Acuerdo de tratamiento de datos

Partes y ámbito

Este acuerdo se celebra entre la organización cliente (responsable del tratamiento) y ExpertFusion Software and Marketplace L.L.C-FZ, entidad que explota PestLove (encargado del tratamiento). Forma parte de los términos del servicio y se aplica automáticamente a todas las suscripciones, sin necesidad de firma. Si entra en conflicto con los términos en lo relativo al tratamiento de datos personales, prevalece este acuerdo.

Abarca los datos personales que la organización y sus usuarios introducen o generan en PestLove. El tratamiento propio de la entidad explotadora para cuentas, facturación, seguridad y el sitio web se describe en la política de privacidad.

Instrucciones y confidencialidad

Tratamos los datos personales del cliente únicamente siguiendo las instrucciones documentadas de la organización — los términos, este acuerdo y la configuración y uso del servicio por parte de la organización —, salvo que la ley exija otra cosa, en cuyo caso informaremos antes a la organización cuando esté permitido. Avisamos a la organización si consideramos que una instrucción infringe la normativa de protección de datos.

Todas las personas autorizadas a tratar datos personales del cliente están sujetas a confidencialidad, y el acceso se limita a lo necesario para prestar, dar soporte y proteger el servicio.

Medidas de seguridad

Mantenemos medidas técnicas y organizativas apropiadas, entre ellas: aislamiento entre organizaciones aplicado en cada solicitud y llamada a la API; permisos basados en roles y uso compartido explícito entre organizaciones; conexiones cifradas (TLS); contraseñas con hash e intentos de inicio de sesión limitados; tokens de API con alcance definido; registros de auditoría operativa; acceso mínimo necesario a los sistemas de producción; versiones controladas y probadas; y copias de seguridad de las bases de datos.

Podemos actualizar estas medidas siempre que no se reduzca el nivel general de protección.

Subencargados

La organización autoriza a los siguientes subencargados: Vultr (alojamiento, bases de datos y almacenamiento de archivos, Ámsterdam, Países Bajos; y nuestro servidor de envío de correo, Madrid, España) y Expo / 650 Industries, Inc. (notificaciones push móviles, Estados Unidos). Stripe trata los datos de pago como responsable independiente.

Avisamos por correo con al menos 30 días de antelación antes de añadir o sustituir un subencargado. La organización puede oponerse por motivos razonables de protección de datos; si no podemos resolver la objeción, puede resolver el servicio afectado y recibir el reembolso proporcional de lo pagado por adelantado. Imponemos a cada subencargado obligaciones de protección de datos equivalentes y seguimos siendo responsables de ellos.

Transferencias internacionales

Los datos personales del cliente se alojan en los Países Bajos. Cuando se transfieren fuera del EEE, el Reino Unido o Suiza — incluido a la entidad explotadora en los Emiratos Árabes Unidos y a subencargados en Estados Unidos —, las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914, Módulo 2: de responsable a encargado, regidas por el Derecho irlandés) quedan incorporadas a este acuerdo, junto con el Anexo de Transferencia Internacional de Datos del Reino Unido y las adaptaciones suizas cuando proceda.

Asistencia, violaciones de seguridad y auditorías

El servicio permite a la organización acceder, rectificar, exportar y suprimir sus datos. Remitimos a la organización cualquier solicitud de un interesado y le ayudamos a responder, y facilitamos información razonable para las evaluaciones de impacto relativas a la protección de datos.

Notificamos a la organización sin dilación indebida, y en todo caso en un plazo de 48 horas desde que tengamos conocimiento, cualquier violación de la seguridad de los datos personales que afecte a sus datos, con la información disponible en ese momento, y la mantenemos informada a medida que sepamos más.

Ponemos a disposición la información necesaria para demostrar el cumplimiento de este acuerdo. La organización puede auditar nuestro cumplimiento una vez al año, con un preaviso escrito de 30 días, o tras una violación de seguridad, con confidencialidad y a su cargo.

Devolución y supresión

Durante la suscripción y en los 30 días posteriores a su finalización, la organización puede exportar sus datos. Después suprimimos los datos personales del cliente de los sistemas activos, y las copias de seguridad se eliminan cuando caducan en la rotación de copias, salvo que la ley exija conservarlos. Confirmamos la supresión por escrito si se nos solicita.

Descripción del tratamiento

Objeto y finalidad: prestación del software PestLove para control de plagas, seguridad alimentaria (APPCC), auditorías, formación y flujos de laboratorio. Duración: la vigencia de la suscripción más el periodo de exportación. Naturaleza: alojamiento, almacenamiento, organización, visualización, transmisión por correo y notificación push, informes, exportación, copias de seguridad y supresión.

Interesados: usuarios de la organización, sus clientes y los contactos de estos, personal de las instalaciones mencionado en los registros, alumnos de formación y firmantes. Categorías de datos: nombres, cargos, datos de contacto profesionales, identificadores de cuenta, direcciones de las instalaciones, registros de servicio, inspección y auditoría, lecturas, fotografías, firmas y registros de formación. No está previsto tratar categorías especiales de datos.

La responsabilidad derivada de este acuerdo está sujeta a los límites de los términos del servicio, salvo cuando la normativa de protección de datos no los permita.