1. Introducción
El objetivo del presente Acuerdo de Protección de Datos (en adelante, «DPA») es regular el uso de los datos personales del cliente, que actúa como responsable del tratamiento (en adelante, el «Cliente»), por parte de Hublead, que actúa como encargado del tratamiento (en adelante, el «Encargado»), en el marco del Contrato (en adelante, el «Contrato»).
2. Compromisos
El Encargado se compromete y certifica que cumple todas las disposiciones de la normativa aplicable en materia de protección de datos, que incluye el Reglamento General de Protección de Datos (en adelante, el «RGPD»; Reglamento (UE) 2016/679, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos) y la Ley francesa de protección de datos (Ley n.º 78-17, de 6 de enero de 1978, relativa a la informática, los ficheros y las libertades). El Encargado declara ofrecer todas las garantías suficientes para cumplir los requisitos de la normativa aplicable en materia de protección de datos y, en particular, para garantizar la confidencialidad y la protección de los datos del Cliente.
3. Instrucciones
El Encargado declara y se compromete a utilizar los datos del Cliente únicamente conforme a las instrucciones documentadas descritas en el Contrato.
El Cliente se compromete a informar al Encargado de cualquier modificación de las instrucciones relativas al uso de sus datos personales. El Encargado debe notificar al Cliente, por escrito y sin demora, si las instrucciones documentadas de este constituyen una infracción de la normativa aplicable en materia de protección de datos.
4. Confidencialidad
El Encargado declara y certifica que todos sus empleados que tratan datos personales del Cliente están sujetos a una cláusula de confidencialidad o a cualquier otro acto jurídico que garantice la confidencialidad de los datos personales del Cliente. El Encargado se compromete a formar regularmente a sus colaboradores en la normativa aplicable en materia de protección de datos.
5. Seguridad
El Encargado certifica y se compromete a garantizar la seguridad de los datos personales del Cliente y a aplicar las medidas técnicas y organizativas indicadas en el Anexo 1 de este DPA y necesarias para prevenir cualquier riesgo de violación de datos.
6. Violación de datos
El Encargado se compromete a notificar al Cliente, sin demora y a más tardar tras haber tenido conocimiento de ella, cualquier violación de datos que pueda afectar a los datos personales del Cliente. La notificación debe incluir toda la información necesaria para que el Cliente gestione la violación de datos descrita en el artículo 28 del RGPD. En caso de violación de datos, el Encargado se compromete a adoptar todas las medidas necesarias para remediar sus efectos. Salvo consentimiento expreso, previo y por escrito del Cliente, el Encargado no está autorizado a notificar violaciones de datos a la autoridad de control ni a las personas afectadas por los tratamientos realizados en el marco del Contrato.
7. Ayuda y asistencia en materia de seguridad
El Encargado facilitará al Cliente toda la información necesaria y requerida sobre las medidas de seguridad técnicas y organizativas que deben aplicarse en el marco del Contrato para garantizar la seguridad de sus datos personales. Previa solicitud por escrito, el Encargado facilitará al Cliente toda la información necesaria y requerida para que pueda realizarse una evaluación de impacto relativa a la protección de datos («EIPD»). El Encargado no está obligado a garantizar ni supervisar la seguridad del Cliente ni a realizar una EIPD en nombre del Cliente. Cualquier solicitud adicional de información podrá ser rechazada y, en su caso, facturarse como servicio adicional.
8. Ayuda y asistencia en relación con los derechos de los interesados
Previa solicitud por escrito, el Encargado facilitará al Cliente toda la información necesaria y requerida para que el Cliente pueda cumplir su obligación de atender las solicitudes de los interesados. Previa solicitud por escrito del Cliente, el Encargado ejecutará las acciones técnicas necesarias para que el Cliente cumpla dicha obligación. No obstante, el Encargado no está obligado a gestionar las solicitudes de ejercicio de derechos en lugar y en nombre del Cliente. Cualquier solicitud adicional para asumir dicha gestión podrá ser rechazada y, en su caso, facturarse como servicio adicional.
