Acuerdo de encargo del tratamiento

El presente acuerdo se celebra entre el Profesional, la agencia o el cliente de la marca blanca que utiliza Referaly (el «Cliente»), responsable del tratamiento, y Referaly OÜ, sociedad registrada en Estonia con el número 16957852, Tartu mnt 67/1-13b, 10115 Tallinn («Referaly»), encargado del tratamiento.

Aplica el artículo 28 del Reglamento (UE) 2016/679 (RGPD) a los datos que el Cliente gestiona en Referaly. Se suma a las Condiciones Generales de Uso y entra en vigor con ellas: la aceptación de las Condiciones implica la aceptación del presente acuerdo. Si lo solicitas en hello@referaly.fr, te enviamos una versión para firmar.

Referaly se compromete a:

• tratar los datos únicamente siguiendo instrucciones documentadas del Cliente: las Condiciones, los ajustes que este elige en Referaly y sus instrucciones escritas. Si una instrucción le parece contraria al RGPD, Referaly informa de ello inmediatamente al Cliente;
• no utilizar los datos por cuenta propia, no venderlos y no contactar a los interesados para su propia prospección comercial;
• garantizar que las personas autorizadas para tratar los datos estén sujetas a confidencialidad;
• adoptar las medidas de seguridad previstas en el artículo 32 del RGPD, descritas en el anexo;
• ayudar al Cliente, en la medida de lo posible, a responder a las solicitudes de ejercicio de derechos de los interesados, transmitiéndole sin demora cualquier solicitud recibida directamente;
• ayudar al Cliente a cumplir sus obligaciones de seguridad, de notificación de violaciones, de evaluación de impacto y de consulta a la autoridad, teniendo en cuenta la información de que dispone Referaly;
• poner a disposición del Cliente la información necesaria para demostrar el cumplimiento del presente acuerdo (artículo 9).

El Cliente autoriza a Referaly a recurrir a los subencargados del tratamiento enumerados en el artículo 5 de nuestra Política de Privacidad. Referaly les impone por contrato obligaciones de protección de datos equivalentes a las del presente acuerdo y sigue siendo responsable ante el Cliente de su cumplimiento.

Referaly informa al Cliente por email al menos 30 días antes de añadir o sustituir un subencargado del tratamiento. El Cliente puede oponerse por un motivo legítimo relacionado con la protección de datos; a falta de acuerdo, puede cancelar su suscripción sin coste antes del cambio.

Referaly notifica al Cliente cualquier violación de datos personales que le afecte sin dilación indebida y, a más tardar, 48 horas después de haber tenido conocimiento de ella. La notificación describe la naturaleza de la violación, las categorías y el número aproximado de interesados y de datos afectados, sus consecuencias probables y las medidas adoptadas o propuestas. La información que falte se transmite en cuanto se conoce.

• El Cliente dispone de una base jurídica para cada tratamiento que encarga a Referaly.
• Informa a los interesados, en particular a las personas que le recomiendan, a más tardar en su primer contacto con ellas (artículo 14 del RGPD).
• Solo introduce los datos necesarios y ningún dato sensible.
• Responde a las solicitudes de ejercicio de derechos de los interesados, con la ayuda de Referaly.
• Da instrucciones conformes al RGPD.

Los servidores y la base de datos de Referaly están alojados en París. Cuando un subencargado del tratamiento trata datos fuera de la Unión Europea, la transferencia se basa en una decisión de adecuación de la Comisión Europea o en las cláusulas contractuales tipo que esta ha adoptado.

El acuerdo dura mientras el Cliente utilice los Servicios. Al cerrar su cuenta, el Cliente puede solicitar en los 30 días siguientes la exportación de sus datos en un formato habitual (CSV). Después, Referaly suprime los datos y sus copias, salvo obligación legal de conservación, y lo confirma al Cliente si este lo solicita. Las copias de seguridad se borran al finalizar su ciclo de conservación.

Referaly responde a las preguntas escritas del Cliente sobre el cumplimiento del presente acuerdo en un plazo de 30 días. Si estas respuestas no son suficientes, el Cliente puede encargar una auditoría a un auditor sujeto a secreto, como máximo una vez al año, a su cargo, con un preaviso de 30 días y sin acceso a los datos de otros clientes. Una auditoría solicitada por una autoridad de control no está sujeta a estos límites.

La responsabilidad de cada parte se rige por las Condiciones Generales de Uso, sin perjuicio del artículo 82 del RGPD.

• Servidores, base de datos, archivos y copias de seguridad alojados en Amazon Web Services, en París.
• Comunicaciones cifradas entre los dispositivos y los servidores (TLS).
• Contraseñas guardadas en forma de hash; tokens de conexión a los servicios de terceros cifrados en reposo.
• Separación de los datos: cada Cliente solo ve su red, sus recomendaciones y sus contratos; un Prescriptor solo ve sus propias recomendaciones.
• Acceso del equipo de Referaly limitado a las personas autorizadas, con autenticación individual.
• Copia de seguridad diaria de la base de datos, probada mediante restauración.
• Registros técnicos conservados 90 días.