Acuerdo de encargo del tratamiento

Este acuerdo forma parte de las condiciones de guruburu Care y abarca todas las webs que alojamos para ti. Es el contrato que exige el artículo 28 del RGPD (Reglamento (UE) 2016/679), celebrado en forma electrónica cuando aceptas las condiciones: no hay nada más que firmar.

Quién es quién

Tú, el cliente que figura en la cuenta, eres el responsable del tratamiento de los datos personales de tus webs. Nosotros, Vălcăneanțu Alin-Ștefan PFA (número fiscal 44410738, F35/197/2024), Timișoara, Rumanía, somos tu encargado del tratamiento.

Si tú mismo eres encargado del tratamiento de otra persona, por ejemplo una agencia que aloja las webs de sus clientes, nosotros somos tu subencargado, y tú te aseguras de que tu cliente lo ha autorizado.

Qué tratamos

Finalidad: alojar tus webs de WordPress y mantenerlas: hacerlas funcionar, hacer sus backups, probar y aplicar actualizaciones, vigilar que responden, restaurarlas, migrarlas a nosotros, soporte e intervención técnica.
Naturaleza: almacenamiento, copia (backups, la copia de staging y la copia en la que se prueban las actualizaciones), lectura para comprobaciones y capturas de pantalla, envío entre nuestros servidores y supresión.
Duración: lo que dure el contrato, y después hasta que se borra la web, 30 días después de que termine el plan, y sus backups 7 días más tarde.
Datos: lo que contengan tus webs. Normalmente nombres, correos electrónicos y direcciones postales, números de teléfono, cuentas de usuario y hashes de contraseñas, pedidos, mensajes enviados a través de formularios, comentarios, y las direcciones IP y los navegadores de los visitantes en los registros del servidor.
Interesados: los visitantes, clientes, usuarios, suscriptores y empleados de tu web, y cualquier persona sobre la que trate tu contenido.

Nuestro servicio no está pensado para categorías especiales de datos, como los datos de salud. Si tu web contiene alguno, te aseguras de que las medidas siguientes son suficientes para ellos.

Solo según tus instrucciones

Tratamos los datos solo siguiendo tus instrucciones documentadas: las condiciones, tu plan y lo que haces o pides en el portal, por ticket o por correo. No los usamos para nada propio. Solo los enviamos fuera de la UE como indica la lista de subencargados de más abajo.

Si consideramos que una instrucción infringe la normativa de protección de datos, te lo decimos de inmediato. Si el derecho de la UE o el rumano nos obliga a tratar los datos de otro modo, te lo decimos antes, salvo que ese derecho lo prohíba.

Confidencialidad

Solo tienen acceso las personas que lo necesitan para prestar el servicio, y están obligadas a guardar confidencialidad. El personal solo mira dentro de una web por los motivos de «Soporte e intervención técnica» de las condiciones, y cada entrada se anota y se guarda 3 años.

Seguridad

Protegemos los datos con medidas técnicas y organizativas adecuadas al riesgo (RGPD, art. 32). Hoy son estas:

Servidores en Alemania, con las actualizaciones de seguridad del sistema operativo instaladas automáticamente.
Cada web funciona con su propio usuario del sistema, con sus propios procesos PHP, su base de datos y su object cache, separada de las demás webs.
HTTPS en cada web y en el portal.
Backups cifrados, guardados según tu plan, más una copia diaria de todo el servidor que nuestro proveedor de servidores guarda 7 días.
Acceso de administrador a los servidores solo con claves SSH, y bloqueo de los inicios de sesión fallidos repetidos.
Contraseñas del portal guardadas solo como hashes, con verificación en dos pasos opcional; el panel del personal, solo con verificación en dos pasos.
Las contraseñas que creamos para ti, mostradas una sola vez y guardadas cifradas 7 días como máximo.
Registros del servidor web guardados 14 días como máximo.
En los planes Care, actualizaciones probadas en una copia de la web antes de llegar a ella.

Podemos cambiar estas medidas siempre que la protección no disminuya.

Subencargados

Nos das una autorización general para recurrir a subencargados. Hoy son estos:

Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania: los servidores, en Núremberg, Alemania, y sus copias diarias. Los datos se quedan en la UE.
Zoho Corporation B.V., Beneluxlaan 4B, 3527 HT Utrecht, Países Bajos: nuestro correo (ZeptoMail y Zoho Mail), en sus centros de datos de la UE; solo para los datos de tu web que nos llegan por correo, por ejemplo en una solicitud de soporte.
Cloudflare, Inc., 101 Townsend St., San Francisco, CA 94107, EE. UU.: reenvía el correo enviado a nuestras direcciones; también solo para los datos que nos llegan por correo.

Te enviamos un correo al menos 30 días antes de añadir o sustituir un subencargado. Puedes oponerte en ese plazo por un motivo razonable; si no podemos atenderlo, puedes terminar el contrato antes del cambio.

Cada subencargado está sujeto a condiciones de protección de datos que protegen los datos como lo hace este acuerdo, y nosotros seguimos respondiendo ante ti por él.

Fuera de la UE

Tus webs y sus backups se quedan en la UE. El personal de soporte de Zoho en la India puede acceder a su centro de datos de la UE con arreglo a las cláusulas contractuales tipo de la Comisión Europea. Cloudflare, Inc. está certificada en el Marco de Privacidad de Datos UE-EE. UU., con las cláusulas contractuales tipo como respaldo.

Te ayudamos

Te ayudamos a responder a los interesados cuando piden ver, rectificar, suprimir o llevarse sus datos, sobre todo mediante lo que WordPress y el portal te permiten hacer a ti; para cualquier otra cosa, escríbenos. También te ayudamos con la seguridad, las violaciones de la seguridad de los datos, las evaluaciones de impacto y la consulta a la autoridad, en la medida en que lo permita nuestra parte del tratamiento.

Violaciones de la seguridad de los datos

Si tenemos conocimiento de una violación de la seguridad de los datos personales en nuestro lado que afecte a tus webs, te lo comunicamos sin dilación indebida, y como muy tarde en 48 horas, con lo que sepamos: qué ha pasado, qué webs y datos, qué hemos hecho y qué puedes tener que hacer tú. Tú decides si lo notificas a la autoridad y a los interesados, y te damos lo que tengamos para ello.

Al final

Cuando termina el contrato, la web y sus backups se conservan 30 días, para que puedas volver o pedirnos una copia. Después borramos la web, y sus backups 7 días más tarde; desaparecen de las copias diarias de nuestro proveedor de servidores en un plazo de 7 días más. No conservamos nada salvo que lo exija el derecho de la UE o el rumano.

Información y auditorías

Te damos la información que necesitas para demostrar que se cumplen estas obligaciones. Puedes auditarnos tú, o un auditor independiente sujeto a confidencialidad, una vez al año, con 30 días de preaviso y a tu cargo, sin acceso a datos de otros clientes. Podemos responder primero con documentación.

Responsabilidad y contacto

Las normas de responsabilidad de las condiciones se aplican a este acuerdo en la medida en que lo permita el RGPD. Para cualquier cuestión de protección de datos, escribe a hello@guruburu.eu.

Acuerdo de encargo del tratamiento.