Acuerdo de subcontratación

1. Objeto y calificación de las partes

El presente acuerdo regula el tratamiento de datos de carácter personal que el Creador (el « Responsable del tratamiento ») recolecta de sus Respondientes mediante los formularios que publica en Meliform, y que Kassim MONDOHA (el « Subcontratista ») trata por su cuenta.

No se aplica no a los datos de la cuenta del propio Creador, para los cuales el Subcontratista actúa como responsable del tratamiento: éstos están cubiertos por la política de privacidad.

2. Descripción del tratamiento (art. 28 § 3 del RGPD)

El Responsable del tratamiento determina solo las preguntas planteadas y, por consecuencia, las categorías de datos realmente recolectados.

3. Sus obligaciones como responsable del tratamiento

Usted se compromete a:

• disponer de una base legal válida para cada recolección que realice (consentimiento, contrato, obligación legal, interés legítimo…);
• informar a sus Respondientes, antes de que respondan, de la identidad del responsable, de las finalidades, de los destinatarios, de las duraciones de conservación y de sus derechos — la descripción o la página de introducción de su formulario es el lugar apropiado;
• no recolectar más que los datos estrictamente necesarios para su finalidad (principio de minimización);
• no recolectar datos sensibles (artículo 9 del RGPD) ni infracciones (artículo 10) sin respetar las condiciones específicas que se les aplican;
• responder a las solicitudes de ejercicio de derechos de sus Respondientes, dentro de los plazos legales;
• documentar sus instrucciones y no usar el Servicio más que conforme a las condiciones de uso;
• mantener su registro de actividades de tratamiento cuando esté obligado a ello;
• eliminar las respuestas que ya no necesite.

4. Nuestras obligaciones como subcontratista

Nos comprometemos a:

• tratar los datos solo siguiendo sus instrucciones documentadas — el uso que usted hace del Servicio y el presente acuerdo valen como instrucciones — salvo obligación legal, en cuyo caso le informaremos previamente, salvo prohibición legal;
• advertirle si una instrucción nos parece constituir una violación del RGPD;
• no usar las respuestas recolectadas para nuestros propios fines: no se explotan comercialmente, no se ceden, ni se utilizan para entrenar modelos de inteligencia artificial;
• velar por que las personas autorizadas para tratar los datos estén sometidas a una obligación de confidencialidad;
• implementar las medidas de seguridad descritas en el artículo 5;
• respetar las condiciones aplicables al recurso a un subcontratista posterior (artículo 6);
• asistirle en el cumplimiento de sus obligaciones (artículo 7);
• restituir o eliminar los datos al término del servicio (artículo 9);
• poner a su disposición la información necesaria para demostrar el cumplimiento del artículo 28 (artículo 10).

5. Medidas técnicas y organizativas (art. 32)

• cifrado de las comunicaciones en tránsito (HTTPS/TLS);
• compartimentación de los datos por cuenta y por organización, con control de acceso sistemático a cada consulta o modificación;
• autenticación mediante contraseña almacenada en forma de hash unidireccional, limitación de intentos de conexión;
• gestión precisa de derechos dentro de una organización (roles, permisos por recurso);
• registro de acciones sensibles;
• alojamiento en centros de datos ubicados en la Unión Europea, copias de seguridad regulares;
• mantenimiento actualizado de los componentes de software y aplicación de correcciones de seguridad.

6. Subcontratistas posteriores

Usted autoriza de forma general el recurso a los siguientes subcontratistas posteriores, cuya lista se actualiza en esta página:

Si activas la corrección automática de las respuestas libres en uno de tus formularios, las respuestas afectadas se transmiten al subencargado de inteligencia artificial indicado más arriba, con el único fin de compararlas con las respuestas de referencia que hayas redactado. Se transmiten: el enunciado de la pregunta, tus respuestas de referencia y el texto introducido por la persona que responde — quedando excluidas su identidad, su dirección de correo electrónico y cualquier otro dato de su cuenta. Esta función es opcional y está bajo tu control: mientras no esté activada, no se transmite ninguna respuesta.

En caso de añadir o sustituir a un subcontratista posterior, le informaremos al menos treinta días de antelación por correo electrónico o mediante una notificación en el Servicio. Usted dispondrá de este plazo para formular objeciones motivadas; en ausencia de solución, podrá rescindir eliminando los formularios correspondientes o su cuenta. Cada subcontratista posterior está sujeto a obligaciones de protección de datos equivalentes a las del presente acuerdo.

7. Asistencia, derechos de las personas e infracciones de datos

• Derechos de los Respondientes: el Servicio le da acceso a las respuestas y le permite consultarlas, exportarlas y eliminarlas, para que usted pueda responder personalmente a las solicitudes de acceso, rectificación, supresión o portabilidad. Si una solicitud nos llega directamente, la transmitiremos sin responder por usted.
• Infracción de datos: le notificaremos de cualquier infracción de datos personales referentes a sus Respondientes dentro de las cuarenta y ocho horas siguientes a su constatación, comunicándole los elementos de los que disponemos (naturaleza, categorías y volumen aproximado de datos afectados, consecuencias probables, medidas tomadas). Le corresponderá a usted proceder, en su caso, a la notificación a la autoridad de control (artículo 33) y a la información de las personas afectadas (artículo 34).
• Análisis de impacto: le proporcionaremos, a petición, la información técnica necesaria para la realización de un análisis de impacto relativo a la protección de datos y a una eventual consulta previa con la autoridad de control.

8. Transferencias fuera de la Unión Europea

El alojamiento y almacenamiento de las respuestas tiene lugar en la Unión Europea. No se realiza ninguna transferencia de respuestas fuera de la Unión, incluyendo por los subcontratistas posteriores listados en el artículo 6.

9. Destino de los datos al término del servicio

Al eliminarse un formulario, las respuestas asociadas son eliminadas. Al eliminarse su cuenta, el conjunto de formularios y respuestas de los que usted es responsable es eliminado o anonimizado. Se le invita a exportar los datos que desee conservar antes de cualquier eliminación: ésta es definitiva y no conservamos copias, salvo por las copias de seguridad técnicas temporales, cuya duración de retención no excede de treinta días.

10. Documentación y auditoría

Ponemos a su disposición, previa petición dirigida a contact@meliform.com, la información necesaria para demostrar el cumplimiento de las obligaciones del presente acuerdo. Usted puede realizar una auditoría, como máximo una vez al año y sujeta a un preaviso de treinta días, en condiciones acordadas entre las partes y que no afecten la seguridad de otros usuarios del Servicio. Los costos de la auditoría correrán por su cuenta, ya que el Servicio se proporciona de forma gratuita.

11. Responsabilidad

Cada parte responde por los daños causados por un tratamiento que viole el RGPD, bajo las condiciones de su artículo 82. El Subcontratista no es responsable, en particular, del carácter lícito de la recolección decidida por el Responsable del tratamiento, del contenido de las preguntas planteadas, ni de la información de los Respondientes.