Legal
Acuerdo de tratamiento de datos
Las condiciones con las que tratamos, por cuenta de tu empresa, los datos personales que introduces en Elephant Source.
1. Partes y objeto
- Responsable del tratamiento: el cliente que contrata Elephant Source («el Responsable»).
- Encargado del tratamiento: IRON ELEPHANT CONSULTING, S.L., NIF B26987875, Calle Corazón de María, 57, 1.º D, 28002 Madrid (España) («el Encargado»).
Este acuerdo forma parte de los términos y condiciones y se acepta con ellos. Regula el tratamiento de los datos personales que el Responsable introduce o genera en Elephant Source, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).
2. Descripción del tratamiento
| Finalidad | Prestar el servicio Elephant Source contratado: alojamiento, operación, copias de seguridad, soporte y envío de las comunicaciones que el Responsable dispare desde la aplicación |
|---|---|
| Operaciones | Recogida, registro, conservación, consulta, modificación, exportación, comunicación por orden del Responsable, copia de seguridad y supresión |
| Interesados | Los clientes, contactos, empleados, proveedores y usuarios del Responsable que este registre en el servicio |
| Categorías de datos | Identificativos y de contacto, comerciales, económicos y de facturación, de reservas y pedidos, y los demás que el Responsable decida introducir. El servicio no está diseñado para categorías especiales de datos: el Responsable no debe introducirlas sin acordarlo antes por escrito |
| Duración | La del contrato, más el plazo de exportación y supresión del apartado 10 |
3. Instrucciones documentadas
El Encargado trata los datos solo siguiendo instrucciones documentadas del Responsable: este acuerdo, los términos y condiciones, la configuración del servicio y el uso que el Responsable haga de la aplicación. Si el Derecho de la Unión o de un Estado miembro le obliga a otro tratamiento, informará antes al Responsable, salvo que la ley lo prohíba. Si considera que una instrucción infringe la normativa de protección de datos, lo comunicará de inmediato.
4. Confidencialidad
Las personas autorizadas por el Encargado para tratar los datos se comprometen a mantener su confidencialidad, también después de terminar su relación. El acceso del personal de soporte al entorno del Responsable es delegado, temporal y queda registrado.
5. Medidas de seguridad (art. 32 RGPD)
- Aislamiento: cada cliente dispone de su propia base de datos, separada de la de los demás.
- Cifrado: todas las comunicaciones con TLS, y copias de seguridad cifradas con AES-256-GCM.
- Continuidad: copias cada 15 minutos, con rotación de hasta 12 meses y restauración comprobada periódicamente en bases desechables.
- Control de acceso: roles y verificación en dos pasos para el personal del Encargado; contraseñas guardadas con algoritmos de resumen robustos; límites de intentos de acceso.
- Trazabilidad: registro de auditoría de los accesos de soporte y de las acciones de administración.
- Sesiones: cookies de sesión seguras y ligadas al dominio de cada cliente.
- Revisión: el Encargado revisa y actualiza estas medidas según la evolución del riesgo y de la técnica.
6. Subencargados
El Responsable autoriza de forma general al Encargado a recurrir a los subencargados siguientes, con los que el Encargado tiene contratos que les imponen obligaciones equivalentes a las de este acuerdo:
| Subencargado | Servicio | Datos | Ubicación | Garantía |
|---|---|---|---|---|
| Railway Corporation | Alojamiento de la web, de la plataforma y de sus bases de datos, y registros técnicos del servicio | Todos los datos de la cuenta y los que el cliente introduce en la plataforma | Estados Unidos (región us-west2) | Cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), incorporadas al contrato de tratamiento de datos de Railway |
| Railway Corporation (Railway Buckets, sobre infraestructura de Tigris Data, Inc.) | Almacenamiento de las copias de seguridad cifradas (AES-256-GCM) | Copias cifradas de las bases de datos | La que Railway asigna al almacén; se trata como transferencia a Estados Unidos | Cláusulas contractuales tipo de la Comisión Europea (Decisión 2021/914), incorporadas al contrato de tratamiento de datos de Railway |
| Stripe Payments Europe, Ltd. | Pasarela de pago, suscripciones y facturas | Datos de facturación y de pago del cliente (Big Elephant no recibe los datos de la tarjeta) | Irlanda (UE) | Dentro del Espacio Económico Europeo |
El Encargado informará al Responsable de cualquier incorporación o sustitución de subencargados con al menos 15 días de antelación, publicando la lista actualizada en esta página y avisando por correo al administrador de la cuenta. El Responsable puede oponerse por motivos justificados de protección de datos. Si no se llega a una solución, puede resolver el contrato sin penalización. El Encargado responde ante el Responsable del cumplimiento de sus subencargados.
7. Transferencias internacionales
Cuando un subencargado trate los datos fuera del Espacio Económico Europeo, la transferencia se hará solo con una de las garantías del capítulo V del RGPD, que se indican en la tabla anterior.
8. Asistencia al responsable
- Derechos de los interesados: el servicio permite consultar, rectificar, exportar y suprimir los datos. Si un interesado se dirige al Encargado, este trasladará la solicitud al Responsable sin dilación y no la contestará por su cuenta.
- El Encargado ayuda al Responsable, en lo que razonablemente le corresponda, con las evaluaciones de impacto y las consultas previas a la autoridad de control.
9. Violaciones de seguridad
El Encargado notificará al Responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga constancia de ella. Lo hará al correo del administrador de la cuenta, con la información disponible:
- la naturaleza de la violación;
- las categorías y el número aproximado de interesados y registros afectados;
- sus consecuencias probables;
- las medidas adoptadas o propuestas.
Lo que no se conozca en ese momento se facilitará en cuanto se sepa.
10. Devolución y supresión al terminar
- Al terminar el contrato, el entorno del Responsable queda en solo lectura durante 30 días para que exporte sus datos en formatos abiertos (CSV y JSON).
- Pasado ese plazo, el Encargado suprime los datos, salvo que una ley le obligue a conservarlos.
- Las copias de seguridad que aún los contengan se eliminan con su rotación ordinaria, de hasta 12 meses, y mientras tanto no se usan para ningún otro fin.
- A petición del Responsable, el Encargado certificará la supresión.
11. Información y auditoría
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este acuerdo. También permitirá y facilitará auditorías, incluidas inspecciones, del Responsable o de un auditor autorizado por él. Deberán avisarse con al menos 30 días de antelación, hacerse en horario laborable, sin afectar a la seguridad ni a los datos de otros clientes, y a cargo del Responsable, salvo que revelen un incumplimiento del Encargado.
12. Obligaciones del responsable
- Tener una base jurídica válida para tratar e introducir los datos en el servicio.
- Informar a los interesados.
- Configurar los usuarios y permisos de su cuenta.
- No introducir datos que no necesite.
13. Duración y prevalencia
Este acuerdo dura lo mismo que el contrato y, después, lo necesario para completar la devolución y la supresión. En materia de protección de datos, prevalece sobre cualquier otra condición. Consultas: privacidad@bigelephant.es.