Acuerdo de Tratamiento de Datos de Itcons

1. Objeto y ámbito de aplicación

El presente Acuerdo de Tratamiento de Datos (en adelante, el “Acuerdo”) regula las condiciones en las que INNOVACIÓN TECNOLOGÍA Y CONSULTORÍA, S.L., con CIF B75160283 y domicilio social en Calle Portuetxe 45B, 2.º, Oficina 9, 20017 Donostia-San Sebastián, Gipuzkoa (en adelante, “Itcons”), tratará datos personales por cuenta de los clientes que utilicen la plataforma Itcons (en adelante, el “Cliente”).

Este Acuerdo forma parte integrante de las Condiciones Generales del Servicio y resultará aplicable siempre que, como consecuencia del uso de la Plataforma, Itcons trate Datos Personales por cuenta del Cliente en los términos previstos en el artículo 28 del Reglamento (UE) 2016/679, General de Protección de Datos (RGPD).

Cuando el Cliente determine los fines y medios del tratamiento de los Datos Personales incorporados a la Plataforma, actuará como Responsable del Tratamiento, correspondiendo a Itcons la condición de Encargado del Tratamiento.

En aquellos supuestos en los que el Cliente utilice la Plataforma para prestar servicios a terceros y actúe, a su vez, como Encargado del Tratamiento respecto de dichos terceros, Itcons actuará como Subencargado del Tratamiento, resultando igualmente aplicable el presente Acuerdo en todo aquello que corresponda.

El presente Acuerdo será aplicable a todos los Servicios prestados por Itcons que impliquen el tratamiento de Datos Personales por cuenta del Cliente, incluidos los servicios principales de la Plataforma, las funcionalidades opcionales, las integraciones y los servicios de soporte técnico que requieran acceso a dichos datos.

2. Definiciones

Acuerdo: el presente Acuerdo de Tratamiento de Datos, incluidos sus anexos y sus modificaciones posteriores.

Cliente: la persona física o jurídica que contrata los Servicios de Itcons y utiliza la Plataforma, actuando como Responsable del Tratamiento o, cuando proceda, como Encargado del Tratamiento respecto de un tercero.

Datos Personales: toda información sobre una persona física identificada o identificable tratada a través de la Plataforma por cuenta del Cliente, en los términos definidos por el RGPD.

Documentación del Cliente: toda la información, documentos, registros, formularios, imágenes, grabaciones, archivos, configuraciones y demás contenidos incorporados por el Cliente o por sus usuarios autorizados a la Plataforma.

Incidente de Seguridad: cualquier evento que comprometa o pueda comprometer la confidencialidad, integridad, disponibilidad o resiliencia de los Datos Personales tratados por Itcons.

Plataforma: la solución software en modalidad SaaS comercializada bajo la marca Itcons, incluyendo sus aplicaciones web y móviles, API, integraciones, funcionalidades opcionales y servicios asociados.

Servicios: el conjunto de prestaciones contratadas por el Cliente, incluyendo el acceso a la Plataforma, el alojamiento, las copias de seguridad, el soporte técnico, las integraciones y cualquier otra funcionalidad proporcionada por Itcons.

Subencargado del Tratamiento: cualquier tercero autorizado por Itcons para prestar una parte de los Servicios que implique el tratamiento de Datos Personales por cuenta del Cliente.

Los términos “Responsable del Tratamiento”, “Encargado del Tratamiento”, “Interesado”, “Violación de la Seguridad de los Datos Personales”, “Tratamiento” y cualquier otro definido por el RGPD tendrán el significado atribuido por dicha normativa.

3. Roles de las partes

3.1 Responsable del Tratamiento

Con carácter general, el Cliente actúa como Responsable del Tratamiento, al determinar de forma exclusiva los fines, la base jurídica, las categorías de Datos Personales tratados, las categorías de interesados, los destinatarios de la información y los plazos de conservación aplicables a los tratamientos realizados mediante la Plataforma.

Corresponde igualmente al Cliente garantizar que los Datos Personales tratados a través de la Plataforma han sido obtenidos y son tratados de conformidad con la legislación aplicable en materia de protección de datos.

3.2 Encargado del Tratamiento

Itcons actuará como Encargado del Tratamiento, limitándose a tratar los Datos Personales por cuenta del Cliente y únicamente para prestar los Servicios contratados, siguiendo las instrucciones documentadas del Cliente y en los términos establecidos en el presente Acuerdo.

Itcons no utilizará los Datos Personales tratados por cuenta del Cliente para fines propios, comerciales, publicitarios o distintos de los necesarios para la prestación del Servicio, salvo obligación legal.

3.3 Plataforma configurable

El Cliente reconoce expresamente que Itcons proporciona una plataforma tecnológica configurable destinada a la digitalización y gestión de procesos empresariales.

La configuración de la Plataforma es realizada por el Cliente e incluye, entre otros aspectos:

los formularios y modelos utilizados;

los flujos de trabajo;

los permisos de acceso;

los tipos de documentos gestionados;

las categorías de Datos Personales tratadas;

las funcionalidades habilitadas;

las integraciones con terceros;

los plazos de conservación de la información.

En consecuencia, Itcons no determina los fines ni los medios esenciales del tratamiento realizado por el Cliente, limitándose a proporcionar la infraestructura tecnológica necesaria para la prestación del Servicio.

3.4 Categorías especiales de datos

La Plataforma permite al Cliente configurar libremente los datos que incorpora a la misma. Cuando el Cliente decida tratar categorías especiales de Datos Personales o cualquier otra información sometida a requisitos específicos por la normativa aplicable, será responsable de disponer de una base jurídica adecuada, adoptar las medidas adicionales que resulten exigibles y configurar la Plataforma de forma acorde con dichas obligaciones.

Itcons no controla ni supervisa previamente la información introducida por el Cliente en la Plataforma.

3.5 Cliente como Encargado del Tratamiento

Cuando el Cliente utilice la Plataforma para prestar servicios a terceros y actúe como Encargado del Tratamiento respecto de dichos terceros, garantiza que dispone de la autorización necesaria para contratar a Itcons como Subencargado del Tratamiento y que el presente Acuerdo satisface las obligaciones previstas en la normativa aplicable.

4. Objeto, naturaleza y finalidad del tratamiento

4.1 Objeto del tratamiento

El tratamiento de Datos Personales realizado por Itcons tiene como único objeto la prestación de los Servicios contratados por el Cliente mediante la Plataforma.

Itcons tratará los Datos Personales únicamente en la medida necesaria para alojar, conservar, organizar, transmitir, proteger y poner a disposición del Cliente la información incorporada por este a la Plataforma, así como para prestar los servicios de soporte, mantenimiento y demás funcionalidades contratadas.

4.2 Naturaleza del tratamiento

La naturaleza del tratamiento dependerá de la utilización que el Cliente realice de la Plataforma y de la configuración que establezca en la misma. Con carácter general, Itcons podrá realizar, exclusivamente por cuenta del Cliente, las siguientes operaciones cuando resulten necesarias:

recogida y registro de información;

organización y estructuración de datos;

almacenamiento y conservación;

consulta y visualización;

modificación y actualización;

generación de documentos, informes y exportaciones;

transmisión entre usuarios autorizados por el Cliente;

realización de copias de seguridad;

alojamiento de archivos y documentos;

supresión o destrucción de información cuando corresponda;

cualquier otra operación estrictamente necesaria para prestar los Servicios contratados.

4.3 Finalidad del tratamiento

Los Datos Personales serán tratados exclusivamente para permitir al Cliente utilizar la Plataforma conforme a las funcionalidades contratadas.

Entre otras finalidades, la Plataforma podrá utilizarse para la digitalización y gestión de procesos empresariales, incluyendo la creación y gestión de formularios, partes de trabajo, órdenes de trabajo, registros de jornada, ausencias, albaranes, inspecciones, incidencias, mantenimiento, activos, proyectos, documentación técnica y cualquier otro proceso configurado por el Cliente.

La enumeración anterior tiene carácter meramente ilustrativo y no limita las posibles finalidades determinadas por el Cliente mediante la configuración de la Plataforma.

4.4 Funcionalidades opcionales e integraciones

Determinadas funcionalidades de la Plataforma podrán implicar tratamientos adicionales cuando sean expresamente activadas o utilizadas por el Cliente, incluyendo integraciones mediante API, automatizaciones, webhooks, notificaciones, comunicaciones electrónicas, transcripción automática de audio, funcionalidades basadas en inteligencia artificial e integraciones con servicios de terceros.

La utilización de dichas funcionalidades será siempre decisión del Cliente y únicamente se utilizarán para prestar el Servicio solicitado.

4.5 Ausencia de decisiones sobre el contenido

Itcons no revisa, valida ni determina el contenido de la información incorporada por el Cliente a la Plataforma, salvo cuando resulte imprescindible para prestar el soporte técnico solicitado, garantizar la seguridad de los Servicios o cumplir una obligación legal.

5. Instrucciones del Cliente y límites del tratamiento

5.1 Tratamiento conforme a las instrucciones del Cliente

Itcons tratará los Datos Personales únicamente siguiendo las instrucciones documentadas del Cliente y en la medida necesaria para la prestación de los Servicios contratados, salvo que el tratamiento venga impuesto por una obligación legal aplicable a Itcons. En tal caso, Itcons informará al Cliente de dicha obligación antes del tratamiento, salvo que la normativa aplicable prohíba dicha comunicación por razones de interés público.

Las instrucciones del Cliente podrán derivarse de la configuración de la Plataforma, de las funcionalidades activadas, de las solicitudes de soporte realizadas y de cualquier otra comunicación documentada entre las partes.

5.2 Prohibición de utilización para fines propios

Itcons no utilizará los Datos Personales tratados por cuenta del Cliente para fines propios, comerciales, publicitarios o distintos de los necesarios para prestar los Servicios contratados.

En particular, Itcons no venderá, alquilará, cederá ni pondrá a disposición de terceros los Datos Personales tratados por cuenta del Cliente, salvo cuando ello resulte necesario para prestar el Servicio a través de Subencargados autorizados o exista una obligación legal.

5.3 Inteligencia artificial y tratamiento automatizado

Itcons no utilizará los Datos Personales alojados en la Plataforma para entrenar modelos propios de inteligencia artificial ni modelos destinados a terceros.

Cuando el Cliente utilice funcionalidades que incorporen servicios de inteligencia artificial o procesamiento automatizado, únicamente se tratarán los datos que el propio Cliente decida enviar expresamente a dichas funcionalidades y exclusivamente para prestar el servicio solicitado.

Cuando dichas funcionalidades sean prestadas mediante proveedores externos, el tratamiento se realizará conforme a las condiciones establecidas para los Subencargados del Tratamiento y únicamente durante el tiempo necesario para prestar el servicio correspondiente.

5.4 Funcionalidades opcionales e integraciones

Las integraciones mediante API, automatizaciones, webhooks, notificaciones, servicios de transcripción, comunicaciones electrónicas y demás funcionalidades opcionales únicamente tratarán Datos Personales cuando el Cliente decida activarlas o utilizarlas.

El Cliente será responsable de valorar la adecuación de dichas funcionalidades a sus necesidades y de utilizarlas conforme a la normativa aplicable.

5.5 Copias de seguridad

Las copias de seguridad realizadas por Itcons tienen como única finalidad garantizar la continuidad del Servicio y posibilitar la recuperación de la información en caso de incidente grave, pérdida masiva de datos, fallo de infraestructura o incidente de ciberseguridad.

