Acuerdo de Tratamiento de Datos

Este DPA regula el tratamiento por parte de HansaChat de los Datos Personales del Cliente para prestar el servicio. El objeto, la naturaleza, la finalidad, las categorías de datos, los interesados y la duración se especifican en el Anexo 1.

El Cliente determina las finalidades y los medios esenciales del tratamiento del contenido del espacio de trabajo. HansaChat trata esos datos por cuenta del Cliente. Este DPA no cubre los datos personales que HansaChat trata como responsable independiente por razones de facturación, administración de cuentas, seguridad del servicio, prevención de abusos, administración de soporte o cumplimiento; ese tratamiento se describe en la Política de Privacidad.

HansaChat tratará los Datos Personales del Cliente únicamente conforme a instrucciones documentadas del Cliente, incluidos el Contrato de Servicio, este DPA, el uso y la configuración del servicio por parte del Cliente y las instrucciones posteriores enviadas por escrito. HansaChat puede tratar datos cuando lo exija el derecho de la Unión o de un Estado miembro e informará al Cliente antes de hacerlo, salvo que dicha ley prohíba esa información por motivos importantes de interés público.

HansaChat informará de inmediato al Cliente si, en su opinión, una instrucción infringe el RGPD u otra legislación de protección de datos aplicable de la Unión o de un Estado miembro, y podrá suspender la instrucción afectada hasta que se confirme o se modifique.

HansaChat garantiza que cada persona autorizada a tratar los Datos Personales del Cliente esté sujeta a un deber de confidencialidad o a una obligación legal apropiada y reciba acceso únicamente cuando sea necesario para la operación, el mantenimiento, la resolución de problemas, la seguridad, la prevención de abusos, el cumplimiento legal o el soporte solicitado por el Cliente.

Cuando resulte aplicable el artículo 3 de la ley alemana de protección de datos en los servicios digitales de telecomunicaciones (TDDDG), HansaChat protege también el contenido y las circunstancias de las comunicaciones como secreto de las telecomunicaciones. HansaChat no obtendrá conocimiento más allá de lo necesario para prestar el servicio de comunicación o proteger sus sistemas técnicos, y solo utilizará ese conocimiento para otro fin cuando una ley lo permita expresamente en relación con las telecomunicaciones.

La obligación de confidencialidad continúa después de que la persona finalice su trabajo y después de la terminación del Contrato de Servicio.

Teniendo en cuenta el estado de la técnica, los costes de implementación y la naturaleza, el alcance, el contexto y las finalidades del tratamiento, HansaChat mantendrá medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD. Las medidas actuales se describen en el Anexo 2 y en la página de Seguridad.

HansaChat puede actualizar esas medidas a medida que cambien la tecnología y el riesgo, siempre que el nivel general de protección no se reduzca de forma sustancial durante la vigencia del Contrato de Servicio.

El Cliente otorga a HansaChat autorización general por escrito para utilizar los encargados del tratamiento del Anexo 3. HansaChat impondrá a cada encargado obligaciones de protección de datos sustancialmente equivalentes, seguirá respondiendo de su cumplimiento conforme a este DPA y mantendrá la lista actualizada.

HansaChat notificará con al menos 30 días de antelación, por correo electrónico al contacto de la cuenta del Cliente o mediante un aviso prominente del servicio, antes de añadir o sustituir un encargado que trate Datos Personales del Cliente. Se podrá utilizar un plazo más corto cuando sea necesario para hacer frente a un riesgo urgente de seguridad, legal o de disponibilidad; en ese caso, HansaChat notificará tan pronto como sea razonablemente posible.

El Cliente podrá oponerse durante el plazo de notificación por motivos razonables de protección de datos. Las partes trabajarán de buena fe en una solución comercialmente razonable. Si no hay ninguna disponible, el Cliente podrá resolver el servicio afectado antes de que el nuevo encargado comience el tratamiento, sin penalización por el período prepagado no utilizado de ese servicio afectado.

