Acuerdo de Encargo de Tratamiento (DPA)

1. Objeto

El presente Acuerdo de Encargo de Tratamiento regula los tratamientos de datos personales realizados por Veraudit por cuenta de sus clientes cuando Veraudit tenga la condición de encargado del tratamiento conforme al artículo 28 del Reglamento General de Protección de Datos. Este DPA forma parte de la relación contractual cuando resulte aplicable.

2. Partes

Responsable: el cliente de Veraudit que determine las finalidades y medios del tratamiento de datos personales gestionados mediante el servicio. Encargado: Sergio Redondo Ramírez, NIF 47240316H, nombre comercial Veraudit, contacto info@veraudit.com.

3. Aplicación

Este DPA se aplicará cuando Veraudit trate datos personales por cuenta del cliente. Puede ocurrir respecto de información sobre clientes, proveedores, patrocinadores, colaboradores, contactos, miembros de equipos, clientes de agencias, propietarios de canales o personas incluidas en documentación gestionada mediante Veraudit.

4. Veraudit como responsable

Este DPA no resulta aplicable a los tratamientos respecto de los cuales Veraudit actúe como responsable independiente. Veraudit podrá actuar como responsable respecto de cuentas, relación contractual, suscripciones, facturación propia, seguridad, prevención del fraude, cumplimiento legal, soporte y defensa frente a reclamaciones.

5. Objeto y duración

El tratamiento tiene por objeto proporcionar las funcionalidades de Veraudit solicitadas por el cliente. Su duración coincidirá generalmente con la prestación del servicio correspondiente, sin perjuicio de los períodos de conservación legalmente exigibles.

6. Naturaleza del tratamiento

Las operaciones podrán incluir recogida, registro, organización, estructuración, almacenamiento, consulta, visualización, modificación, recuperación, transmisión técnica, sincronización, exportación, limitación y eliminación.

7. Finalidades

Los datos podrán tratarse para proporcionar funcionalidades como gestión de clientes y proveedores, patrocinadores, facturación, ingresos y gastos, agenda, tareas, informes, canales, gestión Agency y demás herramientas contratadas. Veraudit no utilizará datos tratados exclusivamente por cuenta del cliente para finalidades propias incompatibles con el encargo.

8. Interesados

Los datos podrán corresponder a clientes, potenciales clientes, proveedores, patrocinadores, colaboradores, representantes, miembros de equipos, contactos profesionales, propietarios de canales, clientes de agencias y otros terceros legítimamente gestionados por el cliente.

9. Categorías de datos

Según las funciones utilizadas podrán tratarse datos identificativos, de contacto, información profesional, empresarial, económica, de facturación, agenda, tareas, información relacionada con canales y demás datos necesarios introducidos legítimamente por el cliente.

10. Categorías especiales

Veraudit no está diseñado para almacenar habitualmente categorías especiales de datos personales. El cliente evitará introducir deliberadamente datos de salud, origen racial o étnico, opiniones políticas, religión, convicciones filosóficas, afiliación sindical, datos genéticos, biometría identificativa, vida sexual u orientación sexual, salvo que una funcionalidad futura lo permita expresamente y existan garantías suficientes.

11. Datos penales

Veraudit tampoco está diseñado específicamente para gestionar información relativa a condenas o infracciones penales.

12. Obligaciones del responsable

El cliente deberá disponer de base jurídica, cumplir sus obligaciones de información, atender derechos, proporcionar instrucciones lícitas, introducir únicamente información necesaria, controlar sus usuarios, proteger credenciales y cumplir la normativa aplicable.

13. Instrucciones documentadas

Veraudit tratará los datos únicamente siguiendo instrucciones documentadas del cliente. Podrán constituir instrucciones el contrato, este DPA, configuraciones, acciones realizadas dentro de la aplicación, funcionalidades activadas y solicitudes documentadas del cliente.

14. Instrucciones ilícitas

Cuando Veraudit considere que una instrucción infringe la normativa de protección de datos, informará al responsable cuando corresponda y podrá suspender su ejecución mientras se aclara la situación.

15. Obligación legal

Si una norma obliga a Veraudit a realizar un tratamiento diferente de las instrucciones recibidas, se informará al cliente previamente cuando la legislación lo permita.

16. Confidencialidad

Las personas autorizadas para acceder a datos personales estarán sujetas a obligaciones adecuadas de confidencialidad. El acceso se limitará a quienes necesiten la información para desarrollar sus funciones.

17. Seguridad

Veraudit adoptará medidas técnicas y organizativas apropiadas al riesgo conforme al artículo 32 RGPD, teniendo en cuenta estado de la técnica, costes, naturaleza, alcance, contexto, finalidades, probabilidad y gravedad de los riesgos.

