Acuerdo de tratamiento de datos (DPA)

Preámbulo

Este Acuerdo de Encargo de Tratamiento (el “DPA”) especifica las obligaciones de protección de datos de las partes derivadas del acuerdo principal entre ellas para el uso de la plataforma de software como servicio (el “Acuerdo Principal”).

Este DPA se aplica a todas las actividades relacionadas con el Acuerdo Principal en las que el personal del encargado o terceros contratados por él traten datos personales del responsable.

Sección 1. Partes

Responsable (cliente): El usuario de la plataforma, es decir, la persona autónoma o empresa que usa la plataforma en virtud del contrato. Los datos de la cuenta del usuario identifican al responsable.

Encargado (proveedor del servicio):

Octon Holding GmbH
representado por: Mio McQueen (Director General)
Paul-Ehrlich-Straße 7
79106 Freiburg im Breisgau
Juzgado de Primera Instancia de Friburgo de Brisgovia, HRB 736329
Correo electrónico: team@octonholding.de
(el “encargado”)

Sección 2. Objeto y duración del tratamiento

(1) El tratamiento se refiere a la prestación de la plataforma en virtud del Acuerdo Principal. El encargado trata datos personales exclusivamente con esta finalidad y solo por cuenta y siguiendo las instrucciones del responsable.

(2) El tratamiento continúa durante la vigencia del Acuerdo Principal y finaliza cuando ese acuerdo termine, sin perjuicio de las obligaciones de supresión y devolución establecidas en la sección 11.

Sección 3. Naturaleza y finalidad del tratamiento

(1) El encargado presta al responsable los siguientes servicios de tratamiento:

• Poner a disposición la plataforma (SaaS) para apoyar la creación y la gestión de una empresa
• Almacenar, estructurar y analizar los datos empresariales del responsable (contactos, ofertas, facturas, pagos y documentos)
• Proporcionar funciones de IA para apoyar las actividades empresariales
• Conectar con sistemas de terceros (contabilidad y procesamiento de pagos) a petición del responsable
• Crear y enviar notificaciones e informes

(2) El tratamiento sirve para la ejecución del Acuerdo Principal. El encargado no trata los datos para fines propios; en particular, los datos no se usan para entrenar sus propios modelos de IA ni los de terceros.

Sección 4. Tipos de datos personales

(1) Se tratan por cuenta del responsable las siguientes categorías de datos:

• Datos básicos (nombres, direcciones y datos de contacto de los clientes, contactos potenciales y personas de contacto del responsable)
• Datos de comunicación (direcciones de correo electrónico, números de teléfono y contenido de mensajes introducidos en la plataforma)
• Datos contractuales (información de ofertas, facturas y pagos)
• Datos financieros (gastos, recibos e información contable)
• Datos de uso (horas de inicio de sesión, direcciones IP e información del navegador con fines de seguridad)
• Contenido almacenado voluntariamente en la plataforma por el responsable
• Archivos de imagen, descripciones de imagen e instrucciones relacionadas cuando el responsable utiliza funciones de imagen

(2) El tratamiento de categorías especiales de datos personales (artículo 9 del RGPD) queda fuera del ámbito de este acuerdo. Si el responsable introduce esos datos en la plataforma, lo hace bajo su propia responsabilidad.

Sección 5. Categorías de interesados

El tratamiento afecta a las siguientes categorías de interesados:

• Los clientes y potenciales clientes del responsable
• Los proveedores y prestadores de servicios del responsable
• Los clientes de páginas de venta o aplicaciones web gestionadas por el responsable
• Las personas de contacto y socios comerciales del responsable
• Otras personas cuyos datos trate el responsable en la plataforma

Sección 6. Obligaciones del encargado

(1) El encargado se compromete a tratar los datos personales:

• solo dentro del ámbito acordado y de conformidad con las instrucciones documentadas del responsable
• sin usarlos para fines propios, en particular sin usarlos para entrenar sus propios modelos de IA ni los de terceros
• sin revelarlos a terceros no autorizados

(2) El encargado informará al responsable sin dilación indebida si considera que una instrucción infringe la normativa de protección de datos.

(3) El encargado garantiza que todas las personas encargadas del tratamiento estén sujetas a obligaciones de confidencialidad e informadas sobre los requisitos pertinentes de protección de datos.

(4) Las consultas sobre protección de datos deben enviarse a team@octonholding.de.

(5) El encargado asistirá al responsable en el cumplimiento de sus obligaciones con arreglo a los artículos 32 a 36 del RGPD (seguridad del tratamiento, notificación de violaciones de datos y evaluaciones de impacto relativas a la protección de datos).

Sección 7. Medidas técnicas y organizativas

El encargado aplica las medidas técnicas y organizativas exigidas por el artículo 32 del RGPD. Entre ellas se incluyen:

Confidencialidad

• Controles de acceso físico y a sistemas: alojamiento en la nube en centros de datos de la UE con controles de acceso; autenticación multifactor para administradores
• Controles de acceso a los datos: estricta separación de inquilinos en el acceso a la base de datos (aislamiento a nivel de fila, cada consulta vinculada a un userId/businessId); acceso restringido a administradores designados
• Autenticación sin contraseña: enlaces mágicos de un solo uso (tokens con hash, válidos durante 15 minutos); sin almacenamiento de contraseñas
• Almacenamiento cifrado de credenciales y tokens sensibles (AES-256-GCM, clave derivada del secreto del servidor mediante HKDF)
• Controles de separación: separación lógica de los datos de distintos responsables mediante identificadores de inquilino en el acceso a la base de datos

Integridad

• Controles de introducción: registro de operaciones sensibles (aceptación de contratos y acciones que afecten a terceros)
• Controles de transmisión: cifrado TLS 1.2 o posterior para las transferencias de datos

Disponibilidad y resiliencia

• Copias de seguridad cifradas diarias en S3, retención de 30 días y rotación automática
• Supervisión de servicios críticos
• Protección a nivel de infraestructura frente a DoS/DDoS

Revisión periódica

• Políticas de protección de datos documentadas
• Proceso de respuesta a incidentes para violaciones de datos personales
• Actualizaciones periódicas de seguridad para componentes de software

Se proporcionará una descripción detallada y actualizada de las medidas técnicas y organizativas en un anexo separado si se solicita.

