Contrato de encargo del tratamiento

Este contrato establece cómo tratamos los datos personales por cuenta de las empresas que usan TagOrbit, tal como exige el artículo 28 del RGPD. Se aplica automáticamente cuando una empresa crea una cuenta de TagOrbit.

1. Partes y ámbito

Este contrato de encargo del tratamiento se celebra entre:

• ΑΦΟΙ ΚΑΛΟΦΟΡΙΔΗ ΟΕ (AFOI KALOFORIDI OE), Chr. Smirnis 67, 151 21 Athens, Greece, número de registro mercantil (Γ.Ε.ΜΗ.) 069222103000 («nosotros», el encargado del tratamiento), y
• la empresa que usa TagOrbit («tú», «el cliente», el responsable del tratamiento).

Forma parte de nuestros términos del servicio. Entra en vigor cuando una empresa crea una cuenta de TagOrbit y dura mientras tratemos datos personales para esa empresa. No tienes que firmarlo. Si tu empresa necesita una copia firmada, escríbenos.

Este contrato cubre los datos personales que el cliente y sus usuarios introducen en TagOrbit. También cubre los datos de cuenta de los usuarios del cliente, en la medida en que los tratamos para prestar el servicio de TagOrbit al cliente. También usamos los datos de cuenta para nuestros propios fines, como permitir el inicio de sesión y mantener TagOrbit seguro. Nuestra política de privacidad cubre ese uso, y también nuestro sitio web público.

Cuando este contrato y los términos del servicio no coincidan en algo relativo a los datos personales, prevalece este contrato. Los cambios en este contrato siguen las normas sobre cambios de los términos del servicio.

2. Papel de cada parte

El responsable del tratamiento decide para qué y cómo se usan los datos personales. El encargado del tratamiento solo los usa por cuenta del responsable.

• El cliente es el responsable del tratamiento. Decide qué registra en TagOrbit, a quién invita y qué rol tiene cada persona. Es responsable de tener una base jurídica para los datos personales que registra y de informar a las personas afectadas.
• Nosotros somos el encargado del tratamiento. Solo tratamos los datos para prestar el servicio de TagOrbit al cliente, y solo siguiendo sus instrucciones.

Registros sobre el personal. TagOrbit registra quién tiene cada artículo y quién hizo cada cambio. En algunos países, registros como estos imponen obligaciones adicionales a los empleadores, por ejemplo consultar al comité de empresa en Alemania. Cumplir esas obligaciones es responsabilidad del cliente. Damos al cliente la información que razonablemente necesite para ello, por ejemplo para una evaluación de impacto relativa a la protección de datos (una evaluación de los riesgos del tratamiento).

3. Nuestras obligaciones

• Instrucciones documentadas. Solo tratamos datos personales siguiendo las instrucciones documentadas del cliente. Esto incluye el envío de datos a otros países. Las instrucciones son este contrato, los términos del servicio, y los ajustes y acciones que eligen los usuarios del cliente en TagOrbit. Si el Derecho de la Unión Europea o el de un Estado miembro nos obliga a actuar de otra forma, se lo comunicamos antes al cliente, salvo que ese Derecho lo prohíba. Si creemos que una instrucción infringe la normativa de protección de datos, se lo comunicamos de inmediato al cliente.
• Confidencialidad. Todas las personas que autorizamos a tratar los datos están obligadas a mantener su confidencialidad.
• Seguridad. Aplicamos las medidas del anexo 2, como exige el artículo 32 del RGPD.
• Subencargados del tratamiento. Solo recurrimos a subencargados del tratamiento como se describe en el apartado 4.
• Solicitudes de los interesados. Ayudamos al cliente a responder a las solicitudes de las personas cuyos datos registra (artículos 15 a 22 del RGPD), en la medida en que lo permita la naturaleza del tratamiento. El cliente puede buscar, corregir y exportar registros por sí mismo en TagOrbit. Cuando eso no baste, por ejemplo para suprimir por completo los datos de una persona, el cliente puede escribirnos y lo ayudaremos.
• Seguridad, violaciones de la seguridad y evaluaciones. Ayudamos al cliente a cumplir sus obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la información de que disponemos. Estas obligaciones cubren la seguridad, la notificación de violaciones de la seguridad de los datos personales, las evaluaciones de impacto relativas a la protección de datos y la consulta previa (consultar a la autoridad antes de un tratamiento de alto riesgo).
• Supresión o devolución. Al terminar el contrato, devolvemos o suprimimos los datos como se describe en el apartado 6.
• Información y auditorías. Facilitamos información y permitimos auditorías como se describe en el apartado 7.

