Acuerdo de Procesamiento de Datos

1. Introducción y Alcance

Este Acuerdo de Procesamiento de Datos ("DPA") forma parte del Acuerdo de Servicio entre TR7 Ltd ("TR7", el "Encargado del Tratamiento") y el cliente ("Cliente", el "Responsable del Tratamiento"). Este DPA establece los términos bajo los cuales TR7 procesa datos personales en nombre del Cliente en cumplimiento del Reglamento General de Protección de Datos del Reino Unido (UK GDPR), el Reglamento General de Protección de Datos de la Unión Europea (EU GDPR 2016/679) y la Data Protection Act 2018.

2. Definiciones

En este DPA, los términos "datos personales", "interesado", "tratamiento", "responsable del tratamiento", "encargado del tratamiento", "subencargado del tratamiento" y "autoridad de supervisión" tendrán los significados que se les atribuyen en el UK GDPR y el EU GDPR. "Leyes de Protección de Datos" se refiere al UK GDPR, EU GDPR, la Data Protection Act 2018 y cualquier legislación nacional de aplicación, según se modifiquen periódicamente.

3. Funciones y Responsabilidades

El Cliente actúa como Responsable del Tratamiento y determina los fines y medios del tratamiento de datos personales. TR7 actúa como Encargado del Tratamiento y procesa datos personales exclusivamente en nombre del Cliente y de acuerdo con las instrucciones documentadas del mismo. TR7 no procesará datos personales para ningún fin que no sea el instruido por el Cliente, a menos que sea requerido por la ley aplicable, en cuyo caso TR7 informará al Cliente antes del tratamiento (salvo que la ley lo prohíba).

4. Categorías de Datos

Las siguientes categorías de datos personales pueden ser procesadas en virtud de este DPA:

Interesados: Empleados, contratistas, usuarios finales y contactos autorizados del Cliente.

Categorías de Datos Personales:
• Información de contacto (nombre, dirección de correo electrónico, número de teléfono, cargo)
• Credenciales de cuenta (nombres de usuario, contraseñas cifradas)
• Registros de acceso al sistema y direcciones IP
• Comunicaciones de soporte técnico y contenido de tickets
• Metadatos de configuración asociados a usuarios identificados

Categorías Especiales: TR7 no procesa intencionalmente categorías especiales de datos personales (por ejemplo, datos de salud, datos biométricos). El Cliente no deberá enviar datos de categorías especiales a TR7 sin un acuerdo previo por escrito.

5. Finalidad y Duración del Tratamiento

TR7 procesa datos personales exclusivamente para los siguientes fines:

• Provisión y operación del Software TR7 y servicios relacionados
• Prestación de soporte técnico y servicios profesionales
• Gestión de cuentas de usuario y controles de acceso
• Generación de análisis de uso e informes de rendimiento (anonimizados cuando sea posible)
• Cumplimiento de obligaciones legales y regulatorias

El tratamiento continuará durante la vigencia del Acuerdo de Servicio y cesará tras su terminación, sujeto a la Sección 10 (Retención y Eliminación de Datos).

6. Medidas de Seguridad

TR7 implementa y mantiene medidas técnicas y organizativas apropiadas para proteger los datos personales, incluyendo, entre otras:

• Cifrado: Los datos en tránsito se cifran mediante TLS 1.2 o superior. Los datos en reposo se cifran mediante AES-256 o equivalente.
• Control de Acceso: Control de acceso basado en roles (RBAC) con principios de privilegio mínimo. Autenticación multifactor (MFA) para todo el personal de TR7 que accede a datos del Cliente.
• Seguridad de Red: Protección mediante firewall, sistemas de detección de intrusiones y segmentación de red para aislar los entornos del Cliente.
• Monitorización: Monitorización de seguridad continua, análisis de registros y alertas automatizadas para actividades sospechosas.
• Personal: Todo el personal de TR7 con acceso a datos personales está sujeto a obligaciones de confidencialidad y recibe formación regular en protección de datos.
• Seguridad Física: Los centros de datos utilizados por TR7 mantienen controles de seguridad física estándar de la industria, incluyendo vigilancia 24/7, acceso biométrico y controles ambientales.
• Respuesta a Incidentes: Procedimientos documentados de respuesta a incidentes con roles definidos, protocolos de comunicación y procesos de revisión post-incidente.
• Continuidad del Negocio: Copias de seguridad periódicas, procedimientos de recuperación ante desastres y medidas de redundancia para garantizar la disponibilidad de los datos.

