Acuerdo de tratamiento de datos

Este acuerdo (el “Acuerdo”) forma parte del contrato entre la organización que utiliza EUlabel (el “Cliente”) y Búzios e Tartarugas, Lda., Rua Gil Vicente, 2, 2775-198 Parede, Portugal (“EUlabel”). Cumple los requisitos del artículo 28 del Reglamento (UE) 2016/679 (RGPD). Los términos definidos en el RGPD tienen aquí el mismo significado.

El Cliente acepta este Acuerdo junto con los Términos de la Plataforma. No se necesita firma. El texto en portugués prevalece sobre cualquier traducción. Para recibir una copia firmada por ambas partes, escriba a legal@eulabel.eu.

1. Funciones y ámbito

1.1 Respecto a los datos personales incluidos en los Datos del Cliente, el Cliente es el responsable del tratamiento, o un encargado del tratamiento por cuenta de otro responsable, y EUlabel es el encargado del tratamiento, o un subencargado del tratamiento. El Cliente confirma que cualquier responsable por cuenta del cual actúe ha autorizado este Acuerdo.

1.2 El anexo 1 describe el objeto, la duración, la naturaleza y la finalidad del tratamiento, los tipos de datos personales y las categorías de interesados.

1.3 EUlabel es un responsable del tratamiento independiente respecto a los datos que su aviso de privacidad describe como propios: su sitio web, su boletín, el inicio de sesión, la seguridad de las cuentas y los registros contractuales. Este Acuerdo no cubre esos datos.

2. Instrucciones

2.1 EUlabel trata los datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias. Las instrucciones del Cliente son este Acuerdo, los Términos de la Plataforma, el uso que el Cliente haga del panel de control y de la API, y cualquier otra instrucción escrita que acuerden ambas partes.

2.2 Si el Derecho de la Unión o de los Estados miembros exige otro tratamiento, EUlabel informará previamente al Cliente, salvo que ese Derecho lo prohíba.

2.3 EUlabel informará de inmediato al Cliente si considera que una instrucción infringe la normativa de protección de datos, y podrá suspender esa instrucción hasta que el Cliente la confirme o la modifique.

2.4 EUlabel no vende datos personales ni los utiliza para sus propios fines.

3. Responsabilidades del Cliente

El Cliente es responsable de disponer de una base jurídica, de informar a los interesados, de la exactitud de los datos y de decidir qué se publica. Los campos públicos de los pasaportes son visibles para cualquier persona, por lo que el Cliente no debe incluir en ellos datos personales salvo que tenga intención de publicarlos. El Cliente no debe introducir categorías especiales de datos ni datos relativos a condenas penales. Cada página de producto enlaza el aviso de EUlabel, y el Cliente puede añadir el suyo en Settings → Data and legal.

4. Confidencialidad

EUlabel garantiza que todas las personas autorizadas para tratar datos personales están sujetas a una obligación de confidencialidad, contractual o legal.

5. Seguridad

5.1 EUlabel mantiene las medidas técnicas y organizativas del anexo 2, como exige el artículo 32 del RGPD.

5.2 EUlabel puede actualizar esas medidas siempre que no disminuya el nivel de protección.

5.3 El Cliente es responsable de las medidas que estén bajo su control, incluida la gestión de miembros, roles, claves de API y concesiones de acceso.

6. Subencargados del tratamiento

6.1 El Cliente otorga a EUlabel una autorización general para recurrir a subencargados del tratamiento. Los utilizados en la fecha de aceptación figuran en el anexo 3.

6.2 EUlabel notificará por correo electrónico a los propietarios de la organización del Cliente, con al menos 30 días de antelación, la incorporación o sustitución de un subencargado del tratamiento. El correo indicará el nombre del subencargado y señalará que el Cliente acepta salvo que se oponga a tiempo. Solo se aplicará un plazo más breve si el Cliente lo acepta por correo electrónico.

6.3 El Cliente puede oponerse por cualquier motivo razonable en un plazo de 14 días desde la notificación. Las partes intentarán entonces resolver la oposición, y EUlabel no utilizará al nuevo subencargado para los datos de ese Cliente hasta que la resuelvan o termine el contrato. Si no se resuelve, el Cliente podrá poner fin al contrato sin coste, y EUlabel podrá ponerle fin conforme a la sección 13 de los Términos de la Plataforma.

6.4 EUlabel vincula por contrato a cada subencargado del tratamiento a obligaciones de protección de datos que, en lo sustancial, no sean menos protectoras que las de este Acuerdo, y sigue siendo plenamente responsable ante el Cliente de la actuación del subencargado, como explica la cláusula 13.1.

6.5 Los subencargados del tratamiento recurren a sus propios subencargados, conforme a sus propias listas publicadas, que están enlazadas en la página de subencargados.

7. Transferencias fuera del EEE

7.1 EUlabel transfiere datos personales fuera del Espacio Económico Europeo únicamente siguiendo instrucciones del Cliente y con arreglo al capítulo V del RGPD. El anexo 3 identifica las transferencias y sus garantías. Al aceptar este Acuerdo, el Cliente da instrucciones a EUlabel para realizar esas transferencias.

