Contrato de encargo de tratamiento (DPA)

En resumen

• Tratamiento conforme al RGPD: el cliente es responsable (o encargado) del tratamiento, FoxPlan actúa como encargado (o subencargado).
• Alojamiento en Francia con Scaleway; sin transferencia fuera de la UE sin garantías.
• Cifrado en tránsito y en reposo; control de acceso estricto; registro; copias de seguridad y alta disponibilidad.
• Reversibilidad: devolución o supresión de los datos en un plazo de 30 días (JSON); certificado de supresión previa solicitud.
• Subencargados sujetos a obligaciones de seguridad y confidencialidad equivalentes; FoxPlan sigue siendo plenamente responsable.
• Incidencias: se notifica al cliente sin dilación indebida y en un plazo de 24 horas; asistencia para la notificación a la CNIL en un plazo de 72 horas.
• Auditorías: una vez al año, con un mes de preaviso, por un auditor independiente y no competidor.
• La propiedad de los datos sigue siendo del cliente; sin reventa ni uso con fines de marketing.

1. Objeto y ámbito de aplicación

El presente contrato de encargo de tratamiento (el «DPA») forma parte del contrato de servicios (el «Contrato») entre FoxPlan SAS («FoxPlan») y la entidad cliente (el «Cliente»).

El DPA establece las condiciones en las que FoxPlan trata los datos personales estrictamente para la ejecución del Contrato, por cuenta del Cliente, de conformidad con el RGPD (UE 2016/679) y la legislación aplicable en materia de protección de datos.

Se aplica cuando el Cliente actúa como responsable (o encargado) del tratamiento y FoxPlan actúa como encargado (o subencargado). Las actividades de tratamiento en las que FoxPlan actúa como responsable se rigen por la política de privacidad de FoxPlan.

2. Definiciones

Los términos tienen el significado establecido en el artículo 4 del RGPD, incluidos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «subencargado» y «violación de la seguridad de los datos personales».

3. Funciones y responsabilidades

FoxPlan como encargado del tratamiento: FoxPlan trata los datos personales únicamente siguiendo las instrucciones documentadas del Cliente y estrictamente para los fines del Contrato. Sin uso con fines de marketing, elaboración de perfiles ni reventa.

El Cliente como responsable (o encargado) del tratamiento: el Cliente determina los fines y los medios del tratamiento, garantiza su licitud y la información facilitada a los interesados, y proporciona a FoxPlan instrucciones conformes con el RGPD.

4. Naturaleza, finalidad y categorías de datos

Finalidad: prestación y operación del servicio FoxPlan; alojamiento, copias de seguridad y administración; gestión de cuentas y accesos; soporte y mantenimiento; estadísticas anonimizadas para mejorar la calidad del servicio.

Categorías de datos: datos identificativos (nombre, correo electrónico), credenciales, registros de uso, metadatos técnicos y el contenido almacenado por los usuarios en el servicio.

Interesados: los usuarios finales, empleados, contratistas y socios autorizados del Cliente.

Duración: la vigencia del Contrato, más el tiempo necesario para la reversibilidad o la conservación legal.

5. Ubicación y alojamiento

Los datos se alojan en Francia, en centros de datos operados por Scaleway SAS. No se realiza ninguna transferencia fuera de la Unión Europea sin garantías adecuadas, como las cláusulas contractuales tipo de la UE o una decisión de adecuación. El tratamiento realizado por Scaleway se rige por el contrato de encargo de tratamiento de Scaleway.

6. Medidas de seguridad

FoxPlan aplica medidas técnicas y organizativas apropiadas para garantizar la confidencialidad, la integridad y la disponibilidad, entre ellas:

• Cifrado en tránsito y en reposo (TLS 1.2+ / TLS 1.3; AES-256 o equivalente).
• Control de acceso estricto basado en el principio de mínimo privilegio, autenticación segura y registro de accesos.
• Aislamiento de entornos y segmentación de red; WAF y supervisión de intrusiones.
• Ciclo de vida de desarrollo seguro, aplicación de parches y gestión de vulnerabilidades.
• Copias de seguridad periódicas con restauraciones probadas, y procedimientos de continuidad de negocio / recuperación ante desastres.
• Acceso a las bases de datos de producción limitado al personal autorizado, bajo autenticación fuerte y registro; copias de seguridad cifradas almacenadas en instalaciones seguras de Scaleway en Francia.

