Acuerdo de tratamiento de datos

Preámbulo

Este DPA se aplica a las relaciones contractuales entre el editor PrivateCore y sus clientes profesionales. Precisa los papeles de cada parte con arreglo al RGPD, las garantías de seguridad ofrecidas por el editor y las modalidades de ejercicio de los derechos de los interesados. Forma parte integrante de las condiciones generales de venta.

Artículo 1: papeles y regímenes de tratamiento

El Cliente es responsable del tratamiento de todos los datos personales tratados a través del software PrivateCore (datos de clientes, empleados, proveedores, transacciones, etc.). Él determina los fines y los medios de esos tratamientos.

El papel del editor depende del modo de alojamiento elegido por el Cliente, indicado en su presupuesto y en sus facturas. Coexisten dos regímenes, y un mismo Cliente puede pasar de uno a otro.

• Modo «En mi casa»: encargo puntual. La instancia funciona en el equipo del Cliente. El editor no aloja nada y no posee ninguna copia de los datos. Interviene como encargado del tratamiento en el sentido del artículo 28 del RGPD únicamente para el mantenimiento a distancia aceptado explícitamente por el Cliente (túnel Tailscale activado por él), las actualizaciones de software desplegadas en su máquina y el soporte técnico solicitado por él.
• Modo «En línea»: encargo permanente. La instancia funciona en servidores alquilados por el editor en Francia. El editor es encargado del tratamiento en el sentido del artículo 28 del RGPD para la totalidad de los datos alojados, durante toda la duración del contrato, y las obligaciones del presente acuerdo le son oponibles sin restricción.

Artículo 2: objeto, naturaleza y duración del tratamiento

• Objeto. Suministro, alojamiento en su caso, mantenimiento y soporte de un software de gestión.
• Naturaleza de las operaciones. Almacenamiento, consulta, copia de seguridad, restauración, corrección de anomalías y, previa instrucción, exportación o borrado.
• Finalidad. Permitir al Cliente explotar su propio sistema de gestión. El editor no persigue ninguna finalidad propia: los datos no se analizan, ni se agregan, ni se utilizan para entrenar un modelo, ni se explotan con fines comerciales.
• Duración. La duración del contrato, prolongada por el plazo de restitución previsto en el artículo 13.

Artículo 3: categorías de datos y de personas afectadas

Las categorías de datos personales tratados dependen del uso que el Cliente haga del software, sin que el editor conozca a priori su contenido:

• Datos de clientes finales (datos de contacto, historial de la relación comercial).
• Datos de empleados y candidatos (datos de contacto, planificación, nómina, tiempo de trabajo, ausencias).
• Datos de proveedores y prestadores.
• Datos de transacciones (facturas, pagos, contabilidad).

En modo «En mi casa», estos datos permanecen físicamente en la máquina del Cliente y no son ni recogidos ni almacenados por el editor. En modo «En línea», están alojados en la instancia dedicada del Cliente, en Francia.

Artículo 4: categorías especiales de datos

El Cliente se abstiene de tratar, en una instancia alojada por el editor, datos relativos a la salud en el sentido del artículo 9 del RGPD. Su alojamiento por cuenta de un tercero está subordinado a la certificación «Hébergeur de Données de Santé» prevista en el artículo L.1111-8 del Código de salud pública francés, de la que el editor no dispone a día de hoy.

Los Clientes afectados (profesionales sanitarios, servicios de ambulancia, estructuras sociosanitarias) eligen el modo «En mi casa», en el que los datos de salud no salen de sus locales y donde el editor solo actúa en mantenimiento puntual, por invitación y bajo registro.

Las demás categorías especiales (opiniones, convicciones, afiliación sindical, datos biométricos) no son requeridas por el software. Si el Cliente las trata de todos modos, informa de ello al editor para que las medidas de seguridad se reevalúen conjuntamente.

Artículo 5: instrucciones documentadas

El editor actúa únicamente siguiendo instrucciones escritas del Cliente (correo electrónico, ticket de soporte, presupuesto firmado). Toda instrucción contraria al RGPD o al derecho francés será señalada al Cliente y podrá justificar la suspensión de la intervención.

En modo «En línea», la explotación corriente de la instancia (alojamiento, copia de seguridad, supervisión técnica) constituye una instrucción permanente derivada del propio contrato.

Artículo 6: confidencialidad

El personal del editor con acceso potencial a los datos (actualmente solo el fundador) está sujeto a un compromiso de confidencialidad escrito, prolongado más allá del fin de su misión.

Artículo 7: medidas de seguridad

El editor aplica las medidas técnicas y organizativas siguientes, comunes a los dos modos:

• Cifrado en reposo (AES-256) y en tránsito (TLS 1.3 para los flujos web, WireGuard vía Tailscale para la administración a distancia).
• Autenticación fuerte por certificado y clave privada para todo acceso de administrador.
• Registros de auditoría inmutables, con sello de tiempo, firmados criptográficamente y consultables por el Cliente.
• Tratamientos de inteligencia artificial ejecutados localmente en la instancia del Cliente: ningún contenido se transmite a un proveedor de IA externo, ningún modelo se entrena con los datos del Cliente.

Medidas propias del modo «En mi casa»: cifrado íntegro del disco mediante Apple FileVault, acceso remoto imposible mientras el Cliente no lo haya activado.

