ACUERDO DE TRATAMIENTO DE DATOS (ATD)

Anexo al Contrato de Licencia de Usuario Final de ValidAR Artículo 28 del Reglamento (UE) 2016/679 · Ley Orgánica 3/2018

1. Partes y objeto

1.1. El presente Acuerdo de Tratamiento de Datos («ATD») regula el tratamiento de Datos Personales que KABUNIK, S.L., con domicilio social en Calle Cuenca, núm. 13, 08980 Sant Feliu de Llobregat (Barcelona), España y NIF B88736350 (el «Licenciante» o «Encargado»), realiza por cuenta del Cliente (el «Responsable») en el marco del Contrato de Licencia de Usuario Final de ValidAR (el «CLUF»).

1.2. Este ATD desarrolla la Sección 14C del CLUF y forma parte integrante del mismo. Los términos definidos en el CLUF conservan aquí su significado.

1.3. Se celebra a los efectos del artículo 28.3 del RGPD. En caso de contradicción entre este ATD y el CLUF en materia de protección de datos, prevalecerá este ATD.

1.4. El presente ATD debe estar suscrito antes de que se realice cualquier tratamiento de Datos Personales a través del Software, conforme a la Sección 14C.1 del CLUF.

2. Objeto, duración, naturaleza y finalidad del tratamiento

2.1. El objeto es la prestación del Software y el Soporte descritos en el CLUF y en el Pedido aplicable.

2.2. La duración coincide con el Período de Utilización, prolongándose únicamente lo necesario para cumplir las obligaciones de supresión o devolución de la cláusula 9.

2.3. La naturaleza y finalidad del tratamiento, así como el tipo de Datos Personales y las categorías de interesados, se describen en el Anexo A.

2.4. El Encargado no tratará los Datos Personales para fines propios, salvo en su condición de responsable respecto de los datos indicados en la Sección 14A.1 del CLUF (registro de cuentas, licenciamiento, facturación y comunicaciones del servicio), que quedan fuera del ámbito de este ATD.

3. Instrucciones documentadas

3.1. El Encargado tratará los Datos Personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales, salvo que le obligue el Derecho de la Unión o de un Estado miembro; en tal caso, informará al Responsable de esa exigencia legal antes del tratamiento, salvo prohibición legal por razones de interés público.

3.2. Constituyen instrucciones documentadas del Responsable: el CLUF, el presente ATD, el Pedido, la configuración que el Responsable establezca en el panel de administración del Software, y las instrucciones adicionales que curse por escrito.

3.3. Si el Encargado considera que una instrucción infringe la normativa de protección de datos, informará de inmediato al Responsable y podrá suspender su ejecución hasta que la confirme, modifique o retire.

4. Obligaciones del Responsable

4.1. El Responsable garantiza que dispone de base jurídica para el tratamiento de los Datos Personales que introduce o hace introducir en el Software, y que ha realizado las comunicaciones preceptivas a los interesados.

4.2. El Responsable no introducirá Datos Prohibidos en el Software, en los términos de la Sección 6.(j) del CLUF.

4.3. El Responsable es responsable de la exactitud, calidad y legalidad de los Datos Personales y de los medios por los que los obtuvo.

4.4. El Responsable configurará los perfiles y permisos de sus Usuarios Autorizados conforme al principio de mínimo privilegio, y revisará esas asignaciones cuando se produzcan cambios organizativos.

5. Confidencialidad

5.1. El Encargado garantiza que las personas autorizadas para tratar los Datos Personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.

5.2. El acceso se limita al personal que lo necesite para prestar el Software y el Soporte, y se retira cuando deja de ser necesario.

6. Seguridad del tratamiento

6.1. El Encargado aplicará las medidas técnicas y organizativas apropiadas exigidas por el artículo 32 del RGPD, atendiendo al estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento, así como a los riesgos para los derechos y libertades de los interesados.

6.2. Las medidas vigentes a la fecha se detallan en el Anexo C. El Encargado podrá actualizarlas siempre que no reduzcan el nivel de seguridad.

6.3. El Encargado notificará al Responsable cualquier cambio sustancial en las medidas del Anexo C con antelación razonable.

7. Subencargados

7.1. El Responsable otorga autorización general al Encargado para recurrir a los subencargados relacionados en el Anexo B.

7.2. El Encargado impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las del presente ATD, y responderá plenamente ante el Responsable de sus actos y omisiones.

