Acuerdo de tratamiento de datos

1. Ámbito y partes

Este Acuerdo de tratamiento de datos («Acuerdo») forma parte de los Términos y condiciones entre ABIT Technology, Adrian Shajkofci (CHE-233.067.408), Rue des Champs du Bourg 28, 1920 Martigny, Suiza («Encargado») y la organización que usa Demo-Creator («Cliente»). Se aplica cuando el Encargado trata datos personales por cuenta del Cliente al prestar Demo-Creator, y aplica el artículo 28 del RGPD y el artículo 9 de la Ley Federal suiza de Protección de Datos (LPD).

El Acuerdo entra en vigor cuando el Cliente acepta los Términos y no requiere firma. Hay una copia firmada disponible bajo petición.

2. Objeto, duración y finalidad

El Encargado trata datos personales para alojar, operar, proteger y dar soporte a Demo-Creator según los Términos y el manual de usuario, mientras el Cliente use el servicio y hasta la supresión prevista en la sección 11. El tratamiento incluye almacenamiento, visualización, publicación por instrucción del Cliente, traducción y narración bajo petición, estadísticas, notificaciones y copias de seguridad.

3. Interesados y categorías de datos

Los interesados son los miembros del espacio de trabajo del Cliente, las personas que ven sus demos, los alumnos de sus formaciones y quienes envían sus formularios de contacto o figuran en sus enlaces personales.

Los datos incluyen nombres, direcciones de correo, datos de cuenta y de rol; el contenido que el Cliente sube o graba, incluidas capturas que pueden mostrar datos personales; la actividad de visualización, como identificadores de sesión, pasos vistos, tiempos, tipo de dispositivo y país aproximado; el progreso, las respuestas, las puntuaciones y los certificados de formación; y los datos de los formularios de contacto. El Cliente no incluye categorías especiales de datos personales salvo que sea necesario y lícito.

4. Instrucciones del Cliente

El Encargado solo trata datos personales siguiendo instrucciones documentadas del Cliente, que resultan de los Términos, de este Acuerdo y del uso y la configuración de Demo-Creator por el Cliente. Si la ley exige otro tratamiento, el Encargado informa antes al Cliente, salvo que la ley lo prohíba. El Encargado avisa al Cliente si considera que una instrucción infringe la normativa de protección de datos.

5. Confidencialidad

Las personas autorizadas a tratar los datos personales están obligadas a la confidencialidad y solo acceden a ellos en la medida necesaria para prestar, proteger o dar soporte al servicio.

6. Seguridad

El Encargado aplica las medidas técnicas y organizativas descritas en el anexo y en la página de Seguridad, y las mantiene adecuadas al riesgo. Puede actualizarlas siempre que no se reduzca el nivel general de protección.

7. Subencargados

El Cliente autoriza los subencargados indicados en la página de Seguridad. El Encargado impone a cada uno obligaciones de protección de datos equivalentes a este Acuerdo y sigue siendo responsable de su cumplimiento.

El Encargado anuncia cada nuevo subencargado en esa página al menos 30 días antes de que empiece a tratar datos personales. El Cliente puede oponerse por motivos razonables de protección de datos; si no se encuentra solución, puede rescindir el servicio afectado y recibir el reembolso proporcional de lo pagado por adelantado.

8. Transferencias internacionales

Los datos personales se alojan en la UE. Si un subencargado los trata en un país sin decisión de adecuación reconocida por Suiza o la UE, la transferencia se basa en las cláusulas contractuales tipo de la Comisión Europea, con las adaptaciones necesarias para Suiza, o en otro mecanismo de transferencia válido.

9. Asistencia

Teniendo en cuenta la naturaleza del tratamiento, el Encargado ayuda al Cliente a responder a las solicitudes de los interesados, sobre todo mediante las funciones de exportación, edición y supresión de Demo-Creator, y facilita información razonable para evaluaciones de impacto y consultas a las autoridades de control.

10. Brechas de datos personales

El Encargado notifica al Cliente sin demora indebida y, como máximo, en las 72 horas siguientes a tener conocimiento de una brecha que afecte a los datos personales del Cliente. La notificación describe la naturaleza de la brecha, las categorías y el número aproximado de interesados y registros afectados si se conocen, las consecuencias probables y las medidas adoptadas o propuestas, y se completa a medida que se disponga de información.

11. Supresión y devolución

Durante la vigencia, el Cliente puede exportar y eliminar su contenido en cualquier momento. Tras eliminarse la organización del Cliente o finalizar el acuerdo, el Encargado suprime los datos personales del Cliente de los sistemas activos en un plazo de 30 días; las copias de seguridad caducan con la rotación de 30 días. Esto no se aplica a los datos que el Encargado deba conservar por ley, como los registros de facturación.

12. Información y auditorías

El Encargado pone a disposición la información necesaria para demostrar el cumplimiento de este Acuerdo, incluida la página de Seguridad y las respuestas a cuestionarios de seguridad razonables. Si no basta, el Cliente puede realizar una auditoría a su costa, con 30 días de preaviso, en horario laboral y como máximo una vez al año, salvo que una autoridad de control exija otra cosa o se haya producido una brecha de datos.

13. Responsabilidad y prelación

La responsabilidad derivada de este Acuerdo se rige por los Términos. Si este Acuerdo contradice los Términos en materia de protección de datos personales, prevalece este Acuerdo. Al igual que los Términos, se rige por el derecho suizo, sin perjuicio de la normativa imperativa de protección de datos.

Anexo: medidas técnicas y organizativas

• Alojamiento en un centro de datos de OVHcloud en Alemania (UE), con copias de seguridad diarias conservadas 30 días.
• Cifrado en tránsito con HTTPS (TLS 1.2 o posterior); secretos cifrados en reposo con AES-256-GCM; contraseñas guardadas como hashes scrypt con sal.
• Acceso por roles dentro de cada organización, inicio de sesión único opcional, sesiones revocables y correo verificado para acciones sensibles.
• Cada consulta se limita a la organización seleccionada; los borradores son privados hasta su publicación.
• Cortafuegos de aplicaciones web basado en el OWASP Core Rule Set, limitación de frecuencia y política de seguridad de contenido estricta.
• Registro de auditoría de las acciones de administración de la plataforma; acceso del personal solo cuando es necesario para la operación, la seguridad o el soporte.
• Respuesta a incidentes con notificación de brechas de datos personales en un máximo de 72 horas.