011. Sujeto y vigencia
Este acuerdo de procesamiento de contrato de conformidad con el art. 28 GDPR se aplica en la medida en que AEGIS-SECURITAS procesa datos personales en nombre de un cliente corporativo dentro del marco de AEGIS OS. Complementa el contrato principal y prevalece sobre las condiciones contractuales generales en caso de contradicciones en materia de protección de datos.
El respectivo cliente corporativo es responsable. El procesador es AEGIS-SECURITAS, Hansaring 7, 63843 Niedernberg, Alemania, correo electrónico: [email protected].
022. Duración, tipo y finalidad del tratamiento
El procesamiento se lleva a cabo durante la duración del contrato principal y un período de procesamiento, seguridad o retención requerido.
El tipo y la finalidad incluyen, en particular, alojamiento, almacenamiento, estructuración, recuperación, transmisión, copia de seguridad, soporte, análisis de errores, importación, exportación, automatización, comunicación, gestión de citas y procesos, así como funciones de integración e inteligencia artificial expresamente aprobadas. El alcance específico depende de la configuración activada por el cliente y de sus instrucciones documentadas.
Para los servicios en la nube reservados directamente, el procesamiento del pedido solo comienza con el suministro técnico manual. El mero proceso de pedido, procesamiento de pagos y revisión del contrato inicialmente solo procesa los datos de la persona de contacto y de la empresa necesarios para iniciar y procesar el contrato. La cuota de almacenamiento seleccionada limita la capacidad técnica, pero no cambia las obligaciones de protección de datos del cliente.
032a. Almacenamiento en la nube, copias de seguridad y solicitudes especiales
El cliente determina qué datos personales pueden procesarse dentro de la cuota de nube reservada. Antes de la publicación técnica, AEGIS-SECURITAS verifica la configuración necesaria de acceso, rol, almacenamiento y seguridad sin por ello asumir la responsabilidad del cliente por las bases legales, finalidades y plazos de supresión.
El almacenamiento en la nube, la copia de seguridad, el control de versiones, el archivado y la recuperación son operaciones de procesamiento independientes. Las copias de seguridad adicionales, los períodos de retención, las regiones de datos o las pruebas de recuperación solo se consideran instrucciones y servicios si han sido documentados y confirmados expresamente.
Las solicitudes especiales, nuevas integraciones, migraciones o categorías de datos modificadas se verifican para determinar su impacto en la protección de datos, los subprocesadores y las medidas técnicas de protección antes de su implementación. No hay instrucciones para una implementación productiva hasta que se publique la documentación.
043. Tipos de datos y interesados
Dependiendo del uso, se pueden procesar en particular datos maestros, de contacto, de comunicación, de contrato, de cita, de empleado, de cliente, de proveedor, de proyecto, de documento, de factura, de uso, de protocolo, de soporte, de archivo y de integración.
Las personas afectadas pueden ser, en particular, empleados, solicitantes, clientes, partes interesadas, proveedores, prestadores de servicios, personas de contacto, socios y otras personas cuyos datos el cliente procesa legalmente en AEGIS OS.
Sólo se podrán procesar categorías especiales de datos personales si el cliente lo solicita legalmente, es expresamente necesario y se han activado las medidas de protección técnicas y organizativas adecuadas.
054. Instrucciones para el cliente
AEGIS-SECURITAS procesa datos personales exclusivamente siguiendo instrucciones documentadas del cliente, a menos que exista una obligación legal de procesarlos. En particular, se consideran instrucciones el contrato principal, este acuerdo, las configuraciones publicadas, los roles, las integraciones y las instrucciones de soporte comprensibles.
Si AEGIS-SECURITAS considera que una instrucción es ilegal, se informará al cliente inmediatamente. La ejecución podrá suspenderse hasta que se aclare. Los cambios en el objeto del procesamiento pueden requerir acuerdos técnicos o económicos adicionales.
065. Obligaciones de AEGIS-SECURITAS
AEGIS-SECURITAS se compromete en particular a
• procesar datos únicamente en la medida acordada,
• utilizar personas que estén obligadas a mantener la confidencialidad y que hayan recibido la formación adecuada,
• mantener medidas técnicas y organizativas apropiadas,
• apoyar al cliente en la medida requerida por la ley con los derechos de los interesados, incidentes de seguridad, evaluaciones de impacto de la protección de datos y consultas de las autoridades,
• eliminar o devolver datos personales después de la finalización del contrato de conformidad con este acuerdo,
• proporcionar las pruebas necesarias para cumplir con este Acuerdo.
076. Obligaciones del cliente
El cliente es, en particular, responsable de las bases jurídicas, las obligaciones de información, la limitación de la finalidad, la minimización de los datos, la exactitud, los conceptos de autorización, los plazos de supresión y la legalidad de sus instrucciones.