7.3. El Encargado informará al Responsable de cualquier incorporación o sustitución de subencargado con al menos treinta (30) días de antelación. El Responsable podrá oponerse por motivos razonables de protección de datos dentro de ese plazo; si las partes no resuelven la objeción en treinta (30) días, el Responsable podrá resolver el servicio afectado sin penalización.

8. Derechos de los interesados

8.1. Atendiendo a la naturaleza del tratamiento, el Encargado asistirá al Responsable mediante medidas técnicas y organizativas apropiadas para que pueda responder a las solicitudes de ejercicio de derechos de los artículos 15 a 22 del RGPD.

8.2. El Software pone a disposición del Responsable funciones de consulta, rectificación, exportación y supresión que le permiten atender por sí mismo la mayor parte de esas solicitudes.

8.3. Si el Encargado recibiera directamente una solicitud de un interesado relativa a datos tratados por cuenta del Responsable, se la trasladará sin dilación indebida y no responderá por su cuenta, salvo obligación legal.

9. Supresión o devolución de los datos

9.1. A la terminación del Período de Utilización, y a elección del Responsable, el Encargado suprimirá o le devolverá todos los Datos Personales tratados por su cuenta.

9.2. El Responsable dispone de treinta (30) días naturales desde la terminación para exportar el Contenido del Cliente mediante las funciones del Software. Transcurrido ese plazo sin instrucción en contrario, el Encargado procederá a la supresión.

9.3. El Encargado podrá conservar los datos en copias de seguridad cifradas por un período no superior a treinta (30) días adicionales, durante el cual seguirán sujetos a este ATD, y suprimirá las copias existentes salvo que el Derecho de la Unión o español exija su conservación.

9.4. El Encargado certificará por escrito la supresión a petición del Responsable.

10. Notificación de violaciones de seguridad

10.1. El Encargado notificará al Responsable sin dilación indebida y, en la medida de lo posible, en un plazo de 72 horas desde que tenga conocimiento de una violación de la seguridad que afecte a Datos Personales tratados por su cuenta.

10.2. La notificación incluirá, en la medida en que se disponga de ella: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas, y los datos de contacto para obtener más información.

10.3. El Encargado asistirá al Responsable en el cumplimiento de sus obligaciones de notificación ante la AEPD y, en su caso, ante los interesados.

10.4. La notificación al Responsable no constituye reconocimiento de responsabilidad por parte del Encargado.

11. Asistencia en evaluaciones de impacto

11.1. El Encargado asistirá razonablemente al Responsable en la realización de evaluaciones de impacto relativas a la protección de datos (artículo 35 del RGPD) y en las consultas previas a la autoridad de control (artículo 36), facilitando la información sobre el tratamiento de la que disponga.

12. Información y auditorías

12.1. El Encargado pondrá a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD.

12.2. El Responsable podrá realizar auditorías, incluidas inspecciones, por sí o mediante un auditor independiente sujeto a confidencialidad, con un preaviso razonable de al menos treinta (30) días, en horario laboral y sin perturbar indebidamente la actividad del Encargado, una vez al año salvo que exista una causa fundada o lo requiera la autoridad de control.

12.3. El Encargado podrá satisfacer estas obligaciones aportando certificaciones o informes de auditoría independientes de sus subencargados de infraestructura, cuando cubran razonablemente el alcance solicitado.

13. Transferencias internacionales

13.1. El Responsable reconoce que el tratamiento se realiza en la infraestructura del subencargado de alojamiento en la Unión Europea (europe-west1), y autoriza expresamente la única transferencia a un tercer país que subsiste: el servicio de autenticación, prestado desde Estados Unidos por no ofrecer selección de región, y limitado a las credenciales de acceso. Todo ello según se detalla en el Anexo B.

13.2. Dichas transferencias se amparan en las garantías del Capítulo V del RGPD, y en concreto en las Cláusulas Contractuales Tipo aprobadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914, módulo responsable a encargado, que se incorporan por referencia al presente ATD, así como en la certificación del subencargado en el Marco de Privacidad de Datos UE-EE. UU. cuando resulte aplicable.

13.3. El Encargado ha realizado una evaluación de las transferencias y aplica las medidas complementarias descritas en el Anexo C. Facilitará al Responsable la información necesaria para su propia evaluación cuando la solicite.

13.4. Si una resolución de la Comisión Europea, del Tribunal de Justicia o de la autoridad de control invalidara el mecanismo de transferencia empleado, las partes negociarán de buena fe un mecanismo alternativo. De no ser posible, el Responsable podrá resolver el servicio afectado sin penalización.

