1. Objeto y vigencia

• 1.1 El presente Acuerdo de tratamiento de datos regula el tratamiento de los datos personales incluidos en los datos del cliente.
• 1.2 El presente Acuerdo de tratamiento de datos se aplicará mientras el Cliente utilice el Servicio y mientras el Encargado del tratamiento trate datos personales en nombre del Responsable del tratamiento.

2. Naturaleza y finalidad del tratamiento
‍

El encargado del tratamiento trata los datos personales exclusivamente con el fin de:

• la prestación y el funcionamiento del Servicio,
• que permita al Cliente utilizar el Servicio,
• ofrecer atención al cliente,
• garantizando la seguridad y la integridad del sistema,
• cumplir con las obligaciones legales.

3. Categorías de interesados
‍

Los datos personales pueden referirse a:

• Empleados del cliente
• Representantes de atención al cliente
• Usuarios finales de los proyectos de los clientes
• Otras personas cuyos datos personales figuran en los datos de los clientes

4. Tipos de datos personales
‍

En función del uso que haga el cliente, los datos personales pueden incluir:

• Nombres
• Datos de contacto
• Títulos profesionales
• Identificadores de usuario
• Direcciones IP y datos de uso
• Datos personales incluidos en los documentos o planos cargados

5. Obligaciones del encargado del tratamiento
‍

El encargado del tratamiento deberá:

• 5.1 Tratar los datos personales únicamente siguiendo las instrucciones documentadas del responsable del tratamiento.
• 5.2 Garantizar la confidencialidad del personal autorizado.
• 5.3 Aplicar medidas de seguridad técnicas y organizativas adecuadas.
• 5.4 Colaborar con el responsable del tratamiento en la tramitación de las solicitudes relacionadas con los derechos de los interesados, siempre que sea razonablemente posible.
• 5.5 Notificar al responsable del tratamiento, sin demora injustificada, cualquier violación de la seguridad de los datos personales.
• 5.6 No vender datos personales.
• 5.7 El encargado del tratamiento se asegurará de que las personas autorizadas a tratar los datos personales se hayan comprometido a mantener la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada.

6. Anonimización y mejora del servicio

• 6.1 El Procesador podrá utilizar los Datos del Cliente con el fin de mejorar, desarrollar, probar y perfeccionar el Servicio, incluidos los modelos de aprendizaje automático, siempre y cuando dichos datos hayan sido anonimizados de forma irreversible.
• 6.2 Los datos anonimizados no identificarán, ni permitirán identificar, a ninguna persona física ni al responsable del tratamiento.
• 6.3 Una vez anonimizados, dichos datos dejarán de considerarse datos personales a efectos del presente Acuerdo de Tratamiento de Datos.
• 6.4 El Procesador no utilizará los datos personales identificables contenidos en los Datos del Cliente para sus propios fines independientes.

7. Subencargados del tratamiento

• 7.1 El responsable del tratamiento autoriza al encargado del tratamiento a recurrir a subencargados del tratamiento.
• 7.2 Puede consultarse una lista actualizada de los subencargados del tratamiento en: https://www.planmetry.com/subprocessors
• 7.3 El encargado del tratamiento se asegurará de que los subencargados del tratamiento estén sujetos a acuerdos escritos que les impongan obligaciones en materia de protección de datos equivalentes a las establecidas en el presente acuerdo de tratamiento de datos.
• 7.4 El responsable del tratamiento podrá oponerse a la designación de un nuevo subencargado del tratamiento por motivos razonables relacionados con la protección de datos en un plazo de treinta (30) días a partir de la notificación.

8. Transferencias internacionales
‍

Cuando los datos personales se transfieran fuera del EEE, el encargado del tratamiento deberá garantizar las garantías adecuadas de conformidad con el RGPD, entre las que se incluyen:

• Decisiones sobre la adecuación, o
• Cláusulas contractuales tipo (CCT).

