Contrato de encargo de tratamiento

1. Objeto y duración

El objeto es la puesta a disposición de la plataforma DocTrace para recoger firmas electrónicas en documentos PDF con página de evidencia y protocolo encadenado. El tratamiento dura tanto como el contrato de uso y termina con la eliminación según el apartado 8.

2. Naturaleza y finalidad del tratamiento

Almacenar, mostrar, enviar por correo electrónico, generar la versión final y la página de evidencia, registrar los pasos y realizar copias de seguridad, exclusivamente para recoger y acreditar firmas por cuenta del cliente. El encargado no trata los datos para fines propios.

3. Tipos de datos

Datos maestros de los destinatarios (nombre, correo electrónico, opcionalmente empresa, número de empleado, lugar, fecha de nacimiento), datos de los usuarios (nombre, correo electrónico, roles, momentos de inicio de sesión), documentos subidos y su contenido, firmas dibujadas, versiones finales, entregas tras la firma y datos de protocolo (momentos, direcciones IP, identificadores de dispositivo).

4. Categorías de interesados

Empleados y usuarios del cliente, firmantes (como empleados, proveedores, clientes y candidatos del cliente) y personas mencionadas en los documentos.

5. Obligaciones del encargado

Tratamos los datos solo siguiendo instrucciones documentadas del cliente; el uso de la plataforma se considera instrucción. Todas las personas que intervienen en el tratamiento están obligadas a la confidencialidad. Ayudamos al cliente a responder a las solicitudes de los interesados, en la evaluación de impacto y en las notificaciones a las autoridades de control, y le informamos sin dilación indebida de cualquier violación de la seguridad de los datos personales. Le comunicamos las instrucciones que infrinjan la normativa de protección de datos.

6. Medidas técnicas y organizativas

Conexiones cifradas (TLS); separación de las empresas en la base de datos (Row-Level Security) y en el almacenamiento; protocolo encadenado e inmutable; almacenamiento de originales y versiones finales sin borrado ni sobrescritura; almacenamiento cifrado de credenciales y claves; archivos de entrega con clave propia (AES-256-GCM) y eliminación de la clave al expirar; permisos y roles por empresa; accesos de soporte solo de lectura, limitados en el tiempo y visibles para la empresa; copia de seguridad diaria conservada 14 días; alojamiento en Fráncfort del Meno (UE).

7. Subencargados

El cliente consiente el uso de los siguientes subencargados: Google Cloud EMEA Limited (Irlanda; servidores y almacenamiento, centro de datos de Fráncfort del Meno, europe-west3), Amazon Web Services EMEA SARL (Luxemburgo; Amazon SES para correos del sistema, región de Fráncfort), alternativamente Brevo (Sendinblue SAS, Francia; correos del sistema) y Paddle.com Market Ltd. (Reino Unido; procesamiento de pagos como Merchant of Record, trata únicamente datos de facturación y pago del cliente, no datos de los interesados).

Con todos los subencargados existen contratos de encargo de tratamiento, con cláusulas contractuales tipo de la UE para proveedores fuera de la UE. Comunicamos los cambios con al menos cuatro semanas de antelación; el cliente puede oponerse por motivos justificados.

8. Eliminación y devolución

Tras la finalización del contrato, los datos de la empresa siguen siendo exportables durante 30 días (versiones finales, protocolos, datos maestros) y después se eliminan, salvo que la empresa tenga obligaciones legales de conservación, que cumple ella misma mediante la exportación. Las copias de seguridad se sobrescriben en un plazo adicional de 14 días. A petición, confirmamos la eliminación.

9. Derechos de control y pruebas

El cliente puede comprobar el cumplimiento de este contrato mediante información, pruebas y, previo aviso y en una medida razonable, auditorías. Facilitamos la información necesaria.

10. Disposiciones finales

Se aplica el derecho austriaco. En caso de contradicción entre este contrato y las condiciones generales, prevalece este contrato en cuestiones de protección de datos. Si alguna disposición fuera nula, el resto del contrato seguirá siendo válido.