Contrato de tratamiento de datos por encargo (CTDE)

Para los clientes y los proveedores que transmiten solicitudes, sobre la base de las cláusulas contractuales tipo de la UE.

Cláusulas contractuales tipo

Texto oficial según EUR-Lex (CELEX 32021D0915), anexo de la Decisión. Las opciones seleccionadas se indican con [Opción: …], las no seleccionadas aparecen tachadas; por lo demás, el texto no ha sufrido modificaciones.

Sección I

Cláusula 1: Objeto y ámbito de aplicación

a) Las presentes cláusulas contractuales tipo (en lo sucesivo, «las cláusulas») tienen por objeto garantizar el cumplimiento de lo dispuesto en el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de dichos datos, y por el que se deroga la Directiva 95/46/CE (Reglamento General de Protección de Datos). [Opción: Opción 1]

b) Los responsables del tratamiento y los encargados del tratamiento que figuran en el anexo I han aceptado las presentes cláusulas con el fin de garantizar el cumplimiento de lo dispuesto en el artículo 28, apartados 3 y 4, del Reglamento (UE) 2016/679 y/o del artículo 29, apartados 3 y 4, del Reglamento (UE) 2018/1725.

c) Las presentes cláusulas se aplican al tratamiento de datos personales conforme al anexo II.

d) Los anexos I a IV forman parte integrante de las cláusulas.

e) Las presentes cláusulas se aplican sin perjuicio de las obligaciones a las que está sujeto el responsable del tratamiento con arreglo al Reglamento (UE) 2016/679 y/o al Reglamento (UE) 2018/1725.

f) Estas cláusulas, por sí solas, no garantizan el cumplimiento de las obligaciones relativas a las transferencias internacionales de datos previstas en el capítulo V del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725.

Cláusula 2: Inalterabilidad de las cláusulas

a) Las partes se comprometen a no modificar las cláusulas, salvo para completar o actualizar la información indicada en los anexos.

b) Esto no impide que las partes incorporen las cláusulas contractuales tipo establecidas en las presentes cláusulas a un contrato más amplio y añadan otras cláusulas o garantías adicionales, siempre que estas no contradigan, ni directa ni indirectamente, las presentes cláusulas ni menoscaben los derechos y libertades fundamentales de los interesados.

Cláusula 3: Interpretación

a) Cuando en las presentes cláusulas se utilicen los términos definidos en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725, dichos términos tendrán el mismo significado que en el reglamento correspondiente.

b) Las presentes cláusulas deberán interpretarse a la luz de lo dispuesto en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725.

c) Las presentes cláusulas no podrán interpretarse de manera que contravengan los derechos y obligaciones previstos en el Reglamento (UE) 2016/679 o en el Reglamento (UE) 2018/1725, ni que menoscabe los derechos y libertades fundamentales de los interesados.

Cláusula 4: Prevalencia

En caso de contradicción entre estas cláusulas y las disposiciones de acuerdos relacionados que existan entre las partes o que se celebren o suscriban posteriormente, prevalecerán estas cláusulas.

Cláusula 5 - facultativa: cláusula de vinculación

[Opción: no acordada]

Sección II: Obligaciones de las partes

Cláusula 6: Descripción del tratamiento

Los detalles de las operaciones de ### tratamiento, en particular las categorías de datos personales y las finalidades para las que se tratan los datos personales por encargo del responsable del tratamiento, se recogen en el anexo II.

Cláusula 7: Obligaciones de las partes

7.1. Instrucciones

a) El encargado del tratamiento tratará los datos personales únicamente siguiendo las instrucciones documentadas del responsable del tratamiento, salvo que esté obligado a hacerlo en virtud del Derecho de la Unión o de la legislación de un Estado miembro al que esté sujeto. En tal caso, el encargado del tratamiento informará al responsable de dichos requisitos legales antes del tratamiento, salvo que la legislación en cuestión lo prohíba por razones de interés público importante. El responsable del tratamiento podrá impartir instrucciones adicionales durante todo el período de tratamiento de los datos personales. Dichas instrucciones deberán documentarse en todo momento.

b) El encargado del tratamiento informará sin demora al responsable del tratamiento si considera que las instrucciones impartidas por este último infringen el Reglamento (UE) 2016/679, el Reglamento (UE) 2018/1725 o las disposiciones vigentes en materia de protección de datos de la Unión o de los Estados miembros.

