Contrato de encargo de tratamiento (art. 28 del RGPD)

1. Partes y calificación de las funciones

El responsable del tratamiento es el MSP titular de la cuenta: él decide qué datos de sus clientes pymes se introducen en la plataforma, así como los fines y los medios de ese tratamiento. El encargado del tratamiento es Vigicap, que trata esos datos por cuenta del MSP y únicamente siguiendo sus instrucciones.

Esta calificación no cubre la totalidad del servicio. Respecto de los datos de la propia cuenta del MSP — nombres, direcciones de correo electrónico, hashes de contraseñas (argon2), funciones, registros de conexión y de auditoría de sus usuarios — Vigicap es responsable del tratamiento y responde directamente de ellos, como indica la política de privacidad. Las presentes cláusulas se aplican únicamente al perímetro de tratamiento descrito en el artículo 3.

El encargado del tratamiento es NEXTLAB, editor de Vigicap. Su denominación social, su número de inscripción, su domicilio y su número de IVA intracomunitario figuran en el aviso legal, que forma parte integrante del presente contrato.

2. Objeto, naturaleza y finalidad del tratamiento

El tratamiento tiene por objeto la prestación de la plataforma Vigicap: gobernanza cibernética en marca blanca que permite al MSP realizar un diagnóstico ANSSI ReCyF, mantener un registro de conformidad, elaborar planes de acción, presupuestos e informes de marca blanca y registrar incidentes para sus clientes pymes.

La naturaleza de las operaciones realizadas incluye la recogida, el registro, la organización, la conservación, la consulta, la utilización, la modificación, la extracción (con fines de exportación y de generación de documentos) y la supresión de los datos.

Duración: el tratamiento se mantiene mientras la cuenta MSP esté activa. Finaliza con la resolución del contrato, sin perjuicio de las operaciones de devolución o supresión previstas en el artículo 11.

3. Categorías de datos e interesados

Interesados: los empleados y las personas de contacto de los clientes pymes del MSP.

Categorías de datos tratados por cuenta del MSP:

• datos de identificación y de contacto profesional de las personas de contacto en los clientes: nombre, correo electrónico profesional, teléfono, empresa, dirección, SIRET;
• descripciones en texto libre de la situación de seguridad del cliente, tal como las introduce el MSP;
• documentos justificativos que el MSP carga en los diagnósticos, los registros y los planes de acción;
• credenciales de los conectores hacia las herramientas del cliente (URL de la instancia y tokens de API), cifradas en reposo con AES-256-GCM.

La plataforma no está diseñada para recibir categorías especiales de datos personales en el sentido del artículo 9 del RGPD, ni datos relativos a condenas penales (art. 10). Al estar los campos de texto libre y los archivos adjuntos bajo el control del MSP, le corresponde a él no introducir en ellos tales datos ni datos personales innecesarios.

4. Instrucciones documentadas (art. 28.3.a)

Vigicap trata los datos únicamente siguiendo instrucciones documentadas del responsable del tratamiento, incluso en caso de transferencia de datos a un tercer país. Las instrucciones documentadas del MSP están constituidas por:

• las presentes cláusulas, las condiciones generales de uso y la política de privacidad;
• el uso de las funcionalidades del servicio por parte de los usuarios del MSP, de modo que toda operación realizada en la aplicación vale como instrucción;
• los ajustes que el MSP haya activado en su espacio;
• toda instrucción complementaria dirigida por escrito a contact@vigicap.fr.

Vigicap no utiliza los datos que se le confían para fines distintos de la ejecución del servicio: no se venden, no se ceden y no se utilizan con fines comerciales, publicitarios ni de entrenamiento de modelos.

Conforme al párrafo segundo del artículo 28.3, Vigicap informa de inmediato al responsable del tratamiento si, en su opinión, una instrucción recibida infringe el RGPD u otra disposición aplicable en materia de protección de datos.

5. Confidencialidad del personal (art. 28.3.b)

Vigicap se compromete a que las personas autorizadas a tratar los datos — actualmente el reducido equipo técnico encargado de la explotación y del soporte — estén sujetas a una obligación contractual de confidencialidad que subsiste tras el fin de su misión. El acceso a los datos de producción se limita a lo que exigen la explotación, el mantenimiento y el soporte, y solo tiene lugar cuando es operativamente necesario.

6. Medidas de seguridad (art. 28.3.c y art. 32)

Las siguientes medidas técnicas y organizativas están efectivamente implantadas:

• cifrado de las contraseñas con argon2id;
• autenticación mediante un token JWT conservado en una cookie httpOnly, con revocación de las sesiones en el servidor;
• separación multiinquilino estricta, verificada en el servidor en cada acceso: un MSP no puede técnicamente acceder a los datos de otro;
• cifrado en reposo con AES-256-GCM de las credenciales de los conectores y de los tokens OAuth;
• protección contra las peticiones falsificadas desde el servidor (SSRF) en todas las URL facilitadas por los operadores;
• registro de auditoría por petición (acción, marca de tiempo, dirección IP);
• limitación de la frecuencia de peticiones (rate limiting) en los puntos sensibles;
• verificación obligatoria de la dirección de correo electrónico antes de cualquier acceso a la plataforma;
• cifrado de los flujos en tránsito (TLS).