Las copias de seguridad no constituyen un entorno de trabajo, no se utilizan para el tratamiento ordinario de los Datos Personales ni para la recuperación individual de información eliminada por el Cliente, salvo cuando ello resulte técnica y organizativamente posible y sea imprescindible como consecuencia de un proceso de recuperación del Servicio o haya sido expresamente solicitado por el Cliente.

Las copias de seguridad se realizan mediante procedimientos automatizados utilizando Restic y se almacenan en un Block Storage ubicado en una infraestructura físicamente independiente del entorno de producción, dentro del Espacio Económico Europeo. La correcta ejecución de las copias es objeto de monitorización diaria y se realizan verificaciones periódicas de su capacidad de restauración.

Las copias están sujetas a una política de retención rotativa destinada exclusivamente a garantizar la recuperación ante desastres y la continuidad del Servicio. Como consecuencia de dicha política, determinados Datos Personales eliminados del entorno de producción podrán permanecer temporalmente en las copias hasta su eliminación automática conforme al ciclo de retención aplicable, sin que durante dicho periodo sean objeto de tratamiento activo distinto del estrictamente necesario para garantizar la recuperación ante incidentes graves.

Itcons no utilizará las copias de seguridad para reconstruir o restaurar información eliminada por el Cliente cuando ello pueda afectar a la integridad del Servicio, comprometer información de otros clientes, resultar desproporcionado respecto de la finalidad de las copias o no sea técnicamente viable conforme a la arquitectura de la Plataforma.

El Cliente reconoce y acepta que la finalidad exclusiva de las copias de seguridad es garantizar la continuidad del negocio y la recuperación ante desastres, por lo que su existencia no implica la obligación de Itcons de restaurar información eliminada accidentalmente fuera de los procedimientos ordinarios de recuperación del Servicio.

5.6 Licitud de las instrucciones

Cuando Itcons considere razonablemente que una instrucción del Cliente infringe la normativa aplicable en materia de protección de datos o compromete la seguridad de la Plataforma o de otros clientes, podrá suspender su ejecución e informará al Cliente, siempre que ello sea legalmente posible, para que confirme, modifique o retire la instrucción correspondiente.

5.7 Información tratada por el Cliente

Corresponderá exclusivamente al Cliente determinar la licitud del tratamiento, la categoría de los datos incorporados, la información que se introduce en la Plataforma, sus destinatarios, los plazos de conservación y cualquier otra decisión relativa a los fines y medios del tratamiento.

Itcons no supervisará de forma previa la información incorporada por el Cliente ni realizará controles sistemáticos sobre su contenido, salvo cuando resulte necesario para prestar soporte, exista una obligación legal o sea imprescindible para garantizar la seguridad y el correcto funcionamiento de la Plataforma.

6. Obligaciones del Cliente

6.1 Licitud del tratamiento

El Cliente declara y garantiza que tratará los Datos Personales mediante la Plataforma de conformidad con la legislación aplicable y que dispone de una base jurídica válida para cada tratamiento realizado.

Corresponde exclusivamente al Cliente determinar la licitud del tratamiento, sus finalidades, las categorías de datos tratadas, los plazos de conservación y cualquier otra decisión relativa a los fines y medios del tratamiento.

6.2 Información incorporada a la Plataforma

El Cliente será el único responsable de la información que incorpore a la Plataforma, incluidos los Datos Personales introducidos por sus usuarios autorizados.

El Cliente se compromete a no utilizar la Plataforma para almacenar o tratar información cuya incorporación resulte contraria a la legislación aplicable o vulnere derechos de terceros.

6.3 Configuración de la Plataforma

El Cliente será responsable de configurar la Plataforma conforme a sus necesidades organizativas y a las obligaciones legales que le resulten aplicables.

configurar los modelos, formularios y procesos de trabajo;

definir los usuarios autorizados y sus permisos;

determinar las políticas internas de conservación;

habilitar únicamente las funcionalidades necesarias;

supervisar el uso realizado por sus usuarios.

6.4 Categorías especiales de datos

Cuando el Cliente decida tratar categorías especiales de Datos Personales o información sometida a requisitos específicos, será responsable de disponer de una base jurídica adecuada, facilitar la información necesaria a los interesados, adoptar las medidas adicionales exigibles y cumplir cualquier requisito legal aplicable.

La utilización de la Plataforma no implica que Itcons conozca o determine previamente la naturaleza de los datos incorporados por el Cliente.

6.5 Instrucciones a Itcons

El Cliente será responsable de proporcionar instrucciones completas, lícitas y adecuadas cuando resulte necesaria una actuación específica distinta del funcionamiento ordinario de la Plataforma.

El Cliente no podrá impartir instrucciones que obliguen a Itcons a incumplir la normativa o que comprometan la seguridad, disponibilidad o integridad de la Plataforma o de los datos de otros clientes.

6.6 Derechos de los interesados

Corresponderá al Cliente atender las solicitudes de ejercicio de derechos formuladas por los interesados. Cuando Itcons reciba directamente una solicitud relacionada con Datos Personales tratados por cuenta del Cliente, la trasladará a este sin dilación indebida, salvo que la normativa aplicable exija otra actuación.

Itcons colaborará razonablemente con el Cliente cuando resulte necesario y técnicamente posible. Si la colaboración requiere desarrollos específicos, restauraciones extraordinarias, consultoría o actuaciones que excedan del soporte ordinario, Itcons podrá repercutir al Cliente los costes razonables, informándole previamente.

6.7 Funcionalidades opcionales e integraciones

El Cliente será responsable de decidir la utilización de funcionalidades opcionales, integraciones con terceros o servicios adicionales, valorando previamente su adecuación a sus necesidades y a la normativa aplicable.

6.8 Cumplimiento normativo

La utilización de la Plataforma no exime al Cliente del cumplimiento de las obligaciones legales que le correspondan como Responsable del Tratamiento o, cuando proceda, como Encargado del Tratamiento respecto de terceros.

7. Obligaciones de Itcons

7.1 Cumplimiento de las instrucciones del Cliente

Itcons tratará los Datos Personales únicamente conforme a las instrucciones documentadas del Cliente y exclusivamente en la medida necesaria para prestar los Servicios contratados, salvo que una obligación legal aplicable exija un tratamiento distinto.

Cuando Itcons considere razonablemente que una instrucción infringe la normativa o compromete la seguridad de la Plataforma o de otros clientes, informará al Cliente antes de su ejecución, siempre que ello sea legalmente posible.

7.2 Deber de confidencialidad

Itcons garantizará que todas las personas autorizadas para acceder a los Datos Personales se encuentren sujetas a un deber de confidencialidad, contractual o legal, que permanecerá vigente incluso después de finalizar su relación profesional con Itcons.

El acceso estará limitado a aquellas personas cuya intervención resulte necesaria para prestar el Servicio o cumplir las obligaciones asumidas por Itcons.

7.3 Personal autorizado

Itcons mantendrá procedimientos internos destinados a garantizar que el acceso a los Datos Personales se conceda únicamente al personal autorizado, conforme al principio de necesidad de conocer.

El personal con acceso recibirá las autorizaciones correspondientes conforme a sus funciones y estará sujeto a las políticas internas de seguridad de Itcons. Cuando resulte aplicable, los colaboradores y proveedores asumirán obligaciones equivalentes de confidencialidad.

7.4 Soporte técnico

Como regla general, Itcons no accede al contenido de la información almacenada por el Cliente.

El acceso por parte del personal de Itcons únicamente podrá producirse para prestar soporte solicitado por el Cliente, resolver incidencias detectadas por Itcons, realizar actuaciones de mantenimiento necesarias para la continuidad del Servicio o cumplir una obligación legal. Siempre que resulte posible, el acceso se limitará a la información estrictamente necesaria.

7.5 Registro de accesos

Los accesos realizados por el personal autorizado de Itcons a los Datos Personales tratados por cuenta del Cliente quedarán registrados mediante los mecanismos de auditoría disponibles.

Cuando el acceso esté relacionado con una solicitud de soporte o una incidencia concreta, quedará vinculado, cuando proceda, al ticket o registro interno correspondiente.

7.6 Medidas de seguridad

Itcons aplicará medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza de los tratamientos y los riesgos para los derechos y libertades de las personas.

Las principales medidas aplicadas se describen en el Anexo II – Medidas Técnicas y Organizativas.

7.7 Cooperación con el Cliente

Itcons colaborará razonablemente con el Cliente para facilitar el cumplimiento de las obligaciones que le correspondan como Responsable del Tratamiento, incluyendo la atención de derechos, la gestión de incidentes, las evaluaciones de impacto y las consultas de autoridades cuando afecten a los Servicios prestados.

La colaboración se prestará en la medida en que resulte técnicamente posible y atendiendo a la naturaleza de los Servicios.

7.8 Notificación de violaciones de seguridad

Cuando Itcons tenga conocimiento de una violación de la seguridad que afecte a Datos Personales tratados por cuenta del Cliente, lo notificará sin dilación indebida y, cuando sea posible, en un plazo máximo de 48 horas desde que haya tenido conocimiento del incidente.

La notificación incluirá la información disponible en ese momento y podrá completarse progresivamente conforme avance la investigación.

7.9 No divulgación a terceros

Itcons no comunicará ni pondrá los Datos Personales a disposición de terceros, salvo cuando resulte necesario para prestar los Servicios mediante Subencargados autorizados, exista una obligación legal o el Cliente lo solicite o autorice expresamente.

7.10 Asistencia al finalizar el Servicio

A la finalización de la relación contractual, Itcons facilitará al Cliente, cuando proceda, la devolución o exportación de los Datos Personales conforme a las funcionalidades disponibles y a lo previsto en el presente Acuerdo.

La supresión se realizará conforme a las instrucciones documentadas del Cliente, la política de conservación aplicable y las obligaciones legales, sin perjuicio de la permanencia temporal de determinada información en las copias de seguridad conforme a su ciclo de retención.

7.11 Mejora continua de la seguridad

Itcons mantiene un proceso de revisión y mejora continua de las medidas técnicas y organizativas aplicadas a la Plataforma, con el objetivo de adaptarlas a la evolución tecnológica, a los riesgos identificados, a las mejores prácticas del sector y a los cambios normativos.

Itcons podrá implantar nuevas medidas, procedimientos, controles o actualizaciones de infraestructura, siempre que no disminuya sustancialmente el nivel de protección comprometido. La implantación de mejoras no requerirá modificar el Acuerdo, sin perjuicio de la actualización del Anexo II cuando resulte necesario.

8. Subencargados del Tratamiento

8.1 Autorización general

El Cliente autoriza expresamente a Itcons a contratar Subencargados del Tratamiento cuando ello resulte necesario para la correcta prestación de los Servicios.

Itcons garantizará que cualquier Subencargado quede sujeto a obligaciones contractuales que ofrezcan un nivel de protección sustancialmente equivalente al establecido en el presente Acuerdo y en la normativa aplicable. Itcons continuará siendo responsable frente al Cliente del cumplimiento de las obligaciones asumidas por los Subencargados en la medida exigida por el artículo 28 del RGPD.

8.2 Lista de Subencargados

La relación actualizada de Subencargados utilizados por Itcons estará disponible en https://itcons.app/subencargados.

Dicha relación incluirá, cuando resulte aplicable, la identidad del proveedor, el servicio prestado, la ubicación principal del tratamiento y la información relativa a transferencias internacionales. Su actualización no requerirá modificar el presente Acuerdo.

8.3 Incorporación de nuevos Subencargados

Itcons podrá incorporar nuevos Subencargados cuando resulte necesario para mejorar, ampliar o mantener los Servicios. Los cambios materiales se comunicarán mediante publicación en la página de Subencargados, aviso en la Plataforma, correo electrónico o cualquier otro medio razonable.