El almacenamiento principal del espacio de trabajo está ubicado en Alemania. Las copias de seguridad Restic cifradas se almacenan en Fráncfort y Estocolmo. La entrega por red y las funciones de apoyo opcionales pueden implicar otras ubicaciones, según se indica en el Anexo 3.

HansaChat no transferirá Datos Personales del Cliente a un tercer país ni a una organización internacional salvo instrucción del Cliente, necesidad para prestar una función del servicio activada o requerimiento legal, y únicamente cuando se cumplan los requisitos del capítulo V del RGPD. Las salvaguardas aplicables pueden incluir una decisión de adecuación, las Cláusulas Contractuales Tipo de la Comisión Europea y medidas técnicas y organizativas complementarias.

Si HansaChat recibe una solicitud de un interesado relativa a Datos Personales del Cliente, la reenviará sin demora al Cliente y no responderá salvo autorización del Cliente o requerimiento legal.

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, HansaChat asistirá razonablemente al Cliente en el ejercicio de los derechos de los interesados y en las obligaciones del Cliente conforme a los artículos 32 a 36 del RGPD, incluidas la seguridad, la evaluación de violaciones, las evaluaciones de impacto en la protección de datos y la consulta previa.

HansaChat notificará al Cliente sin demora indebida tras tener conocimiento de una violación de datos personales que afecte a Datos Personales del Cliente. La notificación incluirá la información de que disponga HansaChat que el Cliente necesite razonablemente para sus obligaciones conforme a los artículos 33 y 34 del RGPD, y podrá facilitarse información adicional por fases a medida que esté disponible.

HansaChat adoptará medidas razonables para contener, investigar, subsanar y mitigar la violación y cooperará con el Cliente. La notificación no constituye una admisión de culpa ni de responsabilidad.

A elección del Cliente, HansaChat devolverá o eliminará los Datos Personales del Cliente cuando finalicen los servicios de tratamiento y eliminará las copias existentes, salvo que el derecho de la Unión o de un Estado miembro exija su conservación. El Cliente debe solicitar la devolución antes de la fecha de eliminación del espacio de trabajo; si el Cliente no da instrucciones, se selecciona la eliminación.

Los espacios de trabajo de pago y de prueba cancelados siguen utilizables durante el período de pago o de prueba en curso, después pasan a solo lectura durante 90 días y se eliminan. La eliminación solicitada por el propietario pone el espacio de trabajo en solo lectura de inmediato y lo elimina tras un período de gracia de 30 días, salvo cancelación. Los espacios de trabajo de demostración se eliminan a las 24 horas. Los espacios de trabajo gratuitos siguen siendo editables y se eliminan tras 90 días sin un mensaje persistido. Las bases de datos de los espacios de trabajo y los objetos subidos se eliminan mediante el proceso de eliminación aplicable; los datos eliminados del espacio de trabajo desaparecen de las copias de seguridad cifradas según el calendario del Anexo 2.

HansaChat facilitará la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD y de este DPA. El Cliente puede auditar el tratamiento cubierto por sí mismo o a través de un auditor independiente y cualificado sujeto a confidencialidad.

Las auditorías deberán comenzar normalmente con la documentación disponible y una revisión remota. La inspección presencial está disponible cuando la documentación sea insuficiente o existan indicios razonables de incumplimiento, con una antelación razonable y sin comprometer a otros clientes, la seguridad o los secretos comerciales. El Cliente asume los costes razonables de la auditoría, salvo que esta identifique un incumplimiento sustancial de HansaChat. Las facultades de las autoridades de control no quedan limitadas.

Este DPA comienza cuando se vuelve vinculante conforme a la sección de Estado del contrato y permanece en vigor hasta que HansaChat haya eliminado todos los Datos Personales del Cliente. Si HansaChat no puede cumplir este DPA, informará con prontitud al Cliente. El Cliente podrá suspender el tratamiento o resolver el servicio afectado cuando un incumplimiento sustancial no se subsane en un plazo razonable.

La responsabilidad, la ley aplicable y el fuero se rigen por el Contrato de Servicio, salvo que la legislación imperativa de protección de datos exija otra cosa. Nada en este DPA limita los derechos de los interesados ni las facultades de una autoridad de control competente.