7.2 Cuando una transferencia se base en las cláusulas contractuales tipo (Decisión de Ejecución (UE) 2021/914 de la Comisión), EUlabel ha suscrito el Módulo Tres con el subencargado del tratamiento a través de las condiciones de tratamiento de datos de ese subencargado. EUlabel facilitará una copia previa solicitud, sin las condiciones comerciales.

7.3 Si una garantía deja de ser válida, las partes recurrirán a otra garantía lícita. Si no hay ninguna disponible, EUlabel informará al Cliente, y este podrá poner fin al contrato sin coste.

7.4 Si el Cliente está establecido fuera del EEE, se aplica entre las partes el Módulo Cuatro de las mismas cláusulas, y se eligen la ley y los tribunales portugueses para ese módulo.

7.5 Si EUlabel recibe de una autoridad pública una solicitud de datos personales, remitirá a la autoridad al Cliente siempre que pueda, informará al Cliente salvo que la ley lo prohíba y divulgará únicamente lo que exija la ley.

8. Asistencia con las solicitudes de los interesados

8.1 Si EUlabel recibe de un interesado una solicitud relativa a los Datos del Cliente, la trasladará al Cliente sin dilación indebida y no la responderá, salvo para remitir a esa persona al Cliente.

8.2 EUlabel ayuda al Cliente a responder mediante el panel de control, la API y la exportación, y con la asistencia adicional razonable cuando estos medios no basten.

9. Violaciones de la seguridad de los datos personales

9.1 EUlabel notificará por correo electrónico a los propietarios de la organización del Cliente, sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tenga conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a los Datos del Cliente.

9.2 La notificación indicará, en la medida en que se conozcan, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información adicional podrá facilitarse por fases.

9.3 EUlabel adoptará medidas razonables para contener y remediar la violación, y llevará un registro de ella. La notificación de una violación no constituye una admisión de culpa.

10. Asistencia con el cumplimiento

Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, EUlabel prestará asistencia razonable al Cliente en materia de seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa (artículos 32 a 36 del RGPD).

11. Supresión o devolución de los datos

11.1 Durante el contrato, el Cliente puede exportar y suprimir por sí mismo los Datos del Cliente.

11.2 Al término del contrato, se aplica el período de extracción previsto en los Términos de la Plataforma. A continuación, EUlabel suprime los Datos del Cliente, y las copias de seguridad se sobrescriben en un plazo de 30 días, salvo que el Derecho de la Unión o de los Estados miembros le exija conservar los datos.

11.3 Durante el contrato, EUlabel suprime los registros conforme al anexo 1.

12. Auditorías e información

12.1 EUlabel pone a disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, y responde a las preguntas razonables formuladas por escrito en un plazo de 30 días.

12.2 EUlabel permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de un auditor designado por él que esté sujeto a confidencialidad. El Cliente avisará con 30 días de antelación, salvo tras una violación de la seguridad de los datos personales o cuando una autoridad de control exija otra cosa, y evitará perturbaciones no razonables.

12.3 Cuando la información prevista en la cláusula 12.1 no baste para demostrar el cumplimiento, podrá realizarse una auditoría. Las auditorías no se extienden a las instalaciones o sistemas de los subencargados del tratamiento más allá de lo que permitan sus condiciones. Sus certificaciones e informes publicados constituyen la prueba principal.

12.4 Cada parte asume sus propios costes de auditoría.

13. Responsabilidad, duración y orden de prelación

13.1 La responsabilidad entre las partes en virtud de este Acuerdo, incluida la relativa a la actuación de un subencargado del tratamiento (cláusula 6.4) y a la acción de repetición del artículo 82.5 del RGPD, se rige por la sección 18 de los Términos de la Plataforma, con las excepciones allí enumeradas y en la medida en que la ley lo permita. Nada de lo aquí dispuesto limita la responsabilidad de ninguna de las partes frente a los interesados o las autoridades de control.

13.2 Este Acuerdo permanece vigente mientras EUlabel trate Datos del Cliente.

13.3 Este Acuerdo prevalece sobre los Términos de la Plataforma en materia de protección de datos. Las cláusulas contractuales tipo, cuando sean aplicables, prevalecen sobre ambos.

13.4 EUlabel puede modificar este Acuerdo conforme a la sección 19 de los Términos de la Plataforma, o cuando lo exijan la ley o una autoridad de control. Los cambios no pueden reducir la protección del Cliente sin su acuerdo.

13.5 La ley portuguesa rige este Acuerdo, y son competentes los tribunales indicados en los Términos de la Plataforma.

Anexo 1: Descripción del tratamiento

Objeto. Alojamiento y publicación de pasaportes digitales de producto y etiquetas electrónicas del vino, resolución de identificadores de producto, control del acceso restringido y, cuando el Cliente así lo decida, recuento de escaneos.

Duración. La vigencia del contrato y el período de extracción, y después hasta que se sobrescriban las copias de seguridad.