8.4 Derecho de oposición

El Cliente podrá formular objeciones razonadas respecto de un nuevo Subencargado cuando considere de buena fe que el cambio genera un riesgo significativo para la protección de los Datos Personales o incumple la normativa aplicable.

La objeción deberá presentarse por escrito dentro de los 15 días naturales siguientes a la comunicación. Las partes colaborarán de buena fe para valorar una solución razonable. Si no fuera posible y el Subencargado resultase imprescindible, cualquiera de las partes podrá resolver exclusivamente los Servicios afectados.

8.5 Funcionalidades opcionales

Determinados Subencargados únicamente tratarán Datos Personales cuando el Cliente decida activar funcionalidades opcionales, como notificaciones, transcripción automática, comunicaciones electrónicas, integraciones, inteligencia artificial, mensajería o telefonía.

8.6 Sustitución de proveedores

La sustitución de un proveedor por otro que preste un servicio equivalente no se considerará una modificación sustancial del Acuerdo, siempre que el nuevo Subencargado ofrezca garantías adecuadas y sea incorporado conforme al procedimiento previsto.

8.7 Supervisión de los Subencargados

Itcons realizará una evaluación razonable de los Subencargados antes de su incorporación y formalizará los acuerdos contractuales necesarios. Asimismo, revisará periódicamente la relación de Subencargados para verificar que continúan ofreciendo garantías suficientes.

9. Transferencias internacionales de Datos

9.1 Principio general

Con carácter general, Itcons presta los Servicios utilizando infraestructura ubicada dentro del Espacio Económico Europeo. Los Datos Personales tratados por cuenta del Cliente se almacenan y procesan, con carácter general, en centros de datos ubicados en dicho espacio.

9.2 Transferencias internacionales

Determinadas funcionalidades o Subencargados podrán implicar transferencias internacionales conforme al capítulo V del RGPD. En tales casos, Itcons garantizará que estén amparadas por decisiones de adecuación, Cláusulas Contractuales Tipo, el Marco de Privacidad de Datos UE-EE. UU. cuando resulte aplicable, u otro mecanismo válido conforme a la normativa vigente.

9.3 Funcionalidades opcionales

Cuando el Cliente active funcionalidades que impliquen servicios prestados por terceros ubicados fuera del Espacio Económico Europeo, la transferencia se realizará únicamente en la medida necesaria para prestar el servicio solicitado. La utilización de dichas funcionalidades tendrá carácter voluntario.

9.4 Información sobre transferencias

La información relativa a los Subencargados que puedan realizar transferencias internacionales estará disponible en la relación actualizada de Subencargados. Itcons facilitará información adicional razonable cuando el Cliente la solicite, salvo que esté sujeta a obligaciones de confidencialidad o su divulgación pueda comprometer la seguridad.

9.5 Cambios normativos

Si los mecanismos utilizados dejan de ser válidos o son modificados por cambios normativos, resoluciones judiciales o decisiones de autoridades, Itcons adoptará medidas razonables para mantener el tratamiento conforme a la legislación aplicable, pudiendo sustituir el mecanismo jurídico por otro válido.

10. Asistencia al Cliente y ejercicio de los derechos de los interesados

10.1 Responsabilidad del Cliente

Corresponde al Cliente atender las solicitudes formuladas por los interesados respecto de los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y cualesquiera otros reconocidos por la normativa aplicable.

10.2 Solicitudes recibidas por Itcons

Cuando Itcons reciba directamente una solicitud relacionada con Datos Personales tratados por cuenta del Cliente, no responderá salvo obligación legal y la trasladará al Cliente sin dilación indebida.

10.3 Colaboración

Itcons prestará la asistencia razonablemente necesaria para facilitar el cumplimiento de las obligaciones previstas en los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga.

facilitar información sobre las medidas de seguridad;

colaborar en la investigación de incidentes;

facilitar información para evaluaciones de impacto;

colaborar en consultas de autoridades que afecten a los Servicios;

facilitar información para atender solicitudes de derechos cuando resulte técnicamente posible.

10.4 Limitaciones de la asistencia

La asistencia se limitará a la información y actuaciones bajo el control de Itcons o razonablemente accesibles en relación con los Servicios. Itcons no asumirá obligaciones propias del Responsable ni decidirá sobre la procedencia de las solicitudes.

10.5 Actuaciones extraordinarias

Cuando la colaboración requiera desarrollos específicos, recuperación excepcional de información, informes personalizados, asistencia continuada, auditorías individualizadas u otras actuaciones equivalentes, Itcons podrá repercutir los costes razonables. Informará previamente del alcance y, cuando resulte posible, del coste estimado.

10.6 Conservación de evidencias

Cuando resulte necesario para atender una solicitud, reclamación o procedimiento de una autoridad, Itcons podrá conservar temporalmente la información estrictamente necesaria para acreditar las actuaciones realizadas, durante el tiempo imprescindible para dicha finalidad o para cumplir una obligación legal.

11. Violaciones de la seguridad de los Datos Personales

11.1 Detección y gestión de incidentes

Itcons dispone de procedimientos internos para detectar, analizar, gestionar y resolver incidentes que puedan afectar a la confidencialidad, integridad, disponibilidad o resiliencia de los Datos Personales. Adoptará medidas razonables para contener el incidente, minimizar sus efectos y restablecer la disponibilidad y seguridad de los Servicios.

11.2 Notificación al Cliente

Cuando Itcons tenga conocimiento de una violación que afecte a información tratada por cuenta del Cliente, lo notificará sin dilación indebida y, siempre que sea posible, en un plazo máximo de 48 horas. La comunicación podrá realizarse por correo electrónico, mediante la Plataforma o por otro medio adecuado.

11.3 Contenido de la notificación

La comunicación incluirá, en la medida en que la información esté disponible:

descripción general del incidente;

fecha y momento aproximado de producción o detección;

categorías de Datos Personales potencialmente afectadas;

valoración preliminar del alcance;

medidas adoptadas o previstas;

cualquier otra información relevante para facilitar el cumplimiento de las obligaciones legales del Cliente.

11.4 Cooperación

Itcons colaborará razonablemente con el Cliente para facilitar el cumplimiento de sus obligaciones de notificación a autoridades o interesados, limitándose a la información y asistencia relacionada con los Servicios y con los hechos bajo su conocimiento o control.

11.5 Comunicación a autoridades y terceros

Salvo obligación legal en contrario, corresponderá al Cliente determinar si procede notificar a la autoridad de control o comunicar a los interesados. Itcons no realizará dichas comunicaciones en nombre del Cliente sin autorización expresa, salvo obligación legal directamente aplicable.

11.6 Registro de incidentes

Itcons mantendrá un registro interno de los incidentes de seguridad relevantes y de las actuaciones realizadas para su análisis, contención, resolución y seguimiento. La información tendrá carácter confidencial.

11.7 Mejora tras el incidente

Cuando la naturaleza del incidente lo aconseje, Itcons analizará sus causas y valorará medidas correctoras o preventivas, pudiendo actualizar procedimientos, controles y el Anexo II.

12. Auditorías e información de cumplimiento

12.1 Derecho de información

Itcons pondrá a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones que le correspondan como Encargado del Tratamiento.

el presente Acuerdo y sus anexos;

documentación técnica y organizativa publicada;

relación actualizada de Subencargados;

respuestas a cuestionarios razonables de seguridad o protección de datos;

otra documentación que Itcons considere adecuada.

12.2 Solicitudes de información adicional

Cuando el Cliente requiera información adicional para cumplir obligaciones legales, auditorías internas, certificaciones o requerimientos de terceros, Itcons colaborará razonablemente. Podrá denegar el acceso a información cuya divulgación comprometa la seguridad, afecte a otros clientes, revele secretos empresariales o incumpla obligaciones de confidencialidad.

12.3 Auditorías documentales

Con carácter general, las obligaciones de auditoría se entenderán satisfechas mediante la puesta a disposición de la documentación e información descrita. El Cliente solicitará previamente la información que razonablemente permita verificar el cumplimiento.

12.4 Auditorías presenciales

Las auditorías presenciales o técnicas únicamente podrán realizarse respecto de Servicios contratados bajo el Plan Business y cuando existan motivos razonables relacionados con el cumplimiento de la normativa.

notificación escrita con al menos 30 días naturales;

realización durante el horario laboral habitual;

ausencia de interferencias significativas en el Servicio;

respeto de las medidas de seguridad de Itcons;

prohibición de acceder a datos de otros clientes;

realización por el Cliente o por un auditor independiente sujeto a confidencialidad.

12.5 Alcance de las auditorías

Las auditorías se limitarán a verificar el cumplimiento de las obligaciones de Itcons como Encargado.

no podrán acceder a información de otros clientes;

no podrán acceder al código fuente;

no podrán acceder a secretos empresariales;

no podrán acceder a documentación interna ajena al tratamiento auditado;

no podrán realizar pruebas que afecten a la disponibilidad, estabilidad o seguridad.

12.6 Costes

Salvo que una auditoría sea consecuencia directa de un incumplimiento acreditado de Itcons o de una obligación legal imperativa, los costes serán asumidos por el Cliente. Si la colaboración excede de la documentación ordinariamente disponible, Itcons informará previamente del alcance y, cuando resulte posible, del coste estimado.

12.7 Colaboración con autoridades

Cuando una autoridad competente requiera información relativa al tratamiento realizado por Itcons por cuenta del Cliente, Itcons colaborará conforme a la legislación aplicable e informará previamente al Cliente cuando sea legalmente posible.

13. Finalización del Servicio y destino de los Datos Personales

13.1 Finalización del tratamiento

El tratamiento por parte de Itcons finalizará cuando concluya la prestación de los Servicios o cuando el Cliente deje de utilizar la Plataforma, sin perjuicio de las obligaciones legales de conservación y de lo previsto respecto de las copias de seguridad.

13.2 Devolución de la información

Antes de la finalización definitiva del Servicio y durante el periodo contractualmente disponible, el Cliente podrá recuperar la información mediante las funcionalidades de exportación o solicitar a Itcons una exportación en un formato estructurado cuando resulte técnicamente posible. Cuando proceda, Itcons podrá facilitar exportaciones en formato SQL u otros formatos disponibles.

13.3 Supresión de los Datos Personales

A la finalización de la relación, Itcons procederá a la devolución, bloqueo o supresión de los Datos Personales conforme a las instrucciones documentadas del Cliente, a las Condiciones Generales, a la política de conservación vigente y a las obligaciones legales aplicables.

La ausencia de una solicitud de supresión no autoriza a Itcons a utilizar los Datos Personales para finalidades propias. Mientras permanezcan conservados, seguirán sujetos a las obligaciones de confidencialidad, seguridad y limitación de finalidad previstas en este Acuerdo.

13.4 Copias de seguridad

La supresión del entorno de producción no implicará necesariamente la eliminación inmediata de las copias de seguridad. Los Datos Personales podrán permanecer temporalmente en dichas copias como consecuencia de la política de retención rotativa.

Durante ese periodo no serán objeto de tratamiento activo, las copias únicamente podrán utilizarse para recuperación ante incidentes graves y los datos serán eliminados automáticamente conforme al ciclo aplicable.

13.5 Conservación por obligación legal

Itcons podrá conservar determinada información cuando resulte necesario para cumplir obligaciones legales, atender requerimientos de autoridades o formular, ejercer o defender reclamaciones. En estos casos, la información permanecerá bloqueada y únicamente será tratada para dichas finalidades.

