Acuerdo de tratamiento de datos (DPA)

Este acuerdo ("DPA") completa las Condiciones generales del servicio y se celebra conforme al art. 28 del Reglamento (UE) 2016/679 ("RGPD") entre:

• el Cliente, como responsable del tratamiento (el "Responsable");
• Druido Eventi S.r.l., NIF-IVA 04137511202, con domicilio en Via Rizzoli 4, 40125 Bologna (BO), Italia, como encargado del tratamiento (el "Encargado").

1. Objeto y duración

El Encargado trata datos personales por cuenta del Responsable con el único fin de prestar el servicio TARGA descrito en las Condiciones. El DPA tiene la misma duración que el contrato y, tras su fin, hasta la devolución o supresión de los datos según el apartado 11.

2. Naturaleza y finalidad del tratamiento

Recogida, registro, conservación, consulta, publicación en las páginas de los números de serie, envío de comunicaciones de servicio, exportación y supresión de datos, con el fin de gestionar la documentación de las máquinas del Responsable, las solicitudes de copia en papel de las instrucciones y las obligaciones relacionadas.

3. Categorías de interesados y de datos

El Servicio no está destinado al tratamiento de categorías especiales de datos (art. 9 RGPD) ni de datos sobre condenas e infracciones penales. El Responsable se compromete a no introducirlos.

4. Obligaciones del Responsable

El Responsable garantiza que tiene una base jurídica válida para los tratamientos encargados, que facilita a los interesados la información de los arts. 13 y 14 RGPD (también para el formulario de solicitud de copia en papel) y que da instrucciones conformes con la normativa.

5. Obligaciones del Encargado

• tratar los datos solo siguiendo instrucciones documentadas del Responsable, que incluyen las Condiciones, este DPA y las funciones del Servicio que usa el Responsable;
• informar al Responsable si considera que una instrucción infringe la normativa de protección de datos;
• garantizar que las personas autorizadas a tratar los datos estén sujetas a confidencialidad;
• adoptar las medidas de seguridad del apartado 6 (art. 32 RGPD);
• asistir al Responsable en la respuesta a las solicitudes de los interesados, en la medida de lo posible con medidas técnicas y organizativas adecuadas;
• asistir al Responsable en materia de seguridad, notificación de violaciones, evaluación de impacto y consulta previa (arts. 32-36 RGPD);
• poner a disposición la información necesaria para demostrar el cumplimiento de este DPA y permitir las auditorías del apartado 9.

6. Medidas de seguridad

• cifrado de las comunicaciones (HTTPS/TLS) y conservación de las contraseñas como hash;
• separación lógica de los datos de cada cliente y control de accesos por rol;
• registro de auditoría de solo añadido, encadenado con huellas criptográficas;
• versiones publicadas inalterables con huella SHA-256;
• copias de seguridad diarias cifradas de la base de datos y de los documentos, conservadas 30 días en un centro de datos distinto en la Unión Europea, con pruebas de restauración periódicas;
• límite de intentos de acceso y de solicitudes a los formularios públicos;
• servidores en la Unión Europea, en proveedores con certificaciones de seguridad reconocidas;
• actualización periódica de los componentes de software y gestión de vulnerabilidades.

Acceso del soporte. El Proveedor no accede a los contenidos subidos por el Cliente (manuales, bloques de texto, modelos, números de serie y documentos), salvo lo previsto a continuación. El personal de soporte del Proveedor accede a los contenidos del Cliente solo con su autorización expresa, concedida por un usuario con rol de titular o administrador desde Ajustes > Soporte, o aprobando una solicitud concreta y motivada del Proveedor. La autorización tiene una duración limitada (4, 24 o 72 horas), puede revocarse en cualquier momento con efecto inmediato y permite solo consultar, sin poder modificar, publicar ni borrar datos.

Cada acceso de soporte (concesión, apertura de la sesión, cada página consultada, cierre y revocación) queda registrado, con fecha, hora y nombre del operador, en el registro de actividad del Cliente, que este puede consultar y que no puede modificarse, y en un registro interno del Proveedor también inalterable. Las cuentas de administración del Proveedor están protegidas con autenticación de dos factores obligatoria y cada una de sus acciones queda en un registro encadenado con huellas criptográficas, conservado durante el contrato y los 10 años siguientes.

7. Subencargados

El Responsable concede una autorización general para recurrir a los subencargados indicados a continuación. El Encargado impone a cada subencargado obligaciones de protección de datos equivalentes a las de este DPA y sigue siendo responsable de su actuación.

Los correos del servicio (invitaciones, notificaciones, avisos, acuses de las solicitudes en papel) se envían desde un servidor de correo gestionado directamente por el Proveedor, sin proveedores terceros. También las estadísticas de visitas (Umami) funcionan en los servidores del Proveedor.

Para gestionar la relación contractual, el Proveedor trata, como responsable, datos agregados y de facturación (datos de la empresa, plan, estado de la suscripción, recuentos de uso) y los datos estrictamente necesarios de los usuarios del Cliente (nombre, email, rol, fecha del último acceso). Los pagos los gestiona Stripe Payments Europe, Ltd., que actúa como responsable independiente, también para sus obligaciones legales de prevención del blanqueo y del fraude, y no como subencargado. Anthropic recibe los textos de los manuales que se traducen, que normalmente no contienen datos personales.

El Encargado comunica por email al Responsable la incorporación o sustitución de un subencargado con al menos 30 días de antelación. La lista actualizada se publica siempre en esta página. El Responsable puede oponerse por motivos razonables relacionados con la protección de datos; si no se encuentra una solución, puede desistir del contrato sin penalización para la parte del Servicio afectada.

8. Transferencias fuera de la Unión Europea

Los datos se conservan en la Unión Europea. Las transferencias a terceros países se realizan solo con las garantías del capítulo V del RGPD. Para el servicio de traducción automática de Anthropic, PBC (Estados Unidos), la transferencia se basa en las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914, con medidas complementarias cuando sea necesario. Según las condiciones comerciales del proveedor, los datos enviados por API no se usan para entrenar los modelos y se conservan solo durante un periodo limitado, normalmente no más de 30 días.

9. Auditorías

El Responsable puede comprobar el cumplimiento de este DPA pidiendo documentación y, con un preaviso escrito de al menos 30 días y no más de una vez al año salvo violaciones, mediante un auditor sujeto a confidencialidad. Los costes de la auditoría corren a cargo del Responsable.

10. Violaciones de datos personales

El Encargado informa al Responsable sin dilación indebida, y en todo caso en las 48 horas siguientes a tener conocimiento, de cualquier violación de datos personales que afecte a los datos del Responsable, facilitando la información disponible para que el Responsable pueda notificarla a la autoridad de control y, si es necesario, comunicarla a los interesados.

11. Devolución y supresión

Al terminar el contrato el Responsable puede exportar sus datos durante el periodo de gracia previsto en las Condiciones. Pasado ese periodo, el Encargado suprime los datos personales, incluidos los de las copias de seguridad dentro de su ciclo normal de rotación de 30 días, salvo obligaciones legales de conservación.

12. Responsabilidad y disposiciones finales

A la responsabilidad entre las partes se aplican las limitaciones de las Condiciones, en la medida permitida por el art. 82 RGPD. En caso de conflicto entre este DPA y las Condiciones en materia de protección de datos, prevalece el DPA. Contacto para protección de datos: info@mattiazucchini.com.