Acuerdo de Encargo de Tratamiento — DPA
Este DPA complementa el contrato cuando UESE ITALIA S.p.A. trata datos personales por cuenta de un Cliente empresarial como encargado conforme al artículo 28 RGPD. No se aplica a tratamientos respecto de los cuales UESE actúa como responsable independiente.
1. Partes, alcance y roles
El Cliente es responsable del tratamiento, o encargado principal cuando actúa por cuenta de un tercero; UESE es encargado o subencargado respecto de los tratamientos cubiertos. Las operaciones comprenden hosting, transmisión, workflow de firma, almacenamiento, soporte, evidencia, copias de seguridad y funciones técnicas solicitadas.
2. Objeto, duración, naturaleza y fines
El tratamiento tiene por objeto prestar Firmato durante el contrato y los periodos limitados de devolución, backup o conservación autorizados. Incluye recogida, consulta, organización, almacenamiento, transmisión, transformación técnica, verificación y borrado. Sus fines son exclusivamente los necesarios para el servicio y las instrucciones documentadas del Cliente.
3. Interesados y datos
Los interesados pueden ser empleados, colaboradores, clientes, proveedores, representantes, firmantes, prospectos y otras personas cuyos datos figuren en los documentos. Los datos pueden incluir identidad, contacto, rol, firma, metadatos, información contractual y cualquier dato introducido por el Cliente. El Cliente determina si puede incluir legítimamente categorías especiales o datos penales.
4. Instrucciones
UESE trata los datos únicamente conforme a instrucciones documentadas del Cliente, incluidas las transferencias internacionales, salvo obligación legal. Si una instrucción parece infringir el RGPD u otra norma, UESE lo comunicará al Cliente en la medida permitida.
5. Confidencialidad
Las personas autorizadas están sujetas a obligaciones de confidencialidad y acceden únicamente en función de sus responsabilidades y del principio de necesidad de conocer.
6. Medidas técnicas y organizativas
UESE mantiene medidas proporcionales al riesgo, según el servicio: gestión de identidad y acceso, 2FA para funciones sensibles, segregación lógica, TLS, protección/cifrado de secretos y datos cuando corresponda, backups, logging, hardening, gestión de vulnerabilidades, minimización, continuidad, respuesta a incidentes y pruebas periódicas.
7. Subencargados
El Cliente autoriza con carácter general el uso de subencargados necesarios publicados en la lista Subprocessors. UESE comunica cambios significativos con antelación razonable y permite objeciones motivadas por protección de datos. A cada subencargado se le imponen obligaciones sustancialmente equivalentes para el tratamiento encomendado.
8. Asistencia en derechos
Atendiendo a la naturaleza del tratamiento, UESE ayuda al Cliente con medidas técnicas y organizativas adecuadas para responder a solicitudes de derechos. Si UESE recibe una solicitud que claramente corresponde al Cliente, la remitirá salvo prohibición legal.
9. Violaciones de datos
UESE notificará al Cliente una violación de datos cubierta sin dilación indebida después de tener conocimiento, facilitando la información disponible sobre naturaleza, categorías, consecuencias probables y medidas. La información puede completarse por fases. La notificación no constituye reconocimiento de responsabilidad.
10. DPIA y consultas
UESE ofrece asistencia razonable, teniendo en cuenta la naturaleza del servicio y la información disponible, para evaluaciones de impacto y consultas previas que correspondan a los tratamientos del Cliente.
11. Transferencias fuera del EEE
Las transferencias internacionales se basan en un mecanismo del capítulo V RGPD, como decisión de adecuación o Cláusulas Contractuales Tipo. Cuando UESE actúe como exportador hacia un subencargado se utilizará el módulo apropiado y, cuando proceda, medidas complementarias.
12. Devolución y supresión
Al finalizar los servicios, y a elección del Cliente cuando el marco lo permita, UESE devuelve o suprime los datos tratados por su cuenta, salvo backups de ciclo limitado, pruebas legales, legal hold u obligaciones legales. Las copias retenidas permanecen protegidas y con acceso restringido.
13. Auditoría e información
UESE facilita la información razonablemente necesaria para demostrar el cumplimiento del artículo 28. Las auditorías se organizan de manera proporcional y sin comprometer seguridad o datos de otros clientes, priorizando documentación, evidencias y controles remotos. Inspecciones in situ requieren preaviso razonable salvo incidente grave o requerimiento de autoridad.
14. Responsabilidad y prevalencia
La responsabilidad entre las partes se rige por el contrato principal dentro de los límites del RGPD. En caso de contradicción sobre datos tratados por cuenta del Cliente, prevalece este DPA. No se afectan derechos de los interesados ni competencias de autoridades.
15. Versionado, prevalencia y conservación de la prueba
Firmato conserva la versión del documento puesta a disposición y, cuando el flujo de la aplicación lo prevé, la prueba de su consulta o aceptación, con fecha, cuenta e información técnica de auditoría. Los cambios sustanciales pueden requerir una nueva información o aceptación. El idioma y el país son variables independientes: el idioma determina la versión lingüística y el país determina el suplemento nacional aplicable.