Anexo de Tratamiento de Datos, en lenguaje claro.

01Funciones y ámbito

Este Anexo de Tratamiento de Datos («Anexo» o «DPA») forma parte del acuerdo entre tú («Responsable») y Purple SaaS, LLC (DBA SureForm), 30 N Gould St Ste R, Sheridan, WY 82801, EE. UU. («Encargado», «nosotros») por tu uso del creador de formularios y los formularios alojados de SureForm (el «Servicio»).

Se aplica cuando tratamos datos personales por cuenta tuya conforme al Reglamento General de Protección de Datos (RGPD), al RGPD del Reino Unido, a la LPD suiza o a normas equivalentes. Existen dos relaciones distintas, y es importante saber cuál estás leyendo:

• Datos de respuesta: tú eres el responsable y nosotros el encargado. Las respuestas que la gente envía a través de tus formularios. Tú decides qué se recoge y para qué; nosotros solo los tratamos para prestarte el Servicio. Este Anexo regula esos datos.
• Datos de cuenta: nosotros somos el responsable. Tu nombre, correo electrónico, datos de facturación y uso del producto. Ese tratamiento se rige por nuestra Política de Privacidad, no por este Anexo.

No hace falta firma: este Anexo entra en vigor cuando aceptas los Términos del Servicio y permanece vigente mientras tratemos datos de respuesta por cuenta tuya.

02Tus instrucciones

Solo tratamos datos de respuesta siguiendo tus instrucciones documentadas. Tus instrucciones son: este Anexo, los Términos del Servicio y las decisiones que tomas en el producto —los campos que añades a un formulario, las integraciones que activas, la retención que configuras, las personas que invitas a tu espacio de trabajo—.

No vendemos los datos de respuesta, no los usamos para entrenar modelos, no los usamos para publicidad ni los usamos para fines propios en absoluto. Si en algún momento creemos que una instruccion tuya infringe la normativa de protección de datos aplicable, te lo comunicaremos sin demora y podremos suspender ese tratamiento en lugar de ejecutarlo.

Eres responsable de contar con una base legal para recoger lo que recogen tus formularios, de la información y el consentimiento que presentas a las personas que responden, y de no incluir en un formulario categorías de datos que tus propias obligaciones de cumplimiento no permitan.

03Confidencialidad y personal

Todas las personas que pueden acceder a datos de respuesta están sujetas a obligaciones escritas de confidencialidad que subsisten tras el fin de su relación con nosotros. El acceso se concede según el principio de mínimo privilegio y necesidad de conocer, está vinculado a una persona concreta y se revoca cuando deja de ser necesario.

No leemos las respuestas de tus formularios. El acceso del personal a datos de producción solo se produce cuando es estrictamente necesario —por ejemplo, para resolver una incidencia de soporte que hayas abierto o para investigar un incidente— y queda registrado.

04Medidas de seguridad

Implantamos y mantenemos medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, teniendo en cuenta el estado de la técnica, los costes de aplicación y el riesgo para los interesados. Las medidas vigentes se describen en el Anexo B.

Podemos actualizar esas medidas a medida que evoluciona la tecnología, siempre que no reduzcamos de forma sustancial el nivel general de protección.

05Subencargados

Nos concedes una autorización general por escrito para recurrir a subencargados que nos ayuden a prestar el Servicio. Nuestros subencargados actuales se publican en sureform.io/es/subprocessors.

• Todo subencargado está vinculado por un contrato escrito que le impone obligaciones de protección de datos no menos protectoras que las de este Anexo.
• Seguimos siendo plenamente responsables ante ti del cumplimiento de las obligaciones de cada subencargado.
• Avisamos con al menos 30 días de antelación antes de añadir o sustituir un subencargado. Suscríbete a los avisos en la página de subencargados para recibirlos.
• Si te opones razonablemente por motivos de protección de datos dentro de esos 30 días, escríbenos a [email protected]. Buscaremos contigo una alternativa razonable; si no existe, podrás resolver la parte afectada del Servicio y recibir el reembolso prorrateado de las cuotas pagadas y no consumidas.

