Sentivaro · Legal documents

Acuerdo de tratamiento de datos

Version 1.0

Acuerdo que encomienda el procesamiento de datos personales

Versión: 1.0

Válido desde: 30 de julio de 2026

Este Acuerdo, en adelante denominado "DPA", se celebra entre:

  1. la organización indicada en la cuenta de Sentivaro, en adelante denominada el "Administrador", y
  2. Dawid Balcer, dirige el proyecto Sentivaro como persona física sin actividad empresarial, dirección de correspondencia: ul. Jana Brzechwy 8, 60-195 Poznań, correo electrónico: contact@sentivaro.com, en lo sucesivo denominado el "Procesador".

La DPA es parte del acuerdo para utilizar Sentivaro.

1. Asunto y hora

  1. El Administrador confía al Procesador datos personales en la medida necesaria para configurar, implementar, medir y liquidar campañas autorizadas de concientización sobre ciberseguridad y proporcionar materiales educativos relacionados.
  2. El procesamiento dura desde la primera transferencia de datos hasta su eliminación o devolución después de utilizar el Servicio, teniendo en cuenta el período de sobrescritura de la copia de seguridad.
  3. Una Campaña detallada constituye las instrucciones documentadas del Administrador con respecto a su configuración, destinatarios, eventos y retención.

2. Naturaleza y finalidad de la operación

Las operaciones pueden incluir:

  • aceptación o importación;
  • ordenar y asignar a la Campaña;
  • almacenamiento;
  • generar y enviar un mensaje controlado;
  • registro de eventos configurados;
  • seudonimización y agregación;
  • presentación de resultados a usuarios autorizados;
  • exportar a petición del Administrador;
  • suministro de material educativo;
  • revisión;
  • límite;
  • eliminación.

El único propósito es implementar el programa de concientización sobre ciberseguridad autorizado por el Administrador.

3. Personas y datos

  1. Categorías de personas:
  • empleados y asociados del Administrador;
  • otras personas cubiertas por el programa legal y autorizado del Administrador, previo acuerdo.
  1. Categorías de datos:
  • nombre y apellido;
  • dirección de correo electrónico del trabajo;
  • departamento, equipo, unidad organizativa o categoría de formación;
  • identificación interna del participante;
  • el hecho de entregar, abrir, hacer clic, informar y completar la actividad de aprendizaje, según la configuración;
  • datos de corrección de resultados;
  • datos técnicos limitados, si es necesario.
  1. El Administrador no podrá transferir sin consentimiento previo por escrito:
  • categorías especiales de datos según el art. 9 RGPD;
  • datos del art. 10 RGPD;
  • contraseñas reales, códigos MFA o credenciales;
  • datos financieros, números de documentos o identificadores nacionales;
  • direcciones de correo electrónico privadas;
  • contenido de la correspondencia privada.

4. Comandos de administrador

  1. La entidad procesadora procesa datos únicamente siguiendo instrucciones documentadas del Administrador, a menos que la obligación de procesar resulte de la ley de la UE o de la ley polaca.
  2. La configuración de campaña y las acciones de un usuario autorizado en el panel constituyen comandos si cumplen con la DPA, Normas y Política de Uso Aceptable.
  3. El Procesador informará inmediatamente al Administrador si, en su opinión, el pedido viola el RGPD u otras disposiciones de protección de datos. Podrá suspender la ejecución de la orden hasta que se aclare.
  4. La Entidad Procesadora no utiliza Datos de Campaña para publicidad, evaluación de sus propios empleados, intercambio de datos o capacitación de modelos de inteligencia artificial.

5. Obligaciones del Administrador

Administrador:

  • garantiza la legalidad de la transferencia y el procesamiento de datos;
  • establece la base jurídica;
  • cumple con las obligaciones de información;
  • realiza pruebas de equilibrio y DPIA si es necesario;
  • garantiza el cumplimiento de la legislación laboral y los reglamentos internos;
  • limita los datos al mínimo;
  • otorga a los usuarios los permisos adecuados;
  • verifica los resultados antes de usarlos contra una persona específica;
  • no utiliza el resultado como única base para decisiones automáticas de personal;
  • proporciona al Procesador únicamente instrucciones legales.

6. Confidencialidad

  1. Sólo tienen acceso a los datos las personas que actúan bajo la autorización del Encargado y para quienes el acceso es necesario.
  2. Estas personas están obligadas a guardar confidencialidad por contrato o ley.
  3. La obligación de confidencialidad se aplica también una vez finalizada la cooperación.

7. Seguridad

  1. El encargado del tratamiento aplicará medidas adecuadas al riesgo de conformidad con el artículo. 32 RGPD.
  2. Las medidas incluirán, según corresponda a la arquitectura actual:
  • cifrado de transmisión;
  • hash seguro de contraseñas;
  • control de roles;
  • separación de datos de la Organización;
  • fichas con aleatoriedad y período de validez adecuados;
  • registrar actividades administrativas;
  • copias de seguridad y pruebas de reconstrucción;
  • proceso de actualización y eliminación de vulnerabilidades;
  • limitación de la retención;
  • procedimiento de respuesta a incidentes;
  • protección del acceso administrativo;
  • revisión periódica de las medidas.
  1. La descripción actual de las medidas podrá ponerse a disposición del Administrador sin información cuya divulgación aumentaría el riesgo de seguridad.

