1. Finalidad y partes
Este acuerdo (el «Acuerdo») establece las condiciones bajo las cuales Gestiway SAS (à compléter) (el «Sustratante») trata datos personales en representación del cliente profesional usuario de Gestiway (el «Responsable del tratamiento»), de conformidad con el artículo 28 del Reglamento (UE) 679/2016 («RGPD»).
El acuerdo forma parte integral de las condiciones generales. Se acepta al crear el espacio y se aplica durante toda la duración del uso del servicio. En caso de contradicción, el acuerdo prevalece en lo relativo a la protección de datos.
2. Descripción del tratamiento de datos
| Elemento | Descripción |
|---|---|
| Naturaleza y finalidades | Almacenamiento y tratamiento de datos necesarios para la gestión comercial del responsable del tratamiento: gestión de leads y clientes, pipeline, presupuestos, contratos y firma electrónica, facturación y seguimiento de pagos, planificación de eventos, equipos, envío de correos y seguimientos, portal de cliente, recolección de opiniones, paneles de control. |
| Personas afectadas | Prospectos y clientes del Responsable de tratamiento (particulares y contactos profesionales), contactos en el lugar durante los eventos, usuarios autorizados del Responsable de tratamiento. |
| Categorías de datos | Identidad y coordinadas (nombre, correo electrónico, teléfono, dirección, SIREN, número de TVA), información sobre los eventos (fecha, lugar, número de invitados, respuestas al cuestionario), datos contractuales y financieros (cantidades, facturas, pagos), datos de firma electrónica (nombre, correo electrónico, dirección IP, navegador, fecha y hora, imagen de la firma, huella del documento), contenido de los correos electrónicos, opiniones y notas. |
| Datos sensibles | No se espera que se registren datos sensibles en el sentido del artículo 9 del RGPD; el responsable del tratamiento se compromete a no registrarlos salvo por necesidad imperiosa y bajo su responsabilidad. |
| Duración | Duración de uso del servicio, luego devolución y eliminación según el artículo «Salida de datos». |
| Localisation | Unión Europea. |
3. Obligaciones del subcontratista
El subcontratista se compromete a:
- tratar los datos únicamente para los fines descritos y bajo instrucción documentada del responsable del tratamiento, el uso del servicio y sus configuraciones constituyen instrucciones; informa inmediatamente al responsable del tratamiento si estima que una instrucción vulnera la regulación;
- garantir la confidencialidad de los datos y asegurarse de que las personas autorizadas para tratarlos estén sujetas a una obligación de confidencialidad y hayan recibido formación en la protección de datos;
- implementar las medidas de seguridad descritas en el artículo « Seguridad »;
- No utilizar los datos para fines propios, no venderlos ni comunicarlos a terceros fuera de los subcontratistas posteriores autorizados;
- Mantener un registro de todos los tratamientos realizados en nombre del Responsable del Tratamiento (artículo 30.2 del RGPD).
4. Asistencia al Responsable del Tratamiento
El servicio proporciona al Responsable del Tratamiento herramientas que le permiten responder a las solicitudes de las personas afectadas: consulta y corrección de ficheros personales, exportación de los datos de un contacto (portabilidad), anónimización (derecho a la eliminación, conservando los documentos sujetos a obligación legal de conservación), seguimiento del consentimiento para la prospección y eliminación automática de prospectos inactivos.
Si una persona afectada se dirige directamente al subcontratista, este transmite inmediatamente la solicitud al Responsable del Tratamiento y no responde directamente a la persona, salvo instrucción contraria.
El subcontratista proporciona, a solicitud, las informaciones necesarias para realizar evaluaciones de impacto y para consultar con la autoridad de control.
5. Subcontratistas posteriores
El Responsable del Tratamiento autoriza de manera general el uso de los subcontratistas posteriores listados en la página Subcontratistas.
El subcontratista informa al Responsable del Tratamiento de cualquier adición o sustitución al menos 30 días de antelación. El Responsable del Tratamiento puede oponerse por razones razonables relacionadas con la protección de datos; en caso de ausencia de acuerdo, puede rescindir el servicio sin cargo.
El subcontratista impone a cada subcontratista posterior obligaciones de protección de datos equivalentes a las establecidas en este Acuerdo y permanece responsable de su cumplimiento.
