Acuerdo de Encargo del Tratamiento

Responsable del tratamiento: la organización cliente.

Encargado del tratamiento: Roberto Feltrer Valero, que opera bajo el nombre comercial Asset Passport.

El tratamiento necesario para prestar Asset Passport y alojar y gestionar la información de máquinas controlada por el cliente.

Durante la vigencia del uso de Asset Passport por parte del cliente y cualquier tratamiento posterior legal o técnicamente necesario.

• alojamiento
• almacenamiento
• organización
• recuperación
• visualización
• gestión de accesos
• soporte
• seguridad
• procesos de borrado y desactivación

Potencialmente:

• empleados del cliente
• técnicos
• administradores
• usuarios
• contratistas
• contactos de proveedores o fabricantes
• otras personas cuyos datos el cliente incluya lícitamente

Potencialmente:

• nombres
• emails profesionales
• roles
• identificadores
• autoría de intervenciones
• notas técnicas que se refieran a personas
• fotografías
• documentos que contengan información personal
• información de seguridad y acceso
• otros datos personales aportados por el cliente

El cliente debe evitar subir datos de categorías especiales que no sean necesarios.

Asset Passport trata los datos por cuenta del cliente únicamente siguiendo sus instrucciones documentadas, salvo que la ley exija lo contrario. El uso del servicio y de sus funciones configuradas constituye instrucciones documentadas dentro del ámbito de este acuerdo.

Las personas autorizadas para tratar los datos están sujetas a las obligaciones de confidencialidad apropiadas.

Asset Passport mantendrá medidas técnicas y organizativas apropiadas considerando el riesgo. Entre las medidas actualmente aplicadas se encuentran:

• hash de contraseñas
• cookies de autenticación protegidas
• aislamiento entre organizaciones
• acceso basado en roles
• limitación de peticiones (rate limiting)
• registro de auditoría
• verificación en dos pasos opcional
• acceso protegido a los archivos

El cliente otorga autorización general para el uso de subencargados necesarios. Los proveedores de infraestructura y servicios actualmente relevantes pueden incluir:

• Emergent — alojamiento y servicios gestionados de la aplicación
• Google Cloud — infraestructura cloud subyacente
• Cloudflare — entrega de red y seguridad
• AWS CloudFront — entrega de determinados activos de la plataforma
• Resend — email transaccional

Asset Passport notificará a los clientes los cambios materiales de subencargados cuando sea razonablemente exigible, permitiendo objeciones por motivos legítimos de protección de datos.

Algunos subencargados o infraestructuras pueden implicar tratamientos en Estados Unidos. Las transferencias se articularán mediante los mecanismos de transferencia lícitos aplicables según el proveedor y las circunstancias.

Asset Passport prestará asistencia razonable al cliente en las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición, teniendo en cuenta la naturaleza del tratamiento y la funcionalidad disponible.

Asset Passport informará al cliente sin dilación indebida tras tener conocimiento de una brecha de seguridad de datos personales que afecte a los datos tratados por cuenta del cliente, facilitando la información relevante disponible necesaria para las obligaciones del cliente.

Asset Passport prestará asistencia razonable en evaluaciones de impacto y consultas a autoridades de control cuando sean requeridas, teniendo en cuenta el tratamiento y la información disponible.

A la terminación, y conforme a las instrucciones del cliente y a los requisitos legales, Asset Passport hará inaccesibles o eliminará los registros de la aplicación utilizando los mecanismos disponibles.

Transparencia técnica: la API actual del proveedor de almacenamiento de objetos gestionado no expone funcionalidad de borrado físico verificado de objetos, por lo que la eliminación a nivel de aplicación hace los archivos inaccesibles sin que pueda garantizarse la destrucción física inmediata en el almacenamiento subyacente.

Asset Passport pondrá a disposición del cliente la información razonablemente necesaria para demostrar el cumplimiento de sus obligaciones como encargado y cooperará con auditorías razonables, con sujeción a confidencialidad, seguridad, proporcionalidad, preaviso razonable, no perturbación del servicio y protección de otros clientes.

• tratar los datos de forma lícita
• facilitar instrucciones válidas
• mantener un acceso de usuarios apropiado
• evitar datos personales innecesarios
• atender las solicitudes de los interesados como responsable
• cumplir las obligaciones de protección de datos aplicables