Acuerdo de procesamiento de datos

1. Cuándo se aplica este APD

Si utiliza Smile Rain únicamente como particular para gestionar sus propias tareas y notas, el tratamiento de sus datos se rige por la Política de privacidad y este APD no le resulta aplicable. Este APD solo se aplica si usted es una organización que actúa como responsable del tratamiento y cuyo uso de Smile Rain implica el tratamiento de datos personales de sus empleados, contratistas, clientes u otros usuarios finales. En tal caso, el artículo 28 del RGPD exige un acuerdo por escrito que formalice cómo el encargado del tratamiento (Smile Rain) trata esos datos.

2. Objeto, naturaleza y duración

El tratamiento contemplado en este APD es la operación del espacio de trabajo de Smile Rain —el almacenamiento, la recuperación y la visualización del contenido que el responsable del tratamiento sube— durante la vigencia de la suscripción del responsable del tratamiento y cualquier período de conservación posterior exigido por ley. La naturaleza del tratamiento es el tratamiento automatizado del contenido del espacio de trabajo mediante infraestructura en la nube. La finalidad es proporcionar el espacio de trabajo de productividad descrito en los Términos de servicio.

3. Categorías de datos e interesados

Los datos personales tratados en virtud de este APD pueden incluir nombres, direcciones de correo electrónico, fotos de perfil, contenido de tareas kanban, contenido de notas, entradas cifradas de la bóveda y nombres de etiquetas. Los interesados son los empleados, contratistas y usuarios finales del responsable del tratamiento que acceden al espacio de trabajo. El responsable del tratamiento es responsable de asegurarse de contar con una base jurídica para subir y tratar estos datos.

4. Obligaciones del encargado del tratamiento (art. 28, apdo. 3, del RGPD)

Smile Rain, actuando como encargado del tratamiento, se compromete a:

• Tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable del tratamiento, incluidas las establecidas en este APD y en los Términos de servicio, y notificar de inmediato al responsable del tratamiento si una instrucción infringiera la legislación aplicable.
• Garantizar que el personal autorizado para tratar datos personales esté sujeto a obligaciones de confidencialidad y tenga acceso únicamente a los datos necesarios para su función.
• Aplicar las medidas técnicas y organizativas de seguridad descritas en el §6 y ayudar al responsable del tratamiento a cumplir sus propias obligaciones de seguridad.
• Respetar las condiciones del §5 para recurrir a sub-encargados del tratamiento y seguir respondiendo ante el responsable del tratamiento por cualquier sub-encargado del tratamiento que no cumpla obligaciones equivalentes.
• Ayudar al responsable del tratamiento a responder a las solicitudes de los interesados (§8) y a cumplir sus obligaciones en virtud de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa).
• Devolver o suprimir todos los datos personales, a elección del responsable del tratamiento, una vez finalizada la relación, según lo establecido en el §11.
• Poner a disposición del responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de este APD y del artículo 28 del RGPD, y contribuir a las auditorías según lo establecido en el §10.

5. Sub-encargados del tratamiento

El responsable del tratamiento otorga una autorización general para recurrir a sub-encargados del tratamiento para alojamiento, autenticación, analítica y entrega de correo electrónico. La lista actual se publica en la Política de privacidad §3. Notificaremos al responsable del tratamiento al menos 30 días antes de añadir o sustituir un sub-encargado del tratamiento. Si el responsable del tratamiento se opone, podrá rescindir los servicios afectados mediante notificación por escrito dentro de ese plazo de 30 días. Imponemos a cada sub-encargado del tratamiento obligaciones no menos protectoras que las de este APD.

6. Medidas de seguridad

Teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza y los riesgos del tratamiento, Smile Rain mantiene medidas técnicas y organizativas que incluyen: cifrado TLS en tránsito; cifrado en reposo en la capa de almacenamiento; controles de acceso basados en roles que limitan el acceso a los datos al personal autorizado; cifrado del lado del cliente para las entradas de la bóveda (la clave la conserva el responsable del tratamiento); y una revisión anual de la postura de seguridad.

7. Transferencias internacionales

Cuando sea necesaria la transferencia de datos personales a un sub-encargado del tratamiento ubicado fuera de la UE/EEE, dichas transferencias se realizarán al amparo de las Cláusulas Contractuales Tipo de la Comisión Europea —en concreto el Módulo 2 (responsable del tratamiento a encargado del tratamiento), publicadas en la Decisión (UE) 2021/914 de la Comisión— complementadas con garantías adicionales cuando una evaluación del impacto de la transferencia indique que son necesarias. Las copias de las CCT aplicables están disponibles a petición.

8. Solicitudes de los interesados

Si un interesado se pone en contacto directamente con Smile Rain para ejercer sus derechos, lo remitiremos sin demora al responsable del tratamiento. Prestaremos asistencia técnica y organizativa razonable para ayudar al responsable del tratamiento a responder a las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición dentro de los plazos impuestos por la legislación aplicable.

9. Violaciones de la seguridad de los datos personales

En caso de una violación de la seguridad de los datos personales que afecte a los datos tratados en virtud de este APD, Smile Rain notificará al responsable del tratamiento sin dilación indebida y, en cualquier caso, en un plazo de 72 horas desde que tenga conocimiento de ella. La notificación incluirá, en la medida de lo disponible: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas para hacer frente a la violación.

10. Auditorías e inspecciones

El responsable del tratamiento tiene derecho a auditar el cumplimiento por parte de Smile Rain de este APD y del artículo 28 del RGPD. Responderemos a las solicitudes de auditoría razonables por escrito en un plazo de 30 días con un resumen de nuestro programa de seguridad y las certificaciones o evaluaciones de terceros pertinentes. Las auditorías in situ requieren un preaviso por escrito de al menos 30 días, están sujetas a un acuerdo de confidencialidad firmado y podrán realizarse como máximo una vez al año, salvo que se haya producido una violación verificada.

11. Devolución o supresión de los datos

En un plazo de 90 días desde la finalización de la suscripción del responsable del tratamiento, Smile Rain, a elección por escrito del responsable del tratamiento, devolverá todos los datos personales tratados en virtud de este APD en un formato legible por máquina de uso común o los suprimirá de forma segura, salvo cuando la conservación sea exigida por el Derecho de la UE o de un Estado miembro. Confirmaremos su finalización por escrito.

12. Ejecución de este APD

Para ejecutar este APD para su organización, envíe un correo a [email protected] con el nombre de su entidad legal y los datos de contacto del firmante autorizado. Le devolveremos una copia contrafirmada en un plazo de 10 días hábiles. Hasta que se intercambie una copia firmada, su uso del espacio de trabajo como responsable del tratamiento constituye la aceptación de los términos de este APD tal como se publican.