Este acuerdo de tratamiento de datos forma parte del contrato de Sapita entre Otuny OÜ, como encargado (nosotros), y la empresa que usa Sapita, como responsable (tú). Se aplica cuando tratamos datos personales por ti en los términos descritos a continuación, y está redactado para cumplir el artículo 28 del RGPD.
1. Funciones y alcance
Respecto de los datos personales que introduces en Sapita para llevar tus libros, tú eres el responsable y nosotros somos el encargado. Tratamos esos datos solo para prestarte Sapita.
El objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados se detallan en el Anexo A.
Cuando tratamos datos personales para nuestros propios fines, como los datos de cuenta, facturación y seguridad, actuamos como responsables según nuestro aviso de privacidad, y este acuerdo no se aplica a esos datos.
2. Instrucciones
Tratamos los datos personales solo siguiendo tus instrucciones documentadas. Tu uso de Sapita, incluidos sus ajustes y las acciones que realizas en ella, es una instrucción. Si consideramos que una instrucción infringe el RGPD u otra ley, te lo comunicamos y no tenemos que seguirla hasta que se aclare.
3. Confidencialidad
Todas las personas autorizadas a tratar los datos personales se han comprometido a la confidencialidad o están sujetas a un deber de confidencialidad adecuado. Su acceso se limita a lo que necesita el servicio.
4. Seguridad
Aplicamos medidas técnicas y organizativas adecuadas al riesgo, de conformidad con el artículo 32 del RGPD. En resumen, incluyen el cifrado de los datos en tránsito y en reposo, el control de acceso con inicio de sesión de dos factores en las cuentas y un acceso del personal limitado y registrado, la separación de los datos de cada empresa respecto de los de las demás, copias de seguridad cifradas con pruebas periódicas de restauración y la supervisión del servicio frente a usos indebidos.
Podemos actualizar estas medidas, siempre que el nivel de protección no disminuya.
5. Subencargados
Nos concedes una autorización general para recurrir a los subencargados que figuran en la lista de subencargados. Cada subencargado está obligado por un contrato escrito con obligaciones acordes con este acuerdo.
Te comunicaremos cualquier adición o sustitución prevista de un subencargado con al menos 30 días de antelación a su entrada en vigor, por correo electrónico y en la lista. Puedes oponerte por motivos razonables de protección de datos dentro de ese plazo. Si no podemos resolver la oposición, puedes poner fin a tu suscripción.
Seguimos siendo responsables ante ti del cumplimiento de nuestros subencargados.
6. Ayuda para cumplir tus obligaciones
Teniendo en cuenta la naturaleza del tratamiento, te ayudamos a responder a las solicitudes de las personas que ejercen sus derechos. Las herramientas de exportación y eliminación de Sapita y nuestro formulario de contacto lo facilitan. También te ayudamos a cumplir tus obligaciones en virtud de los artículos 32 a 36 del RGPD, incluidas la notificación de brechas y las evaluaciones de impacto, cuando disponemos de la información.
7. Brechas de datos personales
Si tenemos conocimiento de una brecha de datos personales que afecte a datos que tratamos por ti, te lo notificamos sin dilación indebida. La notificación describe la brecha en la medida en que la conocemos, sus consecuencias probables y las medidas que hemos adoptado o proponemos.
Te mantenemos informado a medida que sabemos más, y te ayudamos con tus propias notificaciones a la autoridad de control y a las personas afectadas.
8. Información y auditorías
Ponemos a disposición la información necesaria para demostrar que cumplimos nuestras obligaciones en virtud de este acuerdo, y respondemos a cuestionarios escritos razonables sobre nuestro tratamiento. Las pruebas se facilitan como documentos y resúmenes. Una auditoría presencial no forma parte de este acuerdo salvo que la aceptemos por escrito.
9. Devolución y eliminación
Puedes exportar todos tus datos en cualquier momento. Cuando el acuerdo termina, los datos siguen siendo de solo lectura y exportables durante el periodo de conservación legal. Después los eliminamos, salvo que la ley nos obligue a conservarlos. Los datos eliminados pueden seguir en las copias de seguridad hasta que caduquen. Confirmamos la eliminación cuando nos lo pides.
10. Transferencias internacionales
Los datos personales se tratan en la Unión Europea. Cuando un subencargado transfiere datos fuera del Espacio Económico Europeo, nos aseguramos de que se aplique una garantía adecuada en virtud del capítulo V del RGPD, como describen la lista de subencargados y el aviso de privacidad.
11. Responsabilidad, ley aplicable y prevalencia
La responsabilidad derivada de este acuerdo está sujeta a los límites de las condiciones de uso. Este acuerdo se rige por la ley estonia, y los tribunales citados en las condiciones tienen jurisdicción. Si este acuerdo entra en conflicto con las condiciones sobre el tratamiento de datos personales, prevalece este acuerdo.
Anexo A. Descripción del tratamiento
- Objeto y finalidad: prestar Sapita, un servicio de contabilidad, incluido el almacenamiento, registro, visualización, exportación y eliminación de tus libros y documentos.
- Duración: el plazo de tu suscripción y el periodo de conservación legal que sigue.
- Interesados: tu personal, administradores y titulares de cuentas, tus clientes y proveedores (incluidos los autónomos) y las personas que te envían facturas.
- Tipos de datos personales: nombres, datos de contacto, datos de la empresa y del registro, números de cuenta bancaria, datos de facturas y pagos, direcciones y el contenido de los documentos que subes.
Anexo B. Subencargados
Estos son los subencargados que tratan datos personales para Sapita y lo que hace cada uno. La lista de subencargados indica dónde se encuentran.
- UpCloud: alojamiento del clúster de Sapita y su almacenamiento en bloques.
- Cloudflare: seguridad de red y en el borde, control de acceso, comprobaciones de bots, enrutamiento del correo entrante de facturas y almacenamiento de documentos y copias de seguridad.
- Cloudflare Email Service: correo transaccional.
- Stripe: pagos, facturación de suscripciones y facturas de suscripciones.
- Google Firebase Cloud Messaging: notificaciones push para los usuarios de la aplicación móvil que las activan.