Contracte d’encàrrec del tractament

Aquest contracte regula el tractament de dades personals que el Prestador fa per compte del Despatx en prestar-li el servei ImmigraFlow. Forma part dels Termes i condicions (secció 11), i les expressions amb majúscula inicial (Plataforma, Usuari, Client del Despatx, Dades del Despatx) tenen el significat que els donen els Termes.

1. Parts i forma del contracte

• Responsable del tractament: el Despatx que contracta la Plataforma, identificat amb les dades de la seva organització i de facturació al seu compte (d’ara endavant, el «Despatx»).
• Encarregat del tractament: Antonio Samuel Martín Polo, que opera amb el nom comercial Autonomio i la marca ImmigraFlow. NIF 50555557Q. Domicili: Calle de las Laderas 16B, 28490 Becerril de la Sierra, Madrid, España. Correu electrònic: hello@immigraflow.io (d’ara endavant, el «Prestador»).

El contracte se celebra per mitjans electrònics: el Despatx l’accepta en acceptar els Termes en registrar-se o contractar, i hi queda vinculat mentre els Termes estiguin en vigor. Aquesta forma electrònica compleix el requisit de forma escrita de l’article 28.9 del Reglament (UE) 2016/679 (RGPD).

2. Objecte de l’encàrrec

El Prestador tractarà per compte del Despatx les dades personals que el Despatx, els seus Usuaris o els Clients del Despatx introdueixin a la Plataforma, amb l’únic objectiu de prestar el servei descrit als Termes. Aquest contracte no cobreix les dades del compte del Despatx i dels seus Usuaris que el Prestador tracta com a responsable (facturació de la subscripció, comunicacions comercials, suport, analítica), que es regeixen per la Política de privadesa.

3. Durada

L’encàrrec dura el mateix que el contracte dels Termes i, quan aquest acaba, el que el Prestador conservi les dades conforme a la clàusula 15. Les obligacions de confidencialitat i seguretat es mantenen mentre el Prestador conservi alguna dada del Despatx.

4. Naturalesa i finalitat del tractament

Finalitat: la gestió dels expedients d’estrangeria del Despatx i de la seva relació amb els seus clients a través de la Plataforma.

Operacions de tractament, segons les funcions que faci servir el Despatx:

• Registre, allotjament, conservació, organització, consulta i còpia de seguretat de les dades i els documents.
• Lectura automàtica de documents amb intel·ligència artificial, resum d’expedients, consulta de normativa, esborranys d’escrits i traducció de missatges.
• Registre de les preguntes que els Usuaris i els Clients del Despatx formulen als assistents d’intel·ligència artificial (dubtes del portal del client, investigació jurídica del Despatx i suport), desades després de retirar de manera automàtica les dades identificatives (els noms que es detecten, els números de document, correus, telèfons i IBAN) durant un màxim de 180 dies, per compte del Despatx i amb la finalitat de millorar les respostes. Cada Despatx accedeix només a les seves preguntes; el Prestador pot analitzar el conjunt de tots els despatxos, però únicament sobre aquest text ja depurat i només per millorar el servei. Aquestes preguntes no s’utilitzen per entrenar models de tercers: els proveïdors d’intel·ligència artificial estan configurats sense retenció de dades.
• Comunicació amb els Clients del Despatx pel portal del client, per correu electrònic i, si el Despatx ho activa, per WhatsApp.
• Generació de formularis i documents, signatura electrònica de documents i emplenament de formularis de les seus electròniques amb l’extensió Mercurio.
• Emissió de factures, cobraments i, quan el Despatx l’activa, remissió dels registres de facturació a l’Agència Tributària (VeriFactu).
• Sincronització amb els serveis que el Despatx connecti (clàusula 10.3).
• Supressió i bloqueig de les dades conforme a aquest contracte.

