DPA — Acuerdo de tratamiento de datos personales
Este Acuerdo de Encargo de Tratamiento (en adelante, el «DPA») regula las condiciones en las que Juan José Adán Dimeck (en adelante, el «Encargado» o «Proveedor»), como prestador del servicio syncroS&OP, trata los datos personales facilitados por el Cliente (en adelante, el «Responsable») por cuenta de éste, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).
El presente DPA forma parte integrante de las Condiciones Generales del Servicio y se aplica de forma automática a todo Cliente que cargue datos personales en la plataforma. Puede descargarse una copia firmable en PDF a través del botón inferior.
1. Objeto del tratamiento
El Encargado tratará los datos personales del Responsable con la única finalidad de prestar el Servicio syncroS&OP, incluyendo planificación de demanda, forecast, simulación de escenarios, dashboards y comunicaciones técnicas asociadas.
2. Duración
El presente DPA permanecerá en vigor mientras dure la relación contractual entre las partes. A su terminación, el Encargado devolverá o suprimirá los datos personales en un plazo máximo de 30 días, salvo obligación legal de conservación.
3. Naturaleza de los datos y categorías de interesados
- Tipos de datos: identificativos y de contacto profesional, datos de pedido, históricos de venta y operaciones, parámetros logísticos.
- Categorías de interesados: empleados, clientes y proveedores del Responsable.
- Categorías especiales: el Servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD).
4. Obligaciones del Encargado
- Tratar los datos siguiendo únicamente las instrucciones documentadas del Responsable.
- Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
- Adoptar las medidas técnicas y organizativas del art. 32 RGPD.
- Asistir al Responsable en el cumplimiento de los derechos de los interesados.
- Notificar al Responsable sin dilación indebida (y, en todo caso, en un plazo máximo de 72 horas) cualquier violación de seguridad que afecte a sus datos.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
5. Subencargados
El Responsable autoriza con carácter general la contratación de los subencargados identificados en la Política de Privacidad (Supabase, Stripe, Cloudflare y proveedores de IA). El Encargado informará al Responsable con al menos 30 días de antelación de cualquier incorporación o sustitución de subencargados, pudiendo el Responsable oponerse motivadamente.
6. Transferencias internacionales
Cuando algún subencargado realice transferencias fuera del EEE, éstas se ampararán en las cláusulas contractuales tipo aprobadas por la Comisión Europea o en otra garantía adecuada conforme al Capítulo V del RGPD.
7. Medidas de seguridad
- Cifrado en tránsito (TLS 1.2+) y en reposo (AES-256).
- Control de acceso basado en roles y políticas de seguridad de fila (RLS).
- Registros de auditoría y trazabilidad de accesos.
- Copias de seguridad cifradas con retención mínima de 30 días.
- Procedimientos de respuesta ante incidentes y pruebas periódicas.
8. Devolución y supresión
Finalizada la prestación del Servicio, el Encargado devolverá al Responsable, a su elección, los datos personales o procederá a su supresión segura, así como a la eliminación de cualquier copia existente, salvo obligación legal de conservación.
9. Responsabilidad
Cada parte responderá de los daños y perjuicios derivados del incumplimiento de sus propias obligaciones bajo el RGPD y este DPA, conforme a lo establecido en las Condiciones Generales del Servicio.