9. Medidas de seguridad
‍

El encargado del tratamiento aplica las medidas técnicas y organizativas adecuadas, entre las que se incluyen:

• Cifrado en tránsito (TLS)
• Control de acceso y permisos basados en roles
• Segregación lógica de los datos de los clientes
• Supervisión y registro
• Infraestructura segura en la nube
• Copias de seguridad y recuperación ante desastres

10. Auditoría y demostración del cumplimiento

• 10.1 El encargado del tratamiento facilitará la información que sea razonablemente necesaria para demostrar el cumplimiento.
• 10.2 Las auditorías podrán realizarse:

• no más de una vez por año natural,
• previa notificación por escrito con al menos 30 días de antelación,
• durante el horario habitual de atención.

11. Devolución y eliminación

• Tras la finalización del Servicio, el Encargado del tratamiento deberá eliminar o anonimizar los Datos personales tras un período de conservación razonable, que no excederá los noventa (90) días, salvo que la ley disponga lo contrario.
  ‍
  El Responsable del tratamiento es responsable de exportar los datos antes de la finalización.

12. Responsabilidad

• La responsabilidad en virtud del presente DPA está sujeta a las limitaciones establecidas en las Condiciones de uso.
  ‍
  Nada de lo dispuesto en el presente DPA limita la responsabilidad que no pueda limitarse en virtud de la legislación aplicable.

Anexo para empresas

• (Aplicable únicamente a los planes de suscripción Enterprise)
  ‍
  Esta sección se aplica únicamente cuando el Cliente haya suscrito un contrato de suscripción Enterprise que incluya explícitamente las funciones de control de datos de Enterprise.

13. Alojamiento y control de datos empresariales

• 13.1 Almacenamiento controlado por el cliente
  ‍
  Cuando así se acuerde en el marco de un plan Enterprise, los Datos del Cliente podrán almacenarse en un entorno controlado por el Cliente, como la propia infraestructura en la nube del Cliente (por ejemplo, SharePoint, Azure, AWS u otro entorno de almacenamiento designado).
  ‍
  En tales casos:

• Planmetry trata los datos de los clientes con el único fin de prestar el servicio.
• El almacenamiento permanente de los datos del cliente se lleva a cabo en el entorno controlado por el cliente.
• Planmetry no conserva copias independientes de los datos de los clientes más allá de lo técnicamente necesario para su procesamiento temporal.

• 13.2 Tratamiento y almacenamiento en caché temporales
  
  Para garantizar el funcionamiento del Servicio, los Datos del Cliente pueden ser tratados, almacenados en caché o almacenados temporalmente en la infraestructura gestionada por Planmetry durante las sesiones activas o las operaciones técnicas.
  
  Dicho almacenamiento temporal:

• Se limita a lo que es técnicamente necesario,
• Se sobrescribe o elimina automáticamente al finalizar la sesión o tras los intervalos de procesamiento a corto plazo definidos,
• No se utiliza para análisis independientes ni para el entrenamiento de modelos.

• 13.3 Prohibición de uso con fines de entrenamiento (Opción Enterprise)
  
  Salvo que se acuerde expresamente lo contrario por escrito, Planmetry no utilizará los Datos del Cliente Enterprise, incluidos los derivados anonimizados, con el fin de entrenar o mejorar modelos de aprendizaje automático.
  
  La mejora del servicio para los planes Enterprise se limitará a:

• Vigilancia de seguridad,
• Corrección de errores,
• Optimización del rendimiento,
• Métricas operativas agregadas que no se derivan del contenido de los clientes.

• 13.4 Propiedad y control de los datos
  
  El cliente conserva la plena propiedad y el control sobre los datos del cliente empresarial.
  Planmetry no deberá:

• Explotar comercialmente los datos de los clientes empresariales,
• Úsalo para realizar análisis independientes,
• Combínalo con los datos de otros clientes para fines de formación o desarrollo de productos.

• 13.5 Distribución de responsabilidades
  
  Cuando el cliente opta por un almacenamiento controlado por él mismo:

• El cliente es responsable de la seguridad y los controles de acceso de su entorno de almacenamiento designado.
• Planmetry sigue siendo responsable de la seguridad del tratamiento de datos que se lleva a cabo en la infraestructura gestionada por Planmetry.