5. Tipus de dades personals

El Despatx decideix quines dades introdueix. Per la naturalesa de la Plataforma, es poden tractar:

• Identificatives i de contacte: nom i cognoms, NIE, NIF, número de passaport, data i lloc de naixement, nacionalitat, sexe, estat civil, nom dels pares, domicili, telèfon i correu electrònic.
• Documents d’identitat i de viatge: còpies de passaports, targetes d’identitat d’estranger, visats i altres documents oficials.
• Situació administrativa i migratòria: tipus d’autorització, dates d’entrada i de residència, empadronament, expedients, requeriments i resolucions de l’Administració.
• Familiars: dades de cònjuges, fills (també menors d’edat) i altres familiars, i documents que acrediten el parentiu.
• Laborals i acadèmiques: contractes i ofertes d’ocupació, vida laboral, dades de l’empresa ocupadora i dels seus treballadors, títols i matrícules.
• Econòmiques: acreditació de mitjans econòmics, nòmines, extractes bancaris, factures i cobraments del Despatx als seus clients. No es tracten dades de targetes (clàusula 10).
• Comunicacions i signatures: missatges entre el Despatx i els seus clients i les evidències de la signatura electrònica de documents.
• Dades de condemnes i infraccions penals (article 10 del RGPD): certificats d’antecedents penals que exigeixen molts tràmits.
• Categories especials de dades (article 9 del RGPD): dades de salut dels certificats mèdics i les assegurances mèdiques que exigeixen alguns tràmits, i les que figurin en la documentació que el Despatx decideixi pujar, per exemple en expedients de protecció internacional (opinions polítiques, conviccions religioses, origen ètnic, orientació sexual o salut).
• Dels Usuaris del Despatx: nom, correu, rol i activitat a la Plataforma, i els certificats electrònics que el Despatx carregui per signar o presentar.

6. Categories de persones interessades

• Clients del Despatx i els seus representants.
• Familiars dels Clients del Despatx, inclosos menors d’edat.
• Empreses clientes del Despatx, les seves persones de contacte i els seus treballadors.
• Persones que emplenen els formularis de captació del Despatx.
• Signants de documents i altres persones que apareguin a la documentació (ocupadors, arrendadors, avalistes).
• Usuaris del Despatx (socis, advocats, personal i col·laboradors).

7. Obligacions del Despatx

Correspon al Despatx, com a responsable del tractament:

• Decidir quines dades es tracten i comptar amb una base jurídica per tractar-les, incloses les condicions dels articles 9 i 10 del RGPD per a les dades de salut i d’antecedents penals.
• Informar les persones interessades (articles 13 i 14 del RGPD), inclòs l’ús de les funcions d’IA, del canal de WhatsApp i dels serveis que connecti.
• Donar instruccions al Prestador. Les seves instruccions són aquests Termes, aquest contracte i la configuració que el Despatx faci a la Plataforma (funcions activades, integracions, accessos dels seus Usuaris i dels seus clients). Qualsevol altra instrucció s’ha de donar per escrit.
• Gestionar els accessos dels seus Usuaris i dels seus clients i custodiar-ne les credencials.
• Fer, quan escaigui, l’avaluació d’impacte i la consulta prèvia (articles 35 i 36 del RGPD).
• Atendre els drets de les persones interessades, amb l’assistència del Prestador (clàusula 12).

8. Obligacions del Prestador

El Prestador s’obliga a:

• Tractar les dades només seguint les instruccions documentades del Despatx, també pel que fa a transferències internacionals, tret que l’obligui a una altra cosa el dret de la Unió o d’Espanya; en aquest cas informarà el Despatx abans de tractar les dades, tret que aquest dret ho prohibeixi. Si considera que una instrucció infringeix la normativa de protecció de dades, ho comunicarà de seguida al Despatx.
• No tractar les dades per a finalitats pròpies, no utilitzar-les per entrenar models d’intel·ligència artificial i no comunicar-les a tercers, tret dels subencarregats de la clàusula 10 o per obligació legal.
• Garantir que les persones autoritzades per tractar les dades s’han compromès per escrit a respectar-ne la confidencialitat o estan subjectes a una obligació legal de confidencialitat. L’accés a les Dades del Despatx està limitat al que sigui necessari per prestar el servei, resoldre incidències o atendre una petició del Despatx.
• Aplicar les mesures de seguretat de la clàusula 9.
• Respectar les condicions de la clàusula 10 per recórrer a subencarregats.
• Assistir el Despatx en l’atenció dels drets de les persones interessades (clàusula 12) i en el compliment dels articles 32 a 36 del RGPD (clàusules 9, 13 i 14).
• Suprimir o retornar les dades en acabar el servei conforme a la clàusula 15.
• Posar a disposició del Despatx la informació necessària per demostrar el compliment d’aquest contracte i permetre auditories (clàusula 16).
• Portar el registre de les categories d’activitats de tractament efectuades per compte del Despatx (article 30.2 del RGPD).

9. Mesures de seguretat

El Prestador aplica mesures tècniques i organitzatives apropiades al risc, tenint en compte que la Plataforma tracta documentació d’identitat, dades de menors, dades de salut i antecedents penals. Les mesures vigents són:

• Xifratge en trànsit: totes les comunicacions amb la Plataforma van xifrades amb TLS (HTTPS obligatori, amb HSTS).
• Xifratge en repòs: la base de dades i els fitxers estan xifrats en repòs pel proveïdor d’allotjament. A més, la Plataforma xifra amb AES-256-GCM els certificats electrònics, les contrasenyes de les bústies de correu connectades i les claus dels terminals de pagament del Despatx.
• Aïllament entre despatxos: cada Despatx és una organització separada, i les polítiques de seguretat per files (RLS) de la base de dades, actives a totes les taules, impedeixen que un despatx accedeixi a les dades d’un altre.
• Control d’accés per rols: dins del Despatx, cada Usuari accedeix segons el seu rol i, als plans que ho inclouen, només als expedients que té assignats. Cada Client del Despatx accedeix només al que el Despatx li comparteix.
• Documents privats: els fitxers es desen en un emmagatzematge no públic i només es serveixen mitjançant enllaços signats de curta durada.
• Ubicació: la base de dades i els fitxers s’allotgen a la Unió Europea (París). Alguns serveis es presten des de fora (clàusules 10 i 11).
• Còpies de seguretat: còpies diàries de la base de dades al proveïdor d’allotjament, conservades 7 dies, i una còpia addicional de la base de dades i dels fitxers en un equip del Prestador a Espanya, en què cada còpia de la base de dades es conserva 30 dies. Els fitxers que deixen d’estar a l’emmagatzematge principal es retiren d’aquesta còpia als 30 dies.
• Registre d’errors sense dades identificatives: els errors tècnics es registren retirant abans els camps identificatius, i els enregistraments de sessió que acompanyen un error emmascaren el text i bloquegen les imatges.
• Registre de supressions: cada supressió de les dades d’una persona queda registrada per poder demostrar que es va atendre.
• Accés del Prestador: l’administració de la Plataforma està limitada a la persona del Prestador que n’és responsable.

El Prestador revisa aquestes mesures i les pot actualitzar, sense abaixar el nivell de protecció que ofereixen.

10. Subencarregats del tractament

10.1. Autorització general

El Despatx dona al Prestador una autorització general per escrit per recórrer als subencarregats de la llista següent. El Prestador imposa a cadascun, per contracte, les mateixes obligacions de protecció de dades que assumeix en aquest contracte, i en respon davant el Despatx del compliment.

Abans d’afegir o substituir un subencarregat, el Prestador ho comunicarà als administradors del Despatx per correu electrònic i actualitzarà aquesta pàgina amb almenys 30 dies d’antelació. El Despatx s’hi pot oposar en aquest termini per motius raonables de protecció de dades. Si no es troba una solució, el Despatx podrà resoldre el contracte abans que el canvi s’apliqui, i el Prestador li retornarà la part ja pagada del període que no gaudirà.