4. Subencargados del tratamiento

Un subencargado del tratamiento es otra empresa que trata datos personales del cliente por cuenta nuestra, para que podamos prestar el servicio de TagOrbit.

• El cliente nos da una autorización general para recurrir a los subencargados del tratamiento que figuran en el anexo 3.
• Antes de añadir o sustituir un subencargado del tratamiento, avisamos por correo electrónico a los administradores del cliente, para que el cliente pueda oponerse.
• Si el cliente se opone por motivos razonables de protección de datos, buscamos juntos una solución. Si no la hay, el cliente puede poner fin al contrato.
• Cada subencargado del tratamiento está obligado por contrato a cumplir las mismas obligaciones de protección de datos que establece este contrato. Seguimos siendo plenamente responsables ante el cliente del trabajo de nuestros subencargados.

5. Violaciones de la seguridad de los datos personales

Si una violación de la seguridad afecta a datos personales que tratamos para el cliente, se lo notificamos sin dilación indebida después de tener conocimiento de ella. Nuestro aviso describe:

• qué ha pasado;
• los tipos de datos y el número aproximado de personas y de registros afectados;
• las consecuencias probables;
• qué hemos hecho o qué proponemos hacer al respecto;
• a quién dirigirse para obtener más información.

Si no podemos facilitar toda esta información a la vez, la facilitamos de manera gradual, sin más dilación indebida.

6. Supresión y devolución de los datos

• El cliente puede exportar sus datos en cualquier momento como archivos CSV o Excel.
• Cuando termina el contrato, el cliente tiene primero la oportunidad de exportar sus datos. Después suprimimos de TagOrbit los datos personales que tratamos para el cliente, salvo que el Derecho de la Unión Europea o el de un Estado miembro nos obligue a conservarlos.
• Los datos que hay en nuestras copias de seguridad diarias se eliminan a los 14 días, y los de las copias semanales, a los 90 días. También guardamos una copia del primer día de cada mes; estas copias mensuales todavía no tienen una fecha de fin fijada.
• Las solicitudes a la IA y los informes de errores se eliminan como máximo a los 30 días, y también junto con los datos del cliente cuando estos se eliminan.
• El cliente puede pedirnos por escrito que eliminemos sus datos antes, y lo haremos.

7. Información y auditorías

• Previa solicitud por escrito, damos al cliente la información que necesite para comprobar que cumplimos el artículo 28 del RGPD. Esto incluye una descripción de nuestras medidas de seguridad y la lista actual de subencargados del tratamiento.
• Si esa información no basta, el cliente puede auditarnos, por sí mismo o a través de un auditor independiente que esté obligado a guardar confidencialidad y que no sea competidor nuestro.
• Las auditorías deben anunciarse con una antelación razonable, hacerse en horario laboral y no perturbar nuestro trabajo más de lo necesario.

8. Transferencias internacionales

Los datos del cliente se guardan en la Unión Europea, en servidores de Hetzner Online GmbH en Núremberg (Alemania). Algunos subencargados del tratamiento del anexo 3 tienen su sede en Estados Unidos.

Cuando los datos personales van a un proveedor de fuera del Espacio Económico Europeo, la transferencia se hace con las cláusulas contractuales tipo de la Comisión Europea (cláusulas de contrato que la Comisión ha aprobado con este fin) y, cuando el proveedor está certificado, con arreglo al Marco de Privacidad de Datos UE-EE. UU.

9. Responsabilidad

Frente a las personas cuyos datos se tratan, cada parte responde según lo previsto en el artículo 82 del RGPD. Entre el cliente y nosotros, se aplican los límites de responsabilidad de los términos del servicio, en la medida en que la ley lo permita. Seguimos siendo plenamente responsables ante el cliente del trabajo de nuestros subencargados del tratamiento.