9. Subencargado
El Cliente acepta que el Encargado pueda trabajar con los subencargados enumerados en el Anexo 2 de este DPA, únicamente para la ejecución del Contrato. El Encargado debe informar al Cliente por correo electrónico al menos dos meses antes de cualquier modificación de la lista de subencargados del Anexo 2, para que el Cliente pueda oponerse.
El Encargado se compromete a contratar únicamente subencargados que ofrezcan las garantías necesarias y suficientes para asegurar la seguridad y la confidencialidad de los datos personales del Cliente. El contrato entre el Encargado y el subencargado deberá contener obligaciones similares a las establecidas en el presente acuerdo. El Cliente podrá oponerse mediante carta certificada con acuse de recibo si (i) el subencargado es un competidor del Cliente, (ii) el Cliente y el subencargado se encuentran en una situación precontenciosa o contenciosa, y (iii) el subencargado ha sido sancionado por una autoridad de control de protección de datos en el año anterior a su contratación por el Encargado. Cada una de estas situaciones deberá acreditarse. Si el Encargado no se compromete a cambiar de subencargado en un plazo de tres meses desde la recepción de la oposición, el Cliente podrá resolver el Contrato con un preaviso de seis (6) meses y sin indemnización. En cualquier caso, el Encargado seguirá siendo responsable de las actuaciones del subencargado en el marco del Contrato.
10. Destino de los datos personales
El Cliente informará al Encargado, por escrito y a más tardar un mes antes de la finalización del Contrato, de su elección: (opción 1) devolver los datos personales al Encargado y después suprimir los datos personales y todas las copias existentes, o (opción 2) suprimir directamente los datos personales y todas las copias existentes, o (opción 3) transferir los datos personales a un nuevo proveedor y después suprimir los datos personales y todas las copias existentes. Salvo que el Contrato disponga otra cosa, la opción 3 estará sujeta a un presupuesto del Encargado. Si el Cliente no informa al Encargado de su elección en el plazo indicado, el Encargado se reserva el derecho de suprimir directamente los datos y todas sus copias (opción 2). El Encargado certificará por escrito al Cliente que los datos personales y todas sus copias han sido efectivamente suprimidos.
11. Auditorías
El Cliente tendrá derecho a realizar una vez al año una auditoría en forma de cuestionario escrito para verificar el cumplimiento de este acuerdo. El cuestionario tendrá el valor de una declaración jurada vinculante para el Encargado. El cuestionario podrá enviarse al Encargado en cualquier forma, y este se compromete a responderlo en un plazo máximo de dos meses desde su recepción. El Cliente también tendrá derecho a realizar, a su cargo, una auditoría presencial una vez al año, únicamente en caso de violación de datos o de incumplimiento de la normativa aplicable en materia de protección de datos y de este acuerdo, incluso cuando se haya constatado mediante el cuestionario escrito. La auditoría presencial podrá realizarla el Cliente o un tercero independiente designado por el Cliente, y deberá notificarse por escrito al Encargado con al menos treinta (30) días de antelación. El Encargado tendrá derecho a rechazar al tercero independiente elegido si este es i) un competidor o ii) se encuentra en situación precontenciosa o contenciosa con él. En ese caso, el Cliente se compromete a elegir un nuevo tercero independiente para realizar la auditoría. El Encargado podrá denegar el acceso a determinadas zonas por motivos de confidencialidad o seguridad. En ese caso, el Encargado realizará la auditoría de esas zonas a su cargo y comunicará los resultados al Cliente. Si durante la auditoría se detecta alguna discrepancia, el Encargado se compromete a aplicar sin demora las medidas necesarias para cumplir este acuerdo.
12. Transferencias de datos personales fuera de la Unión Europea
El Encargado certifica y se compromete a hacer todo lo necesario para no transferir los datos personales del Cliente fuera de la Unión Europea ni contratar subencargados ubicados fuera de la Unión Europea. No obstante, si dichas transferencias resultaran necesarias en el marco del Contrato, el Encargado certifica y declara que aplicará todos los mecanismos necesarios para regularlas, en particular normas corporativas vinculantes («BCR») o cláusulas tipo de protección de datos adoptadas por la Comisión Europea.
