Acuerdo de tratamiento de datos

Este Acuerdo de procesamiento de datos forma parte de los Términos y condiciones de OrbitPage. Se concluye electrónicamente entre el titular de la cuenta u organización identificada por la cuenta de OrbitPage (el Cliente) y Paolo Ronco, que opera OrbitPage (el encargado del tratamiento). Se vuelve vinculante cuando el Cliente acepta los Términos o envía por primera vez los Datos personales del Cliente a una función de encargado del tratamiento.

Se aplica únicamente cuando el Cliente determina los propósitos y los medios esenciales de procesamiento y OrbitPage procesa datos personales en nombre del Cliente. OrbitPage sigue siendo un responsable del tratamiento independiente para la administración de cuentas, facturación, seguridad del servicio, prevención de fraude y abuso, cumplimiento legal y análisis de su propio sitio web, como se explica en la Política de Privacidad.

Google Analytics con consentimiento, eventos de productos de la plataforma PostHog, seguimiento de errores del navegador, reproducción enmascarada del editor y reconocimiento de clientes que regresan son actividades de control propias de OrbitPage. PostHog es un encargado del tratamiento para esos fines de la plataforma, no un subencargado del tratamiento designado para analizar los visitantes de la página pública del Cliente. Su divulgación en el directorio de proveedores no amplía este DPA ni autoriza el seguimiento opcional sin el consentimiento por separado del individuo.

Datos personales del cliente, responsable, encargado del tratamiento, procesamiento y violación de datos personales tienen los significados que les otorga el Reglamento (UE) 2016/679 (GDPR).

Si el propio Cliente actúa como encargado del tratamiento de un responsable del tratamiento de cliente, OrbitPage actúa como su subencargado del tratamiento de los datos relevantes. El Cliente confirma que tiene la autorización del responsable del tratamiento requerida por el Artículo 28, transmitirá instrucciones documentadas legales y sigue siendo el punto de comunicación para ese responsable del tratamiento. Este DPA no autoriza una actividad de procesamiento más allá de la autoridad otorgada por ese responsable del tratamiento.

OrbitPage procesa los Datos personales del Cliente para proporcionar el espacio de trabajo alojado, la publicación, los controles de consentimiento, el boletín informativo, la Tienda, la reserva, la entrega, el soporte y las funciones conectadas seleccionadas por el Cliente. El procesamiento continúa durante la vigencia del servicio y los períodos de eliminación que se describen a continuación.

Las instrucciones documentadas del Cliente son este DPA, los Términos, la configuración y el contenido del Cliente, las acciones autenticadas del Panel y la API, e instrucciones de soporte escritas consistentes con el servicio. OrbitPage procesará los Datos personales del cliente únicamente siguiendo esas instrucciones, incluso para transferencias internacionales, a menos que la legislación de la Unión o de los Estados miembros exija lo contrario. Cuando esté legalmente permitido, OrbitPage informará al Cliente antes del procesamiento requerido.

OrbitPage informará de inmediato al Cliente si una instrucción parece infringir la ley de protección de datos aplicable y podrá suspender la instrucción afectada mientras las partes la aclaran.

OrbitPage se asegurará de que el personal autorizado procese los Datos personales del cliente solo según sea necesario para sus funciones y esté sujeto a la confidencialidad; mantener medidas adecuadas al riesgo en virtud del artículo 32 del RGPD; imponer deberes equivalentes de protección de datos a los subencargados del tratamiento; ayudar al Cliente con los derechos del interesado, la seguridad, la evaluación de violaciones, las EIPD y la consulta previa cuando la naturaleza del servicio y la información disponible lo permitan; eliminar o devolver datos según lo establecido en la sección 11; y poner a disposición la información necesaria para demostrar el cumplimiento del artículo 28 en la sección 10.

El Cliente es responsable de recibir instrucciones legales, justas y transparentes; avisos y bases legales; precisión y minimización de los datos; responder a los interesados; configurar la retención, el consentimiento y los destinatarios; y garantizar que sus usuarios y servicios de terceros seleccionados estén autorizados. El Cliente no debe utilizar OrbitPage para procesar datos de categorías especiales, datos sobre delitos penales, monitoreo sistemático a gran escala o datos sobre niños sin un acuerdo escrito por separado que confirme que el servicio y las salvaguardas son adecuados.

