Aquest Annex de tractament de dades (DPA) forma part de les Condicions del servei de Sunset Docs entre el client i Esteve Castells Calpe, Barcelona, Spain. S'aplica automàticament cada vegada que Sunset Docs tracta Dades personals del client per compte del client. Un DPA signat per separat preval en la mesura que contradigui expressament aquest document.
1. Definicions
RGPD vol dir el Reglament (UE) 2016/679. Responsable del tractament, encarregat del tractament, dades personals, tractament, persona interessada i violació de la seguretat de les dades personals tenen el significat que els atribueix el RGPD. Dades personals del client vol dir les dades personals enviades a un espai de treball del client o generades en aquest espai que Sunset Docs tracta per compte del client.
Normativa de protecció de dades vol dir el RGPD i qualsevol altra llei de privadesa o de protecció de dades aplicable al tractament que es fa d'acord amb aquest DPA. Servei i Client tenen el significat que els donen les Condicions.
2. Rols i àmbit
El client és el responsable del tractament o un encarregat del tractament que actua per compte d'un altre responsable. Sunset Docs és l'encarregat o el subencarregat del tractament. Cada part complirà les seves pròpies obligacions d'acord amb la Normativa de protecció de dades.
Quan el client actua com a encarregat del tractament, confirma que el responsable corresponent n'ha autoritzat les instruccions i la contractació de Sunset Docs. L'annex 1 descriu el tractament cobert per aquest DPA.
3. Instruccions documentades
Sunset Docs tracta les Dades personals del client només seguint les instruccions documentades que contenen les Condicions, aquest DPA, la configuració del servei del client i l'ús autoritzat de les funcions. Si el dret de la Unió o dels estats membres exigeix un altre tractament, informarem el client abans de fer-lo, tret que la llei prohibeixi aquesta comunicació.
Informarem el client si considerem que una instrucció infringeix la Normativa de protecció de dades, i podem suspendre el tractament afectat mentre les parts ho resolen.
4. Confidencialitat
Totes les persones autoritzades per Sunset Docs a tractar Dades personals del client estan subjectes a obligacions de confidencialitat contractuals o legals i només hi tenen accés quan ho requereixen les seves funcions.
5. Seguretat
Sunset Docs aplica mesures tècniques i organitzatives adequades als riscos del tractament, tenint en compte l'estat de la tècnica, els costos d'aplicació i la naturalesa, l'abast, el context i les finalitats del tractament. Les mesures actuals es descriuen a l'annex 2.
Podem actualitzar les mesures a mesura que canviï el servei, sempre que l'actualització no redueixi de manera substancial la protecció global de les Dades personals del client.
6. Subencarregats del tractament
El client dona una autorització general per escrit per als subencarregats que figuren a la pàgina de subencarregats. Avisarem amb almenys 30 dies d'antelació abans d'afegir o substituir un subencarregat que hagi de tractar Dades personals del client. El client s'hi pot oposar dins d'aquest termini per motius raonables de protecció de dades.
Imposem a cada subencarregat obligacions de protecció de dades que ofereixen una protecció substancialment equivalent per al tractament corresponent. Continuem sent responsables davant del client de l'actuació del subencarregat tal com exigeix la llei. Si després d'una oposició vàlida no hi ha cap alternativa raonable, el client pot resoldre el servei afectat i rebre el reemborsament proporcional de les quotes pagades per avançat corresponents al període no utilitzat.
7. Sol·licituds de les persones interessades
Tenint en compte la naturalesa del tractament, prestarem una assistència tècnica i organitzativa raonable amb les sol·licituds d'exercici dels drets de les persones interessades. Si una persona interessada es posa en contacte directament amb nosaltres sobre Dades personals del client, traslladarem la sol·licitud al client sense dilació indeguda i no hi respondrem sobre el fons, tret que hi estiguem autoritzats o la llei ens hi obligui.
8. Violacions de la seguretat de les dades personals
Notificarem el client sense dilació indeguda després de tenir coneixement d'una violació de la seguretat de les dades personals que afecti Dades personals del client. Facilitarem la informació raonablement disponible sobre la naturalesa de la violació, les categories i el nombre aproximat d'afectats, les conseqüències probables i les mesures adoptades o proposades.
La informació es pot facilitar per fases. No endarrerirem una notificació inicial només perquè encara no es coneguin tots els detalls, i prestarem una assistència raonable al client amb les seves obligacions de notificació i comunicació.
9. Altres tipus d'assistència
Tenint en compte la naturalesa del tractament i la informació de què disposem, prestarem una assistència raonable amb les obligacions de seguretat, les avaluacions d'impacte relatives a la protecció de dades i les consultes prèvies a les autoritats de control quan estiguin relacionades amb el Servei.
10. Transferències internacionals
Una transferència restringida només es farà d'acord amb un mecanisme permès pel capítol V del RGPD. Segons el destinatari, pot incloure una decisió d'adequació, el Marc de Privadesa de Dades UE-EUA quan el destinatari estigui certificat, o clàusules contractuals tipus de la Comissió Europea amb mesures complementàries quan calgui. Les dades dels proveïdors es publiquen a la pàgina de subencarregats.
