Contrato de tratamiento de datos

Objeto y duración

Tratamos datos personales para prestar el servicio descrito en los términos, mientras tu cuenta esté abierta más el periodo de conservación indicado en la política de privacidad.

Categorías de datos e interesados

Normalmente:

• Tu equipo: nombres, correos, roles, actividad de acceso
• Lo que decidas mostrar: nombres en un calendario de sala, caras en una fotografía, cualquier cosa en una hoja que conectes
• Telemetría de tus pantallas emparejadas

Nuestras obligaciones

Tratamos datos personales solo según tus instrucciones documentadas; mantenemos a quien tenga acceso bajo deber de confidencialidad; aplicamos las medidas técnicas y organizativas de abajo; te ayudamos a responder a los interesados y a las autoridades; y borramos o devolvemos los datos personales al terminar el contrato.

Medidas técnicas y organizativas

En vigor hoy:

• TLS para todo el tráfico entre navegadores, reproductores y la API
• Contraseñas guardadas solo como hashes; tokens OAuth de terceros cifrados con AES-256-GCM
• Control de acceso por organización, para que un cliente no alcance datos de otro
• Límite de peticiones en los puntos de autenticación
• Acceso a producción limitado a administradores designados

Subencargados

La lista está en la política de privacidad. Avisaremos antes de añadir uno nuevo y podrás oponerte por motivos razonables de protección de datos.

Transferencias internacionales

Nuestros subencargados están nombrados en la política de privacidad y tratan datos en la Unión Europea y en Estados Unidos. Cuando se tratan datos personales fuera del Espacio Económico Europeo, la transferencia se apoya en las cláusulas contractuales tipo de la Comisión Europea o en una decisión de adecuación que cubra a ese proveedor, y en un contrato de encargo entre nosotros y él.

Notificación de brechas

Si tenemos constancia de una brecha de datos personales que afecte a tus datos, te avisaremos sin dilación indebida y en todo caso dentro de las 72 horas siguientes a conocerla, con lo que sepamos, lo que estemos haciendo y lo que quizá tengas que comunicar a una autoridad.

Solicitudes de los interesados

Si alguien de tu equipo nos escribe sobre datos que guardamos para ti, te trasladamos la solicitud en vez de contestarla nosotros: tú eres el responsable y la respuesta es tuya. El panel exporta y borra bajo tu propia autoridad, que suele ser más rápido que preguntarnos.

Auditorías y evidencias

Con un preaviso escrito razonable, y no más de una vez al año salvo que lo exija una autoridad, responderemos a un cuestionario de seguridad y facilitaremos la información necesaria para demostrar que se cumple este anexo. Cuando una auditoría implique entrar en las instalaciones de un subencargado, lo que podemos aportar son sus propias certificaciones e informes.

Devolución y borrado al final

Puedes exportar tus datos desde el panel en cualquier momento, incluso mientras una cuenta está en su plazo de 30 días. Cuando el contrato termina y ese plazo vence, los datos personales se anonimizan y el contenido de la organización se borra, salvo donde una ley nos obligue a conservar algo más tiempo, normalmente las facturas.

Qué documento prevalece

Cuando este anexo y los términos del servicio no coincidan sobre el tratamiento de datos personales, se aplica este anexo. Todo lo demás se rige por los términos.