Acuerdo de encargo del tratamiento (DPA)

(Art. 28 RGPD)

4.1 Quién es quién

Cuando un estudio sube a Registro los datos de sus propios clientes — nombres, direcciones, teléfonos, fotografías de las cartas, correspondencia —, el responsable del tratamiento es el estudio. Nosotros tratamos esos datos solo por cuenta del estudio, como encargados.

Esto significa algo concreto: no decidimos nada sobre esos datos. No los usamos para fines propios, no los analizamos, no los usamos para entrenar sistemas automáticos y no los mostramos a otros estudios.

4.2 Qué tratamos, para quién y durante cuánto tiempo

• Objeto: prestación del servicio Registro.
• Duración: lo que dure el contrato, más los 30 días de recuperación.
• Naturaleza y finalidad: almacenamiento, organización, consulta, elaboración de documentos, envío de comunicaciones a los clientes del estudio por su cuenta.
• Tipos de datos: identificativos y de contacto, fotografías de objetos (las cartas), contenidos económicos (presupuestos, pagos), correspondencia.
• Interesados: los clientes del estudio y los colaboradores que el estudio añade.
• Categorías especiales: no previstas. El estudio se compromete a no subirlas.

4.3 Nuestras obligaciones

Tratamos los datos solo siguiendo instrucciones documentadas del estudio, que coinciden con el uso normal de las funciones del producto. Obligamos a la confidencialidad a quien tiene acceso. Aplicamos las medidas de seguridad descritas en el punto 2.6.

Asistencia al estudio. Si un cliente del estudio ejerce sus derechos, ponemos a disposición del estudio las herramientas para responder: exportación completa de un cliente concreto y supresión de sus datos, fotografías incluidas.

Violaciones. Si detectamos una violación, avisamos al estudio sin dilación indebida, con lo que sepamos, porque es el estudio quien debe notificarla a la autoridad de control. No la notificamos en su lugar.

4.4 Subencargados

El estudio autoriza el uso de los proveedores indicados en el punto 2.4, en las mismas condiciones de protección. Si cambiamos o añadimos un proveedor, lo comunicamos con al menos 30 días de preaviso, y el estudio puede oponerse; en caso de oposición puede resolver el contrato sin penalización, porque no podemos prestar el servicio sin infraestructura.

4.5 Al final de la relación

Al finalizar, y en todo caso dentro de los 30 días del punto 1.8, borramos todos los datos personales tratados por cuenta del estudio, salvo lo que la ley nos obligue a conservar. Antes del borrado, el estudio puede exportarlo todo.

4.6 Verificaciones

El estudio puede pedirnos la información necesaria para demostrar el cumplimiento del artículo 28 y acordar una verificación con un preaviso razonable, a su cargo y sin comprometer la confidencialidad de los demás estudios.