Plataforma Aljibe

Acuerdo de Encargo del Tratamiento (DPA)

Versión 1 — 17 de mayo de 2025.

Este Acuerdo de Encargo del Tratamiento de datos personales (el «Acuerdo») describe las obligaciones de las partes en relación con el tratamiento y la seguridad de los datos personales cuya responsabilidad recaiga en el Cliente y que este ponga a disposición de Simbiótica para dar acceso a la Plataforma.

Los términos empleados en el presente Acuerdo se interpretarán según el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos, y por el que se deroga la Directiva 95/46/CE («RGPD»), y la Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales («LOPDGDD»).

Primero. Objeto

El Cliente es el responsable del tratamiento («Responsable») y Simbiótica es el encargado del tratamiento («Encargado») de los datos personales que el Encargado trate para prestarle el servicio de Plataforma («Servicio») según los Términos y Condiciones de Uso de la Plataforma («TCU»).

Los datos personales objeto de tratamiento por el Encargado son los suministrados y los tratados por el Responsable a través de la Plataforma («Datos Personales»), sin que ello obvie las obligaciones que le son inherentes al Responsable, como se detalla en el apartado siguiente.

El Responsable se compromete a no poner a disposición del Encargado los Datos Personales sin asegurarse de que ha cumplido las obligaciones que le son exigibles por su condición de Responsable y, específicamente, su deber de información a todos los interesados sobre los extremos del tratamiento.

Segundo. Obligaciones del Responsable

El Responsable del tratamiento, en el marco de la prestación del Servicio, deberá:

1. Entregar o permitir el acceso a los Datos Personales.
2. Garantizar que se da la base jurídica necesaria para el tratamiento de los Datos Personales.
3. Emitir las instrucciones conforme a las cuales el Encargado debe tratar los Datos Personales.
4. Comunicar al Encargado los cambios en los tratamientos de los Datos Personales que deban implicar un cambio en las medidas de seguridad aplicables.
5. Cumplir el deber de información a los interesados y el resto de las obligaciones que le son exigibles por su condición de Responsable, salvo que en este Acuerdo se disponga expresamente lo contrario.

Tercero. Obligaciones del Encargado

Actuación bajo instrucciones del Responsable

El Encargado tratará los Datos Personales siguiendo las instrucciones documentadas del Responsable y de acuerdo con la normativa de protección de datos. El Encargado solo tratará los Datos Personales para el correcto desarrollo y prestación del Servicio.

Registro de Actividades de Tratamiento

El Encargado se compromete a elaborar un registro de actividades de tratamiento de aquellas actividades que formen parte del presente Acuerdo. En dicho registro constará, como mínimo, la siguiente información:

1. El nombre y los datos de contacto del Encargado y del Responsable o, en su caso, del representante del Responsable en la Unión Europea.
2. Nombre y datos de contacto del Delegado de Protección de Datos, en su caso, del Responsable o de su representante en la Unión Europea.
3. Categoría de tratamientos efectuados por cuenta del Responsable.
4. Las transferencias de datos personales a un tercer país u organización internacional, incluida la identificación de dicho tercer país u organización internacional y, en su caso, de las garantías aplicadas a dicha transferencia.

Auditorías y controles

El Encargado se compromete a poner a disposición del Responsable toda la información que sea necesaria para demostrar el cumplimiento de sus obligaciones como Encargado. Para ello, el Responsable podrá solicitar, con una antelación de 30 días, la realización de auditorías e inspecciones, salvo que situaciones de urgencia y necesidad manifiesta recomienden solicitar su realización con una antelación menor. El Responsable podrá realizar estas auditorías como máximo 1 vez al año, y correrán de su parte todos los gastos en los que este incurra como resultado de la realización de las auditorías. El Responsable no deberá sufragar los gastos incurridos si la realización de la auditoría se fundamenta en una brecha de seguridad sufrida por el Encargado. El Encargado deberá colaborar y permitir la realización de las auditorías e inspecciones necesarias.

Confidencialidad

El Encargado se compromete a establecer obligaciones de confidencialidad, por escrito, a las personas que intervengan en el tratamiento de los Datos Personales realizado en ejecución del Servicio.