06Solicitudes de los interesados

El Servicio te ofrece herramientas de autoservicio para buscar, exportar, corregir y suprimir respuestas concretas, lo que resolverá la mayoría de las solicitudes sin necesidad de contar con nosotros.

Si una persona que ha respondido nos contacta directamente sobre datos de tus formularios, no responderemos en tu nombre: la remitiremos a ti y te lo comunicaremos sin demora. Cuando no puedas resolver una solicitud con las herramientas integradas, te prestaremos asistencia razonable, teniendo en cuenta la naturaleza del tratamiento y la información de la que dispongamos.

07Notificación de brechas

Si tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a datos de respuesta que tratamos por cuenta tuya, te lo notificaremos sin dilación indebida y, en todo caso, en un plazo de 72 horas desde su confirmación, al contacto administrativo de tu cuenta.

La notificación describirá, en la medida en que lo sepamos en ese momento: la naturaleza de la violación, las categorías y el número aproximado de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Te mantendremos informado a medida que avance la investigación y te ayudaremos con tus propios deberes de notificación ante las autoridades de control y los interesados. No retrasaremos el aviso por el hecho de que nuestra investigación esté incompleta.

08Transferencias internacionales

Estamos establecidos en Estados Unidos, por lo que tratar datos de respuesta por cuenta tuya implica normalmente una transferencia fuera del EEE, el Reino Unido y Suiza.

• Para las transferencias desde el EEE nos basamos en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), Módulo Dos (responsable a encargado), que se incorporan a este Anexo por referencia y surten efecto automáticamente cuando resultan aplicables.
• Para el Reino Unido se aplica el Addendum de Transferencia Internacional de Datos del Reino Unido a dichas cláusulas.
• Para Suiza, las cláusulas se aplican con las adaptaciones exigidas por la LPD, siendo el Comisionado Federal Suizo de Protección de Datos y Transparencia la autoridad de control.

Cuando las cláusulas requieren una elección, se permite el acoplamiento («docking»), la ley aplicable y el fuero siguen los valores por defecto de las cláusulas para la jurisdicción exportadora, y los Anexos I y II de las cláusulas se completan con el Anexo A y el Anexo B de este documento. Realizamos evaluaciones de impacto de las transferencias cuando es necesario y te informaremos si dejamos de poder cumplir legalmente estos compromisos.

09Auditorías y asistencia

Si lo solicitas, pondremos a tu disposición la información razonablemente necesaria para demostrar nuestro cumplimiento del artículo 28 del RGPD —normalmente facilitando nuestra documentación de seguridad vigente y respondiendo a un cuestionario de seguridad—.

Si eso resulta realmente insuficiente para tu autoridad de control o para tus propias obligaciones de cumplimiento, podrás auditarnos (o designar a un auditor independiente que no sea competidor nuestro y que firme un acuerdo de confidencialidad) como máximo una vez cada 12 meses, con un preaviso escrito de al menos 30 días, en horario laboral y sin perturbar de forma irrazonable el Servicio. El coste de la auditoría corre a tu cargo, salvo que revele un incumplimiento sustancial de este Anexo. También te ayudaremos con las evaluaciones de impacto relativas a la protección de datos y las consultas previas conforme a los artículos 35 y 36 cuando tu uso del Servicio las haga necesarias.

10Devolución y supresión

Puedes exportar los datos de respuesta en cualquier momento mientras tu cuenta esté abierta. Cuando se cierra tu cuenta, dispones de 30 días para exportarlos antes de que los suprimamos de los sistemas activos; las copias de seguridad cifradas caducan según su ciclo documentado, y los datos que contienen siguen sujetos a este Anexo hasta entonces.

Suprimiremos antes si nos lo pides por escrito, salvo que la normativa aplicable nos obligue a conservar algo —en cuyo caso te diremos qué y por qué, y solo seguiremos tratándolo con esa finalidad—.

11Responsabilidad y prelación

La responsabilidad de cada parte en virtud de este Anexo está sujeta a las limitaciones y exclusiones de los Términos del Servicio, salvo cuando la normativa de protección de datos aplicable no lo permita.

