Contrato de Encargado de Tratamiento (DPA)
Contrato de encargo de tratamiento conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).
1. Partes
El Cliente (responsable del tratamiento) y khirucode SL (en adelante, K3bone), con NIF B01542018 y domicilio en Calle Lanciego, 52, bajo, 01015 Vitoria-Gasteiz (Araba), que presta el servicio bajo el nombre comercial K3bone (rgpd@k3bone.com), como encargado del tratamiento.
2. Objeto y duración
K3bone trata datos personales por cuenta del Cliente para prestar el servicio de hosting y, cuando esté activo, el servicio de copias de seguridad. El contrato dura lo que dure el servicio contratado.
3. Datos e interesados
Los datos personales que el Cliente aloje en su cuenta (archivos, bases de datos y cuentas de correo), correspondientes a sus usuarios, clientes, contactos y otros interesados. K3bone no conoce ni accede a su contenido salvo por necesidad técnica del servicio.
4. Instrucciones
K3bone trata los datos únicamente según las instrucciones documentadas del Cliente, que son este contrato, la contratación del servicio y las solicitudes realizadas por los canales de soporte. Si considera que una instrucción infringe la normativa, se lo comunicará. No se realizan transferencias fuera del Espacio Económico Europeo en el servicio de hosting y copias de seguridad.
5. Confidencialidad
El personal de K3bone con acceso a los datos está sujeto a un deber de confidencialidad.
6. Seguridad
K3bone aplica las medidas técnicas y organizativas descritas en el Anexo I.
7. Subencargados
El Cliente autoriza con carácter general los subencargados del Anexo II. Cualquier cambio se comunicará con 15 días de antelación por correo electrónico a la dirección registrada en el área de cliente. Durante ese plazo el Cliente podrá oponerse; si no hay acuerdo, podrá resolver el servicio. K3bone impondrá a los subencargados obligaciones equivalentes a las de este contrato y responderá ante el Cliente de su cumplimiento.
8. Asistencia al responsable
K3bone ayudará al Cliente, en lo razonable, a atender el ejercicio de derechos de los interesados y a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
9. Brechas de seguridad
K3bone notificará al Cliente sin dilación indebida, y en todo caso en un máximo de [48 horas] desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos.
10. Copias de seguridad
Las copias de seguridad son un servicio complementario, gratuito y no contractual. K3bone recomienda que el Cliente realice sus propias copias. El Cliente puede elegir entre (a) copias regulares, (b) copias solo en destinos cifrados, o (c) no tener copias, o solicitar la exclusión por los canales de soporte. Retención: las últimas 30 copias diarias incrementales y las últimas 4 mensuales.
11. Supresión y devolución
Al terminar el servicio, K3bone eliminará de forma inmediata los datos de los servidores de hosting y todas las copias de la cuenta, en todos los destinos, a los 30 días de la terminación. La suspensión temporal por impago no supone la supresión de los datos. Antes de la terminación, el Cliente puede solicitar una copia de sus datos.
12. Auditoría
K3bone pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías razonables, con preaviso y sin afectar a otros clientes.
Anexo I. Medidas de seguridad
- Copias mensuales en servidor propio en Vitoria-Gasteiz, cifradas, con acceso restringido a personal de K3bone.
- Copias diarias transferidas por SSH (cifrado en tránsito) a un servidor VPS en Francia.
- Administración directa de los servidores por K3bone.
- Monitorización continua de los servidores y servicios para detectar y responder a incidentes de seguridad.
- Actualización regular de software y parches de seguridad en todos los servidores.
- Implementación de cortafuegos y sistemas de detección de intrusiones para proteger los servidores y datos del Cliente.
- Control de accesos y autenticación de doble factor para el personal que gestiona los servidores.
- Revisión periódica de los registros de acceso y actividad para detectar posibles incidentes de seguridad.
- Formación continua del personal en buenas prácticas de seguridad y protección de datos.
Anexo II. Subencargados
| Subencargado | Servicio | Ubicación |
|---|---|---|
| Arsys | Infraestructura de los servidores de hosting | Logroño, España |
| OVH | Almacenamiento de copias incrementales diarias (clientes con copias regulares) | Francia |
Los tratamientos de hosting y copias de seguridad se realizan dentro del Espacio Económico Europeo.