Contracte d’encarregat

Aquest és el contracte que exigeix l’article 28 del Reglament general de protecció de dades (RGPD). El pots llegir sencer abans de donar-nos cap dada.

1. Parts

• Tu, com a responsable del tractament: la persona o l’entitat titular de l’espai de treball de Nuvol. Decideixes per a què i com es tracten les dades de les persones que atens.
• Un món rodó, SL, com a encarregada del tractament: l’empresa que presta Nuvol. Les seves dades són a l’avís legal.

2. Com s’accepta

Aquest contracte forma part de les condicions del servei. L’acceptes quan crees l’espai de treball, en la versió i l’idioma en què el llegeixes. Es publica en català i en castellà, i totes dues versions obliguen igual.

3. Objecte i durada

L’objecte és el tractament de dades personals que Nuvol fa per tu quan et presta el servei. El contracte dura mentre l’espai de treball existeixi i, en acabar, els 30 dies que preveu la clàusula 12 per retornar o suprimir les dades.

4. Naturalesa i finalitat del tractament

Tractem les dades només per prestar-te Nuvol:

• desar-les, organitzar-les i mostrar-les als professionals del teu espai de treball;
• programar l’any, registrar sessions i escriure historials;
• generar documents, horaris i factures;
• segellar els documents que indiquis i respondre a qui en comprovi el codi o el fitxer al verificador;
• compartir els documents que indiquis amb els destinataris que triïs, i enviar-los l’enllaç i el codi per obrir-los;
• enviar els recordatoris i els correus que l’espai de treball tingui configurats.

No les fem servir per a cap altra finalitat, ni per entrenar models, ni les venem ni les cedim.

5. Persones i dades afectades

Persones interessades

• Les persones que atens, sovint menors d’edat.
• Les seves famílies, tutors o representants.
• Les persones o entitats a qui factures.
• Les persones o entitats amb qui comparteixes un document.
• Els professionals del teu espai de treball.

Categories de dades

• Identificatives i de contacte: nom, data de naixement, escola i nivell, documents d’identitat, correus i telèfons.
• Categories especials de l’article 9 del RGPD: diagnòstics, dificultats d’aprenentatge i altres dades de salut, i el que consti a sessions, observacions, historials i documents.
• Econòmiques: dades de facturació, NIF, adreça i compte bancari.
• Laborals: el registre de jornada dels professionals.

Tot el servei està construït al nivell que exigeixen les dades de l’article 9, sigui quina sigui l’activitat del teu espai de treball.

6. Les teves obligacions com a responsable

• Tenir una base jurídica per a cada tractament i, per a les dades de salut, una de les condicions de l’article 9.2 del RGPD.
• Informar les persones interessades i, quan calgui, obtenir-ne el consentiment.
• Fer l’avaluació d’impacte quan correspongui. T’hi ajudem tal com diu la clàusula 10.
• Donar-nos instruccions lícites.

7. Les nostres obligacions com a encarregats

• Tractar les dades només seguint les teves instruccions documentades. Aquestes instruccions són aquest contracte, les condicions del servei i l’ús que fas de Nuvol. Si una instrucció ens sembla contrària a la normativa, t’ho direm.
• Garantir que qui estigui autoritzat a tractar-les s’ha compromès a mantenir-ne la confidencialitat.
• Aplicar les mesures de seguretat de la clàusula 8.
• Complir les condicions de la clàusula 9 per recórrer a altres encarregats.

8. Mesures de seguretat

Aquestes són les mesures que Nuvol aplica avui:

• Totes les connexions són xifrades: la web funciona només per HTTPS i la base de dades s’hi connecta per TLS.
• Les dades de cada espai de treball estan separades de les de qualsevol altre.
• Dins l’espai de treball, cada professional té un rol, i la facturació, la configuració i l’equip queden reservats a qui l’administra.
• El contingut es desa dins l’Espai Econòmic Europeu (clàusula 11).
• Cada document es copia a un magatzem de còpies de seguretat separat, també a la Unió Europea, i la base de dades es pot recuperar a qualsevol moment dels darrers dies. El que s’esborra desapareix de l’aplicació a l’instant i de la còpia de seguretat, automàticament, en un termini màxim de 30 dies.
• Un document compartit no viatja per correu. S’obre amb un enllaç que caduca i que es pot revocar, i amb un codi d’un sol ús que rep l’adreça del destinatari.
• El seguiment d’errors de l’aplicació no recull el contingut de l’espai de treball.

