Traducción meramente informativa. En caso de discrepancia, prevalecerá la versión original en inglés, sujeta a la jurisdicción de Irlanda (Cuandeoro Limited, CRO 813028).
Contrato de Encargado del Tratamiento de Veripass
Forma parte de las Condiciones del Servicio.
1. Partes y funciones. El Cliente es el responsable del tratamiento. Cuandeoro Limited t/a Veripass es el encargado del tratamiento de los datos personales contenidos en los documentos del Cliente y en el contenido de la cuenta (los “Datos Personales del Cliente”).
2. Objeto, naturaleza y finalidad. Almacenamiento, extracción, análisis y publicación de datos de pasaportes de producto y de batería, únicamente para prestar el Servicio.
3. Duración. La duración de la suscripción más el plazo de supresión previsto en la cláusula 11.
4. Categorías de interesados. Personal y usuarios del Cliente; personas de contacto de los proveedores, clientes y laboratorios del Cliente mencionados en los documentos subidos.
5. Categorías de datos. Nombres, datos de contacto profesional, cargos, firmas e identificadores que aparecen en los documentos; datos de cuentas de usuario. No se esperan categorías especiales de datos. El Cliente no las subirá.
5A. Obligaciones del Cliente. El Cliente garantiza que dispone de una base jurídica para el tratamiento y da instrucciones lícitas, informa a los interesados cuando proceda y no sube categorías especiales de datos.
6. Obligaciones del encargado del tratamiento. Veripass:
- (a) tratará los datos únicamente siguiendo instrucciones documentadas del Cliente, inclusive con respecto a las transferencias a un tercer país, salvo que esté obligado a ello por el Derecho de la Unión o de un Estado miembro, en cuyo caso Veripass informará al Cliente de esa exigencia legal antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público;
- (b) garantizará que las personas autorizadas para tratar los datos estén sujetas a un deber de confidencialidad;
- (c) aplicará las medidas técnicas y organizativas del Anexo 2;
- (d) asistirá al Cliente en las solicitudes de los interesados y en lo relativo a los arts. 32-36 del RGPD, teniendo en cuenta la naturaleza del tratamiento;
- (e) pondrá a disposición la información necesaria para demostrar el cumplimiento;
- (f) informará inmediatamente al Cliente si una instrucción infringe la normativa de protección de datos.
7. Subencargados del tratamiento.
- El Cliente otorga una autorización general para los subencargados del Anexo 3.
- Veripass notifica por correo electrónico los nuevos subencargados con 30 días de antelación. El Cliente podrá oponerse por motivos razonables y, si no se acuerda una solución, resolver el contrato sin penalización.
- Veripass impone a cada subencargado obligaciones de protección de datos equivalentes y sigue siendo responsable de ellos.
8. Transferencias internacionales. Los Datos Personales del Cliente podrán ser tratados en Estados Unidos por el proveedor de alojamiento de Veripass (Cloud Clusters, Inc.) y por Google (Gemini API, nivel de pago), al amparo de las Cláusulas Contractuales Tipo (Decisión de Ejecución (UE) 2021/914 de la Comisión) y, cuando proceda, del Marco de Privacidad de Datos UE-EE. UU., con medidas complementarias (cifrado en tránsito y en reposo). Los archivos de demostración se eliminan transcurridas 24 horas.
9. Tratamiento mediante IA. Los documentos son tratados por los proveedores de IA del Anexo 3 en condiciones que no les permiten utilizar los datos del Cliente para entrenar sus modelos. No utilizamos sus documentos ni datos para entrenar ningún modelo de IA.
10. Violaciones de la seguridad de los datos personales. Veripass notifica al Cliente sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tenga conocimiento de una violación que afecte a los Datos Personales del Cliente, con la información exigida por el art. 33(3) del RGPD a medida que esté disponible.
11. Devolución y supresión. A elección del Cliente, Veripass devuelve o suprime los Datos Personales del Cliente. En los 60 días siguientes a la resolución, el Cliente podrá exportar sus datos. Después, Veripass suprime los Datos Personales del Cliente en un plazo de 30 días, incluidas las copias de seguridad dentro de su ciclo de rotación (máximo 35 días), salvo que el Derecho de la Unión o de un Estado miembro exija su conservación.
12. Auditorías. Veripass permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de un auditor independiente autorizado por este y sujeto a confidencialidad. Las auditorías se realizan una vez cada 12 meses con un preaviso de 30 días (con mayor frecuencia tras una violación o cuando lo exija una autoridad de control), en horario laboral y a cargo del Cliente. Primero se recurrirá a un cuestionario escrito cuando sea suficiente.
13. Responsabilidad. Sujeta a las limitaciones de las Condiciones del Servicio, salvo cuando el RGPD no permita limitación.
14. Prelación. En caso de conflicto, este DPA prevalece sobre las Condiciones en materia de protección de datos.
Anexo 1 · Detalles del tratamiento
Como en las cláusulas 2 a 5.
Anexo 2 · Medidas técnicas y organizativas
- TLS 1.2 o superior en tránsito; cifrado AES-256 en reposo.
- Acceso basado en funciones, MFA para el personal, mínimo privilegio.
- Datos del Cliente separados lógicamente por cuenta.
- Registro de auditoría de validaciones y publicaciones.
- Copias de seguridad cifradas diarias, rotación de 35 días.
- Archivos de demostración eliminados tras 24 h.
- Aplicación de parches a vulnerabilidades críticas en un plazo de 7 días.
- Revisión anual de estas medidas.
Anexo 3 · Subencargados del tratamiento
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Cloud Clusters, Inc. | Alojamiento de la aplicación y de las páginas de pasaporte | Estados Unidos |
| Google (Gemini API, nivel de pago) | Extracción de documentos | Estados Unidos |
| Cloud Clusters, Inc. (servidor de correo propio, mailcow) | Correo electrónico | Estados Unidos |
Stripe trata los datos de facturación propios de Veripass; no trata Datos Personales del Cliente procedentes de documentos.