18. Medidas

Las medidas podrán incluir HTTPS/TLS, autenticación, controles de acceso, separación lógica entre cuentas, gestión de permisos, protección de credenciales, gestión de secretos, protección de tokens OAuth, actualizaciones, backups, gestión de vulnerabilidades, registro de eventos relevantes y respuesta a incidentes.

19. Acceso interno

El personal técnico o administrativo únicamente deberá acceder a datos de clientes cuando resulte necesario para soporte, seguridad, mantenimiento, investigación de incidencias, cumplimiento legal o prestación del servicio.

20. Google OAuth

Las conexiones con Google y YouTube se realizarán mediante mecanismos oficiales de autorización. Veraudit no requiere que el propietario entregue su contraseña de Google a Veraudit o a una Agency.

21. Agency

Cuando una Agency solicite conectar un canal de un cliente, la Agency inicia la solicitud, Veraudit genera una invitación, el propietario accede, se autentica directamente mediante Google, concede la autorización y Veraudit asocia el canal con la Agency correspondiente.

22. Separación de permisos

La autorización OAuth concedida a Veraudit y el acceso interno concedido a la Agency son permisos diferentes. Veraudit podrá limitar qué información del canal puede consultar la Agency.

23. Subencargados

El cliente concede autorización general para que Veraudit utilice subencargados necesarios para prestar el servicio. Podrán intervenir en alojamiento, infraestructura, base de datos, autenticación, pagos, comunicaciones, facturación, seguridad, almacenamiento y funciones técnicas.

24. Obligaciones de subencargados

Cuando un proveedor actúe como subencargado, Veraudit impondrá las obligaciones de protección de datos correspondientes mediante el instrumento contractual adecuado. Veraudit mantendrá frente al cliente las responsabilidades que legalmente le correspondan.

25. Proveedores

La infraestructura de Veraudit puede incluir servicios proporcionados por Hostalia, Supabase, Google, YouTube API Services, Stripe y proveedores adicionales necesarios para correo, facturación, seguridad u otras funciones. La condición jurídica de cada proveedor dependerá del tratamiento concreto.

26. Información sobre subencargados

Veraudit mantendrá información actualizada sobre los proveedores que actúen efectivamente como subencargados. Cuando corresponda, incluirá proveedor, servicio, finalidad, localización relevante y garantías aplicables.

27. Cambios de subencargados

Cuando resulte exigible, Veraudit comunicará los cambios previstos que permitan al cliente formular objeciones razonables relacionadas con protección de datos.

28. Transferencias internacionales

Cuando se produzca una transferencia internacional sujeta al RGPD, Veraudit utilizará un mecanismo válido conforme al Capítulo V del RGPD, como decisión de adecuación, Marco de Privacidad de Datos UE-EE. UU. cuando resulte aplicable, cláusulas contractuales tipo u otra garantía válida.

29. Derechos

Veraudit prestará asistencia razonable al responsable para responder a solicitudes relacionadas con los derechos de los interesados.

30. Solicitudes recibidas por Veraudit

Cuando una persona solicite ejercer derechos respecto de datos tratados exclusivamente por cuenta de un cliente, Veraudit podrá remitir la solicitud al responsable correspondiente.

31. Supresión

Veraudit ejecutará las instrucciones válidas de eliminación dentro de los plazos que correspondan. Cuando la solicitud afecte a datos de usuario almacenados procedentes de YouTube API Services, Veraudit aplicará además los plazos específicos de YouTube y, cuando corresponda, eliminará esos datos tan pronto como sea posible y dentro de 7 días naturales desde la solicitud o eliminación de la cuenta. La revocación de autorización se gestionará asimismo conforme a los plazos y procedimientos específicos de YouTube.

32. Violaciones de seguridad

Cuando Veraudit tenga conocimiento de una violación de seguridad de datos personales tratados por cuenta del cliente, lo notificará al responsable sin dilación indebida.

33. Información sobre incidentes

Cuando esté disponible, Veraudit facilitará información sobre naturaleza de la incidencia, datos afectados, interesados afectados, alcance aproximado, consecuencias y medidas adoptadas o propuestas. La información podrá facilitarse progresivamente cuando no sea posible disponer de ella simultáneamente.

34. Autoridades e interesados

Corresponderá al responsable determinar si debe comunicar una incidencia a una autoridad o a los interesados, salvo que Veraudit tenga una obligación legal propia.

35. Evaluaciones de impacto

Veraudit proporcionará al responsable la información razonablemente disponible que resulte necesaria para evaluaciones de impacto relacionadas con los tratamientos realizados mediante el servicio.

36. Consultas previas

Veraudit prestará asistencia razonable cuando sea necesaria una consulta previa a una autoridad de control respecto del tratamiento encargado.

37. Auditoría

Veraudit pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 RGPD y permitirá y contribuirá a auditorías cuando resulte legalmente exigible.