7.2. Limitación de la finalidad

El encargado del tratamiento tratará los datos personales únicamente para la finalidad o finalidades específicas indicadas en el anexo II, salvo que reciba instrucciones adicionales del responsable del tratamiento.

7.3. Duración del tratamiento de los datos personales

El encargado del tratamiento tratará los datos únicamente durante el plazo indicado en el anexo II.

7.4. Seguridad del tratamiento

a) El encargado del tratamiento adoptará, como mínimo, las medidas técnicas y organizativas enumeradas en el anexo III para garantizar la seguridad de los datos personales. Esto incluye la protección de los datos frente a una violación de la seguridad que, ya sea de forma involuntaria o ilícita, dé lugar a la destrucción, la pérdida, la alteración o la divulgación no autorizada de los datos, o al acceso no autorizado a los mismos (en lo sucesivo, «violación de la protección de datos personales»). A la hora de evaluar el nivel adecuado de protección, las partes tendrán debidamente en cuenta el estado de la técnica, los costes de implementación, la naturaleza, el alcance, las circunstancias y los fines del tratamiento, así como los riesgos asociados para los interesados.

b) El encargado del tratamiento solo concederá a su personal acceso a los datos personales objeto del tratamiento en la medida en que sea estrictamente necesario para la ejecución, la gestión y la supervisión del contrato. El encargado del tratamiento garantizará que las personas autorizadas a tratar los datos personales recibidos se hayan comprometido a mantener la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad.

7.5. Datos sensibles

En caso de que el tratamiento se refiera a datos personales que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas o la afiliación sindical, o que contengan datos genéticos o datos biométricos con el fin de identificar de manera inequívoca a una persona física, datos sobre la salud, la vida sexual o la orientación sexual de una persona, o datos sobre condenas penales y delitos (en lo sucesivo, «datos sensibles»), el encargado del tratamiento aplicará restricciones específicas y/o garantías adicionales.

7.6. Documentación y cumplimiento de las cláusulas

a) Las partes deberán poder demostrar el cumplimiento de las presentes cláusulas.

b) El encargado del tratamiento atenderá de forma inmediata y adecuada las consultas del responsable del tratamiento relativas al tratamiento de datos con arreglo a las presentes cláusulas.

c) El encargado del tratamiento pondrá a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en las presentes cláusulas y que se deriven directamente del Reglamento (UE) 2016/679 y/o del Reglamento (UE) 2018/1725. A petición del responsable del tratamiento, el encargado del tratamiento permitirá asimismo la auditoría de las actividades de tratamiento reguladas por las presentes cláusulas a intervalos adecuados o cuando existan indicios de incumplimiento, y colaborará en dicha auditoría. A la hora de decidir sobre una revisión o una auditoría, el responsable del tratamiento podrá tener en cuenta las certificaciones pertinentes del encargado del tratamiento.

d) El responsable del tratamiento podrá llevar a cabo la auditoría por sí mismo o encargarla a un auditor independiente. Las auditorías podrán incluir también inspecciones en las instalaciones o en los locales del encargado del tratamiento y, en su caso, se llevarán a cabo con la debida antelación.

e) Las partes pondrán a disposición de la autoridad o autoridades de control competentes, previa solicitud, la información mencionada en la presente cláusula, incluidos los resultados de las auditorías.

7.7. Recurso a subencargados del tratamiento

a) OPCIÓN 2: AUTORIZACIÓN GENERAL POR ESCRITO: El encargado del tratamiento cuenta con la autorización general del responsable del tratamiento para contratar a subencargados del tratamiento que figuren en una lista acordada. El encargado del tratamiento informará expresamente al responsable, por escrito y con al menos 30 días de antelación, de cualquier modificación prevista en dicha lista, ya sea mediante la incorporación o la sustitución de subencargados del tratamiento, concediendo así al responsable tiempo suficiente para que pueda formular objeciones a dichos cambios antes de que se contrate al subencargado o subencargados de que se trate. El encargado del tratamiento facilitará al responsable del tratamiento la información necesaria para que este pueda ejercer su derecho de oposición. [Opción: Opción 2, plazo de 30 días; la lista acordada figura en el anexo IV]

b) Si el encargado del tratamiento subcontrata a un subencargado del tratamiento para que lleve a cabo determinadas actividades de tratamiento (por cuenta del responsable del tratamiento), dicha subcontratación deberá realizarse mediante un contrato que imponga al subcontratista, en lo esencial, las mismas obligaciones en materia de protección de datos que las que se aplican al encargado del tratamiento con arreglo a las presentes cláusulas. El encargado del tratamiento se asegurará de que el subencargado del tratamiento cumpla las obligaciones a las que está sujeto el encargado del tratamiento con arreglo a las presentes cláusulas y de conformidad con el Reglamento (UE) 2016/679 y/o el Reglamento (UE) 2018/1725.