El Cliente debe proteger la cuenta, SMTP, API y las credenciales de servicio conectado, otorgar el acceso mínimo necesario y notificar a OrbitPage de inmediato sobre cualquier sospecha de compromiso. El Cliente sigue siendo responsable de los proveedores independientes que selecciona, incluidos sus proveedores de SMTP, análisis, gestión de consentimiento, reservas, formularios y contenido integrado.

OrbitPage aplica las medidas del Anexo II y puede actualizarlas a medida que cambian la tecnología y los riesgos, siempre que la protección general de los Datos personales del cliente no se reduzca materialmente. Ninguna medida crea una garantía de tiempo de actividad, tiempo de recuperación o punto de recuperación a menos que un acuerdo de nivel de servicio firmado por separado lo indique expresamente.

Teniendo en cuenta la naturaleza del procesamiento, OrbitPage proporcionará herramientas de autoservicio disponibles y asistencia razonable para solicitudes de acceso, corrección, exportación, restricción, objeción y eliminación. Si OrbitPage recibe una solicitud relacionada principalmente con Datos personales del Cliente, dirigirá al solicitante al Cliente o reenviará la solicitud cuando sea legal y razonablemente identificable, y no responderá en nombre del Cliente a menos que se le indique o sea legalmente requerido.

OrbitPage proporcionará información razonablemente disponible para ayudar con los artículos 32 a 36 del RGPD. El trabajo que requiera desarrollo personalizado, recuperación exhaustiva o servicios profesionales de terceros se puede cobrar a una tarifa razonable acordada, a menos que sea causado por el incumplimiento de este DPA por parte de OrbitPage.

OrbitPage notificará al Cliente sin demora indebida después de tener conocimiento de una violación de datos personales que afecte los Datos personales del Cliente. A medida que la información esté disponible, el aviso describirá la naturaleza de la infracción, los datos afectados y las personas conocidas, las posibles consecuencias, la mitigación y un punto de contacto. OrbitPage puede proporcionar información en fases y tomará medidas razonables para contener, investigar y remediar el incidente. La notificación no es una admisión de culpa.

El Cliente otorga autorización general por escrito a los proveedores identificados como subencargados del tratamiento para las características del encargado del tratamiento seleccionadas en la página subencargados del tratamiento, que se incorpora como Anexo III. OrbitPage sigue siendo responsable del desempeño de las tareas de procesamiento aplicables y los vinculará a las obligaciones de protección de datos apropiadas para el servicio.

OrbitPage informará activamente al Cliente a través del contacto de la cuenta o un aviso en servicio antes de agregar o reemplazar un subencargado del tratamiento autorizado. La notificación identifica el procesamiento afectado y brinda una oportunidad razonable de oponerse por motivos de protección de datos; simplemente cambiar una lista de sitios web no constituye todo el procedimiento de notificación. El Cliente podrá oponerse por motivos documentados de protección de datos antes del cambio anunciado. Las partes buscarán una solución razonable; si no hay ninguno disponible, el Cliente puede dejar de usar la función afectada o cancelar el servicio pago afectado.

Los proveedores utilizados únicamente para fines de responsable del tratamiento independiente de OrbitPage y servicios externos seleccionados y contratados de forma independiente por el Cliente no están autorizados como subencargados del tratamiento simplemente porque aparecen en el directorio de proveedores. La función de un proveedor sigue el servicio y las instrucciones reales en lugar de su nombre comercial.

Cuando los Datos personales del cliente se transfieren fuera del EEE a un país sin una decisión de adecuación aplicable, OrbitPage utilizará un mecanismo de transferencia legal, incluidas las Cláusulas contractuales estándar de la Comisión Europea de 2021, cuando corresponda, y medidas complementarias requeridas por la evaluación de la transferencia. Las ubicaciones actuales de los proveedores y las medidas de seguridad se describen en la página subencargados del tratamiento.

Se selecciona un mecanismo de transferencia para el exportador, importador y servicio real. Cuando corresponda, las transferencias de encargado del tratamiento a encargado del tratamiento utilizan el módulo SCC correspondiente y las medidas complementarias requeridas; Los datos del Reino Unido o Suiza requieren las salvaguardias locales aplicables. A pedido, OrbitPage proporciona información relevante sobre salvaguardas de transferencia, sujeta a protecciones legales de confidencialidad. Este DPA no es en sí mismo un anexo del SCC independiente y completo ni una declaración de que cada destino tiene una decisión de adecuación.

