Acuerdo de encargo del tratamiento de datos
Este acuerdo cubre los datos personales que un equipo introduce en Subsigno: los nombres de sus personas, los correos de trabajo, los datos de su puesto, las firmas guardadas, las fotos, los logotipos y los banners. Para esos datos, el equipo es el responsable del tratamiento y Subsigno es el encargado. Forma parte de las Condiciones y se acepta al usar cuentas de equipo.
Borrador — en revisión jurídica, no es asesoramiento jurídico. Puede cambiar antes de surtir efecto.
Quién es quién
El Cliente es el equipo, a través de quien sea propietario del mismo. El encargado es Ruben José Dos Santos Marques (RJDSM), el empresario individual que opera Subsigno como marca de Solvetus; el aviso legal lleva la identificación completa. Respecto de los datos de inicio de sesión de propietarios y miembros, y del registro de seguridad, Subsigno decide por sí mismo los fines y es responsable del tratamiento por derecho propio, como explica la página de Privacidad.
Qué se trata y durante cuánto tiempo
Objeto: prestar cuentas de equipo, imágenes alojadas y enlaces permanentes, y firmas de equipo guardadas. Interesados: los propietarios y miembros del Cliente y los usuarios de sus buzones compartidos. Datos: nombres, correos de trabajo, cargos, departamentos, teléfonos, datos de la empresa, enlaces sociales, fotos, logotipos, banners y contenido de las firmas, además de datos de inicio de sesión. No se pretende tratar categorías especiales de datos y el Cliente no debe introducir ninguna. Duración: mientras exista el equipo y, después, solo el tiempo que indica la página de Privacidad en «Cuánto tiempo conservamos los datos».
Instrucciones y confidencialidad
Subsigno trata los datos solo para prestar el servicio y siguiendo instrucciones documentadas del Cliente: las acciones de los propietarios en las páginas de la cuenta y las Condiciones. Avisa al Cliente si una instrucción parece infringir la normativa de protección de datos. Todas las personas con acceso a los datos están obligadas a confidencialidad.
Seguridad
Subsigno aplica medidas adecuadas al riesgo, entre ellas: cifrado en tránsito (HTTPS con HSTS) y de las copias de seguridad; inicio de sesión sin contraseña, con una llave de acceso como segundo paso para los propietarios; el área del operador tras Cloudflare Access; identificadores aleatorios; resúmenes unidireccionales con clave para los códigos de inicio de sesión y los contadores; imágenes reescritas para eliminar metadatos incrustados; límites de solicitudes; ningún registro de las solicitudes de imágenes alojadas; una copia de seguridad cifrada fuera del sitio que se restaura en una prueba cada trimestre; y un procedimiento escrito para brechas de datos personales.
Subencargados
El Cliente acepta estos subencargados: Cloudflare (alojamiento, la base de datos D1, el almacenamiento de imágenes R2 en la jurisdicción de la UE, DNS y caché); Microsoft (entrega de los correos de inicio de sesión y de aviso mediante Microsoft 365); OVH (copias de seguridad cifradas, en Francia). Subsigno sigue siendo responsable de ellos y vincula a cada uno con condiciones de protección de datos. Avisa a los propietarios por correo 30 días antes de añadir o sustituir uno; un propietario que se oponga puede descargar los datos del equipo y eliminarlo antes de que el cambio surta efecto.
Transferencias fuera del EEE
Cloudflare y Microsoft son empresas estadounidenses. Cuando los datos les llegan fuera del Espacio Económico Europeo, la transferencia se basa en el Marco de Privacidad de Datos UE–EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea.
Ayudar al Cliente
Los propietarios pueden descargar los datos del equipo (página Resumen) y eliminar el equipo ellos mismos (página Zona de peligro), y cada persona puede descargar sus propios datos (página Perfil) y eliminar su cuenta (página Eliminar mi cuenta). Para todo lo demás —una solicitud de un interesado, una evaluación de impacto, una consulta de una autoridad— escriba a privacy(at)subsigno.com y Subsigno ayuda en un plazo razonable.
Brechas de datos personales
Si Subsigno tiene conocimiento de una brecha de datos personales que afecte a los datos del equipo, informa a los propietarios del equipo sin dilación indebida, con lo que sepa: la naturaleza de la brecha, los datos y las personas afectados, las consecuencias probables y lo que está haciendo al respecto.
Eliminación y devolución
En cualquier momento los propietarios pueden descargar los datos del equipo y pedir su eliminación. Pasada la ventana de 30 días, los datos se borran; las copias de seguridad y la ventana de reversión de la base de datos caducan según el calendario de la página de Privacidad. Solo se conservan para siempre identificadores aleatorios y una fecha, que no contienen datos personales.
Auditorías
Subsigno facilita al Cliente la información necesaria para demostrar que cumple este acuerdo y permite una auditoría del Cliente o de su auditor, con 30 días de preaviso, como máximo una vez al año, a cargo del Cliente y sin acceso a los datos de otros clientes.
Aceptación y cambios
Un equipo acepta este acuerdo al usar cuentas de equipo, como dicen las Condiciones. Subsigno puede modificarlo avisando a los propietarios con 30 días de antelación.