c) El encargado del tratamiento facilitará al responsable, a petición de este, una copia de dicho acuerdo de subcontratación y de cualquier modificación posterior. En la medida en que sea necesario para la protección de secretos comerciales u otra información confidencial, incluidos los datos personales, el encargado del tratamiento podrá ocultar el texto del acuerdo antes de facilitar una copia.

d) El encargado del tratamiento responderá plenamente ante el responsable de que el subencargado del tratamiento cumpla con las obligaciones que le incumben en virtud del contrato celebrado con el encargado del tratamiento. El encargado del tratamiento informará al responsable en caso de que el subencargado del tratamiento incumpla sus obligaciones contractuales.

e) El encargado del tratamiento acordará con el subencargado del tratamiento una cláusula de tercero beneficiario, en virtud de la cual el responsable - en caso de que el encargado del tratamiento deje de existir de hecho o de derecho, o se declare insolvente - - tenga derecho a rescindir el contrato de subcontratación y a ordenar al subcontratista que suprima o devuelva los datos personales.

7.8. Transferencias internacionales de datos

a) Toda transferencia de datos por parte del encargado del tratamiento a un tercer país o a una organización internacional se realizará exclusivamente sobre la base de instrucciones documentadas del responsable del tratamiento o para cumplir una disposición específica del Derecho de la Unión o del Derecho de un Estado miembro al que esté sujeto el encargado del tratamiento, y deberá ser conforme con el capítulo V del Reglamento (UE) 2016/679 o del Reglamento (UE) 2018/1725.

b) El responsable del tratamiento acepta que, en los casos en que el encargado del tratamiento recurra a un subencargado del tratamiento, de conformidad con la cláusula 7.7, para la realización de determinadas actividades de tratamiento (por cuenta del responsable del tratamiento) y dichas actividades de tratamiento impliquen una transferencia de datos personales en el sentido del capítulo V del Reglamento (UE) 2016/679, el encargado del tratamiento y el subencargado del tratamiento puedan garantizar el cumplimiento del capítulo V del Reglamento (UE) 2016/679 mediante el uso de cláusulas contractuales tipo adoptadas por la Comisión con arreglo al artículo 46, apartado 2, del Reglamento (UE) 2016/679, siempre que se cumplan los requisitos para la aplicación de dichas cláusulas contractuales tipo.

Cláusula 8: Asistencia al responsable del tratamiento

a) El encargado del tratamiento informará sin demora al responsable del tratamiento de cualquier solicitud que haya recibido del interesado. No responderá a la solicitud por sí mismo, salvo que el responsable del tratamiento le haya autorizado a ello.

b) Teniendo en cuenta la naturaleza del tratamiento, el encargado del tratamiento prestará asistencia al responsable del tratamiento en el cumplimiento de su obligación de responder a las solicitudes de los interesados para el ejercicio de sus derechos. En el cumplimiento de sus obligaciones con arreglo a las letras a) y b), el encargado del tratamiento seguirá las instrucciones del responsable del tratamiento.

c) Además de la obligación del encargado del tratamiento de prestar asistencia al responsable del tratamiento con arreglo a la cláusula 8, letra b), el encargado del tratamiento, teniendo en cuenta la naturaleza del tratamiento de datos y la información de que disponga, prestará asimismo asistencia al responsable del tratamiento en el cumplimiento de las siguientes obligaciones:

  • 1) La obligación de realizar una evaluación de las repercusiones de las operaciones de tratamiento previstas en la protección de datos personales (en lo sucesivo, «evaluación de impacto relativa a la protección de datos»), cuando se prevea que una forma de tratamiento entrañe un riesgo elevado para los derechos y libertades de las personas físicas;
  • 2) la obligación de consultar a la autoridad o autoridades de control competentes antes del tratamiento, cuando de una evaluación de impacto en materia de protección de datos se desprenda que el tratamiento conllevaría un riesgo elevado, a menos que el responsable del tratamiento adopte medidas para mitigar dicho riesgo;
  • 3) Obligación de garantizar que los datos personales sean exactos y estén actualizados, de modo que el encargado del tratamiento informe sin demora al responsable del tratamiento si constata que los datos personales que trata son inexactos o están desactualizados;
  • 4) Obligaciones con arreglo al artículo 32 del Reglamento (UE) 2016/679. [Elección: Opción 1]

d) Las partes establecerán en el anexo III las medidas técnicas y organizativas adecuadas para que el encargado del tratamiento preste asistencia al responsable del tratamiento en la aplicación de la presente cláusula, así como el ámbito de aplicación y el alcance de la asistencia necesaria.

Cláusula 9: Notificación de violaciones de la protección de datos personales

En caso de que se produzca una violación ### dela### protección dedatos### personales, el encargado del tratamiento colaborará con el responsable del tratamiento y le prestará el apoyo necesario para que este pueda cumplir con sus obligaciones con arreglo a los artículos 33 y 34 del Reglamento (UE) 2016/679 o, en su caso, de los artículos 34 y 35 del Reglamento (UE) 2018/1725, teniendo en cuenta el tipo de tratamiento y la información de que disponga.

9.1. Violación de la protección de los datos tratados por el responsable del tratamiento

En caso de que se produzca una violación de la protección de los datos personales en relación con los datos tratados por el responsable del tratamiento, el encargado del tratamiento prestará apoyo al responsable del tratamiento de la siguiente manera:

a) en la notificación inmediata de la violación de la protección de los datos personales a la autoridad o autoridades de control competentes, una vez que el responsable haya tenido conocimiento de la violación, si procede (salvo que no sea previsible que la violación de la protección de los datos personales suponga un riesgo para los derechos y libertades personales de las personas físicas);

b) en la obtención de la siguiente información, que, de conformidad con el artículo 33, apartado 3, del Reglamento (UE) 2016/679, deberá figurar en la notificación del responsable del tratamiento, debiendo dicha información incluir, como mínimo, lo siguiente: [Elección: Opción 1]

  • 1) el tipo de datos personales, en la medida de lo posible, indicando las categorías y el número aproximado de personas afectadas, así como las categorías y el número aproximado de registros de datos personales afectados;
  • 2) las consecuencias probables de la violación de la protección de datos personales;
  • 3) las medidas adoptadas o propuestas por el responsable del tratamiento para subsanar la violación de la protección de datos personales y, en su caso, las medidas destinadas a mitigar sus posibles efectos adversos.

Si no fuera posible facilitar toda esta información al mismo tiempo, la notificación inicial incluirá la información disponible en ese momento, y el resto de la información se facilitará sin demora indebida tan pronto como esté disponible;

c) al cumplir con la obligación prevista en el artículo 34 del Reglamento (UE) 2016/679, de notificar sin demora al interesado la violación de la protección de los datos personales, cuando dicha violación pueda suponer un riesgo elevado para los derechos y libertades de las personas físicas. [Opción: Opción 1]

9.2. Violación de la protección de los datos tratados por el encargado del tratamiento

En caso de que se produzca una violación de la protección delos datos personales en relación con los datos tratadospor el encargado deltratamiento, este lo notificará al responsable del tratamiento sin demora, tan pronto como tenga conocimiento de dicha violación. Dicha notificación deberá incluir, como mínimo, la siguiente información:

a) una descripción de la naturaleza de la violación (indicando, en la medida de lo posible, las categorías y el número aproximado de personas afectadas, así como el número aproximado de registros afectados);

b) los datos de contacto de un punto de contacto en el que se pueda obtener más información sobre la violación de la protección de datos personales;

c) las consecuencias previsibles y las medidas adoptadas o propuestas para subsanar la violación de la protección de datos personales, incluidas las medidas destinadas a mitigar sus posibles efectos perjudiciales.

Si, y en la medida en que, no sea posible facilitar toda esta información al mismo tiempo, la notificación inicial incluirá la información disponible en ese momento, y la información adicional se facilitará posteriormente, sin demora indebida, tan pronto como esté disponible.