Revisem les mesures a mesura que el servei canvia. Quan n’hi afegim una, aquesta llista canvia amb una nova versió.

Accés del personal de Nuvol

En el funcionament normal, ningú de Nuvol accedeix al contingut del teu espai de treball. Només hi accedim de manera excepcional:

• per resoldre una incidència que ens hagis demanat revisar, amb la teva autorització per escrit i limitada a l’abast i al temps que hi hagis indicat;
• sense autorització prèvia, només per evitar una pèrdua de dades o un incident de seguretat, i en aquest cas t’ho comuniquem després.

En tots dos casos accedim només al que calgui.

9. Altres encarregats

Ens dones una autorització general per recórrer als encarregats de la llista d’encarregats. A cadascun li imposem, per contracte, les mateixes obligacions de protecció de dades que aquest contracte ens imposa a nosaltres.

Abans d’afegir-ne o de substituir-ne un, avisem per correu electrònic les persones titulars dels espais de treball amb 30 dies d’antelació. Si no hi estàs d’acord, pots donar de baixa el servei abans que el canvi s’apliqui.

10. Assistència

• Drets de les persones interessades: t’ajudem a atendre les sol·licituds d’accés, rectificació, supressió, oposició, limitació i portabilitat. Si ens n’arriba una directament, te la fem arribar.
• Avaluacions d’impacte i consulta prèvia: et facilitem la informació que necessites sobre el tractament per fer l’avaluació d’impacte i, si cal, la consulta prèvia a l’autoritat de control.
• Violacions de seguretat: si en patim una que afecti les dades del teu espai de treball, t’avisem sense dilació indeguda i, en tot cas, dins de les 48 hores següents a tenir-ne coneixement. T’enviem la informació que demana l’article 33.3 del RGPD a mesura que la tinguem.

11. On es tracten les dades

El contingut del teu espai de treball es desa dins l’Espai Econòmic Europeu: els servidors, la base de dades, el magatzem de documents i les còpies de seguretat hi són tots. El trànsit entre el teu navegador i els servidors passa per dues xarxes, i cap de les dues no en desa el contingut. Cloudflare l’obre al centre de dades més proper a qui es connecta per aplicar-hi les proteccions de la xarxa i el reenvia xifrat al punt de la xarxa de Fly.io més proper. Fly.io l’obre en aquest punt i el porta xifrat fins als servidors. Tots dos llocs poden ser fora de l’Espai Econòmic Europeu si qui es connecta també hi és, i en aquest cas el trànsit hi passa amb el Marc de Privacitat de Dades UE-EUA i amb les clàusules contractuals tipus incloses en els contractes d’encarregat de totes dues empreses. La llista d’encarregats ho descriu.

12. Final del contracte

Quan l’espai de treball es dona de baixa, en els 30 dies següents i com triïs, et retornem les dades o les suprimim. Després les suprimim també de les còpies de seguretat, automàticament i en un termini màxim de 30 dies, llevat que la llei ens obligui a conservar-ne alguna.

13. Demostrar el compliment

Et donem la informació necessària per demostrar que complim aquest contracte. Pots fer-hi una auditoria amb un auditor independent que acordem entre tots dos, com a màxim una vegada l’any, amb 30 dies d’avís i al teu càrrec, llevat que ho exigeixi una autoritat de control.

14. Responsabilitat, llei i jurisdicció

La responsabilitat es regeix pel que diuen les condicions del servei. Aquest contracte es regeix per la llei espanyola, i qualsevol controvèrsia correspon als jutjats i tribunals de Barcelona.