Contrato de encargo del tratamiento (DPA)

El presente contrato de encargo del tratamiento («DPA») forma parte del contrato entre Crul.Dev, que opera con el nombre comercial BuiltSign, inscrita en la Cámara de Comercio neerlandesa (Kamer van Koophandel) con el número 97533114 («Encargado del tratamiento»), y el cliente que utiliza la plataforma BuiltSign («Responsable del tratamiento»).

El presente DPA regula el tratamiento de datos personales por parte del Encargado del tratamiento por cuenta del Responsable del tratamiento en relación con la prestación del servicio de firma de documentos, de conformidad con el artículo 28 del Reglamento General de Protección de Datos (RGPD).

En el marco del servicio, el Encargado del tratamiento trata las siguientes categorías de datos personales:

• Datos identificativos de los firmantes: nombres, direcciones de correo electrónico y números de teléfono.
• Datos de firma: firmas electrónicas, iniciales y las marcas de tiempo asociadas, incluido cómo se trazó una firma dibujada (posición, presión y tiempo de los trazos), conservados como prueba de la firma.
• Datos técnicos: direcciones IP, información del dispositivo y datos del navegador de los firmantes.
• Contenido de los documentos: el contenido de los documentos subidos por el Responsable del tratamiento, en la medida en que contengan datos personales.
• Datos de verificación de identidad: resultados del escaneo de documentos y resultados de la comparación biométrica, tratados a través de nuestro socio de verificación de identidad cuando la verificación de identidad está activada para un flujo de firma. Las imágenes biométricas las trata exclusivamente el subencargado del tratamiento y BuiltSign no las almacena.

El tratamiento se realiza exclusivamente para los siguientes fines: facilitar la firma electrónica, crear y mantener registros de auditoría y ofrecer funciones de verificación de conformidad con eIDAS.

El Encargado del tratamiento trata los datos personales únicamente siguiendo instrucciones documentadas del Responsable del tratamiento, salvo que una obligación legal exija otra cosa.

• Confidencialidad: todo el personal con acceso a datos personales está sujeto a un deber de confidencialidad.
• Limitación de la finalidad: los datos personales no se tratan para fines propios del Encargado del tratamiento ni se comunican a terceros, salvo acuerdo expreso.
• Sujeción a las instrucciones: el Encargado del tratamiento sigue únicamente las instrucciones por escrito del Responsable del tratamiento.

El Encargado del tratamiento aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo:

• Cifrado en reposo (AES-256) y en tránsito (TLS 1.3) de todos los datos personales.
• Controles de acceso basados en el principio de necesidad de conocer; el acceso a los datos de producción está restringido.
• Supervisión continua de los sistemas para detectar incidentes de seguridad y accesos no autorizados.
• Copias de seguridad periódicas y cifradas, almacenadas dentro del Espacio Económico Europeo.

El Responsable del tratamiento otorga al Encargado del tratamiento una autorización general para recurrir a subencargados del tratamiento, siempre que el Encargado del tratamiento: (a) mantenga y publique una lista actualizada de subencargados del tratamiento, y (b) informe al Responsable del tratamiento con al menos 30 días de antelación de cualquier cambio previsto.

La lista actual de subencargados del tratamiento, incluida la ubicación de sus datos, está disponible en builtsign.com/legal/subprocessors.

→ /legal/subprocessors

El Responsable del tratamiento podrá formular una objeción motivada en un plazo de 30 días desde la notificación. Si no se alcanza un acuerdo, el Responsable del tratamiento podrá poner fin al contrato, mediante comunicación por escrito, en lo que respecta a la parte afectada por el subencargado del tratamiento de que se trate.

El Encargado del tratamiento asiste al Responsable del tratamiento en la atención de las solicitudes de los interesados para el ejercicio de sus derechos en virtud del RGPD (acceso, rectificación, supresión, limitación, portabilidad y oposición).

