Acuerdo de Tratamiento de Datos (borrador)

Este borrador de Acuerdo de Tratamiento de Datos ("DPA") propone términos entre el cliente ("Responsable del Tratamiento") y la entidad operadora de Fencia que se identifique en el acuerdo firmado ("Encargado del Tratamiento"). Su objeto es el tratamiento de datos personales que el Responsable proporcione al usar el servicio, conforme al Art. 28 del RGPD (Reglamento (UE) 2016/679).

El Encargado tratará datos personales únicamente para prestar el servicio de análisis de cumplimiento (escaneo de documentos, generación de hallazgos, almacenamiento de resultados y monitoreo opcional). El tratamiento durará mientras esté vigente la relación contractual y por el periodo de retención configurado.

Los datos personales tratados dependen del contenido que el Responsable suba. Pueden incluir datos de empleados, clientes o terceros mencionados en políticas, contratos y documentación técnica. El Responsable es quien determina qué documentos sube y, por tanto, qué categorías de datos se tratan.

Los términos propuestos requieren que el Encargado: (a) trate los datos solo según las instrucciones documentadas del Responsable; (b) garantice la confidencialidad del personal autorizado; (c) aplique las medidas descritas en el Centro de Seguridad (TLS 1.2/1.3, cifrado AES-256 en la base de datos, RLS y control de acceso); (d) no use los datos para entrenar modelos propios de Fencia y documente las condiciones aplicables al proveedor externo de análisis con IA; (e) asista al Responsable en el ejercicio de derechos de los interesados; (f) notifique sin dilación indebida cualquier violación de seguridad de datos personales.

El acuerdo firmado deberá identificar y autorizar a los subencargados aplicables. El registro actual de proveedores está disponible en la Política de Privacidad; las condiciones y acuerdos de tratamiento de cada proveedor deben verificarse antes de la firma. El borrador prevé informar de cambios previstos y permitir objeciones razonables.

Algunos proveedores pueden tratar datos fuera del Espacio Económico Europeo. El mecanismo jurídico aplicable a cada transferencia, incluidas las Cláusulas Contractuales Estándar cuando correspondan, debe constar y verificarse en la documentación contractual vigente.

Las medidas implementadas incluyen cifrado en tránsito y en reposo de la base de datos, aislamiento mediante RLS y controles de acceso al workspace, límite de intentos de inicio de sesión y registro de actividad. Los resultados pueden conservar citas del documento. Los documentos creados o guardados en Archivos se almacenan y pueden contener datos personales; no deben confundirse con una carga temporal del escáner. El registro de actividad no es inmutable. El detalle y los límites están en el Centro de Seguridad y la Política de Privacidad.

El acuerdo firmado debe precisar el proceso para eliminar o devolver datos al finalizar el servicio, las excepciones de conservación legal y los plazos. La eliminación de análisis individuales existe en el panel; la eliminación integral en producción debe confirmarse para cada cuenta.

El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este DPA y permitirá auditorías razonables, incluyendo cuestionarios de seguridad, con preaviso razonable.

Este DPA se rige por la legislación española y de la Unión Europea, en coherencia con los Términos del Servicio de Fencia.