7. Subencargados del tratamiento (art. 28.3.d)

El responsable del tratamiento otorga a Vigicap una autorización general por escrito para recurrir a los subencargados enumerados a continuación, que ofrecen garantías suficientes y están sujetos a obligaciones de protección equivalentes a las presentes.

• Scaleway (Francia) — alojamiento de la aplicación y de los datos. Tratamiento en Francia, por una sociedad de derecho francés.
• Brevo (Sendinblue, Francia) — envío de los correos electrónicos transaccionales. Tratamiento dentro de la Unión Europea.

Vigicap informa al responsable del tratamiento de toda incorporación o sustitución de un subencargado al menos 30 días antes de su puesta en servicio, por correo electrónico a la dirección de contacto de la cuenta. El responsable dispone de ese plazo para formular una objeción motivada. En caso de objeción que las partes no consigan resolver, podrá resolver el servicio sin penalización y solicitar la devolución o la supresión de sus datos en las condiciones del artículo 11.

Lo que esta lista no incluye. El proveedor de pago Stripe (Stripe Payments Europe, Limited, Irlanda) no figura en ella, y no es una omisión: interviene únicamente en la suscripción del propio MSP — identidad de facturación, medio de pago, historial de pagos —, es decir, en datos respecto de los cuales Vigicap es responsable del tratamiento, fuera del perímetro de tratamiento que delimita el presente contrato. No se le transmite ningún dato de cliente pyme. Ese tratamiento se describe en la política de privacidad.

8. Ubicación de los tratamientos y transferencias

El alojamiento, la base de datos y el almacenamiento de archivos se sitúan en Francia. El envío de correos electrónicos se realiza dentro de la Unión Europea.

Vigicap no recurre a ningún servicio de inteligencia artificial: no se transmite ningún dato a un modelo externo. Las propuestas de la plataforma (niveles de madurez, plan de acción, políticas) se derivan de reglas deterministas y de plantillas de documentos y se someten a la validación de una persona: no se adopta ninguna decisión automatizada en el sentido del artículo 22 del RGPD.

Al margen de lo anterior: cuando el MSP conecta su PSA o su RMM y envía una acción como ticket, Vigicap transmite el nombre del cliente, el título, la recomendación, la prioridad y la fecha límite de la acción, así como el nombre de la persona a la que está asignada, a la instancia que el MSP ha configurado. La ubicación de esa instancia la elige el MSP, no Vigicap, y puede situarse fuera de la Unión Europea (varios proveedores de PSA son estadounidenses). Esa transferencia se rige por las instrucciones y los propios contratos del responsable del tratamiento; Vigicap es solo su ejecutor técnico y no la inicia nunca por iniciativa propia.

9. Asistencia en las solicitudes de los interesados (art. 28.3.e)

Al ser los interesados las personas de contacto de los clientes pymes del MSP, sus solicitudes de acceso, rectificación, supresión, limitación, oposición y portabilidad se dirigen al MSP, responsable del tratamiento. Vigicap le asiste con los siguientes medios:

• una exportación completa disponible de forma autónoma en la aplicación (Registro de auditoría → Exportación completa, JSON) que incluye todos los datos del MSP — cuentas, clientes y contactos, diagnósticos y respuestas, registro, planes de acción, riesgos, incidentes, presupuestos, expediente ISO 27001 y registro de auditoría. El perímetro exacto, las exclusiones y su motivación se detallan en la página reversibilidad;
• las funciones de modificación y de supresión de la aplicación, que permiten al MSP rectificar o borrar él mismo una ficha, una acción o un documento;
• en su defecto, asistencia previa solicitud escrita a contact@vigicap.fr, atendida en un plazo que permita al responsable del tratamiento responder en el plazo de un mes (art. 12.3 del RGPD).

Si un interesado se dirige directamente a Vigicap, su solicitud no se tramita en cuanto al fondo: se remite sin demora al responsable del tratamiento competente, que es quien responde.

10. Asistencia en materia de seguridad, violaciones y evaluaciones de impacto (art. 28.3.f)

Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, Vigicap ayuda al responsable del tratamiento a cumplir las obligaciones que le incumben en virtud de los artículos 32 a 36 del RGPD.

