Contrato de encargado

Este es el contrato que exige el artículo 28 del Reglamento general de protección de datos (RGPD). Puedes leerlo entero antes de darnos ningún dato.

1. Partes

• Tú, como responsable del tratamiento: la persona o la entidad titular del espacio de trabajo de Nuvol. Decides para qué y cómo se tratan los datos de las personas que atiendes.
• Un món rodó, SL, como encargada del tratamiento: la empresa que presta Nuvol. Sus datos están en el aviso legal.

2. Cómo se acepta

Este contrato forma parte de las condiciones del servicio. Lo aceptas cuando creas el espacio de trabajo, en la versión y el idioma en que lo lees. Se publica en catalán y en castellano, y las dos versiones obligan por igual.

3. Objeto y duración

El objeto es el tratamiento de datos personales que Nuvol hace por ti cuando te presta el servicio. El contrato dura mientras exista el espacio de trabajo y, al terminar, los 30 días que prevé la cláusula 12 para devolver o suprimir los datos.

4. Naturaleza y finalidad del tratamiento

Tratamos los datos solo para prestarte Nuvol:

• guardarlos, organizarlos y mostrarlos a los profesionales de tu espacio de trabajo;
• programar el año, registrar sesiones y escribir historiales;
• generar documentos, horarios y facturas;
• sellar los documentos que indiques y responder a quien compruebe su código o su archivo en el verificador;
• compartir los documentos que indiques con los destinatarios que elijas, y enviarles el enlace y el código para abrirlos;
• enviar los recordatorios y los correos que el espacio de trabajo tenga configurados.

No los usamos para ninguna otra finalidad, ni para entrenar modelos, ni los vendemos ni los cedemos.

5. Personas y datos afectados

Personas interesadas

• Las personas que atiendes, a menudo menores de edad.
• Sus familias, tutores o representantes.
• Las personas o entidades a las que facturas.
• Las personas o entidades con las que compartes un documento.
• Los profesionales de tu espacio de trabajo.

Categorías de datos

• Identificativos y de contacto: nombre, fecha de nacimiento, escuela y nivel, documentos de identidad, correos y teléfonos.
• Categorías especiales del artículo 9 del RGPD: diagnósticos, dificultades de aprendizaje y otros datos de salud, y lo que conste en sesiones, observaciones, historiales y documentos.
• Económicos: datos de facturación, NIF, dirección y cuenta bancaria.
• Laborales: el registro de jornada de los profesionales.

Todo el servicio está construido al nivel que exigen los datos del artículo 9, sea cual sea la actividad de tu espacio de trabajo.

6. Tus obligaciones como responsable

• Tener una base jurídica para cada tratamiento y, para los datos de salud, una de las condiciones del artículo 9.2 del RGPD.
• Informar a las personas interesadas y, cuando haga falta, obtener su consentimiento.
• Hacer la evaluación de impacto cuando corresponda. Te ayudamos como dice la cláusula 10.
• Darnos instrucciones lícitas.

7. Nuestras obligaciones como encargados

• Tratar los datos solo siguiendo tus instrucciones documentadas. Esas instrucciones son este contrato, las condiciones del servicio y el uso que haces de Nuvol. Si una instrucción nos parece contraria a la normativa, te lo diremos.
• Garantizar que quien esté autorizado a tratarlos se ha comprometido a mantener su confidencialidad.
• Aplicar las medidas de seguridad de la cláusula 8.
• Cumplir las condiciones de la cláusula 9 para recurrir a otros encargados.