Notificación de las brechas de seguridad

En caso de brechas de seguridad, el Encargado se compromete a notificar al Responsable, sin dilación indebida desde que adquiera conocimiento, la ocurrencia de la brecha y a proporcionarle los detalles. En dicha notificación se incluirá lo siguiente, en la medida de lo posible:

1. La naturaleza de la violación de la seguridad de los Datos Personales, inclusive, cuando sea posible, las categorías y el número aproximado de interesados afectados, y las categorías y el número aproximado de registros de Datos Personales afectados.
2. El nombre y los datos de contacto del Delegado de Protección de Datos o de otro punto de contacto en el que pueda obtenerse más información sobre la brecha.
3. Las posibles consecuencias de la violación de la seguridad de los Datos Personales.
4. Las medidas adoptadas o propuestas para poner remedio a la violación de la seguridad de los Datos Personales, incluyendo, si procede, las medidas adoptadas para mitigar los posibles efectos negativos de la brecha.

Gestión de las solicitudes de los interesados

El Encargado deberá notificar al Responsable cualquier ejercicio de derechos recibido de los interesados en el plazo de tres días hábiles, en el caso de que las reciba directamente. En dichos casos, el Encargado deberá colaborar con el Responsable para atender debidamente las solicitudes de los interesados y proporcionarle toda la información necesaria. En ningún caso el Encargado responderá las solicitudes de los interesados.

Medidas de seguridad

El Encargado se compromete a implementar medidas de seguridad necesarias y apropiadas, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como riesgos de probabilidad y gravedad variables para los derechos y libertades de las personas físicas, para garantizar un nivel adecuado de riesgo, lo que puede exigir lo siguiente, según el caso:

1. La seudonimización y el cifrado de los Datos Personales.
2. La capacidad de garantizar la confidencialidad, integridad, disponibilidad y resiliencia permanentes de los sistemas y servicios de tratamiento.
3. La capacidad de restaurar la disponibilidad y el acceso a los Datos Personales de forma rápida en caso de incidente físico o técnico.
4. Un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas de seguridad para garantizar la seguridad del tratamiento.

El Encargado se compromete a implementar en este sentido las medidas de seguridad contempladas en el Anexo I.

Obligaciones en caso de terminación

Este Acuerdo tendrá la misma duración que los TCU y estará vigente mientras el Encargado preste el Servicio. A su finalización, se activará el procedimiento de Salida Ordenada definido en los TCU. El Encargado mantendrá los Datos Personales a disposición del Responsable durante un periodo de treinta (30) días para que este pueda proceder a su descarga y recuperación. Transcurrido dicho plazo, el Encargado procederá a la supresión segura de los Datos Personales y de todas las copias existentes en su poder, salvo que la legislación aplicable exija la conservación de los mismos por un plazo superior.

Cuarto. Subcontratación

El Responsable autoriza de manera general al Encargado para subcontratar a terceros los servicios que implican el tratamiento de los Datos Personales necesarios para la ejecución del Servicio.

El Responsable autoriza expresamente la subcontratación de los subencargados a cuyos servicios el Encargado necesita recurrir para proporcionar el Servicio, identificados en el Anexo II (Subencargados). En la medida en que dicha lista vaya a ser modificada, el Encargado deberá notificar la propuesta de modificación al Responsable, quien podrá oponerse en un plazo de diez (10) días naturales desde la notificación. El Responsable tendrá derecho a resolver el Contrato si el Encargado no pudiera seguir prestando el Servicio como consecuencia de la oposición del Responsable a la modificación de la lista de subencargados, sin que ello implique deber del Encargado de compensar o indemnizar al Responsable. Si el Responsable no formulara objeción a la modificación de la lista de subencargados en el plazo de 10 días desde la notificación, la modificación se entenderá en todo caso como aceptada por el Responsable.

Quinto. Transferencias internacionales de datos

El Encargado no transferirá los Datos Personales a un tercer país de fuera del Espacio Económico Europeo o a una organización internacional, salvo que establezca los mecanismos oportunos para que los Datos Personales tengan un nivel de protección adecuado según la normativa europea.

El Encargado realizará transferencias internacionales de datos en la medida necesaria para prestar el Servicio, que requiere la intervención de los subencargados indicados en el Anexo II.

Sexto. Responsabilidad

El Responsable reconoce que el Encargado trata los Datos Personales en ejecución del Servicio siguiendo las instrucciones del Responsable. En consecuencia, el Encargado no será responsable de ninguna reclamación presentada por un interesado ni de las sanciones impuestas por las autoridades de control competentes que sean resultado de cualquier acción u omisión del Encargado, en la medida en que dicha acción u omisión sea resultado directo de las instrucciones del Responsable. En particular, el Encargado no será responsable frente a eventuales reclamaciones o sanciones derivadas del incumplimiento del deber de informar a los interesados de todos los extremos del tratamiento exigido por el Servicio.