Sección 8. Subencargados

(1) El responsable concede autorización general para contratar a los siguientes subencargados para prestar la plataforma:

• Amazon Web Services EMEA SARL (alojamiento, almacenamiento de datos y entrega de correos electrónicos a través de SES) — con sede en Luxemburgo; ubicación del servidor: Frankfurt am Main, Alemania
• Stripe Payments Europe Ltd. (procesamiento de pagos y Stripe Connect) — con sede en Irlanda
• Anthropic PBC (procesamiento de IA) — con sede en EE. UU.; se aplica un Anexo sobre Tratamiento de Datos (DPA) y las SCC; sin uso para entrenamiento
• OpenAI (generación de imágenes mediante API; descripciones de imagen y parámetros de salida). Puede producirse tratamiento fuera de la UE. A este servicio también se le aplican el artículo 28 y el capítulo V del RGPD.
• Lexware GmbH (lexoffice) (integración contable, solo cuando esté habilitada) — con sede en Alemania
• PostHog EU B.V./Ltd. (análisis de producto, solo con consentimiento a través del banner de cookies) — alojamiento en la UE (eu.posthog.com)

(2) Las transferencias a terceros países (EE. UU.: Anthropic) están protegidas mediante las cláusulas contractuales tipo de la UE (SCCs).

(3) El encargado informará al responsable de cualquier incorporación o sustitución prevista de subencargados. El responsable tiene un derecho a oponerse en un plazo de 30 días. Cuando una objeción esté justificada, el responsable podrá rescindir el contrato por causa justificada.

(4) El encargado garantiza que cada subencargado está sujeto a obligaciones equivalentes en materia de protección de datos (artículo 28(4) RGPD).

Sección 9. Derechos de los interesados y asistencia al responsable

(1) El encargado asiste al responsable en la respuesta a las solicitudes de los interesados (artículos 12 a 23 RGPD).

(2) La plataforma ofrece las siguientes funciones:

• Exportación de los datos almacenados (artículo 20 RGPD)
• Eliminación de registros individuales y de toda la cuenta (artículo 17 RGPD)
• Corrección de datos inexactos (artículo 16 RGPD)

Sección 10. Notificación de violaciones de seguridad de los datos personales

(1) El encargado notificará al responsable cualquier violación de seguridad de los datos personales de su ámbito de responsabilidad sin dilación indebida y, como máximo, en un plazo de 48 horas desde que tenga conocimiento de ella.

(2) La notificación incluirá, como mínimo:

• Una descripción de la naturaleza de la violación
• Categorías y número de interesados y de registros afectados, cuando sea posible
• El nombre y los datos de contacto de una persona de contacto
• Una descripción de las consecuencias probables
• Las medidas adoptadas o propuestas

Sección 11. Eliminación y devolución tras la finalización

(1) Una vez finalizado el Acuerdo Principal, el responsable podrá descargar sus datos mediante la función de exportación de la plataforma durante un periodo de gracia de 30 días.

(2) Tras el periodo de gracia, el encargado eliminará los datos personales del responsable salvo que las obligaciones legales de conservación impidan su eliminación.

(3) Los datos de los sistemas de copia de seguridad se eliminan mediante los ciclos habituales de copia de seguridad, en un plazo máximo de 90 días.

(4) La confirmación de la eliminación se facilitará previa solicitud por escrito.

Sección 12. Derechos de auditoría del responsable

(1) El responsable podrá verificar el cumplimiento de este acuerdo. El encargado lo permite mediante:

• Información por escrito previa solicitud
• Documentación actualizada de las medidas técnicas y organizativas y de los subencargados
• Inspecciones con previo aviso cuando existan motivos razonables, a cargo del responsable

(2) Cuando estén disponibles, se facilitarán los informes de auditoría y certificaciones emitidos por auditores reconocidos para los proveedores de alojamiento utilizados.

Sección 13. Responsabilidad

La responsabilidad de las partes por los daños derivados de una infracción de la normativa de protección de datos se rige por el artículo 82 RGPD y por el Acuerdo Principal (Términos, sección 10).

Sección 14. Disposiciones finales

(1) Si una disposición de este acuerdo fuera inválida, el resto de disposiciones seguirá siendo válido.

(2) Si este DPA entra en conflicto con el Acuerdo Principal, este DPA prevalecerá en materia de protección de datos.

(3) Las modificaciones y adiciones deben realizarse por escrito; el correo electrónico es suficiente. Se informará al responsable de los cambios materiales con la debida antelación.

(4) Se aplica la legislación alemana. Los tribunales de Freiburg im Breisgau tendrán jurisdicción si el responsable es un comerciante o una persona jurídica de derecho público.

Celebración del acuerdo

Este DPA se celebra cuando el responsable acepta los Términos del encargado durante el registro. El encargado registra la hora y la versión de la aceptación.