Contrato de tratamiento de datos (CTD)

Preámbulo

octoja GmbH (en adelante, «encargado del tratamiento») trata datos personales por cuenta del respectivo socio contractual (en adelante, «responsable del tratamiento») en el marco de la prestación de la plataforma RMM de octoja. Este contrato de tratamiento de datos (en adelante, «CTD») regula los derechos y las obligaciones de ambas partes en relación con dicho tratamiento conforme al art. 28 del RGPD y complementa la documentación contractual principal existente entre las partes (condiciones generales o condiciones de uso).

§ 1 Objeto y duración del tratamiento

1. El encargado del tratamiento trata datos personales por cuenta del responsable exclusivamente para la puesta a disposición, la operación y el mantenimiento de la plataforma RMM de octoja, así como para las prestaciones de soporte asociadas.
2. El tratamiento se realiza mientras dure la relación contractual principal existente. Tras la finalización del contrato principal rigen las disposiciones sobre devolución y supresión del § 9 de este CTD.

§ 2 Naturaleza y finalidad del tratamiento

Finalidad del tratamiento: explotación de una plataforma SaaS de Remote Monitoring & Management (RMM) para la administración, la supervisión y la automatización de sistemas de TI por parte del responsable (MSP/reseller) para sus clientes finales.

Naturaleza del tratamiento: recogida, conservación, transmisión, modificación, consulta, utilización y supresión en el marco de la operación de la plataforma.

Categorías de interesados:

• Empleados y cuentas de usuario del responsable (MSP/reseller)
• Empleados y usuarios de TI de los clientes finales del responsable
• Personas de contacto técnico en los clientes finales

Categorías de datos personales:

• Datos de cuenta: nombre, dirección de correo electrónico, nombre de usuario, rol, hash de la contraseña
• Datos de sistema de los dispositivos administrados: nombre del dispositivo, dirección IP, dirección MAC, nombre de host, datos del sistema operativo, software instalado, información de hardware
• Datos de conexión y acceso: marca de tiempo de inicio de sesión, direcciones IP, datos de sesión
• Datos de soporte y comunicación: contenido de tickets, comunicación por correo electrónico en el contexto del soporte
• Datos de registro (logs): registros de actividad, ejecuciones de scripts, registros de parches

Categorías especiales de datos personales (art. 9 del RGPD): no está previsto el tratamiento de categorías especiales de datos personales y el responsable debe abstenerse de él, salvo que se haya acordado por separado y por escrito.

§ 3 Obligaciones del encargado del tratamiento

1. El encargado trata los datos personales exclusivamente siguiendo instrucciones documentadas del responsable —también en lo relativo a la transferencia de datos personales a un tercer país—, salvo que esté obligado al tratamiento por el derecho de la UE o de un Estado miembro.
2. El encargado informa al responsable sin demora cuando considere que una instrucción infringe el RGPD u otras disposiciones de protección de datos de la Unión o de los Estados miembros. El encargado está facultado para suspender la ejecución de la instrucción de que se trate hasta que el responsable la confirme o la modifique.
3. El encargado garantiza que las personas autorizadas para tratar los datos personales se hayan comprometido a la confidencialidad o estén sujetas a un deber legal de secreto adecuado y, en su caso, estén obligadas conforme al § 203 StGB (véase el § 11).
4. El encargado adopta todas las medidas exigidas por el art. 32 del RGPD. Las medidas técnicas y organizativas concretas están documentadas en el anexo 1 (MTO) de este CTD.
5. El encargado asiste al responsable, en la medida de lo posible, con medidas técnicas y organizativas adecuadas para que pueda cumplir su obligación de responder a las solicitudes de los interesados conforme al capítulo III del RGPD.
6. El encargado asiste al responsable en el cumplimiento de las obligaciones de los art. 32 a 36 del RGPD (seguridad de los datos, obligaciones de notificación, evaluación de impacto).
7. El encargado pone a disposición del responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD y permite auditorías, incluidas inspecciones, realizadas por el responsable o por un auditor encargado por él. Las auditorías deben anunciarse con al menos 4 semanas de antelación, limitarse al horario comercial de octoja y no pueden perturbar de forma desproporcionada la actividad empresarial. Los costes de la auditoría corren a cargo del responsable. Esa asunción de costes no rige para las auditorías motivadas por una violación de la protección de datos personales imputable al encargado.