Las partes establecerán en el anexo III cualquier otra información que el encargado del tratamiento deba facilitar para ayudar al responsable del tratamiento a cumplir con sus obligaciones con arreglo a los artículos 33 y 34 del Reglamento (UE) 2016/679. [Elección: Opción 1]

Sección III: Disposiciones finales

Cláusula 10: Incumplimiento de las cláusulas y rescisión del contrato

a) En caso de que el encargado del tratamiento incumpla las obligaciones que le incumben en virtud de las presentes cláusulas, el responsable del tratamiento podrá - sin perjuicio de lo dispuesto en el Reglamento (UE) 2016/679 y/o en el Reglamento (UE) 2018/1725 - - , ordenar al encargado del tratamiento que suspenda el tratamiento de datos personales hasta que cumpla con las presentes cláusulas o hasta que se rescinda el contrato. El encargado del tratamiento informará sin demora al responsable del tratamiento si, por cualquier motivo, no puede cumplir con las presentes cláusulas.

b) El responsable del tratamiento tendrá derecho a rescindir el contrato, en la medida en que este se refiera al tratamiento de datos personales con arreglo a las presentes cláusulas, si:

  • 1) el responsable del tratamiento haya suspendido el tratamiento de datos personales por parte del encargado del tratamiento con arreglo a la letra a) y no se haya restablecido el cumplimiento de las presentes cláusulas en un plazo razonable, y en cualquier caso en el plazo de un mes a partir de la suspensión;
  • 2) el encargado del tratamiento incumpla de manera grave o continuada las presentes cláusulas o no cumpla con sus obligaciones con arreglo al Reglamento (UE) 2016/679 y/o al Reglamento (UE) 2018/1725;
  • 3) el encargado del tratamiento incumpla una resolución vinculante de un tribunal competente o de la(s) autoridad(es) de control competente(s) que se refiera a sus obligaciones con arreglo a las presentes cláusulas, al Reglamento (UE) 2016/679 y/o al Reglamento (UE) 2018/1725;

c) El encargado del tratamiento tendrá derecho a rescindir el contrato, en la medida en que este se refiera al tratamiento de datos personales con arreglo a las presentes cláusulas, si el responsable del tratamiento insiste en el cumplimiento de sus instrucciones, tras haber sido informado por el encargado del tratamiento de que dichas instrucciones infringen los requisitos legales aplicables con arreglo a la cláusula 7.1, letra b).

d) Tras la rescisión del contrato, el encargado del tratamiento, a elección del responsable del tratamiento, suprimirá todos los datos personales tratados por encargo de este y certificará al responsable del tratamiento que así se ha hecho, o bien devolverá todos los datos personales al responsable del tratamiento y suprimirá las copias existentes, salvo que exista una obligación de conservar los datos personales en virtud del Derecho de la Unión o de la legislación de los Estados miembros. Hasta el momento de la supresión o la devolución de los datos, el encargado del tratamiento seguirá garantizando el cumplimiento de las presentes cláusulas.

Anexo I: Lista de las partes

Encargado del tratamiento

Transpareo AG, Tech Cluster Zug, Oberallmendstrasse 18, 6300 Zug, Suiza, NIF CHE-220.381.580, representada por Günter Reichelt, presidente del consejo de administración. Contacto: .

Delegado de protección de datos y representante en la UE conforme al artículo 27 del RGPD: DGD Deutsche Gesellschaft für Datenschutz, Prof. Dr. h.c. Heiko Jonny Maniero, Franz-Joseph-Str. 11, 80801 Múnich, Alemania, .

Transpareo tiene su sede en Suiza, país para el que existe una Decisión de adecuación de la Comisión (2000/518/CE). Los datos se encuentran en Alemania.

Responsables del tratamiento

Transpareo celebra estas cláusulas de forma individual con cada responsable del tratamiento. El responsable del tratamiento es:

  1. un cliente que utilice la plataforma de Transpareo de conformidad con las Condiciones Generales de Contratación (CGC). El nombre, la dirección y la persona de contacto son los datos que facilita al celebrar el contrato a través de la plataforma y que mantiene actualizados en su cuenta; la persona de contacto es el titular de la cuenta. Las cláusulas se considerarán aceptadas en el momento de la celebración de este contrato (apartado 14 de las CGC).
  2. un proveedor que, a través de la página de proveedores, remita una solicitud a sus propios proveedores. El responsable es la empresa a la que va dirigido el enlace a través del cual se remite la solicitud, tal y como se indica en la misma. La persona de contacto es quien realiza la reenvío, con el nombre y la dirección de correo electrónico que facilite en ese momento. El proveedor acepta las cláusulas al aceptarlas en nombre de su empresa en el momento de la reenvío; Transpareo almacena la versión aceptada y la fecha y hora junto con el enlace reenviado. Además, se le aplican las condiciones de uso para proveedores.

