Este Acuerdo de Tratamiento de Datos ("DPA") complementa los Términos de Servicio entre el cliente ("Responsable del Tratamiento") y kaptto ("Encargado del Tratamiento"), de conformidad con el artículo 28 del RGPD.
1. Definiciones
A efectos de este DPA: (a) "Responsable" designa a la empresa cliente de kaptto; (b) "Encargado" designa a kaptto; (c) "Datos Personales" designa cualquier información relativa a una persona física identificada o identificable; (d) "RGPD" designa el Reglamento (UE) 2016/679. Los términos no definidos tienen el significado que les atribuye el RGPD.
2. Objeto
Este DPA regula el tratamiento de Datos Personales por kaptto en el marco de la prestación de los servicios de gestión de valoraciones y NPS contratados por el Responsable.
3. Naturaleza, Finalidad y Duración
Naturaleza: tratamiento informatizado de soporte a la gestión de feedback de clientes. Finalidad: las previstas en los Términos de Servicio. Duración: mientras esté vigente el contrato, más el período de retención previsto en la Política de Privacidad.
4. Categorías de Titulares y Tipos de Datos
Titulares: usuarios de la plataforma (personal del Responsable) y clientes finales que envían valoraciones. Tipos de datos: nombre, email, teléfono, contenido de valoraciones, metadatos técnicos (IP, navegador, timestamp). No se tratan categorías especiales de datos (salud, biometría, etc.) salvo si el cliente final voluntariamente las incluye en un comentario, en cuyo caso se tratarán con la misma confidencialidad.
5. Obligaciones de kaptto
kaptto se compromete a: (a) tratar los datos solo según instrucciones documentadas del Responsable; (b) garantizar la confidencialidad del personal autorizado; (c) implementar medidas técnicas y organizativas adecuadas (artículo 32 RGPD); (d) ayudar al Responsable a cumplir las obligaciones de los artículos 32 a 36; (e) eliminar o devolver los datos al final del contrato; (f) facilitar auditorías con previo aviso razonable.
6. Derechos y Obligaciones del Responsable
El Responsable: (a) garantiza la base legal para el tratamiento (consentimiento, contrato, etc.); (b) responde a las solicitudes de derechos de los titulares (con la asistencia del Encargado); (c) instruye al Encargado por escrito sobre el tratamiento; (d) es responsable de configurar correctamente las funcionalidades de la plataforma y los accesos de su equipo.
7. Sub-encargados
El Responsable autoriza la contratación de los sub-encargados listados en la sección 5.1 de la Política de Privacidad. La incorporación de nuevos sub-encargados se comunicará con 30 días de antelación, pudiendo el Responsable oponerse. En caso de oposición no resuelta, se negociará una solución alternativa o la rescisión sin penalización.
8. Transferencias Internacionales
Las transferencias fuera del Espacio Económico Europeo se realizan al amparo de las Cláusulas Contractuales Tipo (SCC) aprobadas por la Comisión Europea u otras garantías adecuadas previstas en el RGPD.
9. Medidas de Seguridad
kaptto implementa: (a) cifrado en reposo (AES-256) y en tránsito (TLS 1.2+); (b) control de acceso basado en roles (RBAC); (c) registro centralizado de actividad (audit log); (d) copias de seguridad regulares con retención mínima de 7 días; (e) pruebas de seguridad periódicas; (f) políticas internas de privacidad y formación del personal.
10. Notificación de Violación de Datos
kaptto notificará al Responsable sin demora indebida (y en todo caso en un plazo de 48 horas) tras tener conocimiento de una violación de Datos Personales que afecte a datos del Responsable, proporcionando la información necesaria para que el Responsable cumpla el artículo 33 RGPD.
11. Auditoría
El Responsable tiene derecho a auditar el cumplimiento de este DPA con previo aviso de 30 días, en horario comercial, como máximo una vez al año (excepto en caso de incidente confirmado). kaptto facilitará informes de cumplimiento actualizados (p. ej. SOC 2, ISO 27001 cuando proceda) que podrán sustituir las auditorías presenciales.
12. Disposiciones Finales
Este DPA prevalece sobre los Términos de Servicio en caso de conflicto relativo al tratamiento de Datos Personales. Contacto designado para cuestiones de privacidad: privacidade@kaptto.pt. Ley aplicable: legislación portuguesa. Foro: tribunales de Lisboa.