Acuerdo de tratamiento de datos

1. Objeto y ámbito de aplicación

Este Acuerdo de tratamiento de datos («DPA») complementa los Términos del servicio de Suppled y se aplica al tratamiento de datos personales que Suppled realiza por cuenta del cliente («Cliente») en el marco de la prestación de la plataforma de software Suppled.

Este DPA cumple los requisitos del artículo 28 del Reglamento (UE) 2016/679 (el RGPD de la UE), de la Ley de Protección de Datos del Reino Unido de 2018 (UK Data Protection Act 2018) / el RGPD del Reino Unido (UK GDPR) y de las leyes estatales de privacidad de Estados Unidos aplicables (incluida la Ley de Privacidad del Consumidor de California, California Consumer Privacy Act o «CCPA», en su versión modificada por la CPRA).

2. Funciones y calificación

Las partes acuerdan que, respecto de los Datos del Cliente tratados en Suppled (como los datos personales de los clientes, clientes potenciales y contactos del Cliente que se guardan en presupuestos, trabajos o listas de clientes):

• El Cliente es el responsable del tratamiento (o «Business» según las leyes estatales de privacidad de Estados Unidos).
• Suppled es el encargado del tratamiento (o «Service Provider» según las leyes estatales de privacidad de Estados Unidos) y actúa siguiendo las instrucciones del Cliente.

3. Detalles del tratamiento

• Objeto: la prestación de la plataforma de herramientas de Suppled, la herramienta de presupuestos, el CRM y el motor de flujos de trabajo, tal como se describen en los Términos del servicio.
• Duración: la vigencia de la suscripción del Cliente más el periodo que transcurra hasta que todos los Datos del Cliente se eliminen conforme al apartado 9.
• Naturaleza y finalidad: guardar, calcular, organizar, personalizar y emitir registros, presupuestos y comunicaciones según indiquen los usuarios del Cliente.
• Categorías de interesados: los clientes, clientes potenciales, proveedores, contratistas y miembros autorizados del equipo del Cliente.
• Tipos de datos personales: datos de contacto (nombres, direcciones de correo electrónico, números de teléfono, direcciones postales y direcciones de entrega en obra), datos de facturación, especificaciones de los trabajos y comunicaciones.

4. Obligaciones del encargado del tratamiento

Suppled se compromete a:

• Tratar los datos solo siguiendo instrucciones: tratar los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias de datos personales a un tercer país o a una organización internacional, salvo que esté obligado a ello en virtud del derecho aplicable del Reino Unido, de la UE o de los Estados miembros.
• Confidencialidad: garantizar que las personas autorizadas para tratar los datos personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación de confidencialidad de naturaleza legal adecuada.
• Seguridad del tratamiento: aplicar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, entre ellas el cifrado en tránsito (TLS 1.3), el cifrado en reposo, el aislamiento de los datos de cada cliente y evaluaciones de seguridad periódicas.
• Subencargados del tratamiento: mantener una lista publicada de subencargados del tratamiento autorizados y notificar al Cliente cualquier cambio previsto.
• Asistencia con los derechos de los interesados: teniendo en cuenta la naturaleza del tratamiento, asistir al Cliente ofreciéndole funciones integradas de autoservicio (como herramientas de exportación de datos y de supresión inmediata) para que cumpla su obligación de responder a los interesados que ejerzan sus derechos de privacidad.
• Notificación de violaciones de seguridad: notificar al Cliente sin dilación indebida (y en cualquier caso en un plazo de 48 horas) en cuanto tenga conocimiento de una violación de la seguridad de los datos personales confirmada que afecte a los Datos Personales del Cliente.

5. Subencargados del tratamiento autorizados

El Cliente otorga a Suppled una autorización general por escrito para recurrir a los siguientes subencargados del tratamiento para la prestación de Suppled:

• Anthropic, PBC (Estados Unidos) — ejecución del modelo de IA de personalización (protegido mediante cláusulas contractuales tipo).
• Stripe, Inc. (Estados Unidos / Irlanda) — procesamiento de pagos y facturación.
• Neon Inc. (Fráncfort, Alemania / AWS UE) — alojamiento de base de datos PostgreSQL y copias de seguridad gestionadas.
• Cloudflare, Inc. (Estados Unidos / global) — almacenamiento cifrado de archivos (R2) y distribución de contenidos.
• Resend, Inc. (Estados Unidos) — envío de correos transaccionales para el envío de presupuestos y los códigos de inicio de sesión (protegido mediante cláusulas contractuales tipo).

Cuando Suppled recurra a un nuevo subencargado del tratamiento, actualizaremos nuestra documentación publicada. El Cliente podrá oponerse a un nuevo subencargado del tratamiento por motivos razonables de protección de datos mediante notificación por escrito en un plazo de 14 días.

6. Transferencias internacionales de datos

Cuando se transfieran datos personales fuera del Espacio Económico Europeo («EEE») o del Reino Unido a un país que no se reconozca como garante de un nivel de protección adecuado:

• Transferencias desde el EEE: las cláusulas contractuales tipo de la Comisión Europea («CCT») (Decisión de Ejecución (UE) 2021/914 de la Comisión, módulo 2: de responsable a encargado) quedan incorporadas por referencia y forman parte de este DPA.
• Transferencias desde el Reino Unido: el Anexo del Reino Unido sobre transferencias internacionales de datos a las cláusulas contractuales tipo de la Comisión Europea (UK International Data Transfer Addendum) queda incorporado por referencia.

7. Condiciones conforme a las leyes de privacidad de Estados Unidos (CCPA / CPRA)

En la medida en que el tratamiento de los Datos Personales del Cliente esté sujeto a la Ley de Privacidad del Consumidor de California («CCPA») o a otras leyes estatales de privacidad de Estados Unidos aplicables, Suppled certifica que actúa como Service Provider y que:

• No «venderá» ni «compartirá» («sell» o «share») los Datos Personales del Cliente (según se definen esos términos en la CCPA).
• No conservará, utilizará ni divulgará los Datos Personales del Cliente para ningún fin distinto de los fines comerciales especificados en los Términos del servicio.
• No conservará, utilizará ni divulgará los Datos Personales del Cliente fuera de la relación comercial directa entre las partes.
• No combinará los Datos Personales del Cliente con información personal recibida de cualquier otra persona o en su nombre, salvo en la medida en que lo permita la ley aplicable.

8. Auditorías y cumplimiento

Suppled pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de la normativa de protección de datos, y permitirá y contribuirá a la realización de auditorías o inspecciones por parte del Cliente o de un auditor independiente designado por el Cliente, con sujeción a un preaviso razonable, a compromisos de confidencialidad y a límites de frecuencia.

9. Supresión y devolución de los datos personales

El Cliente puede exportar todos los Datos Personales del Cliente en cualquier momento en formatos abiertos y estructurados (.csv, .json) mediante la función de exportación de los Ajustes.

Al terminar el servicio, o a petición del Cliente desde Ajustes → Tus datos → Eliminar tu cuenta, Suppled suprimirá de forma inmediata e irreversible todos los Datos Personales del Cliente de sus sistemas de base de datos y de almacenamiento de archivos, salvo que la ley aplicable exija seguir conservando los registros contables obligatorios.

10. Ley aplicable y contacto

Este DPA se regirá por las leyes de Inglaterra y Gales, en consonancia con la jurisdicción de los Términos del servicio.

Para consultas sobre las condiciones del tratamiento de datos, escribe a privacy@suppled.app.