Contrato de encargo del tratamiento de Oteo

1.1El Cliente es el responsable del tratamiento de los datos personales incluidos en los Datos del Cliente. Oteo (J. von Oven, nombre comercial Oteo, KvK 82061386, La Haya, Países Bajos) es el encargado del tratamiento.

1.2Para los datos que Oteo trata para sí mismo, como los datos de la cuenta, las facturas de la suscripción y los registros de seguridad, Oteo es responsable. Para ellos rige la Política de privacidad.

3.1Oteo trata los datos únicamente siguiendo instrucciones documentadas del Cliente. El uso del Servicio y la configuración que elige el Cliente constituyen esas instrucciones.

3.2Si la ley obliga a Oteo a tratar datos, Oteo lo informará antes, salvo que la ley lo prohíba.

3.3Si Oteo considera que una instrucción infringe el RGPD, lo comunicará de inmediato.

Todas las personas con acceso a los datos en nombre de Oteo están sujetas a confidencialidad. Un empleado de Oteo solo consulta un documento si el Cliente pide ayuda o si es necesario por seguridad o por una incidencia. Cada acceso queda registrado con su motivo y es visible en la actividad del espacio de trabajo.

5.1Oteo aplica medidas técnicas y organizativas apropiadas. Las principales figuran en el Anexo 2.

5.2Oteo puede adaptar las medidas siempre que no baje el nivel de seguridad.

6.1El Cliente autoriza a Oteo a recurrir a los subencargados del Anexo 1.

6.2Oteo impone a cada subencargado al menos las mismas obligaciones que este contrato.

6.3Oteo comunicará por correo cualquier subencargado nuevo con al menos 30 días de antelación. El Cliente puede oponerse de forma motivada en ese plazo. Si no se resuelve, el Cliente puede cancelar con reembolso del periodo restante.

7.1Oteo almacena los Datos del Cliente en la UE (base de datos en Irlanda, servidores en Dublín, Irlanda).

7.2Algunos subencargados son empresas estadounidenses o tratan datos en EE. UU., como Google, Anthropic y OpenAI para leer documentos. La transferencia se basa en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea, con medidas adicionales cuando sea necesario.

8.1Oteo ayuda al Cliente a atender las solicitudes de los interesados, como acceso o supresión. Gran parte puede hacerla el Cliente en la aplicación.

8.2Si Oteo recibe una solicitud directamente, la remite al Cliente y no la atiende por su cuenta.

8.3Oteo ayuda de forma razonable con una evaluación de impacto o una consulta de la autoridad de control. Si requiere más de unas pocas horas, Oteo puede cobrar los costes razonables.

9.1Si Oteo detecta una violación de seguridad que afecte a los datos del Cliente, la notificará sin dilación indebida, y como máximo en 48 horas desde que tenga conocimiento, por correo al titular del espacio de trabajo.

9.2Oteo facilitará lo que se sepa: qué ocurrió, qué datos e interesados afecta, las consecuencias y las medidas. La información posterior se enviará lo antes posible.

9.3El Cliente decide si notifica la violación a la Agencia Española de Protección de Datos (AEPD) y a los interesados.

10.1Al terminar la suscripción, el espacio de trabajo queda 90 días en solo lectura para que el Cliente lo exporte todo. Oteo envía un recordatorio por correo el día 60 y el día 85.

10.2Después, Oteo suprime los datos en un plazo de 30 días, salvo obligación legal de conservarlos o un conflicto abierto; en ese caso Oteo espera a que se resuelva. Las copias de seguridad se sobrescriben dentro de su plazo normal.

10.3Oteo confirma la supresión por correo al propietario del espacio de trabajo. Las cuentas que no pertenecen a otro espacio se suprimen al mismo tiempo.

11.1Oteo facilita al Cliente, a petición, la información necesaria para demostrar que cumple este contrato.

11.2Si no es suficiente, el Cliente puede encargar una vez al año, con 30 días de preaviso, una auditoría a un experto independiente sujeto a confidencialidad. El Cliente asume el coste, salvo que se detecte un incumplimiento grave.

Para la responsabilidad derivada de este contrato se aplica el artículo 16 de las Condiciones generales.

• Cada espacio de trabajo está aislado por cliente en la base de datos (row level security).
• Inicio de sesión con código de un solo uso por correo; control antirrobots; verificación adicional para la administración de Oteo.
• Cifrado de las conexiones (TLS) y de los datos almacenados en los proveedores de alojamiento.
• Claves de integraciones cifradas; Gmail y Outlook: lectura, y solo etiquetar o mover si el Cliente activa el archivado. Oteo nunca envía ni borra correos.
• Revisión de archivos en busca de scripts, texto oculto y enlaces peligrosos antes de abrirlos.
• Límites de uso por persona, espacio de trabajo y red.
• Registro de cada acceso de empleados de Oteo, con su motivo.
• Copias de seguridad de la base de datos: Oteo todavía no las hace. Cuando las haya, Oteo las conservará como máximo 7 días. El Cliente puede exportarlo todo en cualquier momento.
• Supervisión de errores y tareas en segundo plano, con aviso en caso de incidencia.
• Revisión de los cambios de software antes de publicarlos.