Previa solicitud razonable por escrito, OrbitPage proporcionará la información necesaria para demostrar el cumplimiento de este DPA, como políticas relevantes, términos del proveedor, resúmenes de seguridad y respuestas a un cuestionario proporcionado. No más de una vez en un período de doce meses, a menos que un incumplimiento, una solicitud de autoridad o un incumplimiento material creíble justifique más, el Cliente puede solicitar una auditoría realizada por un auditor calificado independiente sujeto a confidencialidad.

Las auditorías requieren un aviso previo razonable, deben evitar interrupciones y no pueden exponer los datos, secretos de seguridad o material privilegiado de otros clientes. El Cliente corre con los costos de la auditoría a menos que la auditoría identifique un incumplimiento material por parte de OrbitPage. Póngase en contacto con contact@orbitpage.com para comenzar este proceso.

Durante la vigencia del servicio, el Cliente puede recuperar datos del espacio de trabajo admitido a través de las funciones de exportación y copia de seguridad disponibles. Si se realiza una solicitud antes del cierre de la cuenta, OrbitPage brindará asistencia razonable con una exportación disponible. Cuando el Cliente elimina la cuenta o finaliza el servicio, OrbitPage elimina los Datos personales del Cliente de los sistemas activos de acuerdo con la Política de Privacidad, a menos que el Cliente solicite la devolución antes de la eliminación o que la ley aplicable exija la conservación.

Las copias de seguridad del proveedor y los registros de seguridad inmutables permanecen protegidos y caducan según sus cronogramas controlados. Los datos retenidos por motivos legales, prevención de fraude, disputas o reclamos legales se aíslan del uso ordinario del producto y se eliminan cuando finaliza ese propósito. A petición del Cliente, OrbitPage confirmará la finalización del proceso de eliminación del sistema activo correspondiente.

El Cliente puede optar por la devolución o eliminación de sus Datos personales al final del procesamiento, sujeto a la retención legal aplicable. Las copias protegidas de recuperación ante desastres siguen el ciclo de vida de la copia de seguridad descrito en la Política de Privacidad y no deben usarse para fines no relacionados. Una restauración debe preservar los requisitos de eliminación pendientes.

Si este DPA entra en conflicto con los Términos sobre el procesamiento de Datos personales del cliente, este DPA prevalece. Los Términos rigen todos los demás asuntos, incluida la responsabilidad, el pago, la suspensión, la ley aplicable y las disputas, sin limitar los derechos ni la responsabilidad que no puedan limitarse legalmente según la ley de protección de datos.

Este DPA sigue siendo efectivo mientras OrbitPage procesa los Datos personales del Cliente. Las actualizaciones siguen el proceso de cambio en los Términos y no reducirán materialmente las protecciones obligatorias del Artículo 28. Los avisos y solicitudes de protección de datos podrán enviarse a través de la página de contacto o de contact@orbitpage.com.

• HTTPS/TLS para datos admitidos en tránsito y protección administrada por el proveedor para datos de servicios almacenados.
• Autenticación de Firebase, identidades verificadas cuando sea necesario, comprobaciones de membresía de inquilinos, permisos basados en roles y autorización del lado del servidor.
• Secretos del lado del servidor, hash unidireccional de credenciales API y cifrado de contraseñas SMTP proporcionadas por el cliente.
• Registros con ámbito de espacio de trabajo, rutas de publicación validadas, almacenamiento de objetos privado para archivos protegidos y credenciales de entrega por tiempo limitado.
• Límites de velocidad, verificación de aplicaciones o certificación de solicitud equivalente cuando esté configurada, controles de abuso, salvaguardias de moderación y registro operativo.
• Historial de revisiones, copias de seguridad administradas donde se configuraron, verificaciones de implementación, procedimientos de incidentes y rotación de credenciales controlada.
• Minimización de datos, contexto de IA limitado, credenciales de proveedor restringidas y controles de eliminación/exportación descritos en la Política de Privacidad.
• Confidencialidad del personal, acceso de proveedores con privilegios mínimos y revisión de subencargados del tratamiento adecuados a su función.

La lista actual, el propósito, el alcance de los datos y la documentación del proveedor se mantienen en la página subencargados del tratamiento. Los proveedores de SMTP, análisis, consentimiento, reserva, formularios e inserción seleccionados por el Cliente están controlados por el Cliente y OrbitPage no los designa como subencargados del tratamiento de plataforma para aquellos usos seleccionados por el Cliente.