Información legal
Acuerdo de tratamiento de datos
Conozca el tratamiento de datos de clientes que regula un DPA de Configurix. Solicite el acuerdo y los anexos correspondientes a su implementación.
Actualizado:
Esta página explica los aspectos del tratamiento que debe abordar con Configurix. El acuerdo vinculante identifica al cliente y al proveedor reales, las instrucciones acordadas y los anexos de implementación. Formalice el acuerdo escrito aplicable antes de que se traten datos personales por cuenta de su empresa.
Acuerdo y responsabilidades
Cuando un cliente determina por qué y cómo se utilizan sus datos personales, actúa como responsable. Cuando Configurix los trata por cuenta del cliente, sus obligaciones como encargado se definen en el acuerdo aplicable y la ley. Las funciones dependen del tratamiento real.
El DPA acordado recoge los derechos y obligaciones del responsable y los deberes del encargado. Debe leerse junto con el contrato de servicio y sus anexos de tratamiento.
Alcance y duración del servicio
Configurix se especializa en productos complejos y desarrolla configuradores y software empresarial a medida. Una implementación puede conectar selección de productos y precios con presupuestos, CRM y cualificación de consultas, calendarios y citas, materiales/BOM, trabajos, pedidos, facturación o integraciones acordadas.
Documente las funciones y los tratamientos incluidos realmente, su finalidad, el período del tratamiento y las instrucciones del cliente. Prepare el anexo con los siguientes datos.
| Aspecto que se debe acordar | Qué documentar |
|---|---|
| Servicio y finalidad | Funciones del software, operaciones de tratamiento y finalidades empresariales cubiertas. |
| Duración | Períodos del servicio y del tratamiento, y medidas al finalizar el servicio. |
| Personas y datos | Personas afectadas y campos de datos personales utilizados realmente. |
| Sistemas y ubicaciones | Alojamiento, almacenamiento, países de acceso, subencargados y sistemas conectados. |
| Seguridad y conservación | Medidas técnicas y organizativas aplicables, conservación y eliminación. |
| Instrucciones y contactos | Instrucciones autorizadas, contactos responsables y gestión de incidentes y solicitudes. |
Personas y datos personales
El alcance puede incluir a empleados del cliente que utilizan el software, clientes finales, contactos empresariales y participantes en proyectos. Identifique en el acuerdo los grupos y campos aplicables.
Los registros de productos y de negocio entran en el ámbito de datos personales cuando identifican a una persona o se relacionan con alguien identificable. Limite los datos a lo necesario para el servicio acordado.
- Datos de contacto y cuenta, como nombre, correo profesional, teléfono y dirección del proyecto
- Datos de configuración, presupuesto, cita, pedido o factura vinculados a una persona
- Mensajes, documentos e información de soporte con datos personales
- Registros técnicos, como direcciones IP, actividad de cuentas y registros relevantes
Instrucciones y confidencialidad
El tratamiento por cuenta del cliente sigue sus instrucciones documentadas, incluidas las relativas a transferencias, salvo que la ley aplicable disponga otra cosa. Registre quién puede dar instrucciones y cómo se gestionan las que entren en conflicto con la normativa de protección de datos.
El acuerdo debe regular la confidencialidad de las personas autorizadas, el acceso necesario para su trabajo y la posibilidad de que el responsable ejerza sus derechos contractuales.
Medidas técnicas y organizativas
Acuerde medidas adecuadas a los datos, los riesgos y la arquitectura conforme al artículo 32 del RGPD, cuando sea aplicable. Especifique los controles y responsabilidades de la implementación real, sin suponer que todas tienen los mismos ajustes.
El anexo de seguridad debe cubrir, según corresponda, control de acceso, cifrado, copias y restauración, disponibilidad, supervisión, gestión de incidentes y revisión o pruebas. Solicite las medidas y evidencias de su servicio previsto.
Subencargados
Registre los proveedores que tratan datos de clientes, sus tareas y el procedimiento de autorización. El artículo 28 del RGPD exige autorización previa específica o general por escrito; la autorización general incluye aviso previo y posibilidad de oponerse a los cambios propuestos.
El acuerdo debe regular obligaciones equivalentes de protección de datos para los subencargados y la responsabilidad del encargado por su actuación. Solicite la lista de proveedores y el procedimiento de cambios correspondientes a su implementación.
Alojamiento y transferencias internacionales
Identifique dónde se almacenan los datos y los países desde los que se puede acceder. Las ubicaciones dependen del alojamiento, soporte y servicios conectados acordados; solicite los destinos de la implementación real.
Cuando se apliquen las normas del RGPD sobre transferencias internacionales, documente el mecanismo y las garantías pertinentes, como una decisión de adecuación aplicable o garantías contractuales. Deben corresponder a la transferencia real; el nombre del proveedor no demuestra por sí solo estas condiciones.
Solicitudes, incidentes y asistencia
El DPA debe contemplar la asistencia para atender derechos individuales, obligaciones de seguridad, notificaciones de brechas y evaluaciones de impacto cuando corresponda, teniendo en cuenta el tratamiento y la información disponible.
Ante una violación de datos personales que afecte al tratamiento por cuenta del cliente, el encargado debe informar al responsable sin dilación indebida. Registre contactos, escalado, intercambio de información y responsabilidades en el acuerdo.
Devolución, eliminación y conservación
Al finalizar el servicio, las condiciones acordadas deben prever devolución o eliminación a elección del responsable, incluidas las copias existentes, salvo que la ley exija conservarlas. Defina formato, plazos y responsabilidades.
Documente las obligaciones de conservación y la gestión de las copias de seguridad. Solicite las condiciones de sus datos de clientes; no suponga que el plazo de conservación de consultas del sitio se aplica a su implementación de software.
Información y derechos de auditoría
El DPA debe prever la información necesaria para demostrar las obligaciones de tratamiento pertinentes y las auditorías, incluidas inspecciones, del responsable o de un auditor autorizado. Acuerde un procedimiento práctico de solicitudes y acceso.
Solicite la documentación de tratamiento y seguridad de su servicio y registre el procedimiento de revisión acordado.
Solicitar el acuerdo
Utilice el contacto regional o de protección de datos para solicitar un DPA firmado, consultar cláusulas u obtener los anexos de tratamiento de su servicio.
- Identifique su empresa y el servicio de Configurix o proyecto previsto
- Describa los datos, usuarios, requisitos de alojamiento y sistemas que desea conectar
- Solicite el alcance del tratamiento, medidas de seguridad, proveedores y detalles de transferencias
Visitantes y consultas del sitio
El tratamiento para el sitio web, las consultas empresariales y la administración de Configurix se describe en la política de privacidad del sitio. Las preferencias de analítica opcional son independientes de las instrucciones de un DPA de cliente.