14. Responsabilidad

14.1. La responsabilidad derivada del presente ATD se rige por la Sección 18 del CLUF, sin perjuicio de que la responsabilidad por violaciones de Datos Personales constituye una Reclamación Excluida de los límites, en la medida exigida por la normativa aplicable.

14.2. Nada en este ATD limita los derechos de los interesados ni las facultades de la autoridad de control.

15. Vigencia

15.1. El presente ATD entra en vigor en la misma fecha que el CLUF y permanece vigente mientras el Encargado trate Datos Personales por cuenta del Responsable.

15.2. Las obligaciones de confidencialidad, seguridad y supresión subsisten a la terminación.

ANEXO A — DESCRIPCIÓN DEL TRATAMIENTO

Artículo 28.3 del RGPD

Categorías de interesados

• Usuarios Autorizados del Responsable: personal de inspección y calidad, armadores, oficina técnica y administradores.
• Personas que aparezcan incidentalmente en las fotografías que un Usuario Autorizado capture deliberadamente como parte de un reporte de inspección.

Tipos de Datos Personales

Tratamientos excluidos

No se tratan categorías especiales de datos del artículo 9 del RGPD, datos de geolocalización precisa del usuario, ni datos de menores. No se utilizan los datos con fines publicitarios, de seguimiento entre aplicaciones o sitios de terceros, ni de elaboración de perfiles con efectos jurídicos.

Las imágenes captadas de forma continua para el seguimiento por realidad aumentada se procesan en el propio Dispositivo y no se transmiten ni almacenan en la infraestructura del Encargado. Únicamente se conservan las fotografías que el Usuario Autorizado decide capturar deliberadamente.

Plazos de conservación

ANEXO B — SUBENCARGADOS AUTORIZADOS

Nota sobre la ubicación. La base de datos, el almacenamiento de archivos, las funciones de servidor y el almacén analítico del Encargado están desplegados en la región europe-west1 (Bélgica, Unión Europea).

La autenticación constituye la única excepción: Firebase Authentication no ofrece selección de región y se presta desde Estados Unidos. Afecta exclusivamente a las credenciales de acceso —dirección de correo electrónico, identificador de usuario y verificador de contraseña—, no al contenido de inspección. Véase la cláusula 13.

ANEXO C — MEDIDAS TÉCNICAS Y ORGANIZATIVAS

Artículo 32 del RGPD

Control de acceso

• Autenticación nominal de cada Usuario Autorizado. Las credenciales son personales e intransferibles.
• Aislamiento por organización: la pertenencia del usuario a su organización viaja dentro del propio token de autenticación y las reglas de acceso a la base de datos y al almacenamiento de archivos la comprueban en cada operación. Un usuario no puede acceder a los datos de otra organización, ni siquiera conociendo su identificador.
• Control por rol dentro de cada organización, conforme a los perfiles contratados.
• Revisión periódica de permisos y retirada del acceso del personal del Encargado cuando deja de ser necesario.

Cifrado

• Cifrado en tránsito (TLS) en todas las comunicaciones entre los Dispositivos, la aplicación web y la infraestructura.
• Cifrado en reposo de la base de datos, el almacenamiento de archivos y las copias de seguridad, aplicado por el subencargado de infraestructura.

Registro y trazabilidad

• Registro de accesos y operaciones sobre la infraestructura, conservado por el subencargado de alojamiento.
• Cada validación queda registrada con autor, momento y revisión del plano empleada, lo que permite reconstruir quién hizo qué y cuándo.

Minimización

• Las imágenes de seguimiento se procesan en el Dispositivo y no se transmiten.
• Los identificadores de IP empleados para limitar el ritmo de peticiones se almacenan cifrados mediante función resumen, no en claro.
• La telemetría de diagnóstico es desactivable por el administrador del Responsable, salvo la mínima imprescindible para el cumplimiento de la licencia.

Disponibilidad y resiliencia

• Infraestructura gestionada con redundancia y copias de seguridad a cargo del subencargado de alojamiento.
• Capacidad de exportación del Contenido del Cliente por el propio Responsable en cualquier momento durante el Período de Utilización.

Organizativas

• Acceso del personal del Encargado limitado al mínimo necesario y sujeto a deber de confidencialidad.
• Evaluación de subencargados antes de su incorporación y obligaciones contractuales equivalentes a las de este ATD.