Transpareo designa al delegado de protección de datos de un responsable de tratamiento tan pronto como este lo nombre.

Las Condiciones Generales de Contratación o las condiciones de uso para proveedores constituyen, en cada caso, el contrato principal. Las cláusulas se celebran por vía electrónica (art. 28, apartado 9, del RGPD); la fecha de adhesión es la fecha de celebración del contrato.

Anexo II: Descripción del tratamiento

Parte A: Clientes

Categorías de interesados: empleados y representantes del cliente; sus proveedores y los empleados de estos; personas mencionadas en los datos de productos y de pases; visitantes, contactos y suscriptores del sitio web del cliente.

Categorías de datos personales:

  • Usuarios del espacio de trabajo: nombre, dirección de correo electrónico, idioma, roles y grupos, datos de inicio de sesión y de seguridad, registro de sus acciones con fecha y hora y dirección IP
  • Proveedores: nombre de la empresa, nombre de la persona de contacto, dirección de correo electrónico, notas
  • Página de proveedores: respuestas, imágenes, comentarios y sus traducciones automáticas; horas de apertura y respuesta; registro con la hora y la dirección IP
  • Datos relativos a personas que figuran en la información de productos y pases, imágenes y documentos
  • Contactos, suscriptores de boletines informativos y datos introducidos en los formularios del sitio web del cliente, en la medida en que utilice dichas funciones
  • Correos electrónicos que el cliente envía a través de la plataforma
  • Datos de acceso de los visitantes de su sitio web y de sus páginas de acceso

Datos sensibles: no se prevén. El cliente no introduce datos sensibles, tal y como se establece en la cláusula 7.5, en la plataforma.

Tipo de tratamiento: almacenamiento, clasificación, visualización, traducción automática, firma criptográfica, publicación, exportación y supresión; envío de correos electrónicos a través de la cuenta de correo electrónico que el cliente haya facilitado.

Finalidad: crear, gestionar y publicar datos de productos y pases de producto digitales; gestionar el sitio web del cliente; solicitar información a los proveedores; colaborar en el espacio de trabajo.

Duración: durante la vigencia del contrato principal y, posteriormente, hasta su supresión con arreglo a la cláusula 10, letra d):

  • Un espacio de trabajo procedente de una fase de prueba que no se convierta en una suscripción de pago se marcará para su eliminación cinco días después de su vencimiento y se eliminará tras otros siete días.
  • Tras la finalización de un contrato principal de pago, el espacio de trabajo permanecerá bloqueado hasta que el cliente solicite su supresión.
  • Si el cliente solicita la supresión, Transpareo eliminará la base de datos del espacio de trabajo tras un plazo de siete días, durante el cual podrá revocar dicha solicitud, y destruirá su clave.
  • Las versiones publicadas de los pasaportes digitales de productos que estén inscritas en el registro de la UE, así como los datos necesarios para su visualización y verificación, permanecerán durante diez años en un archivo inalterable (apartado 10 de las Condiciones Generales).
  • Las copias de seguridad se gestionan con arreglo al anexo III.

Parte B: Proveedores que transmiten una solicitud

Categorías de interesados: empleados del responsable del tratamiento; sus propios proveedores y los empleados de estos; personas mencionadas en las respuestas.

Categorías de datos personales:

  • Transmisión: nombre del destinatario, tal y como lo introduce el responsable del tratamiento; nombre y dirección de correo electrónico que el responsable del tratamiento facilita sobre sí mismo; comentario; preguntas formuladas; fecha de caducidad; PIN
  • Respuestas de los propios proveedores: textos, valores e imágenes sin metadatos, así como sus traducciones automáticas
  • Revisión: decisiones y observaciones del responsable del tratamiento
  • Registro: hora, operación y dirección IP al abrir, desbloquear y responder a los enlaces reenviados, así como en las acciones del responsable del tratamiento al respecto

Datos sensibles: no se prevén.

Tipo de tratamiento: almacenamiento, visualización, traducción automática, registro y supresión.

Finalidad: el responsable solicita información a sus propios proveedores, comprueba sus respuestas y las incorpora a su propia respuesta.