7. Subencargados del Tratamiento

El Cliente otorga autorización general por escrito para que TR7 contrate subencargados del tratamiento para el procesamiento de datos personales, sujeto a las siguientes condiciones:

• TR7 mantendrá una lista de los subencargados del tratamiento actuales, disponible previa solicitud.
• TR7 notificará al Cliente con al menos treinta (30) días de antelación antes de contratar a un nuevo subencargado del tratamiento o sustituir a uno existente.
• El Cliente puede oponerse a un nuevo subencargado del tratamiento dentro de los catorce (14) días siguientes a la notificación. Si el Cliente se opone por motivos razonables y TR7 no puede atender la objeción, cualquiera de las partes podrá resolver los servicios afectados.
• TR7 impondrá a cada subencargado del tratamiento obligaciones de protección de datos no menos estrictas que las establecidas en este DPA.
• TR7 seguirá siendo plenamente responsable de los actos y omisiones de sus subencargados del tratamiento.

8. Derechos de los Interesados

TR7 asistirá al Cliente en la respuesta a las solicitudes de los interesados que ejerzan sus derechos en virtud de las Leyes de Protección de Datos, incluidos los derechos de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos y el derecho de oposición. TR7 notificará al Cliente de forma inmediata si recibe directamente una solicitud de un interesado y no responderá a dicha solicitud sin las instrucciones previas por escrito del Cliente, salvo que la ley lo exija.

9. Notificación de Violación de Datos

TR7 notificará al Cliente sin dilación indebida, y en cualquier caso dentro de las 72 horas, tras tener conocimiento de una violación de datos personales. La notificación incluirá:

• La naturaleza de la violación, incluyendo las categorías y el número aproximado de interesados y registros afectados
• Las consecuencias probables de la violación
• Las medidas adoptadas o propuestas para abordar la violación y mitigar sus efectos
• Los datos de contacto del punto de contacto de protección de datos de TR7

TR7 cooperará con el Cliente y tomará todas las medidas razonables para asistir en la investigación, mitigación y remediación de la violación.

10. Retención y Eliminación de Datos

Tras la terminación del Acuerdo de Servicio, TR7, a elección del Cliente, devolverá todos los datos personales al Cliente o eliminará de forma segura todos los datos personales dentro de los noventa (90) días, a menos que la retención sea requerida por la ley aplicable. TR7 proporcionará una confirmación escrita de la eliminación a solicitud del Cliente. Cualquier dato personal retenido por motivos de cumplimiento legal continuará estando protegido de acuerdo con este DPA.

11. Transferencias Internacionales de Datos

TR7 no transferirá datos personales fuera del Reino Unido o del Espacio Económico Europeo (EEE) sin el consentimiento previo por escrito del Cliente y sin garantizar que se implementen las salvaguardias adecuadas, tales como:

• Cláusulas Contractuales Tipo (CCT) aprobadas por la Oficina del Comisionado de Información del Reino Unido (ICO) o la Comisión Europea
• Una decisión de adecuación del Secretario de Estado del Reino Unido o de la Comisión Europea
• Normas Corporativas Vinculantes aprobadas por la autoridad de supervisión competente

TR7 realizará una evaluación de impacto de la transferencia cuando sea necesario e implementará medidas complementarias según sea preciso para garantizar un nivel esencialmente equivalente de protección de datos.

12. Auditorías e Inspecciones

TR7 pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento de este DPA y permitirá y contribuirá a auditorías, incluidas inspecciones, realizadas por el Cliente o un auditor independiente designado por el Cliente. Dichas auditorías se realizarán con un preaviso razonable (al menos treinta días), durante el horario comercial normal, y no interferirán de manera irrazonable con las operaciones de TR7. El Cliente asumirá los costes de cualquier auditoría a menos que la auditoría revele un incumplimiento material por parte de TR7.

13. Evaluación de Impacto sobre la Protección de Datos

TR7 proporcionará asistencia razonable al Cliente en la realización de Evaluaciones de Impacto sobre la Protección de Datos (EIPD) cuando lo requieran las Leyes de Protección de Datos, y en cualquier consulta previa con la autoridad de supervisión correspondiente.

14. Responsabilidad

La responsabilidad de cada parte en virtud de este DPA estará sujeta a las limitaciones establecidas en el Acuerdo de Servicio y el Acuerdo de Licencia de Usuario Final (EULA). Cada parte será responsable de los daños causados por el tratamiento que infrinja las Leyes de Protección de Datos, de acuerdo con las disposiciones de responsabilidad del UK GDPR y el EU GDPR.

15. Contacto

Para consultas sobre protección de datos:

TR7 Ltd
Contacto de Protección de Datos
EAGLE TOWER, Montpellier Drive, Office Suite 120
Cheltenham GL50 1TA, United Kingdom
Email: privacy@tr7.com

UK Information Commissioner's Office (ICO): ico.org.uk