13.6 Solicitudes posteriores a la finalización

Una vez eliminados los Datos Personales de los sistemas de producción, Itcons no garantizará su recuperación. Las copias de seguridad tienen una finalidad exclusiva de continuidad y recuperación ante desastres y no constituyen un mecanismo ordinario de archivo.

13.7 Asistencia en la migración

Cuando el Cliente solicite asistencia específica para migrar la información a otra plataforma, Itcons colaborará razonablemente cuando resulte técnicamente posible. Las actuaciones que excedan de las funcionalidades estándar podrán facturarse conforme a las tarifas vigentes o al presupuesto aceptado.

13.8 Supervivencia de determinadas obligaciones

La finalización del Acuerdo no extinguirá las obligaciones que, por su naturaleza, deban permanecer vigentes, incluyendo la confidencialidad, la conservación por obligación legal, las relativas a las copias de seguridad y las necesarias para formular, ejercer o defender reclamaciones.

14. Responsabilidad

14.1 Responsabilidad de las partes

Cada parte será responsable del cumplimiento de las obligaciones que le correspondan conforme al Acuerdo y a la normativa aplicable.

El Cliente responderá de la licitud del tratamiento, de las instrucciones impartidas y de las obligaciones que le correspondan como Responsable o como Encargado respecto de terceros. Itcons responderá del cumplimiento de las obligaciones que le correspondan como Encargado.

14.2 Limitación del alcance de la responsabilidad

Itcons no será responsable de los tratamientos realizados por el Cliente mediante la Plataforma, incluyendo:

la licitud de los Datos Personales incorporados;

la existencia de una base jurídica adecuada;

la información facilitada a los interesados;

la configuración realizada por el Cliente;

la asignación de permisos a sus usuarios;

las decisiones sobre conservación o eliminación;

el uso que el Cliente haga de la información.

14.3 Responsabilidad por instrucciones del Cliente

Itcons no será responsable de los daños derivados del cumplimiento de instrucciones del Cliente cuando sean conformes con la normativa y no resulte razonablemente evidente su carácter ilícito. Si Itcons advierte de una posible infracción y el Cliente insiste expresamente, la responsabilidad derivada de esa decisión corresponderá al Cliente, salvo disposición legal en contrario.

14.4 Fuerza mayor

Ninguna parte será responsable del incumplimiento causado por fuerza mayor o circunstancias que escapen razonablemente a su control, sin perjuicio de adoptar medidas para minimizar sus efectos y reanudar los Servicios tan pronto como sea posible.

14.5 Indemnizaciones

Cada parte mantendrá indemne a la otra frente a reclamaciones, sanciones, daños, costes o gastos que sean consecuencia directa de un incumplimiento de sus obligaciones, sin perjuicio del régimen de responsabilidad previsto en los artículos 82 y siguientes del RGPD.

14.6 Relación con el contrato principal

Las limitaciones y exclusiones de responsabilidad previstas en el contrato principal serán aplicables al presente Acuerdo siempre que no contradigan disposiciones imperativas de protección de datos.

15. Modificaciones del Acuerdo

15.1 Actualización del Acuerdo

Itcons podrá modificar el presente Acuerdo cuando resulte necesario para adaptarlo a cambios legislativos, resoluciones o criterios de autoridades, cambios en los Servicios, mejoras de seguridad, actualización de Subencargados o evolución tecnológica.

En ningún caso las modificaciones tendrán por objeto reducir el nivel de protección exigido por la normativa aplicable ni disminuir de forma sustancial las garantías ofrecidas al Cliente como Responsable del Tratamiento.

15.2 Comunicación de las modificaciones

Las modificaciones podrán comunicarse mediante publicación de una nueva versión en el sitio web, aviso en la Plataforma, correo electrónico o cualquier otro medio razonable. Cuando afecten sustancialmente a derechos u obligaciones, se comunicarán con antelación razonable, salvo obligación legal o razones de seguridad que exijan aplicación inmediata.

15.3 Continuidad del Servicio

La continuidad en la utilización de los Servicios una vez entrada en vigor una modificación implicará su aceptación, sin perjuicio del derecho del Cliente a resolver el contrato conforme a las Condiciones Generales cuando no esté conforme con una modificación sustancial.

15.4 Cambios derivados de obligaciones legales

Cuando una modificación resulte necesaria para cumplir una obligación legal, resolución judicial, requerimiento de autoridad u otra disposición obligatoria, podrá entrar en vigor desde la fecha exigida.

15.5 Versiones del Acuerdo

Itcons mantendrá publicada la versión vigente del Acuerdo. Cuando resulte posible, identificará las modificaciones relevantes de cada nueva versión.

16. Legislación aplicable y resolución de controversias

16.1 Normativa aplicable

El presente Acuerdo se regirá e interpretará de conformidad con el Reglamento (UE) 2016/679, la Ley Orgánica 3/2018 y cualquier otra normativa española o europea aplicable al tratamiento objeto del Acuerdo.

Las referencias a disposiciones legales se entenderán efectuadas también a las normas que las modifiquen, sustituyan o desarrollen.

16.2 Relación con el contrato principal

El presente Acuerdo forma parte integrante del contrato que regula la prestación de los Servicios de Itcons. En todo lo no regulado expresamente resultarán aplicables las Condiciones Generales del Servicio, siempre que no contradigan la normativa imperativa.

En caso de contradicción entre el presente Acuerdo y las Condiciones Generales respecto del tratamiento de Datos Personales por cuenta del Cliente, prevalecerá el presente Acuerdo.

16.3 Autoridades de control

Cada parte colaborará, dentro de sus responsabilidades, con la Agencia Española de Protección de Datos o con cualquier otra autoridad competente.

Itcons atenderá los requerimientos que le sean dirigidos directamente en relación con tratamientos realizados por cuenta del Cliente e informará a este cuando resulte legalmente posible y no se comprometa una investigación.

16.4 Resolución de controversias

Las partes procurarán resolver de buena fe cualquier discrepancia relacionada con la interpretación, ejecución o cumplimiento del Acuerdo.

Cuando no sea posible alcanzar una solución amistosa, la controversia se resolverá conforme al régimen de jurisdicción y competencia previsto en las Condiciones Generales del Servicio, salvo que una norma imperativa establezca un fuero diferente.

16.5 Normas imperativas

Ninguna disposición del presente Acuerdo podrá interpretarse como una renuncia o limitación de los derechos, obligaciones o competencias establecidos con carácter imperativo por la normativa aplicable en materia de protección de datos.

Contacto en materia de privacidad: [email protected]

ANEXO I

DESCRIPCIÓN DEL TRATAMIENTO DE DATOS PERSONALES

1. Partes del tratamiento

A efectos del presente Anexo:

• Responsable del Tratamiento: el Cliente que contrata o utiliza los Servicios de Itcons y determina los fines y medios del tratamiento de los Datos Personales incorporados a la Plataforma.
• Encargado del Tratamiento: INNOVACIÓN TECNOLOGÍA Y CONSULTORÍA, S.L., con CIF B75160283, domicilio social en Calle Portuetxe 45B, 2.º, Oficina 9, 20017 Donostia-San Sebastián, Gipuzkoa, y correo electrónico de contacto [email protected].
• Subencargado del Tratamiento: Itcons, cuando el Cliente actúe como encargado por cuenta de un tercero que tenga la condición de responsable del tratamiento.

2. Objeto del tratamiento

El tratamiento tiene por objeto permitir la prestación de los Servicios contratados por el Cliente mediante la Plataforma Itcons.

Itcons tratará los Datos Personales exclusivamente para alojar, organizar, conservar, consultar, transmitir, proteger y poner a disposición del Cliente la información incorporada a la Plataforma, así como para prestar las funcionalidades, integraciones, mantenimiento y soporte técnico asociados al Servicio.

3. Duración del tratamiento

El tratamiento se mantendrá durante la vigencia de la relación contractual entre el Cliente e Itcons y mientras resulte necesario para prestar los Servicios contratados.

Una vez finalizada la relación contractual, los Datos Personales serán devueltos, exportados, bloqueados o suprimidos conforme a las instrucciones del Cliente, a las funcionalidades disponibles, a las Condiciones Generales del Servicio y a lo establecido en el capítulo 13 del presente Acuerdo.

Determinados Datos Personales podrán permanecer temporalmente en copias de seguridad aisladas hasta su eliminación conforme al ciclo de retención aplicable.

Las copias de seguridad se utilizarán exclusivamente para la recuperación ante ataques, incidentes graves, pérdida masiva de información, fallos de infraestructura o situaciones equivalentes de continuidad del servicio.

Como consecuencia de la política vigente de conservación de copias anuales, el periodo máximo durante el cual un dato eliminado del entorno de producción podría permanecer en una copia de seguridad será, según el momento de su eliminación, de hasta dos años menos un día.

Durante dicho periodo, los Datos Personales no serán objeto de consulta o tratamiento ordinario y únicamente podrán ser tratados cuando resulte imprescindible para una recuperación general del servicio.

4. Naturaleza de las operaciones realizadas

En función de la configuración y utilización de la Plataforma realizada por el Cliente, Itcons podrá efectuar las siguientes operaciones de tratamiento:

• recogida y recepción;
• registro;
• organización;
• estructuración;
• almacenamiento;
• conservación;
• consulta;
• visualización;
• modificación;
• actualización;
• clasificación;
• generación de documentos e informes;
• generación de archivos PDF, hojas de cálculo u otros formatos de exportación;
• alojamiento de fotografías, firmas, audios y documentos;
• comunicación entre usuarios autorizados por el Cliente;
• envío de comunicaciones configuradas por el Cliente;
• transcripción de audio a texto, cuando se utilice dicha funcionalidad;
• transmisión a integraciones o servicios activados por el Cliente;
• realización y restauración de copias de seguridad;
• extracción y exportación;
• bloqueo;
• supresión;
• destrucción;
• cualquier otra operación estrictamente necesaria para prestar los Servicios contratados.

5. Finalidades del tratamiento

Los Datos Personales serán tratados exclusivamente para permitir al Cliente digitalizar, organizar y gestionar sus procesos empresariales mediante la Plataforma.

En función de la configuración realizada por el Cliente, las finalidades podrán incluir, entre otras:

• gestión de partes y reportes de trabajo;
• gestión de órdenes de trabajo;
• gestión de albaranes;
• gestión de incidencias, avisos y tareas;
• gestión de proyectos;
• gestión de clientes y proveedores;
• gestión de trabajadores y usuarios;
• registro de jornada;
• gestión de horas de trabajo;
• gestión de ausencias, vacaciones, bajas y permisos;
• gestión de inspecciones y listas de comprobación;
• gestión de actuaciones y servicios;
• mantenimiento de instalaciones, equipos o activos;
• gestión de materiales, costes y existencias;
• recopilación de firmas, fotografías y evidencias;
• generación de documentos e informes;
• comunicaciones entre el Cliente, sus usuarios y los destinatarios designados;
• transcripción de grabaciones de audio;
• automatización de procesos;
• integraciones con aplicaciones o sistemas de terceros;
• cualquier otra finalidad empresarial lícita configurada por el Cliente.

La enumeración anterior tiene carácter ilustrativo y no limita las finalidades que el Cliente pueda determinar lícitamente mediante la configuración de la Plataforma.

