. Alvoru nunca utilizará los datos personales que trate en nombre del Responsable del tratamiento para entrenar, ajustar (fine-tuning) o mejorar de otro modo modelos de IA, ni para desarrollar aplicaciones de IA propias o de terceros.

Artículo 6 — Medidas de seguridad (artículo 32 del RGPD)

Alvoru adopta medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre las que se incluyen:

• Cifrado en tránsito (TLS 1.2+) y, cuando proceda, cifrado en reposo;
• Control de acceso basado en least privilege; autenticación de dos factores para los administradores;
• Cortafuegos, fail2ban y monitorización de intrusiones;
• Copias de seguridad cifradas diarias con un plazo de conservación máximo de 90 días;
• Permisos de archivo restrictivos (600) en los archivos de configuración y de datos;
• Registro y monitorización del acceso a los sistemas de producción;
• Evaluación y actualización periódicas de las medidas de seguridad.

Artículo 7 — Subencargados del tratamiento

7.1 El Cliente otorga a Alvoru una autorización general por escrito para contratar subencargados del tratamiento, siempre que Alvoru cumpla las demás disposiciones de este artículo.

7.2 Los subencargados del tratamiento actualmente contratados son:

7.3 Alvoru impone a los subencargados las mismas obligaciones de protección de datos que las recogidas en el presente DPA (artículo 28, apartado 4, RGPD).

7.4 Alvoru informa al Cliente con al menos 14 días de antelación sobre la sustitución o incorporación de subencargados. El Cliente podrá oponerse de forma motivada dentro de ese plazo. En caso de oposición fundada, el Cliente tendrá derecho a resolver el Contrato Principal sin coste alguno.

Artículo 8 — Transferencias fuera del EEE

La transferencia de datos personales a un país fuera del Espacio Económico Europeo solo tendrá lugar sobre la base de una decisión de adecuación (art. 45 RGPD), normas corporativas vinculantes, Cláusulas Contractuales Tipo de la UE (art. 46, apartado 2, letra c, RGPD) u otra garantía prevista en el RGPD, complementadas con medidas técnicas y organizativas adicionales cuando sea necesario.

Artículo 9 — Derechos de los interesados

9.1 Alvoru ofrece al Cliente el apoyo adecuado en la gestión de las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición) mediante funcionalidades técnicas en el portal del cliente y, cuando sea necesario, asistencia adicional.

9.2 Alvoru remite sin demora al Cliente las solicitudes de los interesados que le lleguen directamente a Alvoru.

Artículo 10 — Violaciones de datos

10.1 Alvoru informa al Cliente sin demora y, a más tardar, en un plazo de 48 horas tras la constatación de una violación de la seguridad de los datos personales (art. 33, apartado 2, RGPD), de modo que el Cliente pueda cumplir a tiempo con su obligación de notificación en un plazo de 72 horas ante la Autoridad de Protección de Datos.

10.2 La notificación incluirá, como mínimo: la naturaleza de la violación, las categorías y el número de interesados, las categorías y el número de registros afectados, las probables consecuencias y las medidas adoptadas o propuestas.

10.3 Alvoru presta al Cliente la asistencia adecuada en la notificación a la Autoridad de Protección de Datos y, cuando corresponda, a los interesados.

Artículo 11 — Auditoría

11.1 El Cliente podrá, una vez por año natural, previo aviso por escrito con un mínimo de 30 días de antelación y a su propio cargo, realizar (o encargar) una auditoría del cumplimiento del presente DPA por parte de Alvoru.

11.2 La auditoría será realizada por un auditor independiente y sujeto a confidencialidad, durante el horario de oficina y de forma que no interrumpa el funcionamiento normal de la actividad de Alvoru.

11.3 En lugar de una auditoría in situ, Alvoru podrá aportar un informe actualizado de un tercero independiente (por ejemplo, ISO 27001 o SOC 2), siempre que dicho informe ofrezca razonablemente garantías suficientes.

Artículo 12 — Resolución y supresión de datos

12.1 Tras la resolución del Contrato Principal, Alvoru, a elección del Cliente y a primer requerimiento por escrito, suprimirá o devolverá al Cliente todos los datos personales, de conformidad con el artículo 28, apartado 3, letra g, RGPD.

12.2 Dicha solicitud podrá presentarse dentro de los 60 días siguientes a la resolución. En su defecto, los datos se suprimirán automáticamente transcurridos 60 días.

12.3 Las copias de seguridad offline se eliminarán conforme al esquema de rotación habitual, a más tardar 90 días después de la resolución.

12.4 Los datos que Alvoru esté obligada a conservar por ley se conservarán durante el plazo legalmente establecido.

Artículo 13 — Responsabilidad

13.1 La responsabilidad de Alvoru en virtud del presente DPA queda comprendida y limitada por las disposiciones de responsabilidad de las Condiciones Generales correspondientes al Contrato Principal.

13.2 Las disposiciones imperativas del RGPD permanecen inalteradas.

Artículo 13a — Registro de actividades de tratamiento

Alvoru mantiene un registro de actividades de tratamiento conforme al artículo 30 RGPD. Este registro incluye, como mínimo: el nombre y los datos de contacto de Alvoru como encargado, las categorías de tratamientos realizados por cuenta de los Responsables del tratamiento, las transferencias a terceros países y las garantías aplicadas, y una descripción general de las medidas técnicas y organizativas de seguridad. El registro está disponible a solicitud de la Autoridad de Protección de Datos.

Artículo 14 — Legislación aplicable y controversias

El presente DPA se rige por el Derecho neerlandés. Las controversias se someterán al tribunal de Overijssel, sede de Almelo.

Firma

Envíe la versión firmada (escaneada o firmada digitalmente) a info@alvoru.com. Alvoru le devolverá una copia contrafirmada.