10.2. Llista de subencarregats

10.3. Serveis que el Despatx connecta o contracta directament

No són subencarregats del Prestador, perquè el Despatx els contracta o els connecta amb el seu propi compte i el seu tractament es regeix pel contracte del Despatx amb cadascun. La Plataforma els envia o en rep dades només quan el Despatx activa la integració:

• Google (Google Drive, Google Calendar i inici de sessió amb Google), amb el compte de Google del Despatx.
• Microsoft OneDrive, amb el compte de Microsoft 365 del Despatx, quan el Despatx tria desar-hi els documents dels seus expedients.
• Dropbox (Dropbox, Inc.), amb el compte de Dropbox del Despatx, quan el Despatx tria desar-hi els documents dels seus expedients. Rep els documents que el Despatx sincronitza i la carpeta de l’expedient, i la Plataforma conserva xifrades les credencials de connexió. Només s’activa si el Despatx el connecta.
• Microsoft 365 o un altre proveïdor de correu, quan el Despatx connecta la seva bústia perquè el correu dels seus clients arribi a l’expedient.
• WhatsApp (Meta): el canal de la secció 9 dels Termes fa servir el número i el compte de WhatsApp del Despatx, i els missatges circulen pels servidors de WhatsApp conforme a les condicions que el Despatx té amb WhatsApp.
• Stripe Connect i terminals de pagament bancaris (Redsys), amb el compte de cobrament del Despatx.
• Agència Tributària, que rep els registres de facturació que el Despatx remet (VeriFactu) per obligació legal del Despatx.

11. Transferències internacionals

El Prestador només transfereix dades fora de l’Espai Econòmic Europeu als subencarregats de la clàusula 10.2, en els termes que s’hi indiquen: sobre la base d’una decisió d’adequació de la Comissió Europea, com el Marc de privadesa de dades UE-EUA, o amb les garanties de l’article 46 del RGPD, com les clàusules contractuals tipus. El Despatx autoritza aquestes transferències en acceptar aquest contracte.

12. Drets de les persones interessades

• Els Clients del Despatx i la resta de persones interessades exerceixen els seus drets davant el Despatx. Si el Prestador rep directament una sol·licitud, la traslladarà al Despatx sense dilació i no la contestarà pel seu compte, tret d’instrucció del Despatx.
• Des de la Plataforma, el Despatx pot consultar, corregir i descarregar les dades dels seus clients i esborrar documents, que s’eliminen definitivament als 30 dies.
• Esborrar una fitxa de client o un expedient des del tauler l’arxiva i la retira de la vista, però no l’elimina definitivament. Per suprimir de manera definitiva les dades d’una persona, el Despatx ho demanarà a hello@immigraflow.io, i el Prestador ho farà en un termini màxim de 30 dies i ho deixarà registrat.
• El Prestador prestarà l’assistència addicional que el Despatx necessiti per atendre qualsevol altre dret en termini.

13. Violacions de la seguretat de les dades

El Prestador notificarà al Despatx, sense dilació indeguda i en tot cas en un termini màxim de 48 hores des que en tingui constància, qualsevol violació de la seguretat que afecti les Dades del Despatx. La notificació s’enviarà per correu electrònic als administradors del Despatx i inclourà, en la mesura que es conegui, la informació de l’article 33.3 del RGPD: naturalesa de la violació, categories i nombre aproximat de persones interessades i de registres afectats, conseqüències probables, mesures adoptades o proposades i un punt de contacte. Si no es pot facilitar tota la informació alhora, es donarà de manera gradual.

Correspon al Despatx notificar la violació a l’Agencia Española de Protección de Datos i, quan escaigui, a les persones interessades. El Prestador li prestarà l’assistència que necessiti per fer-ho.

14. Avaluacions d’impacte i consulta prèvia

El Prestador facilitarà al Despatx la informació sobre la Plataforma i les seves mesures de seguretat que necessiti per fer una avaluació d’impacte relativa a la protecció de dades i, si escau, la consulta prèvia a l’autoritat de control.