§ 4 Obligaciones del responsable del tratamiento

1. El responsable es responsable del tratamiento en el sentido del RGPD —o, en la medida en que trate a su vez los datos por cuenta de sus clientes finales, encargado del tratamiento de estos— respecto de todos los datos personales que trate o haga tratar a través de la plataforma. Garantiza que exista una base jurídica suficiente para cada tratamiento, incluidos, en su caso, los acuerdos de tratamiento necesarios con sus clientes finales; en tal caso el encargado actúa como encargado ulterior (subencargado del tratamiento).
2. El responsable imparte las instrucciones de tratamiento exclusivamente por escrito o a través de las funciones previstas al efecto en la plataforma. Las instrucciones verbales deben confirmarse por escrito sin demora.
3. El responsable informa al encargado sin demora cuando, al comprobar las instrucciones o el tratamiento, detecte errores o irregularidades.
4. El responsable garantiza el cumplimiento de los deberes de información exigidos por la normativa de protección de datos frente a sus clientes finales y a los empleados de estos.

§ 5 Subencargados del tratamiento

1. El responsable otorga por la presente al encargado una autorización general para recurrir a subencargados del tratamiento. El encargado informa al responsable con al menos cuatro semanas de antelación sobre la incorporación o sustitución prevista de un subencargado, en forma de texto (correo electrónico o comunicación a través de la plataforma). El responsable puede oponerse a la modificación en forma de texto en un plazo de dos semanas desde la recepción, por un motivo relevante de protección de datos. Si en caso de oposición no se alcanza una solución de común acuerdo, el responsable está facultado para resolver de forma extraordinaria el contrato principal con efectos en el momento en que la modificación surta efecto.
2. Subencargados del tratamiento actuales:

   Subencargado del tratamiento	Sede	Finalidad del tratamiento
   Hetzner Online GmbH	Alemania (Núremberg/Falkenstein)	Alojamiento, explotación del centro de datos, almacenamiento de datos
   Hetzner Online GmbH (Object Storage)	Alemania	Almacenamiento de copias de seguridad cifradas de la base de datos
   Supabase Pte. Ltd.	Singapur; tratamiento de datos exclusivamente en la UE (región de Fráncfort del Meno); garantizado mediante cláusulas contractuales tipo de la UE	Base de datos para la gestión de clientes
   CORDNET OÜ (d/b/a Featurebase)	Estonia (Viimsi, Harju maakond, UE)	Sistema de tickets, soporte al cliente
   Microsoft Ireland Operations Ltd.	Irlanda (UE)	Comunicación por correo electrónico en el marco del soporte (puede contener datos personales procedentes de solicitudes de soporte)
   BunnyWay d.o.o. (Bunny CDN)	Eslovenia (UE)	Red de distribución de contenidos, entrega de contenidos estáticos de la plataforma
   Sendinblue GmbH (Brevo)	Alemania (Berlín)	Notificaciones por correo electrónico, correos transaccionales
   seven communications GmbH & Co. KG	Alemania	Alertas por llamada telefónica, SMS y WhatsApp. Aviso: en las alertas por WhatsApp se transmiten números de teléfono a WhatsApp Ireland Ltd. / Meta; el uso del canal de WhatsApp es opcional y lo activa el responsable del tratamiento.

3. No son subencargados del tratamiento en el sentido de este CTD los servicios de terceros que el responsable activa y configura bajo su propia responsabilidad a través de la plataforma (p. ej. ThreatDown, Lywand, Acronis; vista actualizada en https://octoja.de/es/features/integrations). En esa medida, el encargado actúa exclusivamente como capa técnica de integración; la responsabilidad en materia de protección de datos por el uso de esos servicios recae en el responsable (véase el § 8 de las condiciones de uso).
4. Todos los subencargados están obligados contractualmente a cumplir un nivel de protección de datos equivalente al de este CTD, incluidas las obligaciones del § 11. En el caso de subencargados con sede fuera de la UE o del EEE, el encargado garantiza un nivel adecuado de protección de datos mediante garantías apropiadas (p. ej. cláusulas contractuales tipo de la UE).
5. El encargado responde frente al responsable del cumplimiento de las obligaciones de protección de datos por parte de sus subencargados en la misma medida que de sus propias infracciones.

§ 6 Derechos de los interesados

1. El encargado traslada al responsable sin demora las solicitudes de los interesados que se dirijan directamente a él. El encargado no responde por su cuenta a tales solicitudes, salvo que el responsable se lo haya indicado expresamente.
2. El encargado asiste al responsable, cuando este lo solicite, en la satisfacción de los derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición), en la medida en que sea técnicamente posible y realizable en el marco de la operación de la plataforma.