Medidas propias del modo «En línea»: instancia dedicada por Cliente, con su propia base de datos y su propio contenedor, sin base compartida entre Clientes; copias de seguridad diarias cifradas conservadas 14 días en ventana deslizante y almacenadas fuera de la máquina protegida; acceso del editor al contenido limitado a la explotación, al soporte y al restablecimiento del servicio, y registrado.

Artículo 8: subencargo

El Cliente autoriza, de manera general, el recurso a los subencargados enumerados a continuación. Toda incorporación o sustitución se notifica al Cliente al menos treinta (30) días antes de su puesta en servicio; el Cliente puede oponerse por un motivo legítimo relacionado con la protección de datos y, a falta de solución, resolver el contrato sin penalización.

• Scaleway SAS (Francia): alojamiento de las instancias en modo «En línea». Ningún papel en modo «En mi casa».
• Infomaniak Network SA (Suiza): encaminamiento de los correos transaccionales emitidos por la instancia (facturas, acuses, notificaciones), cuando el Cliente utiliza el servicio de mensajería del editor en lugar del suyo.
• Apple Inc. y Google LLC: encaminamiento de las notificaciones push hacia las aplicaciones móviles, limitado al testigo del dispositivo y al título del aviso.
• Cloudflare, Inc. (Estados Unidos): túnel del sitio comercial privatecore.fr únicamente. Ningún dato del servicio PrivateCore transita por ese canal.

Las integraciones siguientes están inactivas por defecto y solo implican a un subencargado si el Cliente las activa él mismo desde su instancia:

• Stripe Payments Europe Ltd (Irlanda, con subencargo de Stripe, Inc. en Estados Unidos): cobro en línea y pago en mesa. Los datos transmitidos son el importe, el identificador de pedido y los metadatos de la transacción; el número de tarjeta nunca es almacenado por el editor.
• Google Ireland Ltd: recuperación de las reseñas públicas a través de la API Places, y emisión de tarjetas en formato Google Wallet (nombre del titular, identificador de tarjeta).

El editor impone contractualmente a cada uno de ellos obligaciones de protección equivalentes a las del presente acuerdo y sigue siendo plenamente responsable de su ejecución ante el Cliente. Para las integraciones activadas por el Cliente, el editor responde de la configuración y de la transmisión; las condiciones propias del prestador se aplican al tratamiento que este efectúa.

Artículo 9: transferencias fuera de la Unión Europea

Los datos tratados por cuenta del Cliente permanecen en la Unión Europea: en su propio equipo en modo «En mi casa», en servidores situados en Francia en modo «En línea». No se efectúa ninguna transferencia de dato de negocio fuera de la UE o del EEE.

Esta constatación se entiende sin perjuicio de las integraciones opcionales: si el Cliente activa Stripe o los servicios de Google indicados arriba, los datos correspondientes se transmiten a esos prestadores, cuyas transferencias fuera de la Unión están amparadas por las cláusulas contractuales tipo y, en su caso, por el marco de protección de datos UE: Estados Unidos.

Dos flujos accesorios salen de la Unión sin llevar ningún dato de negocio: el encaminamiento de los correos por Infomaniak, en Suiza, país cubierto por una decisión de adecuación de la Comisión Europea; y el encaminamiento de las notificaciones push por Apple y Google, amparado por las cláusulas contractuales tipo.

Artículo 10: derechos de los interesados

El editor asiste al Cliente, en la medida de lo razonable y teniendo en cuenta la naturaleza del tratamiento, para responder a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, portabilidad, oposición) procedentes de los interesados.

Dado que las solicitudes se dirigen al Cliente en su calidad de responsable del tratamiento, este conserva la carga de la respuesta final. Cuando un interesado se dirige directamente al editor, este lo remite al Cliente sin tratar la solicitud en cuanto al fondo.

Artículo 11: notificación de violación y asistencia

En caso de violación de datos personales que afecte a los tratamientos encargados, el editor informa al Cliente en un plazo máximo de 48 horas tras la detección, con los elementos que le permitan efectuar su propia notificación a la CNIL si fuera necesario.

El editor asiste además al Cliente, a petición suya, para la realización de las evaluaciones de impacto relativas a la protección de datos y para la consulta previa a la autoridad de control, conforme a los artículos 32 a 36 del RGPD.

Artículo 12: auditoría

El Cliente puede auditar la infraestructura del editor, con un preaviso escrito de 30 días. Se ofrece una auditoría anual; toda auditoría adicional corre a cargo del Cliente (tiempo del editor facturado a la tarifa vigente). La auditoría puede realizarla el propio Cliente o un tercero de su elección, con sujeción a un compromiso de confidencialidad.

Artículo 13: fin del tratamiento

Modo «En mi casa». Todos los datos personales tratados permanecen físicamente en casa del Cliente. El editor no tiene ningún dato que restituir ni que borrar del lado del servidor, puesto que no posee ninguna copia.

Modo «En línea». A la resolución, el editor pone a disposición del Cliente una exportación completa de los datos, en formatos abiertos y explotables sin PrivateCore, durante treinta (30) días. Transcurrido ese plazo, la instancia y sus copias de seguridad se borran de manera irreversible y se expide un certificado de borrado a petición.

En ambos casos, el editor borra sus propios registros de intervención en un plazo máximo de 90 días, salvo obligación legal de conservación.

Este DPA está disponible, a petición escrita a dpo@privatecore.fr, para firma formal.