15. Destí de les dades en acabar el servei

• Només lectura: quan acaba la subscripció, el compte del Despatx passa a mode de només lectura. El Despatx i els seus Usuaris poden continuar entrant i descarregant els documents de cada expedient i l’exportació de factures. La Plataforma conserva les dades d’un compte en només lectura en aquest estat, amb les mateixes mesures de seguretat, durant 12 mesos des que va acabar la subscripció. Si el Despatx la reactiva abans, no se suprimeix res.
• Devolució: abans de la supressió, el Despatx pot descarregar les seves dades des de la Plataforma i, si ho demana, el Prestador li lliurarà a més una còpia de les dades de la seva organització en un format estructurat i d’ús comú.
• Supressió: passats aquests 12 mesos, la Plataforma suprimeix de manera automàtica les dades de l’organització del Despatx, tret del que queda bloquejat segons el punt següent. Abans, el Prestador avisa per correu electrònic el titular i els administradors del compte del Despatx amb almenys 30 dies d’antelació, indicant la data de la supressió, i sense aquest avís no l’executa. El Despatx pot demanar abans la supressió, en qualsevol moment, escrivint a hello@immigraflow.io. El Prestador l’executa en un termini màxim de 30 dies, inclosa la còpia externa dels fitxers, i la confirma per escrit. Les còpies diàries del proveïdor d’allotjament desapareixen en completar el seu cicle de 7 dies, i les de la base de dades de la còpia externa, en completar el seu de 30 dies.
• El que queda bloquejat: tret que el Despatx indiqui una altra cosa, les factures que el Despatx va emetre des de la Plataforma i els seus registres de facturació VeriFactu, que el Despatx està obligat a conservar per la normativa tributària i mercantil, queden bloquejats durant 6 anys des de l’emissió i se suprimeixen després. Mentre estan bloquejats, només es posen a disposició del Despatx, dels jutges i tribunals, del Ministeri Fiscal i de les administracions públiques competents (article 32 de la LOPDGDD). El mateix s’aplica a qualsevol altra dada que el Prestador hagi de conservar per una obligació legal pròpia, durant el termini que aquesta fixi.

Aquestes mateixes regles figuren a la secció 6 dels Termes.

16. Informació i auditories

El Prestador posarà a disposició del Despatx tota la informació necessària per demostrar el compliment d’aquest contracte i de l’article 28 del RGPD. El Despatx, o un auditor independent que designi i que es comprometi a guardar confidencialitat, podrà fer auditories i inspeccions. Tret que hi hagi hagut una violació de la seguretat o ho exigeixi una autoritat de control, se sol·licitaran amb almenys 30 dies d’antelació, no més d’una vegada l’any, es faran preferentment mitjançant revisió documental i a distància sense afectar la seguretat de les dades d’altres despatxos, i el cost l’assumirà el Despatx.

17. Responsabilitat

Cada part respon dels seus propis incompliments de la normativa de protecció de dades conforme a l’article 82 del RGPD. Si el Prestador tractés les dades per a finalitats pròpies o incomplint les instruccions del Despatx, serà considerat responsable d’aquest tractament (article 28.10 del RGPD). En les relacions entre les parts s’apliquen els límits de la secció 10 dels Termes, en la mesura que la llei ho permeti.

18. Prevalença, legislació i jurisdicció

En matèria de protecció de dades, aquest contracte preval sobre qualsevol altra disposició dels Termes. Es regeix pel RGPD, per la Llei orgànica 3/2018, de 5 de desembre, de protecció de dades personals i garantia dels drets digitals (LOPDGDD), i per la legislació espanyola. Per a qualsevol controvèrsia, les parts se sotmeten als jutjats i tribunals de Madrid (Espanya).

19. Contacte

Per a qualsevol qüestió sobre aquest contracte, sobre una violació de la seguretat o sobre l’exercici de drets: hello@immigraflow.io.