Acuerdo de tratamiento de datos – baseplan.ai
Esta es una traducción facilitada a efectos informativos. El texto en inglés es el vinculante.
El presente Acuerdo de tratamiento de datos (el «Acuerdo») forma parte de las Condiciones del servicio entre el Cliente y Etrog, empresa individual registrada en Israel, 139 Keren Kayemet LeIsrael St., Be'er Sheva, Israel («Etrog»). Se aplica cuando Etrog trata datos personales por cuenta del Cliente en la prestación de baseplan.ai. Se acepta junto con las Condiciones del servicio y no requiere firma separada. Puede solicitarse un ejemplar firmado por ambas partes en privacy@baseplan.ai.
1. Definiciones. «RGPD» significa el Reglamento (UE) 2016/679 y, cuando resulte aplicable, el RGPD del Reino Unido. Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les atribuye el RGPD. «Subencargado del tratamiento» significa un tercero al que Etrog recurre para tratar datos personales del Cliente.
2. Funciones. El Cliente es el responsable del tratamiento de los datos personales contenidos en el contenido que él y sus usuarios suben o crean en el Servicio (los «Datos Personales del Cliente»). Etrog es su encargado del tratamiento. Respecto de los datos de cuenta, seguridad y facturación que Etrog utiliza para sus propios fines, Etrog es responsable del tratamiento, según se describe en su Política de privacidad.
3. Instrucciones. Etrog trata los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del Cliente. Dichas instrucciones son las Condiciones del servicio, el presente Acuerdo y el uso que el Cliente haga de las funciones del Servicio. Se exceptúa el tratamiento exigido por la ley, del que Etrog informará al Cliente salvo que la ley lo prohíba. Etrog informará al Cliente si considera que una instrucción infringe la normativa de protección de datos.
4. Confidencialidad. Todas las personas autorizadas por Etrog para tratar Datos Personales del Cliente están sujetas a una obligación de confidencialidad. El acceso se concede únicamente en la medida necesaria para prestar, dar soporte o proteger el Servicio.
5. Seguridad. Etrog mantiene medidas técnicas y organizativas apropiadas para proteger los Datos Personales del Cliente. Estas se enumeran en el Anexo 2. Etrog podrá mejorarlas, pero no reducirá su nivel general.
6. Subencargados del tratamiento. El Cliente otorga a Etrog una autorización general para recurrir a subencargados del tratamiento. La lista vigente figura en la página de subencargados del tratamiento. Etrog:
- vinculará a cada subencargado del tratamiento mediante un contrato escrito a obligaciones de protección de datos no menos protectoras que las del presente Acuerdo;
- seguirá siendo responsable de sus subencargados del tratamiento;
- anunciará cualquier subencargado del tratamiento nuevo o sustituto con al menos 30 días de antelación, en dicha página y por correo electrónico a los administradores del Cliente.
El Cliente podrá oponerse por motivos razonables de protección de datos dentro de dicho plazo. Si las partes no logran resolver la oposición, el Cliente podrá resolver el servicio afectado y obtener el reembolso de las cantidades abonadas por anticipado y no utilizadas correspondientes a dicho servicio.
7. Solicitudes de los interesados. Teniendo en cuenta la naturaleza del tratamiento, Etrog ayuda al Cliente a responder a las solicitudes de los interesados. Lo hace principalmente a través de las propias funciones del Servicio, como la edición, la supresión y la exportación de proyectos y usuarios. Si Etrog recibe una solicitud directamente, la traslada al Cliente y no la responde por sí misma salvo que el Cliente se lo indique.
8. Violaciones de la seguridad de los datos personales. Etrog notifica al Cliente sin dilación indebida, y en todo caso en un plazo de 72 horas desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente. La notificación incluye la información disponible en ese momento que el Cliente necesite para cumplir sus propias obligaciones. Etrog adopta medidas razonables para contener la violación y mitigar sus efectos.
9. Asistencia. Etrog presta al Cliente una asistencia razonable, con la información de que disponga, en las evaluaciones de impacto relativas a la protección de datos y en las consultas previas a las autoridades.
10. Transferencias internacionales. Etrog está establecida en Israel. La Comisión Europea y el Reino Unido reconocen que Israel ofrece un nivel de protección adecuado. Cuando un subencargado del tratamiento trate Datos Personales del Cliente en un país que no cuente con dicho reconocimiento, Etrog garantiza un mecanismo de transferencia válido. Este consiste bien en las cláusulas contractuales tipo (Decisión 2021/914 de la Comisión), junto con el Anexo del Reino Unido cuando proceda, bien en la certificación del proveedor conforme al Marco de Privacidad de Datos UE-EE. UU.