6. Seguridad
El subcontratista pone en práctica medidas técnicas y organizacionales adecuadas, entre las que se incluyen:
| Dominio | Medidas |
|---|---|
| Aislamiento de los clientes | Base de datos compartida con aislamiento por niveles de fila mediante políticas de seguridad en PostgreSQL (PostgreSQL Row Level Security), dividida por línea en todas las tablas de negocio; cada consulta se ejecuta en el contexto de una sola empresa, con un rol no privilegiado. |
| Criptografía | HTTPS/TLS para todos los intercambios; secretos (autenticación doble, enlaces reafichables) cifrados con AES-256-GCM; tokens públicos almacenados en forma de huellas SHA-256; el almacenamiento de datos cifrado por el proveedor de alojamiento. |
| Autenticación | Contraseñas hash (bcrypt), autenticación de dos factores (TOTP), bloqueo de cuenta tras intentos fallidos repetidos, limitación del tráfico de intentos, sesiones revocables. |
| Control de acceso | Roles y permisos por espacio (dueño, administrador, miembro, contador); el acceso del personal del proveedor limitado al estrictamente necesario. |
| Trazabilidad | Diario de auditoría de acciones sensibles (conexiones, exportaciones, anonimizaciones, emisión de facturas, firmas). |
| Integridad | Facturas emitidas bloqueadas en la base de datos y firmadas con huella digital; documento de prueba para cada firma electrónica. |
| Aplicación | Encabezados de seguridad (CSP, HSTS, protección contra clickjacking), protección contra CSRF nativa, validación sistemática de entradas. |
| Continuidad | Copias de seguridad periódicas cifradas, alojadas en la Unión Europea, y un procedimiento de restauración. |
7. Violaciones de datos
El subcontratista debe notificar al responsable del tratamiento cualquier violación de datos personales en los mejores tiempos y no más de 48 horas después de haberlo conocido, para permitirle cumplir su propio plazo de notificación de 72 horas ante la CNIL (artículo 33 del RGPD).
La notificación debe especificar, en la medida de lo posible, la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o previstas. El subcontratista documenta la violación y asiste al responsable del tratamiento en sus obligaciones de información.
8. Transferencias fuera de la Unión Europea
Los datos se alojan y procesan en la Unión Europea. Ningún traslado a un país tercero se realiza sin garantías adecuadas (decisión de adecuación, cláusulas contractuales tipo) y sin previa notificación al responsable del tratamiento.
9. Salida de datos al final del contrato
El responsable del tratamiento puede exportar el conjunto completo de sus datos en cualquier momento (exportación completa en JSON, exportaciones CSV, documentos PDF y Factur-X). Al finalizar el contrato, el espacio permanece accesible en modo de solo lectura para permitir esta recuperación.
Al solicitar la eliminación del espacio, los datos se eliminan definitivamente tras un periodo de retención de 30 días, y desaparecen de las copias de seguridad al final de su ciclo de rotación, no más de 90 días después. El subcontratista conserva únicamente los datos que le exige una obligación legal para conservar.
El responsable del tratamiento sigue siendo responsable de la conservación de sus propias obligaciones (en particular, 10 años para las facturas).
10. Documentación y auditorías
El subcontratista pone a disposición la documentación necesaria para demostrar el cumplimiento de sus obligaciones. El responsable del tratamiento puede, a su propio costo y en un máximo una vez al año, realizar un auditoría por un auditor independiente, bajo secreto, con 30 días de aviso previo, sin interrumpir el servicio ni comprometer la confidencialidad de los datos de los otros clientes.
11. Obligaciones del responsable del tratamiento
- Disponer de una base legal para cada tratamiento y informar a las personas afectadas (el modelo de contrato proporcionado incluye una cláusula dedicada);
- Sólo recopile los datos necesarios y defina sus periodos de conservación;
- documentar sus instrucciones y garantizar el cumplimiento del RGPD por parte de sus usuarios;
- Gestionner les comptes et les autorisations des utilisateurs, et activer l'authentification à deux facteurs lorsque cela est approprié.
12. Contacto
Representante o delegado de protección de datos: dpo@gestiway.example.