6. Categorías de interesados

En función del uso realizado por el Cliente, los Datos Personales podrán corresponder a las siguientes categorías de interesados:

• empleados y trabajadores;
• usuarios autorizados de la Plataforma;
• representantes y administradores del Cliente;
• clientes y usuarios finales del Cliente;
• clientes potenciales;
• proveedores;
• autónomos;
• colaboradores;
• subcontratistas;
• personal de empresas contratistas o subcontratistas;
• contactos profesionales;
• destinatarios de partes, albaranes, informes o comunicaciones;
• propietarios o usuarios de activos, instalaciones o inmuebles;
• personas firmantes de documentos;
• candidatos a procesos de selección;
• cualquier otra persona cuyos datos sean incorporados por el Cliente a la Plataforma.

7. Categorías de Datos Personales

Debido al carácter configurable de la Plataforma, Itcons no determina previamente las categorías concretas de Datos Personales tratadas por cada Cliente.

En función de la configuración y del uso realizado por el Cliente, los datos podrán incluir:

7.1 Datos identificativos

• nombre y apellidos;
• nombre de usuario;
• identificadores internos;
• documento de identidad, cuando el Cliente decida incorporarlo;
• firma manuscrita;
• fotografía;
• matrícula de vehículos;
• identificadores profesionales.

7.2 Datos de contacto

• dirección postal;
• correo electrónico;
• número de teléfono;
• dirección de centros de trabajo o instalaciones;
• otros datos de contacto facilitados por el Cliente.

7.3 Datos profesionales y laborales

• empresa;
• cargo;
• departamento;
• centro de trabajo;
• categoría profesional;
• horarios;
• jornada laboral;
• horas trabajadas;
• calendario laboral;
• ausencias;
• vacaciones;
• permisos;
• información relativa a la asignación de trabajos, proyectos o tareas;
• firma y evidencias de prestación de servicios.

7.4 Datos relacionados con la actividad empresarial

• partes y reportes de trabajo;
• órdenes de trabajo;
• albaranes;
• incidencias;
• actuaciones;
• inspecciones;
• listas de comprobación;
• proyectos;
• materiales;
• costes;
• activos;
• equipos;
• ubicaciones;
• observaciones;
• documentación técnica;
• archivos adjuntos;
• grabaciones de audio;
• transcripciones;
• fotografías y evidencias.

7.5 Datos de localización

• direcciones;
• centros o ubicaciones de trabajo;
• coordenadas o datos de geolocalización, cuando el Cliente active funcionalidades que impliquen su tratamiento;
• información asociada a desplazamientos o actuaciones.

7.6 Datos económicos

Cuando el Cliente los incorpore a la Plataforma:

• importes;
• precios;
• costes;
• conceptos de facturación;
• referencias de pedidos o albaranes;
• datos relacionados con trabajos o servicios facturables.

Los datos relativos al pago de la suscripción a Itcons mediante Stripe se tratarán conforme a la relación directa existente entre Itcons y el Cliente y no necesariamente como parte del tratamiento por cuenta regulado en este Anexo.

7.7 Datos técnicos y de utilización

• dirección IP;
• fecha y hora de acceso;
• registros de actividad;
• dispositivo;
• navegador;
• sistema operativo;
• identificadores de sesión;
• acciones realizadas dentro de la Plataforma;
• registros de acceso del personal de soporte;
• información necesaria para la seguridad, monitorización y resolución de incidencias.

7.8 Categorías especiales de datos

La Plataforma no está diseñada específicamente para el tratamiento generalizado de categorías especiales de datos.

No obstante, debido a su carácter configurable, el Cliente podría incorporar información relativa a la salud, bajas médicas, discapacidad u otras categorías especiales de datos.

Cuando el Cliente decida tratar estas categorías de datos, será responsable de:

• verificar la existencia de una base jurídica válida conforme a los artículos 6 y 9 del RGPD;
• limitar los datos tratados a los estrictamente necesarios;
• informar adecuadamente a los interesados;
• establecer los plazos de conservación aplicables;
• restringir los permisos de acceso;
• aplicar las medidas reforzadas que correspondan;
• garantizar que el tratamiento no se encuentre prohibido por la normativa aplicable.

Itcons no realiza análisis biométricos de firmas, rostros o huellas ni utiliza las firmas almacenadas para identificar de manera unívoca a las personas mediante técnicas de reconocimiento biométrico.

8. Frecuencia del tratamiento

El tratamiento podrá realizarse de forma continuada durante la vigencia de los Servicios, en función de:

• la utilización de la Plataforma por el Cliente y sus usuarios;
• la creación, consulta o modificación de registros;
• la ejecución de procesos automáticos;
• el funcionamiento de las integraciones;
• las operaciones de mantenimiento y seguridad;
• la prestación de soporte técnico;
• la realización de copias de seguridad.

9. Volumen del tratamiento

El volumen de Datos Personales tratado dependerá exclusivamente del número de usuarios, registros, documentos, formularios, archivos e interesados incorporados por el Cliente.

Itcons no establece de forma general el volumen de Datos Personales que el Cliente puede tratar, sin perjuicio de los límites técnicos o comerciales asociados al plan contratado.

10. Procedencia de los Datos Personales

Los Datos Personales podrán ser incorporados a la Plataforma:

• directamente por el Cliente;
• por los usuarios autorizados por el Cliente;
• por los propios interesados;
• mediante importaciones;
• mediante formularios;
• mediante aplicaciones móviles;
• mediante API;
• mediante webhooks;
• mediante integraciones configuradas por el Cliente;
• mediante automatizaciones;
• mediante dispositivos o sistemas conectados a la Plataforma.

El Cliente será responsable de garantizar la licitud de la recogida y procedencia de los Datos Personales.

11. Destinatarios de la información

Los Datos Personales podrán ser accesibles para:

• los usuarios autorizados por el Cliente;
• los destinatarios determinados por el Cliente;
• el personal autorizado de Itcons, cuando resulte necesario para soporte, seguridad, mantenimiento o cumplimiento legal;
• los Subencargados autorizados que intervengan en la prestación de los Servicios;
• las autoridades públicas, cuando exista una obligación legal.

El Cliente será responsable de configurar correctamente los usuarios, permisos, destinatarios e integraciones de la Plataforma.

12. Acceso del personal de Itcons

El acceso del personal de Itcons a los Datos Personales no se realizará con carácter ordinario.

Dicho acceso se limitará a los supuestos en los que resulte necesario para:

• atender solicitudes de soporte del Cliente;
• investigar y resolver incidencias;
• realizar actuaciones preventivas de mantenimiento o seguridad;
• garantizar la disponibilidad e integridad de los Servicios;
• cumplir obligaciones legales.

Los accesos se realizarán exclusivamente por personal de la empresa autorizado y sujeto a deberes de confidencialidad.

Los accesos quedarán registrados mediante los mecanismos de auditoría disponibles y, cuando proceda, vinculados al ticket de soporte o al registro interno correspondiente.

13. Infraestructura y separación de los datos

La infraestructura principal utilizada para la prestación de los Servicios se encuentra alojada en centros de datos de OVHcloud dentro del Espacio Económico Europeo.

La separación de los Datos Personales dependerá del plan contratado:

• Planes Básico, Avanzado y Pro: los Clientes comparten infraestructura y base de datos, aplicándose medidas de segregación lógica destinadas a impedir el acceso a los datos correspondientes a otros Clientes.
• Plan Business: el Cliente dispone de una base de datos independiente, sin perjuicio de que determinados componentes de infraestructura o servicios auxiliares puedan ser compartidos.

En todos los planes se aplican controles de autenticación, autorización y segregación para restringir el acceso a los Datos Personales.

14. Copias de seguridad

Las copias de seguridad se realizan mediante Restic y se almacenan en un Block Storage situado en una ubicación física europea distinta de la infraestructura de producción.

La correcta ejecución de las copias es objeto de monitorización diaria.

Las copias se destinan exclusivamente a la recuperación ante:

• ataques;
• incidentes de ciberseguridad;
• pérdida masiva de información;
• fallos graves de infraestructura;
• corrupción generalizada de datos;
• situaciones equivalentes de continuidad del servicio.

Las copias de seguridad no constituyen un entorno operativo ni un archivo histórico a disposición del Cliente.

La existencia de una copia no implica que Itcons esté obligado a restaurar información individual eliminada por el Cliente.

15. Tratamientos mediante inteligencia artificial

Itcons no utiliza los Datos Personales del Cliente para entrenar modelos propios o de terceros.

Cuando el Cliente utilice funcionalidades de inteligencia artificial, transcripción o procesamiento automatizado, únicamente se enviará la información necesaria para ejecutar la funcionalidad solicitada.

Estas funcionalidades podrán ser prestadas mediante Subencargados autorizados y se encontrarán sujetas a las garantías establecidas en el presente Acuerdo.

16. Localización general del tratamiento

Con carácter general, los Datos Personales se almacenan y procesan dentro del Espacio Económico Europeo.

Determinados proveedores o funcionalidades opcionales podrán implicar transferencias internacionales de datos, que se realizarán exclusivamente mediante los mecanismos reconocidos por el capítulo V del RGPD y conforme a lo indicado en el capítulo 9 del presente Acuerdo.

ANEXO II

MEDIDAS TÉCNICAS Y ORGANIZATIVAS

1. Objeto y alcance

El presente Anexo describe las principales medidas técnicas y organizativas aplicadas por INNOVACIÓN TECNOLOGÍA Y CONSULTORÍA, S.L. —en adelante, Itcons— para proteger los Datos Personales tratados por cuenta del Cliente mediante la Plataforma.

Las medidas se aplican teniendo en cuenta:

• la naturaleza, alcance, contexto y finalidades del tratamiento;
• el estado de la técnica;
• los costes de aplicación;
• la probabilidad y gravedad de los riesgos para los derechos y libertades de las personas;
• el tipo de Servicio y plan contratado;
• la arquitectura técnica utilizada para prestar el Servicio.

Las medidas descritas podrán evolucionar como consecuencia de mejoras técnicas, cambios en la infraestructura, nuevos riesgos, modificaciones normativas o avances en las prácticas de seguridad, siempre que no se reduzca sustancialmente el nivel de protección ofrecido.

2. Organización de la seguridad

Itcons mantiene una organización interna destinada a gestionar la seguridad y protección de los Datos Personales tratados mediante la Plataforma.

Las responsabilidades relacionadas con la administración de sistemas, desarrollo, soporte, mantenimiento, continuidad y seguridad se asignan al personal correspondiente de acuerdo con sus funciones.

El acceso a los sistemas y a los Datos Personales se limita al personal de la empresa que necesite intervenir para prestar los Servicios, mantener la Plataforma, resolver incidencias o cumplir obligaciones legales.

Itcons no dispone actualmente de un Delegado de Protección de Datos formalmente designado. Las comunicaciones relativas a privacidad y protección de datos podrán dirigirse a:

[email protected]

3. Confidencialidad del personal

Las personas autorizadas para acceder a los sistemas o a los Datos Personales están sujetas a obligaciones de confidencialidad.

Estas obligaciones permanecen vigentes durante la relación profesional y, cuando corresponda, después de su finalización.

El personal recibe acceso únicamente a los recursos necesarios para desarrollar sus funciones, conforme al principio de necesidad de conocer.

Los proveedores clave que puedan tener acceso a información confidencial quedan sujetos a compromisos contractuales de confidencialidad y, cuando actúen como Subencargados del Tratamiento, a las obligaciones correspondientes en materia de protección de datos.

4. Gestión de altas, bajas y cambios de acceso

Itcons aplica procedimientos para gestionar el alta, modificación y baja de accesos del personal.

Cuando una persona se incorpora, cambia de funciones o finaliza su relación con Itcons, se revisan sus permisos y se adoptan las medidas correspondientes para:

• conceder únicamente los accesos necesarios;
• modificar los permisos cuando cambian las responsabilidades;
• retirar los accesos que dejan de ser necesarios;
• deshabilitar las cuentas asociadas a personal que deja de prestar servicios;
• reducir el riesgo de accesos no autorizados.