Ubicación: Los datos se encuentran en la base de datos del espacio de trabajo del que procede la solicitud original y están identificados allí como datos del responsable del tratamiento. El cliente, propietario de dicho espacio de trabajo, solo ve su número y no puede dar instrucciones al respecto.

Duración: mientras permanezca activo el enlace que el responsable ha facilitado. Si este finaliza, finalizan todos los enlaces que el responsable haya facilitado y la página del proveedor deja de mostrar sus datos. Estos permanecen almacenados hasta que Transpareo elimine el espacio de trabajo conforme a la Parte A o hasta que el responsable solicite su eliminación. Transpareo elimina las imágenes que no correspondan ni a una respuesta abierta ni a un registro de datos siete días después de su subida.

Subencargados del tratamiento: el objeto, la naturaleza y la duración de su tratamiento se especifican en el anexo IV.

Anexo III: Medidas técnicas y organizativas

Cifrado y seudonimización

  • Todas las conexiones están cifradas con TLS.
  • Los datos de acceso y otra información confidencial (PIN, claves para códigos de un solo uso, accesos SMTP, claves API) se almacenan en la base de datos cifrados con AES-256-GCM, con una clave propia para cada espacio de trabajo.
  • Las copias de seguridad están cifradas.
  • Las estadísticas de visitas almacenan las direcciones IP únicamente como valores hash con una clave secreta. Las visitas a la página de proveedores no se incluyen en ellas.

Segregación

  • Cada cliente dispone de su propia base de datos.

Seguridad física

  • Los servidores y el almacenamiento de datos se encuentran en los centros de datos de Hetzner Online GmbH en Falkenstein (Alemania), que cuentan con la certificación ISO 27001.

Identificación y autorización

  • Las contraseñas se almacenan únicamente como hash bcrypt.
  • Todos los usuarios disponen de un inicio de sesión de dos factores con código de un solo uso o clave de seguridad; el cliente puede exigirlo para su espacio de trabajo.
  • Una sesión finaliza tras un periodo de inactividad que establece el cliente (por defecto, ocho horas).
  • En el espacio de trabajo se aplican los roles y permisos que el cliente asigna.
  • Los empleados de Transpareo solo pueden acceder a un espacio de trabajo iniciando sesión en nombre del cliente, lo cual queda registrado en el registro de la plataforma y en el registro de seguridad del espacio de trabajo.
  • Página del proveedor: el enlace contiene una clave aleatoria de 16 caracteres (80 bits); sin el PIN, la página no muestra ningún dato del registro. Tras cinco intentos fallidos con el PIN, el enlace queda bloqueado durante 15 minutos. La página admite un máximo de 120 accesos por minuto por cada dirección IP. Al desbloquearse, la sesión recibe un nuevo identificador. La página está bloqueada para los motores de búsqueda y no transmite su dirección a páginas externas.

Registro

  • Las modificaciones en los registros y las operaciones realizadas en la página de proveedores se registran indicando la hora, el autor y la dirección IP, y se conservan durante cinco años; los inicios de sesión y otros eventos de seguridad, durante un año.
  • Los registros del servidor se eliminan al cabo de 14 días.

Integridad

  • Las imágenes de los proveedores se almacenan sin metadatos en un área protegida fuera del almacenamiento público hasta que una verificación las acepte. Una respuesta solo modifica el registro tras la verificación.
  • Las versiones publicadas de las contraseñas están firmadas criptográficamente.

Disponibilidad y recuperación

  • Cada cuatro horas se realiza una copia de seguridad de la base de datos y los archivos de cada espacio de trabajo activo; estos se cifran y se almacenan, separados de los servidores, en el almacenamiento de objetos en Alemania. Las copias locales se eliminan al cabo de cuatro días. Las copias de seguridad en el almacenamiento de objetos se conservan durante 90 días y se eliminan definitivamente en un plazo de 30 días adicionales.
  • Los servicios y los servidores se supervisan de forma continua; las actualizaciones de seguridad se instalan periódicamente.
  • Transpareo revisa estas medidas periódicamente y las adapta al estado actual de la técnica.