Si este Anexo contradice los Términos del Servicio en materia de tratamiento de datos, prevalece este Anexo. Si este Anexo contradice las Cláusulas Contractuales Tipo, prevalecen las Cláusulas.

12Anexo A — Detalles del tratamiento

Este Anexo completa el Anexo I de las Cláusulas Contractuales Tipo.

• Exportador: tú, el cliente, en calidad de responsable de los datos de respuesta.
• Importador: Purple SaaS, LLC (DBA SureForm), en calidad de encargado.
• Objeto: prestación del creador de formularios y los formularios alojados de SureForm.
• Duración: la vigencia de tu suscripción, más el plazo de supresión de la sección 10.
• Naturaleza y finalidad: recoger, almacenar, organizar, transmitir, mostrar y suprimir respuestas de formularios para que puedas crear formularios, recibir envíos y analizar resultados.
• Categorías de interesados: las personas que envían tus formularios —determinadas íntegramente por ti—. Habitualmente clientes, empleados, candidatos, asistentes a eventos, participantes en encuestas o visitantes de sitios web.
• Categorías de datos personales: determinadas íntegramente por ti mediante los campos que creas. Con frecuencia nombre, correo electrónico, teléfono, dirección postal, respuestas de texto libre, archivos subidos y metadatos técnicos como la dirección IP, la marca temporal y el agente de usuario asociados a un envío.
• Categorías especiales de datos: no las solicitamos ni las requiere el Servicio. Puedes configurar formularios que las recojan (por ejemplo, datos de salud), en cuyo caso eres responsable de las garantías adicionales y de la base legal que exige el artículo 9.
• Frecuencia: continua, mientras tus formularios estén activos.
• Autoridad de control competente: la de tu establecimiento en el EEE, o la del Estado miembro donde esté establecido tu representante.

13Anexo B — Medidas de seguridad

Este Anexo completa el Anexo II de las Cláusulas Contractuales Tipo.

• Cifrado en tránsito: TLS 1.2 o superior en todas las conexiones, HSTS aplicado y solo conjuntos de cifrado modernos.
• Cifrado en reposo: datos de respuesta y copias de seguridad cifrados en reposo con AES-256 o equivalente.
• Control de acceso: acceso basado en roles y mínimo privilegio; cuentas individuales nominativas; autenticación multifactor obligatoria para el acceso administrativo; accesos revisados y revocados con prontitud al cambiar de función o causar baja.
• Aislamiento entre clientes: separación lógica de los datos de cada espacio de trabajo, aplicada en la capa de aplicación en cada solicitud.
• Seguridad de red: infraestructura protegida por cortafuegos, sin acceso público directo a las bases de datos, cabeceras HTTP de seguridad reforzadas y una política estricta de seguridad de contenidos en nuestras propiedades web.
• Seguridad de la aplicación: protección CSRF, validación de entradas y codificación de salidas, vigilancia de dependencias y revisión de seguridad de los cambios antes de su publicación.
• Registro y monitorización: eventos administrativos y de autenticación registrados, conservados y vigilados frente a anomalías.
• Copias de seguridad y resiliencia: copias automáticas cifradas con pruebas periódicas de restauración y objetivos de recuperación documentados.
• Gestión de vulnerabilidades: canal de divulgación en [email protected], corrección priorizada y parcheo ágil de dependencias e infraestructura.
• Personal: obligaciones escritas de confidencialidad y exigencias de concienciación en seguridad para todo el que tenga acceso a producción.
• Garantías sobre subencargados: diligencia debida previa a la contratación y traslado contractual de estas obligaciones.
• Supresión: rutinas de supresión documentadas al cerrar la cuenta y a solicitud, según la sección 10.

14Contacto y firma

Este Anexo ya está en vigor: no necesitas firmarlo. Si tu proceso de compras o de cumplimiento exige una copia firmada en papel, escribe a [email protected] indicando la denominación de tu entidad y su domicilio social y te la devolveremos firmada.

Consultas de privacidad: [email protected]. Avisos de seguridad: [email protected]. Notificaciones legales: Purple SaaS, LLC (DBA SureForm), Attn: Legal, 30 N Gould St Ste R, Sheridan, WY 82801, EE. UU.