Contrato de encargo de tratamiento

Este contrato forma parte de las condiciones de uso de la aplicación y se acepta con ellas. Regula el tratamiento de datos personales que Francisco López Fernández (NIF 85090649X), en adelante «el Encargado», realiza por cuenta del cliente que contrata StreetMapping, en adelante «el Responsable».

1. Objeto, naturaleza y finalidad

El Encargado trata los datos personales que el Responsable y sus usuarios introducen en la aplicación con la única finalidad de prestar el servicio StreetMapping: almacenarlos, mostrarlos a los usuarios autorizados, generar el historial de actividad, las alertas y las estadísticas de la propia aplicación, realizar copias de seguridad y prestar soporte técnico. También conservar en el Archivo del Responsable, sin que ningún usuario pueda verlos, los portales de agencias o usuarios que el Responsable da de baja, hasta que los reasigne a una de sus agencias o, como máximo, durante 12 meses.

Ubicación de los usuarios

La aplicación está configurada para minimizar el tratamiento de ubicación: (a) cada usuario debe leer y aceptar un aviso informativo antes de su primera jornada, quedando registrada la fecha y la versión del aviso; (b) la ubicación solo se registra entre el inicio y el fin de la jornada que marca el propio usuario, y solo con la aplicación abierta; (c) las jornadas olvidadas se cierran automáticamente a las 12 horas; (d) los demás usuarios con permisos solo ven la posición de quien tiene la jornada abierta; y (e) los registros de ubicación se suprimen automáticamente a los 12 meses.

2. Duración

Este encargo dura lo mismo que la prestación del servicio. Al terminar, se aplica lo previsto en el apartado 9.

3. Tipos de datos y categorías de interesados

El Responsable se compromete a no introducir categorías especiales de datos (salud, ideología, origen étnico, etc.) ni datos de menores.

4. Obligaciones del Encargado

1. Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son las que resultan de la configuración y uso de la aplicación y de este contrato. Si una instrucción le parece contraria a la normativa, lo comunicará inmediatamente.
2. No usar los datos para fines propios, no cederlos a terceros y no combinarlos con los de otros clientes. La información de estructura de los edificios (dirección, plantas y numeración de viviendas, sin ningún dato de personas ni de la situación de las viviendas) no es un dato personal y se rige por el apartado 7 bis de las condiciones de uso.
3. Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar la confidencialidad.
4. Aplicar las medidas de seguridad del artículo 32 del RGPD adecuadas al riesgo, entre ellas: cifrado de las comunicaciones (HTTPS), control de acceso por usuario y nivel jerárquico, contraseñas cifradas con un algoritmo irreversible (bcrypt), limitación de intentos de acceso, copias de seguridad periódicas y acceso restringido a los servidores.
5. Ayudar al Responsable a atender las solicitudes de ejercicio de derechos de los interesados. Si un interesado se dirige al Encargado, este trasladará la solicitud al Responsable sin dilación.
6. Notificar al Responsable, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible para que pueda documentarla y, en su caso, comunicarla a la autoridad de control.
7. Ayudar al Responsable, cuando sea necesario, en la realización de evaluaciones de impacto y consultas previas.
8. Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías razonables, previo aviso y a cargo del Responsable.
9. Llevar un registro de las actividades de tratamiento que realiza por cuenta del Responsable, cuando sea exigible.

5. Subencargados

El Responsable autoriza de forma general al Encargado a recurrir a proveedores necesarios para prestar el servicio, principalmente de alojamiento de servidores, copias de seguridad y correo electrónico. Para mostrar el mapa, el navegador de los usuarios descarga la cartografía de los servidores de OpenStreetMap, que reciben la dirección IP del usuario pero ningún dato de la aplicación. El Encargado impondrá a cada subencargado las mismas obligaciones de protección de datos de este contrato, mantendrá a disposición del Responsable la lista actualizada (solicitándola a info@streetmapping.es) e informará de cualquier cambio con antelación, de modo que el Responsable pueda oponerse por motivos fundados.

6. Transferencias internacionales

El Encargado no transferirá los datos fuera del Espacio Económico Europeo salvo que se cumplan las garantías del capítulo V del RGPD, informando previamente al Responsable.

7. Obligaciones del Responsable

• Disponer de una base legal para tratar los datos que introduce en la aplicación.
• Informar a sus trabajadores y colaboradores, con carácter previo, del uso de la aplicación y de los datos de actividad y ubicación (art. 90 LOPDGDD), y limitar ese uso al horario laboral y a la finalidad comunicada.
• Informar a las personas de contacto cuyos datos registre y atender sus derechos.
• Valorar si su tratamiento requiere una evaluación de impacto.
• Configurar correctamente los usuarios y permisos de su organización.

8. Confidencialidad

El deber de confidencialidad del Encargado y de su personal se mantiene incluso después de terminar el contrato.

9. Fin del encargo

Cuando termine el servicio, el Encargado conservará los datos bloqueados durante 3 meses para permitir su reactivación o exportación a petición del Responsable, y después los suprimirá, incluidas las copias, salvo que una ley obligue a conservarlos. A petición del Responsable, podrá devolverlos en un formato estructurado antes de suprimirlos.

Lo que esté en el Archivo del Responsable se suprime con el resto de sus datos. El Encargado solo entregará los datos a otro cliente si el Responsable se lo ordena por escrito con motivo de la transmisión de su negocio o cartera (artículo 21 de la LOPDGDD), mediante un acuerdo firmado por el Responsable y el adquirente.

10. Responsabilidad

Si el Encargado destina los datos a otra finalidad, los comunica o los utiliza incumpliendo este contrato, será considerado responsable del tratamiento a todos los efectos y responderá de las infracciones en que haya incurrido personalmente.