Naturaleza y finalidad. Almacenamiento, organización, recuperación, publicación, transmisión y supresión de los Datos del Cliente, con el fin de prestar el servicio.

Categorías de interesados.

• Personas que figuran en los registros de proveedores, operadores o instalaciones, como empresarios individuales y contactos
• Personas que figuran en los pasaportes, como representantes autorizados o reparadores
• Personas u organizaciones a las que se ha concedido acceso restringido, que figuran en las concesiones de acceso
• Personas que escanean una página de producto, cuando el Cliente ha activado el recuento, durante el tiempo en que se manejan una dirección IP y los datos de la solicitud para determinar un país y excluir el tráfico automatizado. Los registros de escaneo almacenados no están destinados a identificar a nadie
• Miembros de la organización del Cliente, tal como figuran en eventos y registros

Tipos de datos personales.

• Nombres, datos de contacto profesional, números de IVA y números de localización de personas físicas en los registros de proveedores e instalaciones
• Cualquier dato que el Cliente introduzca en los campos de pasaportes, unidades y eventos
• Nombre y número de localización del beneficiario, justificación de la concesión y usuario que la creó
• Registros de lecturas restringidas: concesión, producto, número de serie, destinatario y hora
• Registros de escaneo: producto, GTIN, país y día. No se almacena ninguna dirección IP, dato del navegador ni identificador. El recuento está desactivado salvo que el Cliente lo active en Settings → Data and legal, tras facilitar un enlace a su propio aviso de privacidad. Esa es su instrucción, y su decisión como responsable del tratamiento. Los productos de vino nunca se cuentan
• Identificadores de usuario vinculados a eventos de pasaportes y unidades

Categorías especiales. Ninguna. La cláusula 3 las prohíbe.

Frecuencia. Continua.

Conservación.

Anexo 2: Medidas técnicas y organizativas

Ubicación y alojamiento. Las funciones de la aplicación se ejecutan en la región de Fráncfort. La base de datos se almacena en la región de Fráncfort. Las páginas se entregan a través de una red global, como se describe en el anexo 3.

Cifrado. Todo el tráfico utiliza TLS, con HTTP Strict Transport Security. El proveedor de la base de datos cifra los datos en reposo con AES-256.

Secretos. Las contraseñas se almacenan como hashes scrypt y se comprueban frente a violaciones de la seguridad conocidas al establecerlas. Las claves de API y los tokens de acceso se almacenan como hashes SHA-256 y se muestran una sola vez. Los secretos de autenticación de dos factores están cifrados, y los tokens de Google o Microsoft no se conservan después del inicio de sesión.

Control de acceso. Cuatro roles de organización, con permisos comprobados en cada solicitud y acción del panel de control. El acceso a los Datos del Cliente desde el panel de control y la API se comprueba frente a la organización del Cliente. Las claves de API pueden limitarse por permiso y a un proyecto, y pueden revocarse. Los miembros pueden utilizar llaves de acceso (passkeys) y autenticación de dos factores, y pueden revisar y cerrar sus sesiones. Los campos restringidos de los pasaportes se filtran en el servidor, y los tokens de acceso pueden limitarse en el tiempo y revocarse.

Seguridad de las aplicaciones. Límites de frecuencia de inicio de sesión, comprobaciones del origen de las solicitudes en los cambios autenticados mediante cookies, una política de seguridad de contenidos (Content Security Policy) y otras cabeceras de seguridad en cada aplicación, y validación de las entradas en las rutas de la API.

Gestión de cambios y vulnerabilidades. Los cambios de código pasan por comprobaciones automáticas de tipos, pruebas y auditorías de dependencias, y las actualizaciones de dependencias se supervisan automáticamente. Los informes de vulnerabilidades se dirigen a security@eulabel.eu.

Registro. Cada lectura restringida queda registrada. Los cambios de estado de los pasaportes y los eventos de las unidades se registran con su fecha y, cuando los realiza una persona, con el usuario. Todavía no existe un registro de auditoría completo de los administradores.

Disponibilidad. El proveedor de la base de datos ofrece restauración a un momento determinado. EUlabel no promete ningún tiempo de recuperación. El alojamiento incluye la mitigación de ataques DDoS de la plataforma.

Minimización de datos. Los registros de escaneo no contienen direcciones IP ni datos del navegador. Los productos de vino no se cuentan. No se ejecutan scripts de análisis ni de publicidad en ningún sitio. Una tarea diaria suprime los datos cuyo plazo de conservación ha finalizado.

Personal. El acceso a los sistemas de producción se limita a quienes lo necesitan, que están sujetos a confidencialidad.

Límites. EUlabel no dispone de certificación ISO 27001 ni SOC 2 y todavía no ha encargado ninguna prueba de penetración externa. Sus proveedores de alojamiento y de base de datos disponen de sus propias certificaciones, que figuran en la página de subencargados del tratamiento.

Anexo 3: Subencargados del tratamiento y transferencias

La lista actualizada y los enlaces a la lista propia de cada subencargado del tratamiento figuran en la página de subencargados del tratamiento.