38. Procedimiento de auditoría

Las auditorías deberán desarrollarse de forma proporcionada, protegiendo datos de otros clientes, seguridad, confidencialidad, secretos empresariales y continuidad del servicio. Cuando sea suficiente, se priorizará proporcionar documentación o evidencias antes de realizar inspecciones técnicas.

39. Finalización

Al finalizar el servicio, Veraudit eliminará o devolverá los datos personales tratados por cuenta del cliente, a elección de este cuando resulte aplicable, y eliminará las copias salvo obligación legal de conservación.

40. Copias de seguridad

La eliminación en sistemas activos puede no implicar la desaparición inmediata de copias de seguridad. Los datos residuales podrán permanecer durante el ciclo razonable de rotación siempre que continúen protegidos, no sean utilizados ordinariamente y sean eliminados conforme al ciclo correspondiente.

41. Datos conservados como responsable

Veraudit podrá conservar información respecto de la cual actúe como responsable cuando exista una base jurídica, incluyendo facturas de Veraudit, evidencia contractual, registros necesarios para obligaciones fiscales, pagos, prevención del fraude y defensa frente a reclamaciones.

42. Cooperación

Las partes cooperarán razonablemente para facilitar el cumplimiento de sus respectivas obligaciones.

43. Autoridades

Veraudit cooperará con las autoridades de control cuando esté legalmente obligado.

44. Protección desde el diseño

Veraudit procurará aplicar los principios de protección de datos desde el diseño y por defecto, incluyendo minimización, separación de permisos, limitación de acceso, conservación limitada y configuraciones respetuosas con la privacidad.

45. Usuarios autorizados

El responsable decidirá qué miembros de su organización pueden acceder a su cuenta y deberá retirar accesos cuando una persona deje de necesitarlos.

46. Roles jurídicos en Agency

La utilización del plan Agency no determina automáticamente la condición jurídica de cada parte. El papel de responsable, encargado o subencargado dependerá del tratamiento concreto y de quién determine sus finalidades y medios.

47. Evidencia de OAuth Agency

Cuando resulte necesario para gestionar y acreditar la autorización podrán conservarse canal, Agency, fecha, permisos, estado y revocación.

48. Revocación Agency

Cuando el propietario revoque la autorización, Veraudit aplicará las consecuencias técnicas correspondientes. La Agency dejará de tener acceso a información dependiente de dicha autorización.

49. YouTube API Services

El tratamiento de información procedente de YouTube estará adicionalmente sujeto a las políticas aplicables de YouTube API Services. Este DPA no autoriza al cliente a utilizar esos datos incumpliendo dichas políticas.

50. Modificaciones

Veraudit podrá actualizar este DPA para adaptarlo a cambios legislativos, técnicos, organizativos, de proveedores o de funcionalidades. Cuando resulte necesario, los cambios sustanciales se comunicarán al cliente.

51. Prevalencia

Respecto de tratamientos realizados por Veraudit como encargado, este DPA prevalecerá sobre disposiciones generales incompatibles de otros documentos contractuales.

52. Legislación

El DPA se interpretará conforme al RGPD, la legislación española de protección de datos y demás normativa aplicable.

53. Incorporación contractual

Cuando el cliente utilice funciones que impliquen tratamiento por su cuenta, este DPA podrá formar parte electrónicamente del contrato de Veraudit. Veraudit podrá conservar evidencia de la versión aceptada.

54. Contacto

Para cuestiones relacionadas con este DPA puede escribirse a info@veraudit.com.

ANEXO I — Descripción del tratamiento

Objeto: prestación de Veraudit.
Duración: durante la prestación del servicio y períodos adicionales legalmente necesarios.
Naturaleza: almacenamiento, organización, consulta, modificación, transmisión técnica, sincronización, generación, exportación y eliminación.
Finalidad: proporcionar las funcionalidades contratadas.
Interesados: clientes, proveedores, patrocinadores, colaboradores, contactos, miembros de equipos, clientes de agencias, propietarios de canales y otros terceros legítimamente gestionados.
Datos: identificativos, contacto, profesionales, económicos, facturación, agenda e información relacionada con las funciones contratadas.
Categorías especiales: no previstas como parte del uso ordinario.

ANEXO II — Medidas técnicas y organizativas

• cifrado de comunicaciones
• autenticación
• controles de acceso
• separación lógica de cuentas
• gestión de permisos
• protección de credenciales
• protección de tokens
• gestión de secretos
• backups
• actualización de componentes
• gestión de vulnerabilidades
• gestión de incidentes
• procedimientos de recuperación

Las medidas deberán mantenerse actualizadas conforme evolucione la infraestructura y los riesgos.

ANEXO III — Subencargados

Veraudit mantendrá una relación actualizada de los proveedores que actúen efectivamente como subencargados. Cuando corresponda, se indicará proveedor, servicio, finalidad, región relevante y garantía para transferencias internacionales. La lista deberá corresponder en todo momento con la infraestructura realmente utilizada por Veraudit.