Contrato conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) entre el Cliente (responsable del tratamiento) y AnswerAtlas, NIF 47698033N, Calle de Castelar 25, 3C, 28028 Madrid (encargado del tratamiento). Se entiende aceptado al contratar el servicio y forma parte de las Condiciones de servicio.
1. Objeto
El encargado tratará los datos personales que el Cliente incorpore a eipd.app únicamente para prestar el servicio de elaboración y gestión de evaluaciones de impacto.
2. Naturaleza y duración
- Operaciones: almacenamiento, consulta, análisis (incluido mediante IA), exportación y supresión.
- Datos: datos identificativos y de contacto de usuarios y, en su caso, los que el Cliente incluya en documentos y descripciones de tratamientos.
- Interesados: empleados y colaboradores del Cliente, y los interesados de los tratamientos evaluados.
- Duración: la del contrato de servicio.
3. Obligaciones del encargado
- Tratar los datos solo siguiendo instrucciones documentadas del Cliente.
- Garantizar la confidencialidad de las personas autorizadas.
- Aplicar medidas técnicas y organizativas adecuadas (art. 32 RGPD): cifrado en tránsito y en reposo, aislamiento por organización, control de acceso, registro de auditoría y copias de seguridad.
- No utilizar los datos del Cliente para entrenar modelos de IA.
- Asistir al Cliente en la atención de derechos de los interesados y en el cumplimiento de los arts. 32 a 36 RGPD.
- Notificar sin dilación indebida, y en todo caso en 48 horas, cualquier violación de seguridad de los datos.
- Poner a disposición la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
4. Subencargados
El Cliente autoriza de forma general la contratación de subencargados de alojamiento en la nube, procesamiento de pagos y modelos de IA, con obligaciones equivalentes a las de este contrato. El encargado informará de cambios con antelación para que el Cliente pueda oponerse. La lista actualizada está disponible a petición en privacidad@eipd.app.
5. Transferencias internacionales
Solo se realizarán con garantías adecuadas (decisión de adecuación, incluido el EU-US Data Privacy Framework, o cláusulas contractuales tipo de la Comisión Europea).
6. Fin del contrato
Al finalizar, el encargado devolverá o suprimirá los datos a elección del Cliente, salvo obligación legal de conservación, en un plazo máximo de 90 días.
7. Obligaciones del Cliente
Disponer de base jurídica para los datos que incorpore, minimizar los datos personales en los documentos que suba y dar instrucciones conformes a la normativa.