Sólo podrá utilizar AEGIS OS para el procesamiento que esté cubierto por el alcance de protección y funciones acordado. Los incidentes de seguridad, configuraciones incorrectas o accesos no autorizados dentro de su propia área de responsabilidad deben informarse de inmediato.
087. Medidas técnicas y organizativas
Las medidas están orientadas al riesgo y diseñadas de acuerdo con el estado de la técnica. Dependiendo del servicio, incluyen en particular la transmisión cifrada, controles de acceso relacionados con roles y clientes, autenticación, registro, protección de secretos y datos de acceso, procesos de copia de seguridad y recuperación de datos, actualizaciones de seguridad, medidas de disponibilidad e integridad, así como procesos regulados de autorización y soporte.
Las medidas podrán seguir desarrollándose siempre que no se incumpla el nivel de protección acordado. Se puede proporcionar una descripción TOM más detallada a los clientes a través de Soporte o el Centro de confianza.
098. Subprocesadores
El Cliente otorga permiso general para utilizar los subprocesadores necesarios para la plataforma, el alojamiento, el almacenamiento, el correo electrónico, el soporte, la identidad, la seguridad, la IA o las integraciones expresamente habilitadas. La descripción general actual está disponible en /subprocessor.
Las categorías clave incluyen, en particular, la infraestructura de servidor y contenedores operada por AEGIS-SECURITAS, los posibles proveedores de alojamiento, centro de datos o red utilizados para dicha infraestructura, el envío de correo electrónico transaccional mediante Resend y otros servicios activados por el cliente. Los proveedores de servicios de pago como Stripe pueden ser responsables de forma independiente de partes de sus servicios.
El cliente será adecuadamente informado sobre cualquier nuevo subprocesador importante. Puede oponerse por motivos importantes de protección de datos. Si no es posible una alternativa razonable, cualquiera de las partes puede dar por terminada la parte afectada del servicio.
109. Transferencias a terceros países
El procesamiento fuera del Espacio Económico Europeo solo se realiza si se cumplen los requisitos del artículo 44 y siguientes. Se cumplen el RGPD. Estas pueden incluir decisiones de adecuación, cláusulas contractuales estándar de la UE y salvaguardias adicionales necesarias.
El cliente será informado sobre los mecanismos de transmisión relevantes en el marco de la documentación disponible. Las integraciones de terceros que activa pueden desencadenar envíos independientes adicionales.
1110. Derechos de los afectados y consultas de las autoridades
Si un interesado hace valer sus derechos directamente contra AEGIS-SECURITAS y el cliente es el responsable, la solicitud se transmitirá generalmente al cliente. AEGIS-SECURITAS apoya al cliente con funciones de búsqueda, exportación, rectificación, restricción y eliminación disponibles, así como con el soporte técnico adecuado.
Las consultas de las autoridades supervisoras o investigadoras se comunicarán al cliente en la medida legalmente permitida.
1211. Violaciones de datos personales
AEGIS-SECURITAS informará inmediatamente al cliente en la medida requerida por la ley al tener conocimiento de un incidente de seguridad confirmado que afecte a los datos de su pedido. El aviso contendrá la información disponible sobre la naturaleza, alcance, posibles consecuencias y medidas adoptadas o propuestas.
El cliente sigue siendo responsable de sus propias obligaciones de información y notificación. Ambas partes cooperan adecuadamente en la investigación.
1312. Pruebas y controles
Previa solicitud razonable, AEGIS-SECURITAS proporcionará al Cliente la información necesaria para revisar este Acuerdo. Se utiliza principalmente documentación estandarizada, informes de pruebas, pruebas de seguridad e información escrita.
Las inspecciones in situ sólo son necesarias si otras pruebas no son suficientes, existe un motivo específico y la seguridad, confidencialidad y operaciones de otros clientes no se ven afectadas. Deben coordinarse a su debido tiempo. Los esfuerzos adicionales pueden estar sujetos a reembolso si la auditoría no revela una infracción significativa de la que AEGIS-SECURITAS sea responsable.
1413. Devolución y Eliminación
Una vez finalizada la tramitación del pedido, AEGIS-SECURITAS elimina o anonimiza los datos del pedido a discreción del cliente, siempre que no existan obligaciones legales o intereses legítimos para demostrar lo contrario. El cliente deberá solicitar oportunamente las exportaciones requeridas o realizarlas por sí mismo.
Las copias de seguridad se sobrescriben como parte de ciclos de copia de seguridad regulares y están protegidas contra el uso productivo hasta ese momento.
1514. Clasificación y responsabilidad
En caso contrario, se aplicarán las disposiciones de responsabilidad del contrato principal, a menos que el art. 82 del RGPD u otras normas obligatorias prevén una responsabilidad diferente.
Los cambios a este acuerdo deben realizarse por escrito. La versión alemana tiene autoridad.
