Acuerdo de tratamiento de datos

1. Objeto, naturaleza y finalidad

Tratamos datos personales únicamente para prestar el Servicio al Cliente: gestión de cuentas y plazas, impartición de la formación en alfabetización en IA, corrección de tests y evaluaciones, emisión y verificación de certificados, envío de correos, mantenimiento de las evidencias de formación y del registro de auditoría, y puesta a disposición de informes y exportaciones. El tratamiento incluye la recogida, conservación, organización, uso, comunicación a los subencargados indicados a continuación, supresión y demás operaciones necesarias para estas finalidades.

2. Duración

Este DPA se aplica mientras tratemos datos personales para el Cliente: durante la suscripción y el periodo posterior hasta la supresión descrita en el apartado 11.

3. Interesados y categorías de datos

• Interesados: empleados del Cliente a los que se asigna una plaza y administradores del Cliente.
• Datos identificativos y de contacto: nombre, correo, departamento, puesto e idioma preferido.
• Datos de cuenta: hash de la contraseña (Argon2id), datos de la verificación en dos pasos si se usa, horas de inicio de sesión y direcciones IP.
• Datos de formación: cursos asignados, progreso y tiempo dedicado a las lecciones, respuestas a tests y evaluaciones, resultados e intentos, certificados, aceptaciones de la política de IA del Cliente.
• Registros introducidos por el Cliente: el inventario de herramientas de IA y otros datos introducidos por los administradores.
• Registro de auditoría de acciones importantes con hora y autor.

El Servicio no está diseñado para categorías especiales de datos personales (art. 9 RGPD) y el Cliente no las introducirá.

4. Instrucciones del Cliente

Tratamos los datos únicamente siguiendo las instrucciones documentadas del Cliente. Este DPA, las Condiciones del servicio y la configuración y las acciones de los administradores del Cliente en el Servicio constituyen las instrucciones completas del Cliente. Informaremos al Cliente si consideramos que una instrucción infringe la normativa de protección de datos, y solo podremos tratar los datos de otro modo cuando lo exija el Derecho de la Unión o de un Estado miembro; en ese caso informaremos previamente al Cliente, salvo que la ley lo prohíba.

5. Confidencialidad

Solo tienen acceso a los datos las personas que lo necesitan para operar o dar soporte al Servicio, y están sujetas a confidencialidad.

6. Medidas de seguridad

• El Servicio y todos los datos funcionan en un servidor de un centro de datos en Alemania (UE).
• Conexiones cifradas (HTTPS); contraseñas almacenadas solo como hashes Argon2id; cookies de sesión firmadas y HTTP-only.
• Separación estricta de clientes: cada solicitud se comprueba frente al usuario conectado y su empresa.
• Verificación en dos pasos para administradores, obligatoria para nuestras propias cuentas de soporte y disponible para cada administrador del Cliente.
• Limitación de intentos en el inicio de sesión, el restablecimiento de contraseña y la verificación de certificados.
• Los secretos almacenados, como las credenciales del remitente de correo y las claves de la verificación en dos pasos, están cifrados (AES-256-GCM).
• Las respuestas de los tests se corrigen en el servidor; las respuestas correctas nunca llegan al navegador.
• Registro de auditoría de acciones importantes y registro de eventos de seguridad conservado 30 días.
• Copias de seguridad con conservación de hasta 30 días y un procedimiento documentado para incidentes de seguridad.

7. Acceso del soporte

El personal de soporte autorizado de MadHoney puede iniciar sesión en la cuenta de administrador del Cliente para configurar la cuenta o resolver un problema a petición del Cliente, o cuando sea necesario para proteger el Servicio. Este acceso se limita al panel de administración (nunca lecciones, tests ni certificados en nombre de los empleados), está limitado en el tiempo y queda registrado en el registro de auditoría del Cliente.

8. Subencargados

• Hostinger International Ltd. (Chipre) - alquiler del servidor privado virtual en el que funciona el Servicio; centro de datos en Alemania (UE).
• ZONER a.s. (República Checa) - servidor SMTP para el envío de correos (invitaciones, recordatorios, notificaciones); centros de datos en Brno.

El Cliente otorga una autorización general para recurrir a subencargados. Imponemos a cada uno obligaciones de protección de datos equivalentes a este DPA. Informaremos a los administradores del Cliente por correo al menos 30 días antes de añadir o sustituir un subencargado; el Cliente puede oponerse por un motivo justificado y, si no podemos resolver la objeción, cancelar la suscripción antes de que el cambio entre en vigor.

Paddle.com Market Ltd trata los datos de pago y facturación como responsable independiente (Merchant of Record) y no recibe datos de los empleados del Cliente.

9. Asistencia al Cliente

Los administradores pueden consultar, rectificar, exportar y suprimir directamente en el Servicio los datos de sus empleados. Teniendo en cuenta la naturaleza del tratamiento, también ayudaremos al Cliente a responder a las solicitudes de los interesados y a cumplir sus obligaciones conforme a los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluación de impacto y consulta previa). Las solicitudes de empleados que nos lleguen se reenvían al Cliente.

10. Violaciones de la seguridad de los datos personales

Notificaremos a los administradores del Cliente cualquier violación de la seguridad de los datos personales sin demora indebida y, a más tardar, 48 horas después de tener conocimiento de ella, con la información disponible conforme al artículo 33, apartado 3, del RGPD, y la completaremos a medida que se conozcan más hechos. Adoptaremos medidas para contener la violación y mitigar sus consecuencias.

11. Supresión y devolución de los datos

Durante la suscripción, el Cliente puede exportar en cualquier momento sus informes, evidencias de formación y registro de auditoría. Tras el fin de la suscripción, los administradores aún pueden iniciar sesión durante 90 días, solo para exportar datos; después, la empresa y todos sus datos se eliminan automáticamente, salvo que el Cliente solicite una supresión anterior. Las copias en las copias de seguridad se sobrescriben en un plazo de 30 días. Los datos que debemos conservar por ley (p. ej. facturas) no están sujetos a este apartado.

12. Auditorías

Pondremos a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA y permitiremos auditorías, incluidas inspecciones, por parte del Cliente o de un auditor sujeto a confidencialidad. Las auditorías se realizan con un preaviso razonable por escrito, en horario laboral, como máximo una vez al año (salvo tras una violación de la seguridad de los datos) y a cargo del Cliente, sin perturbar el Servicio ni dar acceso a datos de otros clientes.

13. Obligaciones del Cliente

El Cliente es responsable de contar con una base jurídica para el tratamiento, de informar a sus empleados y de la licitud de los datos e instrucciones que nos facilita.

14. Responsabilidad y ley aplicable

La responsabilidad conforme a este DPA se rige por las Condiciones del servicio, salvo que el RGPD disponga otra cosa. Este DPA se rige por el Derecho de la República Checa; los litigios derivados de él serán resueltos por los tribunales competentes de la República Checa con competencia territorial según nuestro domicilio social. Contacto para cuestiones de protección de datos: sales@guard-ai.eu.