10. Ley aplicable y tribunales

Este contrato se rige por las leyes de Grecia. Los tribunales competentes de Atenas (Grecia) resuelven cualquier controversia sobre él.

Anexo 1: Detalles del tratamiento

Objeto. Prestar el servicio de TagOrbit al cliente.

Duración. Mientras dure el contrato, más los plazos de supresión del apartado 6.

Naturaleza y finalidad. Almacenamos, organizamos, mostramos, buscamos, exportamos y eliminamos los datos que el cliente registra en TagOrbit, los incluimos en informes y hacemos copias de seguridad de ellos. Cuando un usuario pide ayuda a una función de IA, enviamos a Anthropic lo que necesita la función y mostramos la respuesta al usuario. Enviamos los correos de la cuenta. Guardamos las solicitudes a la IA y los informes de errores durante 30 días para encontrar y corregir problemas. La finalidad es permitir al cliente controlar qué posee, quién lo tiene, qué necesita y cuándo.

Tipo de datos personales. Los que registre el cliente, por ejemplo:

• los nombres, las direcciones de correo electrónico y los teléfonos de su personal, sus clientes y sus proveedores;
• el historial de custodia: quién tuvo cada artículo y cuándo;
• notas, y los valores de cualquier campo que añada el cliente;
• documentos y fotos que sube, como recibos y facturas;
• el historial de cambios: quién hizo cada cambio, cuándo y los valores de antes y de después;
• los datos de cuenta de los usuarios del cliente: nombre, dirección de correo electrónico y rol;
• las solicitudes a la IA y los informes de errores, vinculados al usuario que los hizo, durante 30 días.

Categorías de interesados.

• el personal del cliente;
• los clientes, proveedores y otros contactos del cliente;
• las personas a las que el cliente invita a usar TagOrbit;
• cualquier otra persona que el cliente decida registrar.

Categorías especiales de datos. TagOrbit no está pensado para categorías especiales de datos personales, como los datos relativos a la salud (artículo 9 del RGPD). El cliente decide qué registra. Si registra datos de este tipo, es responsable de tener una base jurídica.

Anexo 2: Medidas técnicas y organizativas

• Ubicación. La base de datos, los archivos y las copias de seguridad de TagOrbit están en servidores de Hetzner Online GmbH en Núremberg (Alemania).
• Cifrado en tránsito. Todas las conexiones usan HTTPS. El tráfico llega a nuestros servidores a través de un túnel cifrado.
• Separación de clientes. Los datos de cada empresa se mantienen separados de los de las demás mediante reglas dentro de la propia base de datos (seguridad de nivel de fila), no solo mediante la aplicación.
• Roles. Dentro de una empresa, los roles Administrador, Editor y Lector limitan quién puede cambiar qué.
• Historial. Cada cambio queda registrado con su autor y su hora, y con los valores de antes y de después.
• Copias de seguridad. Hacemos copias de seguridad de todos los datos todos los días. Las copias diarias se guardan 14 días, y las semanales, 90 días. También guardamos una copia del primer día de cada mes; estas copias mensuales todavía no tienen una fecha de fin fijada.
• Funciones de IA. Solo envían lo que necesita la función. La IA nunca cambia los datos por sí sola: siempre decide un usuario. Hay un límite diario de uso por empresa.
• Datos de soporte. Las solicitudes a la IA y los informes de errores se guardan 30 días y no se muestran en la aplicación.

Anexo 3: Subencargados del tratamiento

Esta lista está actualizada a la fecha que aparece al principio de esta página.

Preguntas sobre este contrato

Para cualquier pregunta sobre este contrato, para pedir una copia firmada, para oponerte a un subencargado del tratamiento o para organizar una auditoría, escríbenos:

• ΑΦΟΙ ΚΑΛΟΦΟΡΙΔΗ ΟΕ (AFOI KALOFORIDI OE)
• Chr. Smirnis 67, 151 21 Athens, Greece
• Número de registro mercantil (Γ.Ε.ΜΗ.): 069222103000
• Número de IVA (Α.Φ.Μ.): 999267630
• Correo electrónico: info@tagpulse.ai