§ 7 Obligaciones de notificación en caso de violaciones de la seguridad de los datos

1. El encargado notifica al responsable toda violación de la seguridad de los datos personales de la que tenga conocimiento (art. 4, nº 12 del RGPD) que afecte a datos tratados por cuenta de aquel, sin demora tras tener conocimiento de ella y, por regla general, en un plazo de 24 horas. Si en ese momento aún no se dispone de toda la información del apartado 2, se realiza primero una notificación provisional; la información restante se aporta sin demora.
2. La notificación contiene, como mínimo:
   • la naturaleza de la violación y las categorías de datos afectadas,
   • el número aproximado de interesados y de registros afectados,
   • las consecuencias probables de la violación,
   • las medidas correctoras adoptadas o propuestas.
3. El responsable es responsable por sí mismo de la notificación a la autoridad de control competente y, en su caso, de la comunicación a los interesados conforme a los art. 33 y ss. del RGPD.

§ 8 Evaluación de impacto relativa a la protección de datos

Si una actividad de tratamiento del responsable requiere una evaluación de impacto relativa a la protección de datos conforme al art. 35 del RGPD, el encargado asiste al responsable, cuando este lo solicite, facilitando la información relevante sobre la operación de la plataforma y las medidas técnicas empleadas.

§ 9 Supresión y devolución tras la finalización del contrato

1. Tras la finalización del contrato principal, el encargado suprime todos los datos personales del responsable, siempre que no se opongan obligaciones legales de conservación. La supresión se realiza como muy tarde 30 días después del fin del contrato.
2. A solicitud del responsable, que debe presentarse antes de que expire el plazo de 30 días, el encargado pone los datos a disposición en un formato de exportación habitual. Los costes de una exportación de datos pueden facturarse al responsable.
3. El encargado confirma al responsable por escrito, si este lo solicita, la supresión completa.

§ 10 Responsabilidad

La responsabilidad de las partes en el marco de este CTD se rige por las disposiciones de responsabilidad del contrato principal (§ 7 de las condiciones generales o § 6 de las condiciones de uso). En la relación con los interesados rige el art. 82 del RGPD.

§ 11 Sujetos obligados al secreto profesional (§ 203 StGB)

1. En la medida en que el responsable sea él mismo sujeto obligado al secreto profesional en el sentido del § 203, apdo. 1 StGB o emplee la plataforma para clientes finales que lo sean (en particular asesores fiscales, auditores, abogados, médicos y otros profesionales sanitarios, empresas aseguradoras), el encargado actúa como otra persona colaboradora en el sentido del § 203, apdo. 3, frase 2 StGB.
2. El encargado se compromete a guardar silencio sobre todos los secretos ajenos de los que tenga conocimiento en el marco de la prestación del servicio, en particular los secretos pertenecientes al ámbito personal de la vida y los secretos empresariales y comerciales, y a no revelarlos ni aprovecharlos sin autorización. El encargado toma conocimiento de la información protegida solo en la medida necesaria para la correcta prestación del servicio contractual.
3. El encargado obliga por escrito al secreto conforme al § 203 StGB, antes del inicio de su actividad, a todas las personas que intervengan en la prestación del servicio o que puedan acceder a datos del responsable, y les informa de la punibilidad de la revelación no autorizada conforme al § 203, apdo. 4 StGB. El encargado acredita al responsable, cuando este lo solicite, que dicha obligación se ha formalizado.
4. Si el encargado recurre a subencargados conforme al § 5 que puedan acceder a información protegida, los obliga del mismo modo al secreto conforme al § 203 StGB y garantiza que estos, a su vez, obliguen de forma equivalente a las personas que trabajan para ellos.
5. El encargado está facultado para revelar información en la medida en que esté legalmente obligado a ello; informa previamente de ello al responsable siempre que la ley lo permita.
6. Las obligaciones de este parágrafo subsisten sin límite temporal más allá de la finalización del contrato principal.

§ 12 Disposiciones finales

1. Este CTD forma parte del contrato principal y está sujeto al mismo derecho aplicable (derecho alemán).
2. En caso de contradicción entre este CTD y el contrato principal, prevalece este CTD en las cuestiones de protección de datos.
3. Las modificaciones de este CTD requieren la forma de texto. El encargado comunica las modificaciones al responsable en forma de texto al menos 30 días antes de que surtan efecto; el § 5, apdo. 1 permanece inalterado para los cambios de subencargados.