11. Supresión y devolución. Cuando finalice el Servicio, el Cliente podrá exportar sus Resultados y proyectos durante 30 días. A continuación, Etrog suprime los Datos Personales del Cliente. Las copias contenidas en las copias de seguridad caducan dentro del ciclo de copias de seguridad: las copias de seguridad de la base de datos, en un plazo de 7 días, y los archivos eliminados recuperables, en un plazo de 30 días. Se exceptúan los datos que la ley obligue a Etrog a conservar.
12. Auditorías. Previa solicitud por escrito, Etrog pone a disposición la información necesaria para demostrar que cumple el presente Acuerdo, incluidas las respuestas a cuestionarios de seguridad razonables. Si dicha información no fuera suficiente, el Cliente podrá realizar una auditoría, por sí mismo o a través de un auditor independiente sujeto a confidencialidad, en las siguientes condiciones: como máximo una vez al año, con un preaviso de 30 días, en horario laboral, a cargo del Cliente y sin acceso a los datos de otros clientes. Los subencargados del tratamiento se auditan mediante sus propias certificaciones e informes.
13. Responsabilidad y prelación. La responsabilidad derivada del presente Acuerdo está sujeta a las limitaciones de las Condiciones del servicio, en la medida en que la ley lo permita. En caso de conflicto entre el presente Acuerdo y las Condiciones del servicio en materia de protección de datos personales, prevalecerá el presente Acuerdo. El presente Acuerdo estará vigente mientras Etrog trate Datos Personales del Cliente.
Anexo 1 – Detalles del tratamiento
- Objeto y finalidad: la prestación de baseplan.ai al Cliente. Ello comprende el alojamiento, la lectura y la conversión de planos y modelos, la planificación del encofrado y el apuntalamiento, la generación de planos, informes, mediciones y modelos, el envío de correos electrónicos del servicio y el soporte a los usuarios.
- Naturaleza: almacenamiento, conversión, análisis automatizado (incluso mediante IA), generación de resultados, transmisión y supresión.
- Duración: la vigencia de las Condiciones del servicio, más los plazos de supresión previstos en la cláusula 11.
- Interesados: los usuarios del Cliente y las personas cuyos datos figuran en el contenido del Cliente, como proyectistas, ingenieros, clientes y contactos mencionados en los planos o en los cajetines.
- Categorías de datos: nombres, direcciones de correo electrónico, roles y cargos, números de colegiación o licencia, firmas o sellos que figuran en los planos, registros de actividad y otros datos de contacto que el Cliente decida subir. No se requieren ni se prevén categorías especiales de datos.
Anexo 2 – Medidas técnicas y organizativas
- Alojamiento en Google Cloud en la Unión Europea (Bélgica; almacenamiento de archivos en la multirregión de la UE), en centros de datos certificados conforme a ISO 27001 y SOC 2.
- Cifrado en tránsito (TLS) para todo el tráfico y cifrado en reposo para la base de datos, los archivos y las copias de seguridad.
- Verificación en dos pasos obligatoria para todos los usuarios. Contraseñas almacenadas únicamente como hash Argon2. Sesiones de inicio de sesión limitadas a una jornada laboral.
- Los datos de cada empresa están separados de los de todas las demás empresas. El acceso se comprueba por empresa y por rol en cada solicitud.
- Los secretos se guardan en un almacén de secretos gestionado. Las cuentas de servicio siguen el principio de mínimo privilegio. Los cambios en producción se realizan únicamente a través de un proceso automatizado de despliegue.
- Copias de seguridad diarias de la base de datos con recuperación a un momento determinado, y protección contra la eliminación en la base de datos de producción.
- Límites de frecuencia de solicitudes, registro de seguridad y registro de auditoría de las acciones de los usuarios y del personal.
- Plazos de conservación definidos con supresión diaria automatizada (véase la Política de privacidad).
- Acceso del personal limitado a lo necesario para el soporte, la operación y la seguridad, con sujeción a confidencialidad.
- Respuesta a incidentes con la notificación de violaciones descrita en la cláusula 8.
Anexo 3 – Subencargados del tratamiento
Véase la página de subencargados del tratamiento, que forma parte del presente Acuerdo.