Este Acuerdo de Procesamiento de Datos (el “DPA”) forma parte integral del Acuerdo entre ELXAO SASU (el “Procesador”) y el cliente (el “Responsable”) e implementa el Artículo 28 del Reglamento (UE) 2016/679 (el “GDPR”) y la Ley francesa de protección de datos (Loi n° 78-17 del 6 de enero de 1978 modificada). Se aplica siempre que ELXAO procese datos personales en nombre del Responsable durante la prestación de los Servicios.
Definiciones
Los términos “datos personales”, “procesamiento”, “responsable”, “encargado”, “subencargado”, “interesado”, “datos de categoría especial” y “violación de datos personales” tienen el significado que les otorga el artículo 4 del RGPD. Los términos del Acuerdo se aplican a este DPA excepto cuando este DPA los anule expresamente.
Objeto, duración y naturaleza del procesamiento
| Artículo | Descripción |
|---|---|
| Asunto | Prestación de servicios de operaciones de marketing (sitios web, SEO, medios pagos, análisis, CRM/correo electrónico, branding, redes sociales, localización, PM/eventos) en nombre del Responsable. |
| Duración | Duración del Encargo, más los plazos de conservación que se establecen a continuación. |
| Naturaleza y propósito | Almacenamiento, organización, análisis, transferencia, alojamiento y eliminación de datos personales según sea necesario para prestar los Servicios. |
| Categorías de interesados | Usuarios finales, prospectos, clientes, suscriptores, empleados, proveedores y asistentes a eventos del controlador. |
| Categorías de datos personales | Datos de identificación (nombre, cargo), datos de contacto (correo electrónico, teléfono, dirección postal), datos profesionales (empresa, rol), identificadores online (IP, cookies, ID de dispositivos), datos de comportamiento (clics, sesiones, conversiones), datos comerciales (pedidos, facturación), datos de eventos (inscripciones, asistencia, insignias, grabaciones). |
| Datos de categoría especial | No procesado por defecto. Cualquier excepción requiere una instrucción escrita y salvaguardias adicionales. |
Roles e instrucciones
El Responsable determina los fines y medios del tratamiento. ELXAO procesa datos personales únicamente siguiendo las instrucciones documentadas del Controlador, que se formalizan mediante el Acuerdo, las órdenes, los SLA, la Política de Privacidad del Controlador y cualquier instrucción escrita específica enviada posteriormente. ELXAO informará al Responsable sin demora indebida si considera que una instrucción infringe la ley de protección de datos.
Confidencialidad del personal
ELXAO garantiza que toda persona autorizada para procesar datos personales esté sujeta a una obligación de confidencialidad exigible (contrato de trabajo, contrato de autónomo o NDA) y haya recibido una formación en protección de datos personales adecuada a su función.
Medidas de seguridad
ELXAO implementa medidas técnicas y organizativas apropiadas (Artículo 32 GDPR), que incluyen:
- Cifrado TLS 1.2+ en tránsito y cifrado AES-256 en reposo para almacenes de datos de producción.
- Control de acceso basado en roles con el principio de privilegio mínimo; Autenticación multifactor obligatoria para todos los administradores.
- Infraestructura reforzada alojada en la UE con análisis y parches de vulnerabilidades periódicos.
- Revisión de código, gestión de secretos, SDLC seguro y separación de entornos de producción/ensayo.
- Registro centralizado y protegido de la integridad; alertar sobre eventos sospechosos de autenticación y exportación de datos.
- Copias de seguridad cifradas y separadas geográficamente con pruebas de restauración documentadas.
- Procedimientos de incorporación y baja de personal, administrador de contraseñas, portátiles seguros con cifrado de disco completo.
- Planes de continuidad del negocio y respuesta a incidentes revisados al menos una vez al año.
Subprocesamiento
El Responsable autoriza con carácter general a ELXAO a recurrir a subencargados para determinadas actividades de tratamiento (alojamiento, envío de correo electrónico, analítica, plataformas publicitarias, herramientas de atención al cliente y plataformas de gestión de eventos). ELXAO mantiene una lista actualizada de subencargados, disponible previa solicitud en [email protected], y notificará con al menos treinta (30) días de antelación cualquier alta o sustitución prevista. Durante ese plazo, el Responsable podrá oponerse por motivos razonables relacionados con la protección de datos. ELXAO impone a cada subencargado obligaciones de protección de datos no menos exigentes que las establecidas en este DPA.
Transferencias internacionales
Los datos personales se procesan principalmente dentro del Espacio Económico Europeo (EEE). Cuando el procesamiento implica una transferencia fuera del EEE a un país sin una decisión de adecuación, ELXAO se basa en las salvaguardias adecuadas en virtud del artículo 46 del RGPD, principalmente las Cláusulas Contractuales Tipo (SCC) de la Comisión Europea del 4 de junio de 2021, complementadas con cualquier medida adicional requerida por la evaluación de impacto de la transferencia.
Asistencia al Responsable
ELXAO ayuda al Responsable, mediante medidas técnicas y organizativas apropiadas, a cumplir con sus obligaciones de responder a las solicitudes de los interesados (artículos 12 a 22 del RGPD) y a garantizar el cumplimiento de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, EIPD, consulta previa). La asistencia estándar está incluida en los Servicios; El trabajo sustancial que exceda un (1) día hábil por solicitud se puede facturar a las tarifas profesionales vigentes en ese momento de ELXAO después de una notificación por escrito.
Violación de datos personales
ELXAO notifica al Responsable sin demora indebida y, en cualquier caso, dentro de las setenta y dos (72) horas siguientes a tener conocimiento de una violación de datos personales que afecte a los datos del Responsable. La notificación incluye la naturaleza del incumplimiento, categorías y volúmenes aproximados afectados, consecuencias probables y las medidas tomadas o propuestas para abordarlo.
Auditorías
ELXAO pone a disposición del Responsable, previa solicitud razonable y no más de una vez al año (excepto después de un incumplimiento), la información necesaria para demostrar el cumplimiento de este DPA, incluidos los informes tipo ISO 27001/SOC 2 de los subprocesadores cuando estén disponibles. Las auditorías in situ pueden ser realizadas por el Contralor o un auditor externo mutuamente aprobado y sujeto a confidencialidad, a expensas del Contralor, con un aviso previo razonable y durante el horario comercial, de una manera que no interrumpa injustificadamente las operaciones de ELXAO.
Devolución o eliminación de datos
Tras la terminación del Acuerdo, ELXAO, a elección del Controlador expresada dentro de los treinta (30) días, devolverá todos los datos personales en un formato estructurado, de uso común y legible por máquina, o los eliminará de todos los sistemas operativos y de producción. Las copias de seguridad se eliminan en el ciclo de rotación estándar (hasta noventa (90) días) y pueden conservarse más allá de ese período solo cuando lo exige la ley aplicable, en cuyo caso permanecen sujetas a las obligaciones de seguridad y confidencialidad de este DPA.
Responsabilidad
Las disposiciones de responsabilidad de la MSA se aplican a las reclamaciones que surjan en virtud de este DPA. Cada parte sigue siendo responsable ante los interesados y las autoridades de control de conformidad con el artículo 82 del RGPD.
Contacto
Para cualquier consulta, solicitud o notificación relacionada con la protección de datos en virtud de este DPA, ponte en contacto con ELXAO en [email protected].