Las solicitudes de los interesados que el Encargado del tratamiento reciba directamente se remitirán al Responsable del tratamiento en un plazo de 5 días hábiles.

En caso de violación (o presunta violación) de la seguridad de los datos personales, el Encargado del tratamiento lo notificará al Responsable del tratamiento en un plazo de 48 horas desde que tenga conocimiento de la violación.

La notificación contendrá, como mínimo: una descripción de la naturaleza de la violación, las categorías y el número estimado de registros de datos personales y de interesados afectados, las posibles consecuencias y las medidas adoptadas o propuestas.

Tras la terminación, el Responsable del tratamiento dispone de 30 días para exportar todos los datos personales a través del Servicio. A continuación, el Encargado del tratamiento suprime los datos de todos los sistemas de producción en un plazo de 60 días. Las copias de seguridad se sobrescriben conforme al periodo de conservación rotativo estándar de 90 días. Las obligaciones legales de conservación, incluido el plazo de conservación de los documentos firmados, siguen siendo de aplicación.

Previa solicitud, el Encargado del tratamiento facilitará una confirmación por escrito de la supresión.

El Encargado del tratamiento pondrá a disposición del Responsable del tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el artículo 28 del RGPD.

El Responsable del tratamiento tiene derecho a encargar auditorías, siempre que se anuncien por escrito con al menos 30 días de antelación, se realicen como máximo una vez al año y tengan lugar en días hábiles dentro del horario de oficina.

El presente contrato de encargo del tratamiento se rige por el Derecho neerlandés. Los litigios se someterán al tribunal competente de Midden-Nederland (sede de Lelystad).

En caso de conflicto entre el presente DPA y otros acuerdos, prevalecerá el presente DPA en lo que respecta al tratamiento de datos personales. Esta es una traducción de la versión en inglés. En caso de discrepancia, prevalece la versión en inglés.

Cuando el tratamiento implique una transferencia de datos personales a un país situado fuera del Espacio Económico Europeo (EEE), dicha transferencia se regirá por: (a) cláusulas contractuales tipo conforme a la Decisión de Ejecución (UE) 2021/914 de la Comisión; (b) una decisión de adecuación adoptada por la Comisión Europea; o (c) otra garantía adecuada de las enumeradas en el artículo 46 del RGPD.

En builtsign.com/legal/subprocessors se publica una relación actualizada de los subencargados del tratamiento y de los mecanismos de transferencia aplicables.

Conforme a lo exigido por el artículo 28, apartado 3, del RGPD

• Objeto: Servicios de firma electrónica de documentos y de registro de auditoría prestados por BuiltSign.
• Duración: Durante la vigencia del contrato entre el Responsable del tratamiento y el Encargado del tratamiento, más los plazos legales de conservación que resulten aplicables.
• Naturaleza del tratamiento: Recogida, almacenamiento, visualización, transmisión y supresión de los datos personales necesarios para facilitar la firma de documentos electrónicos y generar registros de auditoría jurídicamente admisibles.
• Finalidad: Prestación del servicio de firma de documentos de BuiltSign, incluidas la verificación de identidad, la generación de registros de auditoría y la creación de evidencias conformes con eIDAS.
• Tipos de datos personales: Nombres, direcciones de correo electrónico, números de teléfono (opcionales), direcciones IP, datos del dispositivo y del navegador, imágenes de firmas electrónicas y cómo se trazó una firma dibujada (posición, presión y tiempo del trazo), contenido de los documentos (en la medida en que contenga datos personales) y marcas de tiempo; y, cuando la verificación de identidad está activada, los resultados de la verificación de identidad, incluidos el tipo de documento y el nombre verificado (BuiltSign no almacena las imágenes biométricas).
• Categorías de interesados: Empleados, contratistas, clientes u otras personas físicas designadas por el Responsable del tratamiento como firmantes o destinatarios en un flujo de firma de documentos.