8. Subprocesadores

  1. El Administrador otorga consentimiento general por escrito para el uso de otras entidades enumeradas en la página `/subprocesadores`.
  2. El Procesador informará al Administrador sobre el cambio previsto con al menos 14 días de antelación, a menos que sea necesario un cambio urgente para eliminar la amenaza.
  3. El administrador podrá oponerse justificadamente a la protección de datos dentro de este plazo.
  4. Si el motivo de la objeción no puede eliminarse razonablemente, el Administrador podrá rescindir el uso de la parte del Servicio que requiere un determinado proveedor.
  5. El encargado impone al subencargado obligaciones de protección de datos correspondientes a las obligaciones previstas en este DPA y es responsable del cumplimiento de sus obligaciones de conformidad con el art. 28 RGPD.

9. Transferencias

  1. Los Datos de Campaña se procesan en el EEE, a menos que la lista de subprocesadores indique expresamente lo contrario.
  2. La transferencia fuera del EEE solo podrá realizarse mediante orden documentada del Administrador o utilizando un mecanismo permitido por el RGPD.
  3. Si se requieren cláusulas contractuales tipo, evaluación de transferencias o medidas complementarias, el Encargado proporcionará al Responsable la información disponible necesaria para evaluarlas.

10. Derechos de las personas

  1. El Encargado, teniendo en cuenta la naturaleza del tratamiento, ayuda al Responsable a ejercer los derechos de las personas utilizando los medios técnicos y organizativos disponibles.
  2. Si el Participante presenta una solicitud directamente al Procesador, la enviará al Administrador sin demora indebida y no responderá sustancialmente sin sus instrucciones, a menos que lo exija la ley.
  3. El administrador es responsable de verificar la persona y la respuesta oportuna.

11. Asistencia para el cumplimiento

El Procesador, teniendo en cuenta la naturaleza del procesamiento y la información disponible, ayuda al Responsable en las siguientes áreas:

  • seguridad;
  • Evaluación de riesgos;
  • denunciar infracciones;
  • notificar a la gente;
  • EIPD;
  • consulta con la autoridad supervisora;
  • demostrar la eliminación de datos.

La asistencia no incluye emitir opinión legal ni asumir la responsabilidad del Administrador.

12. Violaciones de datos

  1. El Procesador notificará al Administrador sobre una violación de los Datos de la Campaña sin demora indebida después de su descubrimiento.
  2. Cuando esté disponible, el aviso incluirá:
  • la naturaleza de la infracción;
  • categorías y número aproximado de personas;
  • categorías y número aproximado de registros;
  • posibles consecuencias;
  • medidas adoptadas o propuestas;
  • punto de contacto;
  • hora de detección y periodo de tiempo conocido del evento.
  1. La transmisión de información podrá realizarse por etapas.
  2. La notificación no constituye una admisión de responsabilidad.
  3. El administrador decide informar a la autoridad y notificar a las personas.

13. Eliminación y devolución

  1. El Administrador puede eliminar Datos de Campaña en el panel o emitir una orden de eliminación.
  2. Una vez finalizado el servicio, el Procesador, a discreción del Administrador, elimina o devuelve los Datos de campaña activos, a menos que la ley exija su almacenamiento.
  3. Los datos que permanecen temporalmente en las copias de seguridad rotativas se aíslan del uso ordinario y se eliminan cuando la copia de seguridad correspondiente se sobrescribe en el ciclo de copia de seguridad técnica.
  4. Los datos agregados sólo podrán conservarse cuando ya no sea posible identificar razonablemente a una persona.

14. Auditorías

  1. El encargado del tratamiento facilitará la información necesaria para demostrar el cumplimiento del art. 28 RGPD.
  2. El administrador podrá realizar una auditoría no más de una vez al año, salvo que se haya producido una infracción o la autoridad requiera un control adicional.
  3. La auditoría debería:
  • ser anunciado con al menos 14 días de antelación;
  • tener lugar en horarios acordados;
  • no violar la seguridad de otras Organizaciones;
  • utilizar primero documentos y respuestas remotos;
  • ser realizado por personas obligadas a guardar confidencialidad.
  1. El administrador corre con sus propios gastos de auditoría. El Procesador no cobra una tarifa por asistencia razonable según el modelo de Servicio gratuito, pero puede rechazar acciones excesivas o proponer un medio alternativo acordado para demostrar el cumplimiento.

15. Responsabilidad y prioridad

  1. La responsabilidad de las partes resulta del RGPD, la ley aplicable y el Reglamento.
  2. En caso de conflicto entre la DPA y el Reglamento en materia de protección de Datos de Campaña, prevalecerá la DPA.
  3. Cuando se apliquen cláusulas contractuales tipo y entren en conflicto con la DPA, prevalecerán dichas cláusulas.

16. Finalizando

El DPA se aplica mientras el Procesador procese los Datos de la campaña en nombre del Responsable.