7. Copias de seguridad y alta disponibilidad

• Copias de seguridad completas diarias de los datos del cliente, conservadas conforme a la política interna y a los requisitos legales.
• Replicación y arquitectura de alta disponibilidad para minimizar el riesgo de pérdida de datos.
• Procedimientos de restauración documentados y probados periódicamente.

8. Subencargados del tratamiento

FoxPlan puede recurrir a subencargados (alojamiento, copias de seguridad, soporte, mensajería). FoxPlan les impone obligaciones de protección de datos equivalentes a las del presente DPA y sigue siendo plenamente responsable de su cumplimiento.

Una lista actualizada de los subencargados está disponible previa solicitud en dpo@fox-plan.com.

9. Asistencia en el ejercicio de los derechos de los interesados

Teniendo en cuenta la naturaleza del tratamiento, FoxPlan asiste al Cliente, en la medida de lo posible, en la atención de las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición) y en el cumplimiento de sus obligaciones derivadas del RGPD, incluido el apoyo en las evaluaciones de impacto relativas a la protección de datos, cuando proceda.

10. Notificación de incidencias y violaciones de seguridad

En caso de violación de la seguridad de los datos personales, FoxPlan lo notifica al Cliente sin dilación indebida y en un plazo de 24 horas desde que tenga conocimiento de ella, facilitando los detalles conocidos: naturaleza de la violación, categorías y volumen de datos, consecuencias probables y medidas adoptadas.

FoxPlan coopera con el Cliente en cualquier notificación reglamentaria exigida, incluida la notificación a la CNIL francesa en un plazo de 72 horas cuando proceda, y en las comunicaciones a los interesados si fuera necesario.

11. Auditorías

El Cliente puede realizar, o encargar, una auditoría de seguridad al año, con un preaviso escrito de un mes, a través de un auditor independiente y no competidor, en horario laboral habitual, sin perturbar las operaciones y con sujeción a las políticas de seguridad y confidencialidad de FoxPlan. Las vulnerabilidades críticas se corrigen sin dilación indebida.

12. Reversibilidad: devolución y supresión

A la terminación del Contrato, y a elección del Cliente, FoxPlan devuelve o suprime todos los datos personales del cliente en un plazo de 30 días, salvo cuando se aplique una obligación legal de conservación.

• Formato de exportación estándar: JSON, sin coste adicional.
• Los servicios adicionales de extracción o de asistencia están disponibles previa solicitud y se presupuestan por separado.
• La supresión se confirma mediante un certificado de supresión escrito, previa solicitud.

13. Propiedad de los datos

El Cliente sigue siendo el único propietario de los datos personales tratados a través del servicio FoxPlan. FoxPlan no adquiere ningún derecho sobre dichos datos y no los utiliza para ningún fin distinto de la ejecución del Contrato.

14. Responsabilidad

Cada parte es responsable de sus propios incumplimientos del presente DPA y de la legislación aplicable en materia de protección de datos. La responsabilidad de FoxPlan se limita a los daños directos que se demuestre que resultan de su incumplimiento del presente DPA o de sus obligaciones derivadas del RGPD; FoxPlan no es responsable de los daños indirectos o consecuentes, ni de los daños derivados de instrucciones ilícitas dadas por el Cliente o de un uso indebido de los servicios.

15. Legislación aplicable y jurisdicción

El presente DPA se rige por la legislación francesa. Cualquier controversia se somete a la jurisdicción exclusiva de los tribunales de Versalles (Francia), sin perjuicio de las normas imperativas de competencia en materia de consumidores o de protección de datos, cuando sean aplicables.

16. Contacto y delegado de protección de datos

FoxPlan SAS, 4 Place Maurice Berteaux, 78400 Chatou, Francia. DPO y contacto de privacidad: dpo@fox-plan.com. El presente DPA se aplica automáticamente a todos los clientes que utilizan los servicios FoxPlan y forma parte integrante del contrato marco de servicios.