13. Cooperación con las autoridades de control
En relación con los tratamientos realizados en el marco del Contrato, el Encargado se compromete a facilitar, previa solicitud, toda la información necesaria para que el Cliente coopere con la autoridad de control competente.
14. Contacto
El Cliente y el Encargado designan cada uno un interlocutor responsable de este acuerdo y destinatario de las distintas notificaciones y comunicaciones previstas en el marco del Contrato. Si el Cliente y/o el Encargado han designado un Delegado de Protección de Datos («DPO»), el interlocutor será necesariamente el Delegado de Protección de Datos.
15. Nulidad
En caso de nulidad del Contrato, cualquiera que sea su causa, el Cliente deberá comunicar al Encargado por escrito, en el plazo de un mes desde la declaración de nulidad, su decisión sobre el destino de sus datos, de conformidad con el artículo 10 de este acuerdo.
16. Modificación
El Cliente se reserva el derecho de modificar este acuerdo en caso de cambios en la normativa aplicable en materia de protección de datos que afecten a alguna de sus disposiciones.
17. Legislación aplicable
No obstante cualquier disposición en contrario del Contrato, este acuerdo se rige por la legislación francesa. Cualquier controversia relativa a la ejecución de este acuerdo se someterá a la jurisdicción exclusiva de los tribunales del distrito del Tribunal de Apelación del domicilio del Cliente.
Anexo 1 – Medidas de seguridad
Hublead se toma la seguridad muy en serio. Nuestro equipo aplica buenas prácticas de seguridad en todos los niveles.
Prácticas de seguridad en nuestro equipo
Hublead no vende datos de clientes y nuestra política es respetar la privacidad de los datos de nuestros usuarios. Nuestro modelo de negocio se basa en suscripciones de pago a Hublead.
- Se utiliza la autenticación de dos factores en los servicios de terceros que usa Hublead
- Cada computadora que ejecuta herramientas de desarrollo de Hublead está protegida y actualizada
- Los empleados que pueden acceder a datos de clientes a través de nuestro sistema interno tienen distintos niveles de seguridad. Nos aseguramos de que solo accedan a los datos pertinentes (es decir, ningún mensaje de chat, ningún dato de cliente final).
- Las computadoras de los empleados de Hublead no almacenan datos de clientes
- No tenemos servidores ni claves de seguridad en nuestras oficinas. Así nos aseguramos de que Hublead y los datos de los usuarios no corran riesgo en caso de intrusión en nuestras oficinas.
Seguridad de la infraestructura y de los datos
Estas son algunas de nuestras prácticas en infraestructura y gestión de datos:
- Todos los servidores y servicios tienen las últimas actualizaciones de seguridad y se parchean de inmediato cuando se publica una vulnerabilidad del kernel
- Los servidores están ubicados en Francia
- Nuestras bases de datos se respaldan todos los días
- Nuestra red está protegida con firewalls
- Nuestro sistema cuenta con monitorización automatizada que nos permite detectar problemas antes de que afecten a nuestros clientes
- Autenticación en los servidores mediante claves SSH protegidas (no es posible la autenticación directa con contraseña)
- Las IP abusivas se bloquean o limitan automáticamente (evita ataques de fuerza bruta contra las cuentas)
- Todo el tráfico está cifrado (TLS)
- Nuestras bases de datos están cifradas en reposo
- Los tokens de CRM de nuestros usuarios tienen una capa adicional de cifrado
Anexo 2 – Proveedores
- GitHub: Control de versiones y uso compartido de código
- Google Workspace: Servicios de correo electrónico y Drive
- Google Cloud Platform: Alojamiento en la nube en la Unión Europea
- HubSpot: CRM
- Stripe: Proveedor de servicios de pago
- PostHog: Analítica de producto (EU Cloud)
Anexo 3 – Información general
Categorías de datos personales tratados
Estándar (nombre, URL de LinkedIn, email y teléfono públicos, cargo, información de la empresa, competencias, país, formación, nivel de experiencia)
Plazo de conservación
Menos de una hora; en la mayoría de los casos no se almacenan
Base jurídica
Ejecución del contrato celebrado con el Cliente
Finalidades
Transferencia de datos personales de LinkedIn a un CRM