Contrato de encargo de tratamiento de datos personales
Condiciones con las que LexAppliance GRC trata, por cuenta de tu organización, los datos personales que registras en la plataforma (LOPDP arts. 34 y 47).
1. Partes y objeto
Este contrato se celebra entre el cliente que acepta los Términos y condiciones de uso, como responsable del tratamiento, y [Razón social o nombre del titular del servicio], RUC [RUC], como encargado del tratamiento. Forma parte de los términos y se rige por la Ley Orgánica de Protección de Datos Personales (LOPDP), su reglamento y las resoluciones de la Superintendencia de Protección de Datos Personales.
Su objeto es regular el tratamiento de los datos personales que el responsable registra en la plataforma para usar el servicio. Conforme al art. 34 de la LOPDP, el acceso del encargado a esos datos para prestar el servicio no constituye transferencia ni comunicación.
2. Descripción del tratamiento
| Elemento | Detalle |
|---|---|
| Finalidad | Alojar, organizar, mostrar, exportar y respaldar la información de cumplimiento del responsable, y generar sus documentos y reportes. |
| Operaciones | Registro, almacenamiento, consulta, modificación por los usuarios del responsable, exportación, copia de seguridad y supresión. |
| Titulares | Personal y colaboradores del responsable, miembros de su equipo en la plataforma y, de forma descriptiva, los grupos de titulares que el responsable registre en sus actividades de tratamiento o brechas. |
| Categorías de datos | Identificativos y de contacto (nombres, cargos, correos), autoría y fecha de los cambios, y la información que el responsable decida incluir en textos libres. La plataforma no requiere cargar categorías especiales de datos. |
| Duración | La vigencia de la cuenta y el plazo de conservación posterior previsto en la cláusula 10. |
3. Instrucciones del responsable
- El encargado trata los datos únicamente conforme a las instrucciones documentadas del responsable, que son este contrato, la configuración que el responsable hace en la plataforma y las solicitudes que envíe por escrito.
- El encargado no usará los datos para fines propios ni distintos de los de este contrato, y no los transferirá ni comunicará a otras personas, ni siquiera para su conservación, salvo a los subencargados autorizados según la cláusula 6 o por obligación legal.
- Si una instrucción le parece contraria a la LOPDP, el encargado lo informará al responsable de inmediato y podrá suspender su ejecución hasta que se aclare.
4. Confidencialidad
El encargado garantiza que las personas autorizadas a tratar los datos están obligadas por escrito a guardar confidencialidad, también después de terminar su relación con él, y que solo acceden a ellos cuando es necesario para prestar el servicio, dar soporte solicitado por el responsable o resolver un incidente.
5. Medidas de seguridad
Conforme a los arts. 37 y 40 de la LOPDP, el encargado aplica medidas acordes al riesgo, que evalúa y mejora de forma continua, entre ellas:
- Separación lógica de los datos de cada cliente y de cada empresa cliente, con control de acceso por roles y permisos.
- Cifrado de las comunicaciones (HTTPS) y almacenamiento de contraseñas con funciones de hash.
- Límite de intentos de acceso y cierre de las sesiones de cuentas eliminadas.
- Registros de cambios con autor y fecha en los módulos que lo requieren, y huellas SHA-256 de las evidencias.
- Copias de seguridad periódicas y procedimiento de restauración.
- Proveedores de infraestructura con certificaciones de seguridad reconocidas.
La descripción actualizada de las medidas está disponible para el responsable a petición.
6. Subencargados
- El responsable autoriza de forma general al encargado a recurrir a los subencargados que figuran en la página de subencargados.
- El encargado avisará con al menos 15 días de anticipación de cualquier alta o sustitución. El responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si no se encuentra una solución, podrá terminar el contrato sin penalización.
- El encargado impondrá a cada subencargado, por contrato, obligaciones de protección equivalentes a las de este documento y responderá ante el responsable por su cumplimiento.
- Si un subencargado trata datos fuera del Ecuador, el encargado se asegurará de que la transferencia cuente con nivel adecuado declarado por la Autoridad o con garantías adecuadas conforme a los arts. 56 y 57 de la LOPDP.
7. Asistencia con los derechos de los titulares
La plataforma permite al responsable consultar, corregir, exportar y eliminar la información que registra. Si un titular se dirige directamente al encargado, este trasladará la solicitud al responsable en un plazo máximo de dos (2) días hábiles, sin responderla por su cuenta, para que el responsable pueda atenderla dentro de los plazos de la LOPDP (quince días para los arts. 13 a 16 y diez días para el art. 62).
8. Vulneraciones de seguridad
El encargado notificará al responsable cualquier vulneración de la seguridad que afecte a los datos tratados por su cuenta tan pronto como sea posible y, a más tardar, dentro del término de dos (2) días contados desde que tenga conocimiento de ella, como exige el art. 43 de la LOPDP.
La notificación incluirá, en la medida en que se conozca, la naturaleza de la vulneración, las categorías y el número aproximado de titulares y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas, y un punto de contacto. El encargado colaborará para que el responsable notifique a la Autoridad y a la ARCOTEL y, cuando proceda, a los titulares.
9. Evaluaciones de impacto, auditorías y Registro Nacional
- El encargado facilitará al responsable la información disponible sobre el servicio que necesite para sus evaluaciones de impacto (art. 42) y su análisis de riesgos (art. 40).
- El encargado pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitirá las auditorías o inspecciones del responsable o de un auditor acreditado por la Autoridad (art. 47, numeral 14), acordadas con antelación razonable y sin comprometer la seguridad ni la confidencialidad de otros clientes.
- El encargado facilitará sus datos de identificación y contacto para que el responsable los reporte en el Registro Nacional (art. 51).
10. Devolución y supresión al terminar
Al terminar el servicio, el responsable dispone de 30 días para exportar su información. Vencido ese plazo, el encargado suprimirá los datos de forma segura, y las copias de seguridad se sobrescribirán en su ciclo ordinario, salvo que una ley exija conservarlos. A petición del responsable, el encargado certificará la supresión. Todo ello se hará bajo la supervisión de la Autoridad de Protección de Datos Personales cuando esta lo disponga (art. 34).
11. Responsabilidad
Cada parte responde del cumplimiento de sus propias obligaciones bajo la LOPDP. El encargado responde de las infracciones derivadas del incumplimiento de las condiciones de tratamiento establecidas en este contrato y en la ley (art. 34). El responsable responde de la licitud de los datos que registra y de las instrucciones que imparte.