Asistencia al responsable del tratamiento (cláusulas 8 y 9)

  • Un cliente puede consultar, rectificar y eliminar los datos de su espacio de trabajo en la plataforma. Un proveedor puede ver las respuestas a sus solicitudes de divulgación en la página de proveedores y puede revocar cualquier enlace facilitado.
  • Transpareo remite sin demora al responsable las solicitudes de los interesados que reciba.
  • Las notificaciones previstas en las cláusulas 7.7 y 9.2 se envían por correo electrónico al titular de la cuenta de un cliente y a la dirección de correo electrónico que el proveedor indique al compartir el enlace. El punto de contacto previsto en la cláusula 9.2, letra b), es .
  • Una notificación conforme a la cláusula 9.2 deberá indicar, además, la fecha de la infracción y de su detección, así como las áreas de trabajo o los enlaces afectados.

Anexo IV: Lista de encargados del tratamiento subcontratados

El responsable autoriza de forma general a los siguientes subencargados del tratamiento; esta es la lista acordada con arreglo a la cláusula 7.7, letra a), opción 2.

Hetzner Online GmbH

Dirección: Industriestr. 25, 91710 Gunzenhausen, Alemania

Persona de contacto en materia de protección de datos:

Tratamiento: Alojamiento de servidores, bases de datos, archivos y copias de seguridad

Ubicación: Falkenstein, Alemania

Aplicable a: Partes A y B

KeyCDN (proinity LLC)

Dirección: Reichenauweg 1, 8272 Ermatingen, Suiza

Persona de contacto en materia de protección de datos: formulario de contacto en keycdn.com

Tratamiento: entrega de páginas y archivos a través de una red de distribución de contenidos (CDN); en este proceso se recogen los datos de conexión de los visitantes, en particular la dirección IP

Ubicación: servidores periféricos en todo el mundo, incluso fuera de la UE y del EEE; las transferencias a dichos servidores están protegidas de conformidad con el capítulo V del RGPD en el contrato de tratamiento por encargo que Transpareo ha celebrado con proinity LLC (cláusula 7.8)

Aplicable a: Partes A y B

DeepL SE

Dirección: Maarweg 165, 50825 Colonia, Alemania

Persona de contacto en materia de protección de datos: Delegado de protección de datos, Dr. Christian Lenz, dhpg IT-Services GmbH,

Tratamiento: Traducción automática de textos

Lugar: UE

Aplicable a: Partes A y B

Kreativ Media GmbH

Dirección: Höschgasse 45, 8008 Zúrich, Suiza

Persona de contacto en materia de protección de datos:

Tratamiento: reenvío de los correos electrónicos del sistema y de notificación de la plataforma a través de su relé SMTP; sin alojamiento

Ubicación: Suiza

Aplicable a: Parte A

Cada subencargado del tratamiento tratará los datos únicamente para la prestación del servicio en su propio nombre y mientras Transpareo lo preste en nombre del responsable del tratamiento.

No se consideran subencargados del tratamiento de Transpareo: el proveedor de la cuenta de correo electrónico a través de la cual un cliente envía correos electrónicos a terceros, ni los proveedores de IA que un cliente configura en la plataforma; ambos son seleccionados y contratados por el propio cliente, y su navegador se comunica directamente con los proveedores de IA.

Transpareo informará de cualquier incorporación o sustitución prevista con al menos 30 días de antelación, de conformidad con el anexo III, y publicará la lista modificada en transpareo.com. Si Transpareo no puede resolver una objeción, el cliente podrá rescindir el contrato principal con efecto a partir de la entrada en vigor de la modificación; un proveedor podrá revocar los enlaces que haya facilitado.

Anexo suizo

Esta adición constituye una cláusula adicional a la cláusula 2, letra b). En la medida en que el tratamiento esté sujeto a la Ley Federal suiza de Protección de Datos (DSG):

  1. Las referencias al Reglamento (UE) 2016/679 se considerarán al mismo tiempo referencias a las disposiciones correspondientes de la DSG, en concreto, el artículo 28 del RGPD al artículo 9 de la DSG, el artículo 32 al artículo 8, los artículos 33 y 34 al artículo 24, los artículos 35 y 36 a los artículos 22 y 23, el capítulo V a los artículos 16 a 18, los derechos de los interesados a los artículos 25 a 32 de la DSG y los datos sensibles según la cláusula 7.5 a los datos personales que requieren una protección especial según el artículo 5, letra c), de la DSG;
  2. La autoridad de control competente es el Comisionado Federal de Protección de Datos y de la Transparencia (EDÖB); ello no afecta a la competencia de las autoridades de control con arreglo al RGPD;
  3. Se considerará también como legislación de un Estado miembro la legislación suiza.

Fecha: 8 de octubre de 2026