Acuerdo de tratamiento de datos (DPA)

1. Partes y objeto

Este Acuerdo de tratamiento de datos regula las operaciones en las que Bomonte Tecnologías S.L., como encargado o subencargado, trate datos personales por cuenta del cliente dentro de los servicios WebFensa. El cliente actuará como responsable, encargado principal u otra figura que deberá identificar en el anexo de tratamiento.

El DPA forma parte del contrato principal y se interpreta junto con la orden de servicio, SLA, medidas de seguridad, registro de subencargados y anexos técnicos.

2. Duración

El tratamiento se mantendrá durante la vigencia del servicio y el tiempo estrictamente necesario para devolución, exportación, resolución de incidencias, copias y cumplimiento de obligaciones. Finalizado el encargo, los datos se devolverán o eliminarán según las instrucciones documentadas, salvo conservación exigida por ley.

3. Naturaleza y finalidad

Las operaciones podrán incluir alojamiento, acceso, conservación, organización, consulta, transmisión interna, generación de copias, monitorización, detección, soporte, recuperación, auditoría de exposición y gestión de evidencias. No se utilizarán los datos para fines propios incompatibles.

4. Categorías de interesados y datos

El anexo contractual deberá identificar los colectivos y categorías reales. A título orientativo, pueden incluir usuarios, clientes, empleados, proveedores, contactos, administradores y visitantes de las webs del cliente; así como datos identificativos, de contacto, navegación, transacciones, soporte, registros y contenidos alojados. Las categorías especiales deberán declararse y someterse a controles específicos.

5. Instrucciones

Bomonte Tecnologías S.L. tratará los datos únicamente conforme a instrucciones documentadas, incluido el tratamiento derivado de soporte, recuperación, seguridad o transferencias. Si considera que una instrucción infringe la normativa, lo comunicará sin demora y podrá suspender la actuación afectada hasta su aclaración.

6. Confidencialidad y personal autorizado

El acceso se limitará a personal que lo necesite, sujeto a compromisos de confidencialidad, formación, control de acceso y supervisión. Las cuentas privilegiadas deberán gestionarse con autenticación reforzada y trazabilidad cuando resulte aplicable.

7. Medidas de seguridad

Las medidas se adaptarán al riesgo y al servicio contratado. Podrán incluir segmentación, control de acceso, MFA, cifrado en tránsito, copias, monitorización, gestión de vulnerabilidades, registros, protección perimetral, aislamiento, limitación de comunicaciones, recuperación y pruebas. El anexo técnico identificará las medidas exigibles y sus límites.

8. Subencargados

El cliente autoriza los subencargados incluidos en el registro vigente, con derecho a recibir información sobre cambios y formular objeciones razonadas en el plazo contractual. Bomonte Tecnologías S.L. impondrá obligaciones de protección equivalentes y seguirá siendo responsable frente al cliente de sus obligaciones como encargado.

9. Asistencia al responsable

Prestaremos asistencia razonable para:

• Atender derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y decisiones automatizadas.
• Evaluar medidas de seguridad, brechas, riesgos y evaluaciones de impacto.
• Atender consultas y requerimientos de autoridades.
• Documentar restauraciones, incidencias, evidencias y cumplimiento del encargo.

La asistencia extraordinaria, forense, de desarrollo o fuera de alcance podrá presupuestarse separadamente.

10. Brechas de datos personales

Cuando tengamos conocimiento de una brecha que afecte a datos tratados por cuenta del cliente, la notificaremos sin dilación indebida por los canales acordados, facilitando la información disponible sobre naturaleza, categorías, volumen, consecuencias, medidas y contacto. La notificación no implica reconocimiento de responsabilidad.

11. Transferencias internacionales

Los datos se tratarán preferentemente en Unión Europea. Cualquier transferencia fuera del Espacio Económico Europeo deberá estar documentada y amparada por una garantía válida. Para el correo seleccionado: No se prevén transferencias internacionales derivadas del servicio SMTP corporativo, salvo que el proveedor indique lo contrario en sus condiciones vigentes.

12. Auditoría y evidencia

Facilitaremos información razonable para demostrar el cumplimiento. Las auditorías deberán respetar confidencialidad, seguridad, proporcionalidad, preaviso, horarios y límites de acceso. Podrán utilizarse informes, certificaciones, evidencias técnicas o auditorías independientes antes de una inspección directa, salvo obligación legal o incidente grave.

13. Devolución, portabilidad y eliminación

Al terminar, el cliente podrá solicitar exportación en formatos disponibles y razonables. Tras el periodo acordado, los datos activos se eliminarán o anonimizarán. Las copias seguirán su ciclo protegido de retención hasta sobrescritura, sin uso activo, salvo obligación legal.

14. Responsabilidades del cliente

El cliente garantiza la licitud del tratamiento, la información a los interesados, las instrucciones, la configuración, las autorizaciones y la exactitud del anexo. También deberá evitar facilitar datos innecesarios y notificar categorías especiales o restricciones sectoriales.

15. Anexos que debe contener el contrato

• Anexo I: objeto, duración, finalidad y operaciones.
• Anexo II: interesados, datos, sistemas y ubicaciones.
• Anexo III: medidas técnicas y organizativas.
• Anexo IV: subencargados autorizados.
• Anexo V: retorno, eliminación, continuidad y asistencia.