11. Informació i auditories
Facilitarem la informació raonablement necessària per demostrar el compliment de l'article 28 del RGPD, incloses les respostes a preguntes de seguretat proporcionades i formulades per escrit. El client pot auditar el compliment com a màxim una vegada cada 12 mesos, amb un preavís d'almenys 30 dies, en horari laboral, al seu càrrec i amb confidencialitat, sense interrompre el servei ni accedir a dades d'altres clients.
Els límits de freqüència i de preavís no s'apliquen després d'una sospita de violació de la seguretat, davant d'indicis fiables d'un incompliment substancial o quan ho demani una autoritat de control. Abans d'una auditoria presencial s'ha de recórrer a la revisió de documentació quan aquesta pugui atendre raonablement la sol·licitud.
12. Devolució i supressió
El calendari d'eliminació configurat és una instrucció documentada vigent i no s'allarga per la cancel·lació de la subscripció. El client pot suprimir les dades abans. Abans que s'acabi el tractament, el client pot recuperar els originals per als quals el propietari hagi activat la baixada o sol·licitar una exportació raonable feta pel servei de les Dades personals del client actives.
Quan s'acaba el tractament, el client ens pot donar instruccions perquè retornem i suprimim les Dades personals del client actives o perquè les suprimim sense retornar-les, tret que el dret de la Unió o dels estats membres n'exigeixi la conservació. Si el client no dona una instrucció diferent, els calendaris d'eliminació existents continuen aplicant-se. Les restes en còpies de seguretat xifrades de la base de dades caduquen en un termini màxim de 30 dies i continuen protegides fins que se suprimeixen.
Els registres mínims d'eliminació i d'auditoria sense contingut es poden conservar durant 12 mesos per motius de seguretat i de responsabilitat proactiva. Si ho sol·licites per escrit, confirmarem que s'ha completat el procés de supressió aplicable.
13. Responsabilitat
Les clàusules de responsabilitat de les Condicions s'apliquen a aquest DPA. No limiten els drets de les persones interessades, les potestats de les autoritats de control ni la responsabilitat que la Normativa de protecció de dades no permeti a les parts excloure o limitar.
14. Durada i prelació
Aquest DPA s'aplica mentre Sunset Docs tracti Dades personals del client. Preval sobre les Condicions en matèria de protecció de dades. Els canvis en el DPA segueixen el procediment de modificació de les Condicions, excepte que un canvi exigit per la llei pot tenir efecte abans, amb avís previ.
Annex 1: Detalls del tractament
Objecte: prestació i suport del servei de recepció de documents de Sunset Docs. Durada: la vigència del contracte més cada termini d'eliminació configurat, qualsevol període d'exportació acordat i el cicle de còpies de seguretat protegides.
Naturalesa i finalitats: rebre, validar, analitzar per detectar programari maliciós, xifrar, emmagatzemar, previsualitzar, mostrar, notificar, imprimir quan estigui activat, permetre baixades d'originals autoritzades pel propietari, auditar i eliminar documents temporals.
Persones interessades: remitents de documents, usuaris i personal del client, clients, contractistes, proveïdors i altres persones la informació de les quals aparegui als documents enviats. Les dades personals poden incloure noms, dades de contacte, dades d'identificació, informació empresarial, professional i financera, contingut dels documents, noms de fitxer, adreça electrònica del remitent, metadades, dades de seguretat derivades de l'adreça IP i activitat d'accés.
No es preveuen ni s'autoritzen categories especials de dades ni dades d'alt risc, tret que s'acordi per separat i per escrit. El client no pot enviar dades d'infants, dades relatives a condemnes penals, dades completes de targetes de pagament, credencials, secrets ni dades que no tingui dret legalment a tractar.
Annex 2: Mesures tècniques i organitzatives
Les mesures inclouen el xifratge dels objectes de documents amb AES-256-GCM en la capa d'aplicació; claus per document embolcallades per separat; TLS en trànsit; infraestructura privada; una rèplica privada i xifrada a R2; controls d'accés als espais de treball; verificació en dos passos TOTP opcional; resum criptogràfic de contrasenyes amb Argon2id; sessions segures i protecció CSRF; quarantena, validació del contingut i anàlisi de programari maliciós.
Les mesures també inclouen autoritzacions del visor de curta durada; controls de memòria cau restrictius; rutes d'objectes no públiques; registre de les accions rellevants sobre documents; conservació definida de les còpies de seguretat; eliminació programada i manual; accés restringit a l'entorn de producció; obligacions de confidencialitat; revisió de proveïdors i procediments de resposta a incidents.
Annex 3: Subencarregats del tractament
Els subencarregats actuals, les seves finalitats, les categories de dades, les regions de tractament i les garanties de transferència es publiquen a sunsetdocs.com/subprocessors. Només els proveïdors que hi figuren com a subencarregats formen part d'aquest annex pel que fa a les Dades personals del client.
15. Contacte
Pots enviar preguntes i oposicions i sol·licitar confirmacions de supressió i còpies signades a [email protected].