5. Control de acceso a la Plataforma

El acceso de los usuarios a la Plataforma requiere autenticación.

La Plataforma dispone de mecanismos de autorización y permisos destinados a limitar las acciones que cada usuario puede realizar según su perfil, funciones y configuración establecida por el Cliente.

El Cliente es responsable de:

• crear y administrar sus usuarios;
• asignar correctamente los permisos;
• retirar los accesos que dejen de ser necesarios;
• proteger las credenciales de sus usuarios;
• controlar la utilización de cuentas compartidas, cuando existan;
• revisar periódicamente las autorizaciones concedidas.

Itcons aplica controles técnicos destinados a impedir que un usuario acceda a información para la que no esté autorizado.

6. Acceso del personal de Itcons

Como regla general, el personal de Itcons no consulta el contenido de los Datos Personales alojados por el Cliente.

El acceso podrá producirse únicamente cuando resulte necesario para:

• atender una solicitud de soporte;
• investigar o resolver una incidencia;
• efectuar una actuación preventiva de mantenimiento o seguridad;
• garantizar la disponibilidad, integridad o continuidad de los Servicios;
• cumplir una obligación legal.

Siempre que resulte posible, el acceso se limita a la información estrictamente necesaria para la actuación correspondiente.

Los accesos realizados por el personal autorizado quedan registrados mediante los mecanismos de auditoría disponibles.

Cuando proceda, el acceso se vincula al ticket de soporte, incidencia o actuación interna que lo justifica.

7. Registro y trazabilidad

Itcons mantiene registros técnicos y operativos destinados a facilitar la trazabilidad de los accesos y de determinadas actuaciones realizadas sobre los sistemas.

Dependiendo del componente afectado, dichos registros podrán incluir:

• identidad o cuenta utilizada;
• fecha y hora;
• dirección IP;
• recurso o instalación a la que se ha accedido;
• acciones técnicas realizadas;
• información asociada a la incidencia;
• referencia al ticket de soporte correspondiente.

El acceso a los registros está limitado al personal autorizado.

Los registros se utilizan para fines de:

• seguridad;
• diagnóstico;
• soporte;
• investigación de incidentes;
• continuidad del servicio;
• acreditación de las actuaciones realizadas;
• cumplimiento de obligaciones legales.

8. Separación entre Clientes

La Plataforma aplica medidas destinadas a impedir el acceso de un Cliente a los Datos Personales correspondientes a otros Clientes.

La arquitectura depende del plan contratado:

8.1 Planes Básico, Avanzado y Pro

Los Clientes comparten determinados recursos de infraestructura y una base de datos común.

La separación se realiza mediante mecanismos de segregación lógica, controles de autenticación, autorización y vinculación de cada registro con el Cliente o instalación correspondiente.

Estos controles tienen como finalidad impedir que los usuarios autorizados de un Cliente accedan a la información de otros Clientes.

8.2 Plan Business

Los Clientes del Plan Business disponen de una base de datos independiente.

Determinados componentes técnicos, servidores, servicios auxiliares o recursos de infraestructura podrán continuar siendo compartidos, aplicándose en todo caso controles de acceso y segregación.

9. Infraestructura de alojamiento

La infraestructura principal de producción se encuentra alojada en OVHcloud, en la región europea.

Los Datos Personales se almacenan y procesan, con carácter general, dentro del Espacio Económico Europeo.

OVHcloud proporciona las instalaciones físicas, centros de datos, conectividad, suministro eléctrico y medidas de seguridad física asociadas a la infraestructura contratada.

Itcons administra los componentes lógicos, aplicaciones, configuraciones, bases de datos y sistemas que se encuentran bajo su responsabilidad.

10. Gestión DNS y Cloudflare

Itcons utiliza Cloudflare como gestor de DNS.

El servicio de proxy de Cloudflare no se encuentra activado para la aplicación, por lo que el tráfico ordinario de la Plataforma no es intermediado por la red proxy de Cloudflare.

Cloudflare interviene principalmente en la resolución y gestión de los registros DNS del dominio.

La utilización futura de servicios adicionales de Cloudflare requerirá la correspondiente valoración técnica y de protección de datos.

11. Seguridad de las comunicaciones

Las comunicaciones con la Plataforma se protegen mediante protocolos cifrados, incluyendo HTTPS/TLS.

Itcons mantiene certificados digitales para los dominios utilizados por la Plataforma y aplica procedimientos de renovación y mantenimiento de dichos certificados.

El cifrado en tránsito reduce el riesgo de lectura o manipulación no autorizada de la información durante su transmisión a través de redes públicas.

12. Protección de credenciales

Las credenciales de acceso se gestionan mediante mecanismos destinados a evitar su almacenamiento en texto legible cuando la naturaleza del sistema lo permite.

Itcons aplica controles de acceso sobre los sistemas que contienen credenciales, secretos técnicos, claves de integración o configuraciones sensibles.

Las credenciales administrativas y técnicas deben mantenerse confidenciales y limitarse al personal que las necesite para desarrollar sus funciones.

Cuando se detecta o sospecha que una credencial puede haber sido comprometida, se procede a su modificación, revocación o sustitución según corresponda.

13. Seguridad de red y sistemas

Itcons aplica medidas de protección de red y sistemas destinadas a reducir el riesgo de accesos no autorizados, ataques, explotación de vulnerabilidades o interrupciones del Servicio.

Estas medidas incluyen, según el sistema y componente afectado:

• firewalls;
• restricciones de acceso;
• separación de servicios;
• configuración segura de servidores;
• limitación de puertos y servicios expuestos;
• controles sobre accesos administrativos;
• revisión de configuraciones;
• actualización de sistemas;
• monitorización de disponibilidad y recursos;
• análisis de registros y alertas.

Las medidas se adaptan a las características técnicas de los distintos sistemas utilizados por Itcons.

14. Actualizaciones y mantenimiento

Itcons realiza tareas periódicas de actualización y mantenimiento de:

• sistemas operativos;
• servidores;
• bases de datos;
• dependencias;
• aplicaciones;
• librerías;
• servicios auxiliares;
• componentes de seguridad.

La prioridad y el plazo de aplicación de las actualizaciones se determinan teniendo en cuenta el riesgo, la criticidad del componente, la compatibilidad y el posible impacto sobre el Servicio.

Cuando una actualización no pueda aplicarse inmediatamente, podrán adoptarse medidas alternativas de mitigación hasta que resulte viable su implantación.

15. Desarrollo y gestión de cambios

Los cambios realizados sobre la Plataforma son gestionados por personal autorizado.

Antes de incorporar modificaciones relevantes al entorno de producción, se realizan comprobaciones destinadas a reducir el riesgo de errores, indisponibilidad, pérdida de información o vulnerabilidades.

Según la naturaleza del cambio, el proceso podrá incluir:

• desarrollo en entornos diferenciados;
• revisión técnica;
• pruebas funcionales;
• validación de compatibilidad;
• control de versiones;
• planificación del despliegue;
• supervisión posterior a la publicación;
• posibilidad de reversión o corrección.

Los datos reales de los Clientes no se utilizan para entrenar sistemas de inteligencia artificial.

Cuando resulte necesario utilizar información para pruebas o resolución de incidencias, el acceso se limitará a lo estrictamente necesario y se aplicarán las medidas de confidencialidad y control correspondientes.

16. Monitorización y alertas

Itcons dispone de mecanismos de monitorización destinados a supervisar la disponibilidad, funcionamiento y estado de los sistemas.

La monitorización se apoya, entre otras herramientas, en sistemas de métricas y visualización gestionados por Itcons, incluyendo Grafana alojado en la infraestructura de OVHcloud.

Los controles podrán incluir:

• disponibilidad de servidores y servicios;
• utilización de recursos;
• estado de procesos;
• errores de aplicación;
• rendimiento;
• funcionamiento de las copias de seguridad;
• eventos relevantes de infraestructura;
• capacidad de almacenamiento;
• alertas asociadas a fallos o comportamientos anómalos.

La monitorización permite detectar incidencias y facilitar su análisis y resolución.

17. Gestión de vulnerabilidades

Itcons realiza actividades de identificación y análisis de vulnerabilidades sobre los sistemas bajo su responsabilidad.

Estas actividades podrán incluir:

• revisión de actualizaciones disponibles;
• seguimiento de vulnerabilidades de componentes;
• análisis de configuraciones;
• revisión de registros;
• comprobaciones técnicas;
• priorización de riesgos;
• aplicación de parches;
• medidas de mitigación.

La gestión de vulnerabilidades se realiza de acuerdo con la criticidad y el riesgo razonablemente identificado.

El presente Anexo no implica que Itcons disponga de una certificación formal de seguridad ni que someta todos sus sistemas a pruebas de penetración externas con una periodicidad determinada, salvo que se indique expresamente en documentación adicional.

18. Copias de seguridad

Itcons realiza copias de seguridad automáticas mediante Restic.

Las copias se almacenan en un Block Storage situado en una ubicación física europea distinta de la infraestructura de producción.

La separación física entre producción y almacenamiento de respaldo tiene como finalidad reducir el riesgo de pérdida simultánea de los datos como consecuencia de fallos, incidentes o ataques que afecten al entorno principal.

19. Monitorización de las copias

La correcta ejecución de las copias de seguridad es objeto de monitorización diaria.

Cuando se detecta un fallo, ausencia de copia o comportamiento anómalo, se analiza la incidencia y se adoptan las actuaciones necesarias para restablecer el proceso.

Itcons realiza verificaciones periódicas destinadas a comprobar la capacidad de restauración de las copias.

20. Finalidad de las copias de seguridad

Las copias de seguridad se destinan exclusivamente a la recuperación general del Servicio en supuestos como:

• ataques;
• incidentes graves de ciberseguridad;
• pérdida masiva de información;
• corrupción generalizada de datos;
• fallos graves de infraestructura;
• situaciones de desastre;
• circunstancias equivalentes que comprometan la continuidad del Servicio.

Las copias:

• no constituyen un entorno operativo;
• no se utilizan como archivo histórico ordinario;
• no se destinan a consultas habituales;
• no se utilizan para tratamientos comerciales;
• no se utilizan para recuperar de forma ordinaria registros individuales eliminados por el Cliente.

La existencia de una copia de seguridad no implica la obligación de Itcons de restaurar información individual cuando dicha restauración no sea técnicamente viable, pueda afectar a la integridad del Servicio, comprometa información de otros Clientes o resulte desproporcionada respecto de la finalidad de las copias.

21. Retención de las copias de seguridad

Las copias están sujetas a una política rotativa de conservación.

La configuración actual mantiene una copia anual. Como consecuencia del momento en que se realice la eliminación de los datos respecto de la generación y rotación de dicha copia, el periodo máximo durante el cual determinados Datos Personales eliminados del entorno de producción podrían permanecer en una copia será de hasta dos años menos un día.

Durante ese periodo:

• los datos permanecerán aislados del uso ordinario;
• no se realizarán consultas operativas sobre ellos;
• no serán utilizados para finalidades diferentes de la recuperación ante desastres;
• serán eliminados conforme al ciclo de rotación aplicable.

La política de conservación podrá modificarse para adaptarse a las necesidades de continuidad, seguridad o infraestructura, sin ampliar de forma injustificada el periodo de permanencia de los Datos Personales.

22. Restauración y continuidad

Itcons mantiene procedimientos destinados a recuperar el Servicio cuando se produzca un incidente grave.

