Acuerdo de tratamiento de datos

Art. 1 — Partes y ámbito

Este acuerdo se celebra entre el Cliente, responsable del tratamiento, y NEURALWORD S.r.l., número de IVA IT03570180244, encargado del tratamiento conforme al art. 28 del Reglamento (UE) 2016/679 (RGPD). Se aplica a los datos personales que TrustInsider trata por cuenta del Cliente al prestar el servicio y forma parte de los Términos del servicio. Los términos en mayúscula tienen el significado que les dan los Términos y el RGPD.

Art. 2 — Objeto, duración, naturaleza y finalidad

TrustInsider trata los datos durante la vigencia del contrato y el tiempo necesario para devolverlos o suprimirlos, con el único fin de prestar las funciones elegidas por el Cliente: lectura de integraciones, seguimiento, informes, Ask, gestión de páginas y boletines alojados, publicación en destinos autorizados. Las categorías de datos e interesados se describen en el anexo 1.

Art. 3 — Instrucciones del Cliente

TrustInsider trata los datos únicamente siguiendo instrucciones documentadas del Cliente, que consisten en este acuerdo, los Términos y las configuraciones que el Cliente establece en el servicio, salvo que lo exija el Derecho de la Unión o de un Estado miembro; en tal caso informa al Cliente, si la ley lo permite. Si considera que una instrucción infringe la normativa, TrustInsider lo comunica de inmediato al Cliente. El Cliente garantiza la licitud de los datos y de sus instrucciones.

Art. 4 — Confidencialidad y personal

Las personas autorizadas a tratar los datos están obligadas a la confidencialidad y solo acceden a lo que exige su tarea. El acceso del personal a los datos del Cliente es limitado, registrado y motivado, por ejemplo para la asistencia que solicite el Cliente.

Art. 5 — Seguridad

TrustInsider aplica las medidas técnicas y organizativas del anexo 2, adecuadas al riesgo conforme al art. 32 RGPD, y puede actualizarlas siempre que el nivel de protección no disminuya.

Art. 6 — Subencargados

El Cliente autoriza de forma general a TrustInsider a recurrir a los subencargados enumerados en el anexo 3. TrustInsider les impone por contrato obligaciones de protección de datos no inferiores a las de este acuerdo y responde de su actuación. Antes de añadir o sustituir un subencargado, TrustInsider actualiza la lista en esta página y lo notifica a los Clientes con un plan de pago al menos 30 días antes; el Cliente puede oponerse por motivos razonables relacionados con la protección de datos y, si no se encuentra una solución, resolver el contrato sin penalización y con reembolso de la parte pagada y no disfrutada.

Art. 7 — Transferencias internacionales

Los datos solo pueden transferirse fuera del Espacio Económico Europeo a subencargados amparados por una decisión de adecuación, el EU-U.S. Data Privacy Framework o las cláusulas contractuales tipo de la decisión (UE) 2021/914, con las medidas complementarias necesarias. Para las transferencias que lo requieran, las partes acuerdan que se aplican las cláusulas contractuales tipo, módulo 2 o módulo 3, que se consideran incorporadas a este acuerdo.

Art. 8 — Asistencia al Cliente

Teniendo en cuenta la naturaleza del tratamiento, TrustInsider asiste al Cliente con medidas adecuadas para responder a las solicitudes de los interesados, remitiéndole sin demora las recibidas directamente, y le asiste en sus obligaciones de seguridad, notificación de violaciones, evaluación de impacto y consulta previa (arts. 32-36 RGPD), con la información de que dispone.

Art. 9 — Violaciones de datos

TrustInsider notifica al Cliente cualquier violación de los datos personales tratados por su cuenta sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tenga conocimiento de ella, a la dirección de correo de la cuenta, con la información del art. 33.3 RGPD disponible en ese momento, completándola lo antes posible, y adopta de inmediato medidas para contenerla. El Cliente puede comunicar incidentes a privacy@trustinsider.com.

Art. 10 — Devolución y supresión

Durante el contrato el Cliente puede exportar sus datos desde el área reservada. Al finalizar el contrato, TrustInsider suprime o anonimiza los datos tratados por cuenta del Cliente en un plazo de 30 días, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación; las copias de seguridad cifradas se sobrescriben según su ciclo ordinario.

Art. 11 — Información y auditorías

TrustInsider pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de este acuerdo. El Cliente puede realizar, o encargar a un auditor independiente sujeto a confidencialidad, una auditoría al año con un preaviso de al menos 30 días, sin perturbar el servicio ni acceder a datos de otros clientes; los costes de la auditoría corren a cargo del Cliente, salvo que se detecte un incumplimiento relevante. Las auditorías solicitadas por una autoridad de control son siempre posibles.

Art. 12 — Responsabilidad y prevalencia

La responsabilidad de las partes se rige por los Términos, dentro de los límites permitidos por el art. 82 RGPD. En materia de protección de datos este acuerdo prevalece sobre los Términos; las cláusulas contractuales tipo, cuando se aplican, prevalecen sobre ambos. Los Clientes Enterprise que lo soliciten en privacy@trustinsider.com pueden obtener una copia firmada del acuerdo.

Anexo 1 — Descripción del tratamiento

• Interesados: usuarios autorizados del Cliente; visitantes del sitio del Cliente, de forma agregada, mediante las integraciones de estadística; suscriptores de boletines y personas que rellenan formularios de las páginas alojadas para el Cliente; personas citadas en los contenidos que el Cliente sube o publica.
• Categorías de datos: datos de contacto y de cuenta, estadísticas de tráfico y búsqueda normalmente agregadas, contenidos y documentos, identificadores de las cuentas conectadas, registros de operaciones. No se requiere ninguna categoría especial de datos: el Cliente se compromete a no introducirlas.
• Operaciones: recogida mediante integraciones autorizadas, conservación, análisis, tratamiento con modelos de inteligencia artificial, generación de informes y borradores, publicación en destinos autorizados, supresión.

Anexo 2 — Medidas técnicas y organizativas

• Cifrado en tránsito (HTTPS con HSTS) y cifrado en reposo de la base de datos y de las copias de seguridad; cifrado en la aplicación de las credenciales de las integraciones con claves custodiadas solo en el entorno de producción.
• Control de accesos: acceso mediante enlace de un solo uso, verificación en dos pasos, roles por espacio de trabajo, SSO y aprovisionamiento SCIM en el plan Enterprise; accesos administrativos limitados y registrados.
• Separación de los datos por espacio de trabajo, minimización de los datos enviados a los proveedores de modelos y enmascaramiento de los datos confidenciales en los registros de los asistentes.
• Protección del perímetro: cabeceras de seguridad, límites de solicitudes, protección anti-bots, firma verificada de los webhooks, secretos solo en variables de entorno.
• Continuidad: copias de seguridad cifradas, recuperación de la base de datos a un instante, supervisión de errores y del estado de los servicios.
• Conservación limitada con supresión automática al vencimiento, procedimiento documentado de gestión de violaciones y revisión periódica de las medidas.

Anexo 3 — Subencargados

La lista se actualiza con cada cambio. Los proveedores indicados como responsables autónomos tratan los datos por cuenta propia, según sus condiciones, cuando el Cliente conecta o utiliza sus servicios.