Contrato de encargo del tratamiento

1. Definiciones

«Ley de protección de datos» significa el RGPD del Reino Unido, la Data Protection Act 2018 del Reino Unido, el RGPD de la UE y cualquier otra ley de protección de datos que se aplique al tratamiento. «Datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les da esa ley. «Servicio» tiene el significado que le dan las Condiciones.

2. Qué cubre este DPA

Este DPA no cubre los datos que usamos para nuestros propios fines, como los datos de la cuenta, la facturación, la prevención del fraude y los registros de pedidos que conservamos por obligación legal. De esos datos somos responsables del tratamiento, y la Política de privacidad lo explica.

3. Tus responsabilidades

• Tú decides por qué se tratan los datos de tus visitantes y te aseguras de tener una base jurídica para ello.
• Informas a tus visitantes y compradores de cómo usas sus datos, por ejemplo en tu propio aviso de privacidad enlazado desde tu página.
• Obtienes el consentimiento cuando la ley lo exige, por ejemplo antes de conectar la API de Conversiones de Meta, si la ley del lugar donde están tus visitantes exige consentimiento para ello.
• Solo nos das instrucciones lícitas. Tus ajustes en el Servicio son tus instrucciones.

4. Nuestras responsabilidades

• Tratamos los datos personales solo según tus instrucciones documentadas, que son estas Condiciones, este DPA y tus ajustes, salvo que la ley exija otra cosa. Si creemos que una instrucción infringe la ley, te lo decimos.
• Todas las personas de LoadFocus LTD que pueden acceder a los datos están obligadas a mantenerlos confidenciales.
• Protegemos los datos con las medidas del apartado 5.
• Usamos subencargados solo como indica el apartado 6.
• Te ayudamos a responder a las solicitudes de los interesados (apartado 7) y con tus obligaciones de seguridad, notificación de violaciones y evaluaciones de impacto, en la medida en que lo permita la naturaleza del tratamiento.
• Suprimimos o te devolvemos los datos al terminar el Servicio (apartado 9).
• Te damos la información que necesitas para demostrar que cumplimos el artículo 28, y permitimos auditorías como indica el apartado 10.

5. Medidas de seguridad

• Cifrado en tránsito: las páginas, la app y nuestras API se sirven por HTTPS.
• Acceso: la base de datos y el almacén de sesiones solo aceptan conexiones de nuestros propios servidores y exigen contraseña. Solo el personal que lo necesita para su trabajo puede acceder a los sistemas de producción.
• Secretos: las claves y contraseñas se guardan en AWS Systems Manager Parameter Store, nunca en nuestro código.
• Cuentas: inicio de sesión con Google; cualquier contraseña almacenada se guarda como hash con bcrypt; las sesiones usan cookies seguras y HTTP-only.
• Protección contra abusos: límites de frecuencia en el inicio de sesión y el registro, y comprobaciones de que las solicitudes vienen de nuestro propio sitio.
• Minimización de datos: las direcciones IP de los compradores se guardan solo como un hash unidireccional acortado; los identificadores de tarjeta de los pagos fallidos se conservan hasta 48 horas.

Revisamos estas medidas cuando cambia el Servicio. La página de seguridad explica cómo notificar una vulnerabilidad.

6. Subencargados del tratamiento

Nos autorizas a usar estos subencargados para los datos que cubre este DPA:

Cada subencargado está obligado por un contrato escrito con condiciones de protección de datos al menos tan protectoras como este DPA. Seguimos siendo responsables de ellos.

Te avisamos de un nuevo subencargado por email al menos 30 días antes de que empiece. Puedes oponerte por email en ese plazo, indicando tus motivos. Si no podemos atender tu objeción, puedes cerrar tu cuenta y te reembolsamos las cuotas prepagadas por el tiempo que no hayas usado.

7. Solicitudes de los interesados

Si un visitante o comprador nos pide acceder a sus datos, rectificarlos o suprimirlos, te trasladamos la solicitud sin demora y no la respondemos nosotros, salvo que la ley nos obligue. Puedes escribir a hello@more.you y te ayudamos a encontrar, exportar o suprimir los datos de esa persona.

8. Violaciones de la seguridad de los datos personales

Si tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a datos bajo este DPA, te lo comunicamos sin dilación indebida y, en todo caso, en un plazo de 48 horas. Te decimos qué ha pasado, qué datos y a cuántas personas afecta, qué estamos haciendo al respecto y con quién puedes contactar. Te enviamos más detalles a medida que los conozcamos.

9. Supresión al final

Cuando cierras tu cuenta, tus páginas dejan de estar publicadas y dejamos de tratar los datos por ti. Los suprimimos en un plazo de 90 días, salvo que la ley nos obligue a conservarlos. Antes de cerrar tu cuenta, puedes pedirnos en hello@more.you una copia de tus estadísticas y pedidos.

10. Información y auditorías

Si lo pides, respondemos a preguntas razonables por escrito sobre cómo protegemos los datos. Si esas respuestas no bastan para demostrar que cumplimos este DPA, o lo pide una autoridad de control, puedes auditarnos una vez al año, con 30 días de preaviso, en horario laboral, a través de un auditor independiente obligado por confidencialidad. La auditoría corre por tu cuenta.

11. Transferencias internacionales

Estamos en el Reino Unido y nuestros servidores están en Estados Unidos. Cuando los datos personales del Reino Unido o del Espacio Económico Europeo van a un país sin decisión de adecuación, usamos un mecanismo de transferencia que la ley reconoce: la Extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario está certificado, o las cláusulas contractuales tipo de la UE con el Anexo del Reino Unido.

Cuando estás en el Espacio Económico Europeo y recibimos datos personales de ti, las cláusulas contractuales tipo de la UE (módulo 2, de responsable a encargado, o módulo 3 cuando tú mismo eres encargado) se aplican entre tú y nosotros y forman parte de este DPA. La cláusula 7 no se aplica, se aplica la opción 2 de la cláusula 9 con el plazo de aviso del apartado 6, el texto opcional de la cláusula 11 no se aplica, y las cláusulas 17 y 18 eligen la ley y los tribunales de Irlanda. Los anexos son los apartados 2, 5 y 6 de este DPA.

12. Responsabilidad, orden de los documentos y ley aplicable

Los límites de responsabilidad de las Condiciones se aplican a este DPA, salvo donde la ley de protección de datos no los permita. Si este DPA y las Condiciones discrepan sobre datos personales, prevalece este DPA. Si las cláusulas contractuales tipo y este DPA discrepan, prevalecen las cláusulas.

Este DPA se rige por la misma ley que las Condiciones, salvo que el apartado 11 o la ley de protección de datos disponga otra cosa. Podemos actualizarlo para seguir la ley o los cambios del Servicio, y te avisamos por email antes de un cambio que reduzca tu protección.

13. Contacto

Preguntas sobre este DPA: hello@more.you.