Acuerdo de Encargo de Tratamiento (DPA)

El presente Acuerdo de Encargo de Tratamiento (en adelante, «DPA») forma parte integrante del Contrato de Prestación de Servicios SaaS suscrito entre el Cliente (en adelante, «Responsable del Tratamiento») y Trowelapp Technologies S.L., CIF B72411960, con domicilio en Calle Ramón Ramírez 5, Planta 1, 39100 Santa Cruz de Bezana (Cantabria) (en adelante, «Trowel» o «Encargado del Tratamiento»). Regula el tratamiento de datos personales por parte de Trowel por cuenta del Cliente, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Objeto

Este DPA regula las condiciones en que Trowel, como Encargado del Tratamiento, trata los datos personales a los que acceda por cuenta del Cliente para la prestación del servicio SaaS «Trowel», conforme al artículo 28 del RGPD.

2. Roles de las partes

2.1. El Cliente es el Responsable del Tratamiento de los datos personales que introduce o gestiona en la plataforma.

2.2. Trowel es el Encargado del Tratamiento y trata dichos datos únicamente por cuenta y según las instrucciones documentadas del Responsable, incluidas las contenidas en el Contrato y en este DPA.

3. Descripción del tratamiento

• Objeto: prestación de la plataforma de gestión de obra Trowel.
• Duración: la vigencia del Contrato, más los plazos de exportación y eliminación previstos en él.
• Naturaleza y finalidad: alojamiento, almacenamiento, organización, consulta y demás operaciones necesarias para la prestación del servicio.
• Tipos de datos: datos identificativos y de contacto, datos profesionales y laborales, datos de actividad en obra y, en su caso, datos de geolocalización y registro de jornada de los usuarios autorizados por el Responsable.
• Categorías de interesados: empleados, colaboradores, subcontratas y demás personas cuyos datos el Responsable decida tratar en la plataforma.
• Categorías especiales: el tratamiento no incluye, con carácter general, categorías especiales de datos (art. 9 RGPD); el Responsable se abstendrá de introducirlas salvo acuerdo específico.

4. Instrucciones del Responsable

Trowel tratará los datos únicamente conforme a las instrucciones documentadas del Responsable. Si Trowel considera que una instrucción infringe la normativa de protección de datos, informará de inmediato al Responsable.

5. Obligaciones de Trowel (Encargado)

• a) Tratar los datos solo para la prestación del servicio y según las instrucciones del Responsable;
• b) Garantizar la confidencialidad y que las personas autorizadas se hayan comprometido a respetarla;
• c) Aplicar las medidas técnicas y organizativas apropiadas (art. 32 RGPD);
• d) Asistir al Responsable en la respuesta a las solicitudes de ejercicio de derechos de los interesados;
• e) Asistir al Responsable en el cumplimiento de las obligaciones de los arts. 32 a 36 RGPD (seguridad, notificación de brechas, evaluaciones de impacto y consultas previas);
• f) A elección del Responsable, suprimir o devolver los datos al finalizar la prestación;
• g) Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD.

6. Confidencialidad

Trowel garantiza que el personal autorizado para tratar los datos está sujeto a un deber de confidencialidad de naturaleza contractual o legal.

7. Medidas de seguridad

Trowel aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo (art. 32 RGPD), que incluyen, entre otras: cifrado de las comunicaciones, control de accesos basado en roles, copias de seguridad periódicas, registro de actividad y procedimientos de continuidad y recuperación.

8. Subencargados

8.1. El Responsable autoriza con carácter general a Trowel a recurrir a subencargados para la prestación del servicio (proveedores de infraestructura cloud, herramientas de soporte, analítica y comunicaciones).

8.2. Trowel impondrá a dichos subencargados, mediante contrato, las mismas obligaciones de protección de datos previstas en este DPA.

8.3. Trowel informará al Responsable de cualquier cambio previsto en la incorporación o sustitución de subencargados, dándole la oportunidad de oponerse por motivos razonables. La lista actualizada de subencargados está disponible a solicitud del Responsable en soporte@trowelapp.com.

9. Transferencias internacionales

Los datos se tratan, con carácter general, en infraestructura ubicada en la Unión Europea. Si fuera necesaria una transferencia internacional, se realizará con las garantías previstas en el Capítulo V del RGPD (decisiones de adecuación o cláusulas contractuales tipo).

10. Asistencia y notificación de violaciones de seguridad

10.1. Trowel asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento, en la atención de las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, oposición, limitación y portabilidad).

10.2. Trowel notificará al Responsable, sin dilación indebida, cualquier violación de la seguridad de los datos personales de la que tenga conocimiento, facilitando la información razonablemente disponible para que el Responsable pueda cumplir, en su caso, con sus obligaciones de notificación (arts. 33 y 34 RGPD).

11. Devolución o supresión de los datos

Al finalizar la prestación del servicio, Trowel, a elección del Responsable, devolverá o suprimirá de forma segura los datos personales, conforme a los plazos de exportación y eliminación previstos en el Contrato, salvo que la normativa exija su conservación.

12. Auditoría

Trowel pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este DPA y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor mandatado por él, con preaviso razonable y sin comprometer la seguridad de otros clientes.

13. Responsabilidad

La responsabilidad de las partes derivada del tratamiento de datos personales se regirá por lo dispuesto en el artículo 82 del RGPD y por los límites de responsabilidad establecidos en el Contrato.

14. Legislación y jurisdicción

Este DPA se rige por la legislación española y por el RGPD. Para cualquier controversia, las partes se someten a los Juzgados y Tribunales de Santander, conforme al Contrato.

Para cualquier cuestión relativa a este DPA, el Responsable puede dirigirse a soporte@trowelapp.com.