8. Medidas de seguridad

Estas son las medidas que Nuvol aplica hoy:

• Todas las conexiones van cifradas: la web funciona solo por HTTPS y la base de datos se conecta por TLS.
• Los datos de cada espacio de trabajo están separados de los de cualquier otro.
• Dentro del espacio de trabajo, cada profesional tiene un rol, y la facturación, la configuración y el equipo quedan reservados a quien lo administra.
• El contenido se guarda dentro del Espacio Económico Europeo (cláusula 11).
• Cada documento se copia a un almacén de copias de seguridad separado, también en la Unión Europea, y la base de datos se puede recuperar a cualquier momento de los últimos días. Lo que se borra desaparece de la aplicación al instante y de la copia de seguridad, automáticamente, en un plazo máximo de 30 días.
• Un documento compartido no viaja por correo. Se abre con un enlace que caduca y que se puede revocar, y con un código de un solo uso que recibe la dirección del destinatario.
• El seguimiento de errores de la aplicación no recoge el contenido del espacio de trabajo.

Revisamos las medidas a medida que el servicio cambia. Cuando añadimos una, esta lista cambia con una nueva versión.

Acceso del personal de Nuvol

En el funcionamiento normal, nadie de Nuvol accede al contenido de tu espacio de trabajo. Solo accedemos de forma excepcional:

• para resolver una incidencia que nos hayas pedido revisar, con tu autorización por escrito y limitada al alcance y al tiempo que hayas indicado;
• sin autorización previa, solo para evitar una pérdida de datos o un incidente de seguridad, y en ese caso te lo comunicamos después.

En los dos casos accedemos solo a lo necesario.

9. Otros encargados

Nos das una autorización general para recurrir a los encargados de la lista de encargados. A cada uno le imponemos, por contrato, las mismas obligaciones de protección de datos que este contrato nos impone a nosotros.

Antes de añadir o sustituir uno, avisamos por correo electrónico a las personas titulares de los espacios de trabajo con 30 días de antelación. Si no estás de acuerdo, puedes dar de baja el servicio antes de que el cambio se aplique.

10. Asistencia

• Derechos de las personas interesadas: te ayudamos a atender las solicitudes de acceso, rectificación, supresión, oposición, limitación y portabilidad. Si nos llega una directamente, te la hacemos llegar.
• Evaluaciones de impacto y consulta previa: te facilitamos la información que necesitas sobre el tratamiento para hacer la evaluación de impacto y, si hace falta, la consulta previa a la autoridad de control.
• Violaciones de seguridad: si sufrimos una que afecte a los datos de tu espacio de trabajo, te avisamos sin dilación indebida y, en todo caso, dentro de las 48 horas siguientes a tener conocimiento. Te enviamos la información que pide el artículo 33.3 del RGPD a medida que la tengamos.

11. Dónde se tratan los datos

El contenido de tu espacio de trabajo se guarda dentro del Espacio Económico Europeo: los servidores, la base de datos, el almacén de documentos y las copias de seguridad están todos allí. El tráfico entre tu navegador y los servidores pasa por dos redes, y ninguna de las dos guarda el contenido. Cloudflare lo abre en el centro de datos más cercano a quien se conecta para aplicarle las protecciones de la red y lo reenvía cifrado al punto de la red de Fly.io más cercano. Fly.io lo abre en ese punto y lo lleva cifrado hasta los servidores. Los dos lugares pueden estar fuera del Espacio Económico Europeo si quien se conecta también está fuera, y en ese caso el tráfico pasa por ellos con el Marco de Privacidad de Datos UE-EE. UU. y con las cláusulas contractuales tipo incluidas en los contratos de encargado de las dos empresas. La lista de encargados lo describe.

12. Fin del contrato

Cuando el espacio de trabajo se da de baja, en los 30 días siguientes y como elijas, te devolvemos los datos o los suprimimos. Después los suprimimos también de las copias de seguridad, automáticamente y en un plazo máximo de 30 días, salvo que la ley nos obligue a conservar alguno.

13. Demostrar el cumplimiento

Te damos la información necesaria para demostrar que cumplimos este contrato. Puedes auditarlo con un auditor independiente que acordemos entre los dos, como máximo una vez al año, con 30 días de aviso y a tu cargo, salvo que lo exija una autoridad de control.

14. Responsabilidad, ley y jurisdicción

La responsabilidad se rige por lo que dicen las condiciones del servicio. Este contrato se rige por la ley española, y cualquier controversia corresponde a los juzgados y tribunales de Barcelona.