Cada parte será responsable de los daños ocasionados por el incumplimiento de sus obligaciones como Responsable y Encargado, respectivamente, y afrontará su indemnización sin repercutir a la otra parte importe alguno, salvo que el incumplimiento derive de una acción u omisión de la otra parte en contra de lo dispuesto en este Acuerdo.

Séptimo. Comunicaciones

Todas las notificaciones relativas a este Acuerdo se harán por escrito por correo electrónico a través de la siguiente dirección: hola@aljibe.co.

Anexo I — Descripción de medidas de seguridad

Este Anexo recoge las medidas de seguridad técnicas y organizativas que deberá implementar el Encargado del Tratamiento en el cumplimiento del Servicio.

I. Control de acceso lógico a sistemas que tratan datos de carácter personal

Se deberán implementar, como mínimo, las siguientes medidas de seguridad:

a) Control de acceso

1. Acceso a los sistemas previa autenticación del personal autorizado.
2. Existencia de una relación actualizada de usuarios con acceso autorizado a los sistemas de información.
3. Control de acceso basado en roles y perfiles, implementado de manera coherente con el principio de menor privilegio, es decir, que los usuarios únicamente accedan a la información que resulte imprescindible para llevar a cabo las funciones asignadas.
4. Prohibición de uso de cuentas anónimas o genéricas, salvo situaciones justificadas y limitadas.
5. Implantación de un sistema de gestión de accesos. La administración de accesos debe realizarse de manera centralizada, y la autorización para el acceso únicamente debe partir del personal autorizado, siendo el único que pueda conceder, alterar o anular el acceso a los sistemas.
6. En caso de que exista personal ajeno con acceso a los recursos, este estará sometido a las mismas condiciones y obligaciones de seguridad que el personal propio.

b) Identificación y autenticación

1. Utilización de contraseñas con unos parámetros mínimos de seguridad (mayúsculas, minúsculas, números, letras y caracteres especiales, número mínimo de 6 caracteres, y caducidad una vez al año), y conservación de las mismas de forma ininteligible.
2. Utilización de un procedimiento de asignación, distribución y almacenamiento de contraseñas que garantice su confidencialidad e integridad.
3. Bloqueo automático del dispositivo del usuario después de un periodo de inactividad.
4. Identificación y contraseña obligatorias para reiniciar su utilización.

c) Gestión de los soportes

1. Identificación e inventariado de los dispositivos que tratan datos personales, así como de los usuarios que acceden a los mismos.
2. Adopción de medidas dirigidas a evitar el acceso o recuperación posterior a la información contenida en los soportes, una vez se decida desechar los mismos. Para ello, deberá procederse a su destrucción o borrado completo a través de sistemas seguros de borrado. Los dispositivos que contengan datos personales deberán ser destruidos físicamente, o bien la información deberá ser destruida, borrada o sobrescrita mediante técnicas que no hagan posible la recuperación de la información original, en lugar de utilizar un borrado normal o un formateado.
3. La distribución de los soportes que contengan datos de carácter personal que supongan un alto riesgo para los derechos y libertades de los interesados se realizará previo cifrado de dichos datos, o bien utilizando cualquier otro mecanismo que garantice que dicha información no sea accesible o manipulada durante su transporte.

d) Copias de seguridad y continuidad del Servicio

1. Documentación de los procedimientos de copias de respaldo y recuperación, que garanticen en todo momento su reconstrucción en el estado en que se encontraban al tiempo de producirse la pérdida o destrucción.
2. Realización periódica de copias de seguridad, realizándose al menos semanalmente, salvo que en dicho período no se haya producido ninguna actualización de los datos.
3. Asegurar que los sistemas están en funcionamiento y que los fallos son debidamente reportados. Se deberán conservar registros precisos y completos de las copias de seguridad realizadas.
4. Verificación, como mínimo cada seis meses, de la correcta definición, funcionamiento y aplicación de los procedimientos de realización de copias de respaldo y recuperación de los datos.
5. Las copias de seguridad deberán ser almacenadas en un emplazamiento alejado, a una distancia suficiente para salvarse de cualquier daño proveniente de un desastre en el emplazamiento principal.
6. Los controles aplicados a los soportes del emplazamiento principal deberán ser extendidos al lugar donde se encuentran las copias de respaldo.