Notificación de las violaciones de la seguridad de los datos personales: Vigicap informa al responsable del tratamiento lo antes posible tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a sus datos, y se compromete a hacerlo en un plazo de 48 horas cuando sea materialmente posible, de modo que disponga de tiempo para informar a la autoridad de control dentro del plazo de 72 horas del artículo 33. La notificación indica, en la medida en que se conozcan: la naturaleza de la violación, las categorías y el número aproximado de datos y de personas afectados, las consecuencias probables y las medidas adoptadas o previstas. Los elementos que falten se completan a medida que se obtienen. Corresponde al responsable del tratamiento notificar a la CNIL y, en su caso, a los interesados.

Evaluación de impacto relativa a la protección de datos (EIPD) y consulta previa: Vigicap facilita, previa solicitud escrita, los elementos descriptivos necesarios (naturaleza de los tratamientos, flujos de datos, medidas de seguridad, subencargados, ubicaciones) para permitir al responsable del tratamiento realizar una evaluación de impacto en virtud del artículo 35 o una consulta previa en virtud del artículo 36. Vigicap no realiza la EIPD en su lugar.

11. Destino de los datos al término de la prestación (art. 28.3.g)

El responsable del tratamiento puede exportar sus datos en cualquier momento desde la aplicación, sin intervención de Vigicap: la reversibilidad no depende, por tanto, del fin del contrato.

Al término de la prestación, Vigicap procede, a elección del responsable del tratamiento, a la devolución de los datos o a su supresión, así como a la destrucción de las copias existentes. Las credenciales de los conectores se suprimen de inmediato al desconectar el conector correspondiente.

Dos límites merecen conocerse en lugar de descubrirse: hasta la fecha no hay ninguna depuración automática — los datos se conservan durante toda la relación contractual y su supresión es manual, previa solicitud escrita, sin que el servicio aplique un plazo de conservación automatizado; y la supresión de la cuenta todavía no puede hacerse por uno mismo en la aplicación, sino que pasa por contact@vigicap.fr. Vigicap tampoco se compromete a un plazo de sobrescritura de las eventuales copias de seguridad conservadas por el proveedor de alojamiento, sobre las que no tiene control; este punto podrá precisarse en el contrato bilateral mencionado en el artículo 14.

12. Demostración del cumplimiento y auditoría (art. 28.3.h)

Vigicap pone a disposición del responsable del tratamiento, previa solicitud escrita, la información necesaria para demostrar el cumplimiento de las obligaciones del presente contrato: descripción de los tratamientos y de los flujos de datos, medidas de seguridad efectivamente implantadas, lista actualizada de los subencargados y de sus ubicaciones, y la información correspondiente al artículo 30.2 del RGPD.

El responsable del tratamiento puede realizar una auditoría, o encargarla a un tercero independiente que designe, una vez al año y en caso de violación de la seguridad de los datos personales que afecte a sus datos. La auditoría se anuncia con un preaviso razonable (30 días), se realiza a cargo del responsable del tratamiento, en condiciones que no perturben el servicio y al amparo de un acuerdo de confidencialidad. No puede referirse a los datos de otros clientes de Vigicap.

Precisión: al no disponer Vigicap de ninguna certificación, no puede sustituir estos elementos por el informe de auditoría de un tercero. La respuesta adopta la forma de un cuestionario de seguridad cumplimentado y, en su caso, de una conversación técnica. Los informes de auditoría y las certificaciones de los subencargados son los que ellos mismos publican.

13. Registro y documentación

Vigicap se compromete a llevar y mantener actualizado el registro de las categorías de actividades de tratamiento efectuadas por cuenta de los responsables del tratamiento, previsto en el artículo 30.2 del RGPD, y a comunicarlo previa solicitud al responsable del tratamiento o a la autoridad de control.

14. Alcance del documento y contrato bilateral firmado

El presente documento constituye las condiciones estándar de encargo de tratamiento de Vigicap: se aplican de pleno derecho a todo MSP que utilice el servicio, sin firma, y forman parte integrante de las condiciones generales de uso.

Un contrato de encargo de tratamiento bilateral, firmado por ambas partes, que recoge estas cláusulas está disponible a simple solicitud en contact@vigicap.fr, para los responsables del tratamiento que deseen disponer de un instrumento firmado — en particular para su propia documentación de cumplimiento o para la cadena de encargos frente a sus clientes. Dicho contrato se firma en nombre de la persona jurídica una vez inscrita; mientras tanto, el compromiso lo asume personalmente el operador del servicio y se confirmará mediante la firma conjunta de la persona jurídica.

15. Modificaciones y contacto

Toda modificación sustancial de las presentes cláusulas — en particular de la lista de subencargados, de las ubicaciones de tratamiento o de las medidas de seguridad — se pone en conocimiento de los responsables del tratamiento por correo electrónico, en los plazos del artículo 7 cuando afecte a un subencargado.

Un punto de contacto único para cualquier solicitud relativa al presente contrato (ejercicio de derechos, auditoría, violación de la seguridad de los datos personales, contrato firmado): contact@vigicap.fr. El responsable del tratamiento conserva la facultad de presentar una reclamación ante la CNIL (cnil.fr).