La restauración podrá incluir:

• recuperación de servidores;
• recuperación de bases de datos;
• recuperación de archivos;
• reconstrucción de componentes;
• validación de integridad;
• comprobación del funcionamiento;
• reactivación progresiva de los Servicios.

La prioridad de las actuaciones se determinará teniendo en cuenta la gravedad del incidente, el impacto sobre los Clientes, la disponibilidad de los sistemas y la integridad de la información.

23. Plan de continuidad y recuperación

Itcons mantiene medidas y procedimientos de continuidad y recuperación destinados a reducir el impacto de incidentes graves.

El plan contempla, de acuerdo con los sistemas y recursos disponibles:

• identificación de componentes críticos;
• monitorización de infraestructura;
• copias de seguridad separadas;
• procedimientos de restauración;
• respuesta ante fallos;
• recuperación de sistemas;
• comunicación y seguimiento de incidentes;
• revisión de las medidas aplicadas.

El contenido detallado de los procedimientos internos podrá tener carácter confidencial cuando su divulgación pueda comprometer la seguridad de la Plataforma.

24. Gestión de incidentes de seguridad

Itcons dispone de procedimientos para detectar, analizar, contener, resolver y documentar incidentes de seguridad.

Ante un incidente, las actuaciones podrán incluir:

• evaluación inicial;
• identificación de sistemas afectados;
• contención;
• protección de evidencias;
• análisis de alcance;
• corrección o mitigación;
• recuperación;
• monitorización posterior;
• documentación;
• comunicación al Cliente cuando afecte a sus Datos Personales;
• revisión de medidas preventivas.

Cuando Itcons tenga conocimiento de una violación de la seguridad que afecte a los Datos Personales tratados por cuenta del Cliente, realizará la comunicación prevista en el capítulo 11 del Acuerdo.

25. Registro de incidentes

Itcons mantiene registros internos de los incidentes de seguridad relevantes.

Los registros podrán incluir:

• fecha de detección;
• descripción del incidente;
• sistemas afectados;
• valoración inicial;
• medidas de contención;
• actuaciones realizadas;
• comunicaciones efectuadas;
• resolución;
• medidas correctoras o preventivas.

La información de seguridad se tratará como confidencial y su divulgación podrá limitarse cuando resulte necesario para proteger los sistemas, a otros Clientes o los secretos empresariales de Itcons.

26. Seguridad física

La seguridad física de los centros de datos en los que se aloja la infraestructura es responsabilidad del proveedor de alojamiento correspondiente, principalmente OVHcloud.

Las medidas del proveedor podrán incluir controles de acceso físico, vigilancia, protección ambiental, redundancia eléctrica, detección de incendios y mecanismos de continuidad propios de los centros de datos.

El personal de Itcons no administra directamente el acceso físico a dichos centros de datos.

Las instalaciones propias de Itcons aplican controles organizativos razonables para proteger los equipos, dispositivos, credenciales y documentación bajo su control.

27. Soporte y gestión de incidencias

Las solicitudes de soporte se gestionan mediante sistemas internos destinados a registrar, organizar y dar seguimiento a las incidencias.

Itcons utiliza FreeScout en modalidad autoalojada para determinadas funciones de soporte.

Los tickets podrán contener información facilitada por el Cliente necesaria para explicar o resolver una incidencia.

El Cliente debe evitar incluir en los tickets Datos Personales que no resulten necesarios para la resolución del problema.

Cuando el personal de soporte accede a una instalación o a información del Cliente, dicho acceso se registra y, cuando procede, se vincula al ticket correspondiente.

28. Comunicaciones por correo electrónico

Itcons utiliza Brevo para el envío de determinados correos electrónicos, incluyendo comunicaciones transaccionales o relacionadas con el Servicio.

Los datos enviados al proveedor se limitan a los necesarios para generar, dirigir y entregar la comunicación correspondiente.

El contenido y los destinatarios de determinadas comunicaciones podrán depender de la configuración realizada por el Cliente.

29. Notificaciones push

Itcons utiliza Firebase para la prestación de determinadas notificaciones push.

El servicio podrá tratar identificadores técnicos del dispositivo, tokens de notificación y la información mínima necesaria para entregar el aviso.

El tratamiento únicamente tendrá lugar cuando el usuario utilice un dispositivo o funcionalidad compatible y se encuentre habilitado el envío de notificaciones.

30. Transcripción de audio

La Plataforma puede utilizar servicios de Google Cloud para transcribir grabaciones de audio a texto.

Esta funcionalidad se considera opcional y únicamente tratará información cuando el Cliente o sus usuarios decidan utilizarla.

El audio se enviará exclusivamente para realizar la transcripción solicitada, conforme a las condiciones aplicables al proveedor y a las garantías previstas para los Subencargados del Tratamiento.

El Cliente deberá evitar grabar o enviar información que no resulte necesaria para la finalidad perseguida.

31. Inteligencia artificial

Itcons no utiliza los Datos Personales alojados por los Clientes para entrenar modelos propios o de terceros.

Cuando se incorporen funcionalidades de inteligencia artificial:

• su utilización podrá ser opcional;
• únicamente se tratará la información necesaria para ejecutar la solicitud;
• el tratamiento se limitará a la finalidad solicitada;
• los proveedores externos que intervengan deberán cumplir las condiciones aplicables a los Subencargados;
• no se utilizarán los Datos Personales para fines publicitarios o para el entrenamiento no autorizado de modelos.

La utilización de funcionalidades de inteligencia artificial no modifica la condición del Cliente como responsable de determinar la licitud, finalidad y contenido de los datos enviados.

32. Integraciones, API y webhooks

La Plataforma permite configurar integraciones, API, automatizaciones y webhooks.

El Cliente es responsable de:

• decidir qué integraciones activa;
• comprobar la identidad y seguridad del destinatario;
• proteger las credenciales de integración;
• limitar los datos comunicados;
• verificar que dispone de base jurídica para la transmisión;
• revocar las credenciales cuando dejen de ser necesarias.

Itcons aplica controles técnicos para autenticar y gestionar las integraciones que dependen directamente de la Plataforma.

Cuando el Cliente transmite datos a un tercero elegido directamente por él, dicho tercero podrá actuar como responsable o encargado independiente, según la relación jurídica existente entre ambos.

33. Servicios de mensajería y telefonía

Itcons podrá utilizar servicios como WhatsApp y Zadarma para comunicaciones de chat o telefonía.

El tratamiento realizado mediante estos servicios dependerá de:

• la finalidad de la comunicación;
• el canal utilizado;
• la configuración aplicada;
• la información facilitada voluntariamente por el Cliente o el interlocutor;
• la integración concreta con la Plataforma o con los servicios de soporte.

Cuando dichos servicios traten Datos Personales por cuenta del Cliente como parte de una funcionalidad contratada, se aplicarán las reglas relativas a Subencargados y transferencias internacionales.

Las comunicaciones comerciales, contractuales o de soporte propias de Itcons podrán constituir tratamientos en los que Itcons actúe como Responsable del Tratamiento.

34. Procesamiento de pagos

Itcons utiliza Stripe para procesar pagos, suscripciones y operaciones de facturación.

Los datos relacionados con la contratación y pago del Servicio se tratan principalmente en el marco de la relación directa entre Itcons y el Cliente, pudiendo Itcons actuar como Responsable del Tratamiento respecto de dichos datos.

Stripe no tendrá acceso general al contenido que los Clientes almacenan en la Plataforma por el mero hecho de procesar el pago de la suscripción.

35. Minimización

Itcons procura limitar el acceso, recogida, utilización y comunicación de Datos Personales a aquellos que resulten necesarios para prestar los Servicios y mantener la seguridad de la Plataforma.

El carácter configurable de la Plataforma implica que el Cliente controla gran parte de la información introducida.

El Cliente deberá aplicar el principio de minimización al:

• diseñar formularios;
• crear campos;
• solicitar documentos;
• configurar permisos;
• activar funcionalidades;
• determinar los plazos de conservación;
• transmitir datos mediante integraciones.

36. Disponibilidad e integridad

Itcons aplica medidas destinadas a mantener la disponibilidad e integridad de los Servicios y de los Datos Personales, incluyendo:

• monitorización;
• copias de seguridad;
• controles de acceso;
• mantenimiento de sistemas;
• gestión de incidencias;
• protección de red;
• procedimientos de restauración;
• revisión de cambios;
• registros técnicos.

Estas medidas no implican una garantía absoluta frente a cualquier incidente, pero tienen por objeto proporcionar un nivel de seguridad adecuado al riesgo.

37. Eliminación y bloqueo

La eliminación de los Datos Personales del entorno de producción se realizará conforme a las instrucciones del Cliente, las funcionalidades disponibles, la política aplicable y las condiciones de finalización del Servicio.

Cuando exista una obligación legal de conservación, determinada información podrá mantenerse bloqueada y utilizarse únicamente para:

• cumplir dicha obligación;
• atender requerimientos de autoridades;
• formular, ejercer o defender reclamaciones.

La eliminación del entorno de producción no implica la desaparición inmediata de las copias de seguridad, que seguirán el ciclo de retención descrito en este Anexo.

38. Evaluación y revisión de las medidas

Itcons revisará periódicamente las medidas técnicas y organizativas aplicadas, teniendo en cuenta:

• los incidentes detectados;
• las vulnerabilidades identificadas;
• la evolución tecnológica;
• los cambios de infraestructura;
• las modificaciones de la Plataforma;
• las nuevas funcionalidades;
• las exigencias normativas;
• las necesidades de continuidad del Servicio.

Las revisiones podrán dar lugar a mejoras en controles, procedimientos, herramientas o arquitectura.

39. Evidencias e información de cumplimiento

Itcons podrá facilitar al Cliente información razonable sobre las medidas descritas en el presente Anexo.

La información podrá consistir en:

• el presente documento;
• explicaciones técnicas;
• respuestas a cuestionarios razonables;
• relación de Subencargados;
• información sobre infraestructura;
• evidencias específicas cuando resulte proporcionado y seguro.

Itcons podrá limitar la entrega de información cuando su divulgación:

• comprometa la seguridad de los sistemas;
• afecte a otros Clientes;
• revele secretos empresariales;
• vulnere compromisos de confidencialidad;
• facilite la ejecución de ataques.

Las auditorías se regirán por lo establecido en el capítulo 12 del Acuerdo.

40. Ausencia de certificaciones declaradas

Las medidas descritas en este Anexo no implican por sí mismas que Itcons disponga de certificaciones ISO, SOC, ENS u otras certificaciones formales, salvo que Itcons comunique expresamente la obtención y vigencia de alguna de ellas.

Las referencias a estándares, buenas prácticas o principios de seguridad deben entenderse como criterios de orientación y no como una declaración de certificación.

41. Actualización del Anexo

Itcons podrá actualizar el presente Anexo para reflejar:

• mejoras de seguridad;
• cambios de infraestructura;
• sustitución de herramientas;
• incorporación de nuevas medidas;
• evolución del Servicio;
• cambios normativos.

Las actualizaciones no tendrán por objeto reducir el nivel de protección exigido por la normativa aplicable ni disminuir de forma sustancial las garantías ofrecidas al Cliente.

ANEXO III

SUBENCARGADOS DEL TRATAMIENTO

1. Autorización general

El Cliente autoriza a Itcons, con carácter general, a recurrir a los Subencargados del Tratamiento identificados en el presente Anexo cuando su intervención resulte necesaria para prestar los Servicios contratados.