e) Pruebas de desarrollo

1. Los usuarios deberán utilizar diferentes perfiles para los sistemas de producción y de pruebas, y resulta recomendable que los menús muestren mensajes de identificación adecuados para reducir el riesgo de error.
2. No se realizarán pruebas anteriores a la implantación o modificación de sistemas de información con datos de carácter personal con datos reales. Deberán utilizarse datos disociados.
3. En caso de resultar necesario lo anterior, deberán implantarse las mismas medidas de seguridad que en el entorno de producción, y deberá haberse realizado de manera previa una copia de seguridad.
4. Segregación de entornos de pruebas y producción de IT.

f) Controles de seguridad en las redes

1. Uso de controles de acceso basados en firewall, router y VPN para proteger las redes de servicio privadas y los servidores de back-end.
2. Seguridad de infraestructuras con monitorización ad-hoc.
3. Examen regular de riesgos de seguridad por parte de empleados internos y auditores externos.
4. Registro de accesos a servidores host, aplicaciones, bases de datos, routers, switches, etc.
5. La transmisión de datos de carácter personal a través de redes públicas o inalámbricas de comunicaciones electrónicas se realizará bajo protocolos seguros.
6. Los datos personales sensibles se encriptarán durante la transmisión utilizando protocolos de seguridad por medio de algoritmos potentes y claves de cifrado.
7. Existencia limitada de administradores de sistemas.
8. Establecer mecanismos de registro de acciones sobre los datos personales o logging, así como herramientas fiables y flexibles de explotación de los ficheros de auditoría resultantes.
9. Establecer políticas de asignación de códigos de usuario por parte de la organización que eviten datos triviales como fecha de nacimiento, nombre y apellidos, etc.

II. Control de acceso físico a las instalaciones y a las áreas de procesamiento de datos de carácter personal

Se deberán implementar, como mínimo, alguna de las siguientes medidas de seguridad para impedir el acceso físico a los centros de trabajo y a los centros de procesamiento de datos:

1. Sistema de control de acceso.
2. Lector de identidad, tarjeta magnética o tarjeta con chip.
3. Puesta a disposición de llaves.
4. Cerradura en la puerta (puertas automáticas, etc.).
5. Sistema de alarma, vídeo y monitores de videovigilancia.
6. Registro de entradas y salidas de las instalaciones.
7. Ubicación de los centros de datos en instalaciones seguras que proporcionan seguridad física, alimentación redundante y redundancia de infraestructura.

III. Registro de incidencias

Se deberán implementar, como mínimo, las siguientes medidas de seguridad:

• a) Procedimiento de notificación y gestión de incidencias que afecten a datos de carácter personal.
• b) Procedimiento de notificación y gestión de brechas o violaciones de seguridad, y su notificación en tiempo y forma al Responsable del tratamiento, con el objetivo de cumplir con las exigencias de la normativa.
• c) Mantenimiento de un registro de las incidencias y violaciones ocurridas.

IV. Formación, funciones y obligaciones

Se deberán implementar, como mínimo, las siguientes medidas de seguridad:

• a) Las funciones y obligaciones de cada una de las personas con acceso a datos y a los sistemas de información deben estar documentadas y deben ser conocidas por los implicados.
• b) La comunicación de dichas funciones y responsabilidades deberá ser auditable y clara, debiendo incluir las sanciones aparejadas al incumplimiento de las mismas.
• c) Deberán llevarse a cabo acciones de formación a los empleados y resto de personas con acceso a datos, con el objetivo de garantizar un adecuado tratamiento de los datos conforme a las exigencias de la normativa.

V. Medidas de seguridad para tratamientos no automatizados

Se deberán implementar, como mínimo, las siguientes medidas de seguridad:

• a) El archivo de los documentos debe realizarse según criterios que faciliten su consulta y localización para garantizar el ejercicio de los derechos de los interesados.
• b) Se deberá disponer de dispositivos de almacenamiento dotados de mecanismos que obstaculicen su apertura.
• c) Establecer una política de escritorios limpios con el fin de minimizar las posibilidades de acceso no autorizado a los datos personales.
• d) Durante la revisión o tramitación de los documentos, la persona a cargo de los mismos debe ser diligente y custodiarlos para evitar accesos no autorizados.

VI. Verificación periódica de los controles

Se deberá establecer un proceso de verificación, evaluación y valoración regulares de la eficacia de las medidas técnicas y organizativas para garantizar la seguridad del tratamiento, teniendo en cuenta particularmente los riesgos que presente el tratamiento de los datos.

Anexo II — Subencargados