Acuerdo de tratamiento de datos

Este acuerdo cubre los datos personales que contienen los documentos que un cliente sube a Vaario («datos del cliente»). Para esos datos, el cliente es el responsable del tratamiento y Vaario es su encargado. Forma parte de los Términos del servicio de Vaario y se aplica junto con ellos. Para los datos que Vaario conserva sobre el cliente como usuario (correo electrónico, registros de inicio de sesión y de uso), Vaario es responsable del tratamiento, como explica la política de privacidad.

El cliente es la persona u organización titular de la cuenta de Vaario. El encargado es [NOMBRE DE LA ENTIDAD], [DOMICILIO SOCIAL], Estonia, código de registro [CÓDIGO DE REGISTRO] («Vaario»). La norma aplicable es el Reglamento General de Protección de Datos de la UE (Reglamento (UE) 2016/679, el «RGPD»), que Vaario aplica a todos los clientes, estén donde estén.

El objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y los interesados están en el Anexo I.

• Vaario trata los datos del cliente solo según las instrucciones documentadas del cliente. Los Términos, este acuerdo y el uso que el cliente hace de las funciones del producto son la totalidad de sus instrucciones.
• Vaario no trata los datos del cliente para fines propios. En particular, no usa los datos del cliente para entrenar, ajustar ni mejorar ningún modelo de IA, ni propio ni ajeno, y su proveedor de IA tiene la misma instrucción.
• Si Vaario considera que una instrucción infringe el RGPD u otra norma de protección de datos de la UE, se lo comunica al cliente de inmediato.
• Vaario trata los datos del cliente solo según sus instrucciones, salvo que el Derecho de la UE o de un Estado miembro exija otra cosa. En ese caso se lo comunica al cliente antes del tratamiento, salvo que la ley lo prohíba.

Vaario se asegura de que todas las personas a las que permite tratar datos del cliente se hayan comprometido a la confidencialidad o estén sujetas a una obligación legal de confidencialidad. El personal de Vaario no abre los documentos del cliente salvo a petición del cliente (por ejemplo, para dar soporte) o cuando la ley lo exija.

Vaario aplica las medidas técnicas y organizativas del Anexo II, que tienen en cuenta el estado de la técnica, el coste, la naturaleza del tratamiento y el riesgo para las personas afectadas (art. 32). Las revisa cada vez que cambia la forma de tratar los documentos.

• El cliente da a Vaario una autorización general por escrito para usar los subencargados del Anexo III.
• Vaario avisa con al menos 30 días de antelación antes de añadir o sustituir un subencargado, actualizando la página de subencargados y escribiendo al correo de cada cuenta. Durante ese tiempo el cliente puede oponerse por motivos razonables de protección de datos. Vaario lo habla entonces con el cliente; si no se encuentra una solución, el cliente puede dejar de usar el servicio para ese tratamiento y poner fin al contrato.
• Vaario vincula a cada subencargado con obligaciones de protección de datos que en esencia son las mismas que estas, y sigue siendo responsable ante el cliente de lo que hagan sus subencargados.

La base de datos y todas las peticiones de IA se quedan en la UE. Cuando un subencargado accede a datos fuera de la UE/EEE, Vaario se apoya en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea. El envío de notas de revisión por correo es el único caso en el que el texto de un contrato que el cliente decide enviar sale de la UE; la política de privacidad lo explica, junto con los límites del tratamiento solo en la UE.

• Solicitudes de los interesados. Si una persona cuyos datos están en un documento del cliente escribe a Vaario, Vaario traslada la solicitud al cliente sin demora y no la responde por sí misma. Vaario ayuda al cliente a responder esas solicitudes con las herramientas del producto (por ejemplo, la exportación de datos) y con medidas técnicas.
• Seguridad, violaciones y evaluaciones de impacto. Vaario ayuda al cliente a cumplir sus obligaciones de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone.

Si Vaario tiene conocimiento de una violación de la seguridad que provoque la destrucción, pérdida o alteración accidental o ilícita de datos del cliente, o la comunicación o el acceso no autorizados a ellos, se lo comunica al cliente sin dilación indebida. Le da lo que sepa de lo que pide el artículo 33.3: qué ha ocurrido y qué datos están implicados, a quién dirigirse, las posibles consecuencias y lo que Vaario está haciendo al respecto, y lo completa a medida que sepa más. El cliente, como responsable, decide si notifica a su autoridad de control y a las personas afectadas, y Vaario le ayuda a hacerlo.

• Durante el contrato, el cliente puede exportar sus datos desde Ajustes y eliminar cualquier documento, o toda la cuenta, en cualquier momento. Los documentos que nadie ha usado se eliminan pasado el plazo de conservación que elige el cliente (30 días por defecto), tras un aviso por correo.
• Al terminar, cuando se elimina la cuenta, Vaario borra los datos del cliente de sus sistemas en producción de inmediato, junto con los archivos que almacena. El cliente debe exportar antes lo que quiera conservar, porque la supresión no se puede deshacer.
• Las copias que queden en las copias de seguridad de un proveedor se eliminan cuando esas copias caducan según el calendario del proveedor; Vaario no las usa para nada más.
• Vaario no conserva nada más tiempo, salvo que el Derecho de la UE o de un Estado miembro lo exija.

A petición, Vaario da al cliente la información necesaria para demostrar que cumple este acuerdo, como su resumen de seguridad y respuestas al cuestionario de cumplimiento estándar del cliente, con un compromiso de confidencialidad. El cliente, o un auditor que designe y que esté sujeto a confidencialidad, también puede auditar a Vaario, incluso mediante inspección, una vez al año y después de una violación de la seguridad de los datos personales. El cliente avisa con al menos 30 días de antelación, la auditoría se hace en horario laboral sin interrumpir el servicio y no alcanza los datos de otros clientes ni nada que debilite la seguridad. Cada parte asume sus costes, salvo que la auditoría demuestre que Vaario no cumplió este acuerdo.

El cliente se asegura de tener una base jurídica para subir los documentos y que se traten como se describe aquí, y de que sus instrucciones son lícitas. Lo que debe confirmar al subir un documento está en los Términos (secciones 5 y 7).

La responsabilidad derivada de este acuerdo se rige por la cláusula de responsabilidad de los Términos, sin limitar los derechos que el artículo 82 del RGPD da a un interesado frente a cualquiera de las partes. Este acuerdo se rige por el RGPD y por la ley y los tribunales que indican los Términos. Si este acuerdo y los Términos se contradicen en el tratamiento de datos del cliente, prevalece este acuerdo.

La misma lista, con lo que recibe cada uno, está en la página de subencargados.