Itcons exigirá a los Subencargados obligaciones en materia de protección de datos equivalentes a las establecidas en el Acuerdo, en particular respecto de:

• confidencialidad;
• seguridad;
• tratamiento conforme a instrucciones;
• asistencia en el ejercicio de derechos;
• gestión de incidentes;
• devolución o eliminación de los datos;
• contratación de otros subencargados;
• transferencias internacionales, cuando procedan.

Itcons continuará siendo responsable frente al Cliente del cumplimiento de las obligaciones de sus Subencargados en los términos establecidos por la normativa aplicable.

2. Categorías de Subencargados

Los Subencargados se clasifican en:

2.1 Subencargados generales

Son proveedores necesarios para prestar las funciones esenciales de alojamiento, almacenamiento, comunicaciones o funcionamiento de la Plataforma.

Pueden intervenir con independencia de que el Cliente active funcionalidades opcionales concretas.

2.2 Subencargados vinculados a funcionalidades opcionales

Únicamente intervienen cuando el Cliente o sus usuarios activan, configuran o utilizan la funcionalidad correspondiente.

La mera contratación de Itcons no implica necesariamente que todos los proveedores incluidos en esta categoría traten Datos Personales del Cliente.

3. Relación de Subencargados

3.1 OVHcloud

Proveedor: OVHcloud.

Servicio prestado: alojamiento de la infraestructura de producción, servidores, almacenamiento, bases de datos, archivos y Block Storage utilizado para las copias de seguridad.

Datos que puede tratar:

• Datos Personales alojados por el Cliente en la Plataforma;
• archivos y documentos;
• bases de datos;
• copias de seguridad;
• registros técnicos;
• direcciones IP y metadatos de infraestructura.

Intervención: general y necesaria para la prestación de la Plataforma.

Ubicación principal: Espacio Económico Europeo.

Infraestructura utilizada por Itcons: producción alojada en infraestructura europea de OVHcloud y copias de seguridad almacenadas en un Block Storage situado en una ubicación física europea distinta de la de producción.

Transferencias internacionales: con carácter general, no previstas respecto del alojamiento contratado por Itcons, sin perjuicio de accesos auxiliares o tratamientos que el proveedor pueda realizar conforme a sus condiciones contractuales y mecanismos legales aplicables.

3.2 Brevo

Proveedor: Brevo / Sendinblue SAS o la entidad del grupo que figure en las condiciones contractuales aplicables.

Servicio prestado: envío y gestión de correos electrónicos transaccionales relacionados con la Plataforma.

Datos que puede tratar:

• nombre;
• dirección de correo electrónico;
• identificadores del Cliente o usuario;
• contenido mínimo necesario para generar y entregar la comunicación;
• metadatos de envío, entrega, apertura, rechazo o error.

Intervención: general cuando se envían comunicaciones transaccionales desde la Plataforma.

Ubicación principal: Unión Europea, conforme al servicio contratado y a las condiciones vigentes del proveedor.

Transferencias internacionales: podrán producirse accesos o tratamientos auxiliares conforme a la infraestructura y Subencargados utilizados por el proveedor. En esos casos se aplicarán los mecanismos previstos en el capítulo V del RGPD.

3.3 Google Firebase

Proveedor: Google, a través de la entidad contratante correspondiente conforme a las condiciones aplicables a Firebase.

Servicio prestado: entrega de notificaciones push a dispositivos móviles o compatibles.

Datos que puede tratar:

• tokens o identificadores de notificación;
• identificadores técnicos del dispositivo;
• información técnica necesaria para entregar el mensaje;
• contenido de la notificación configurada o generada por la Plataforma;
• información sobre entrega o error.

Intervención: opcional. Solo interviene cuando el Cliente o sus usuarios utilizan notificaciones push.

Ubicación: determinada por la configuración, infraestructura y condiciones aplicables a los servicios de Google y Firebase.

Transferencias internacionales: pueden producirse. Se realizarán mediante decisiones de adecuación, el Marco de Privacidad de Datos UE-EE. UU., Cláusulas Contractuales Tipo u otros mecanismos legalmente válidos, según resulte aplicable.

3.4 Google Cloud

Proveedor: Google Cloud, a través de la entidad contratante correspondiente conforme a las condiciones aplicables.

Servicio prestado: transcripción automática de grabaciones de audio a texto.

Datos que puede tratar:

• grabaciones de audio enviadas por el usuario;
• voz y expresiones incluidas en la grabación;
• nombres, referencias u otros Datos Personales pronunciados;
• texto resultante de la transcripción;
• metadatos técnicos necesarios para ejecutar la solicitud.

Intervención: opcional. Solo interviene cuando el Cliente o sus usuarios utilizan expresamente la funcionalidad de transcripción.

Ubicación principal: región europea configurada para la prestación del servicio, cuando la funcionalidad y modalidad contratada lo permitan.

Transferencias internacionales: podrán producirse accesos auxiliares conforme a las condiciones del proveedor. Se aplicarán los mecanismos previstos en el capítulo V del RGPD.

Limitación de finalidad: la información se enviará únicamente para realizar la transcripción solicitada y no será utilizada por Itcons para entrenar modelos propios o de terceros.

3.5 WhatsApp

Proveedor: Meta Platforms Ireland Limited y las demás entidades o proveedores que intervengan en la prestación de WhatsApp o WhatsApp Business, según las condiciones aplicables.

Servicio prestado: comunicaciones de chat relacionadas con soporte, atención al Cliente o funcionalidades de comunicación que puedan integrarse con los Servicios.

Datos que puede tratar:

• número de teléfono;
• nombre o identificador del usuario;
• contenido de los mensajes;
• archivos, imágenes o documentos enviados;
• fecha y hora de las comunicaciones;
• metadatos técnicos y de entrega.

Intervención: opcional. Solo interviene cuando el Cliente o sus usuarios utilizan WhatsApp como canal de comunicación o cuando se habilita una integración que trate Datos Personales por cuenta del Cliente.

Ubicación: determinada por la infraestructura y condiciones aplicables al servicio de Meta.

Transferencias internacionales: pueden producirse y se someterán a los mecanismos jurídicos aplicables.

Distinción de roles: cuando WhatsApp se utilice únicamente para comunicaciones comerciales, contractuales o de soporte propias de Itcons, dicho tratamiento podrá quedar fuera del presente Acuerdo al actuar Itcons como Responsable del Tratamiento.

3.6 Zadarma

Proveedor: entidad de Zadarma que figure en el contrato o condiciones del servicio suscritas por Itcons.

Servicio prestado: centralita telefónica, gestión de llamadas y comunicaciones de voz.

Datos que puede tratar:

• números de teléfono;
• identidad o información facilitada por los interlocutores;
• fecha, hora y duración de las llamadas;
• registros de llamada;
• contenido de las comunicaciones cuando exista grabación o integración que la habilite;
• notas o metadatos asociados.

Intervención: opcional o vinculada a las comunicaciones telefónicas relacionadas con el Servicio.

Ubicación: conforme a la infraestructura, entidad contratante y condiciones vigentes del proveedor.

Transferencias internacionales: podrán producirse en función de la infraestructura utilizada por el proveedor y se someterán a los mecanismos previstos en el capítulo V del RGPD.

Distinción de roles: cuando Zadarma se utilice únicamente para comunicaciones comerciales, contractuales o de soporte propias de Itcons, Itcons podrá actuar como Responsable del Tratamiento y no como Encargado por cuenta del Cliente.

4. Servicios que no constituyen actualmente Subencargados externos

4.1 Cloudflare

Itcons utiliza Cloudflare exclusivamente para la gestión de DNS.

El proxy de Cloudflare no se encuentra activado para la aplicación, por lo que Cloudflare no intermedia con carácter ordinario el contenido ni el tráfico de la Plataforma.

Por este motivo, Cloudflare no se incluye actualmente como Subencargado general del contenido almacenado por los Clientes.

Si Itcons activase en el futuro funciones de proxy, CDN, WAF u otros servicios que implicasen tratamiento de Datos Personales por cuenta del Cliente, Cloudflare sería evaluado e incorporado, cuando procediese, a la relación de Subencargados.

4.2 Grafana

Grafana se encuentra instalado y gestionado por Itcons en su propia infraestructura alojada en OVHcloud.

El uso de software Grafana autoalojado no implica por sí mismo que un proveedor externo acceda o trate Datos Personales por cuenta del Cliente.

En consecuencia, Grafana no se considera actualmente un Subencargado independiente, sin perjuicio del papel de OVHcloud como proveedor de infraestructura.

4.3 FreeScout

FreeScout se encuentra instalado y gestionado por Itcons en infraestructura propia o contratada directamente por Itcons.

El uso de FreeScout autoalojado no implica por sí mismo que el desarrollador o proveedor del software trate Datos Personales por cuenta del Cliente.

En consecuencia, FreeScout no se considera actualmente un Subencargado independiente. La infraestructura en la que se aloje quedará cubierta por el proveedor de alojamiento correspondiente.

4.4 Stripe

Stripe procesa los pagos, suscripciones y facturación de los Servicios contratados por el Cliente.

Con carácter general, Stripe trata estos datos en el marco de la relación contractual y de facturación entre Itcons y el Cliente, respecto de la cual Itcons actúa como Responsable del Tratamiento.

Stripe no accede al contenido almacenado por los Clientes en la Plataforma por el mero hecho de procesar el pago de la suscripción.

Por ello, Stripe no se incluye con carácter general como Subencargado del tratamiento de los Datos Personales alojados por el Cliente, sin perjuicio de los roles que correspondan a Stripe conforme a sus propias condiciones y a la normativa aplicable.

5. Proveedores incorporados por el Cliente

Cuando el Cliente configure una API, webhook, automatización o integración para transmitir Datos Personales a un proveedor elegido directamente por él, dicho proveedor no se considerará automáticamente Subencargado de Itcons.

El Cliente será responsable de:

• determinar el rol del proveedor receptor;
• formalizar, cuando proceda, el contrato de encargado del tratamiento;
• comprobar sus garantías;
• valorar las transferencias internacionales;
• limitar los datos transmitidos;
• proteger las credenciales;
• desactivar la integración cuando deje de ser necesaria.

Itcons se limitará a ejecutar la configuración e instrucciones establecidas por el Cliente.

6. Incorporación y sustitución de Subencargados

Itcons podrá incorporar o sustituir Subencargados cuando resulte necesario para mantener, mejorar o ampliar los Servicios.

Los cambios materiales serán comunicados mediante:

• correo electrónico;
• aviso en la Plataforma;
• publicación en la página pública de Subencargados;
• o cualquier otro medio razonablemente adecuado.

El Cliente dispondrá de quince días naturales desde la comunicación para presentar una objeción fundada en motivos de protección de datos.

La objeción deberá identificar:

• el Subencargado afectado;
• el riesgo concreto apreciado;
• la obligación normativa que pudiera verse comprometida;
• las medidas que el Cliente considere adecuadas para solucionar la objeción.

Las Partes colaborarán de buena fe para valorar una solución razonable.

Cuando no resulte posible resolver una objeción legítima y el Subencargado sea imprescindible, se aplicará lo previsto en el capítulo 8 del Acuerdo.

7. Información pública

Itcons mantendrá una relación actualizada de Subencargados en:

https://itcons.app/subencargados

La página pública podrá contener una versión resumida de la información incluida en este Anexo, indicando al menos:

• proveedor;
• finalidad;
• carácter general u opcional;
• localización principal;
• existencia potencial de transferencias internacionales;
• fecha de incorporación o última actualización.

La actualización de la página pública no requerirá modificar el texto completo del Acuerdo cuando el cambio se haya tramitado conforme al procedimiento previsto.