Contrato de encargado del tratamiento

1. Partes y objeto

Este contrato se celebra entre el Cliente, como responsable del tratamiento, y [PENDIENTE: nombre del titular] (NIF [PENDIENTE: NIF], [PENDIENTE: domicilio]), que opera como NextAura, como encargado del tratamiento. Se incorpora a las Condiciones del servicio y regula el tratamiento de datos personales que el encargado realiza por cuenta del responsable al prestar el Servicio, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y a la Ley Orgánica 3/2018 (LOPDGDD). Prevalece sobre las Condiciones del servicio en materia de protección de datos.

2. Descripción del tratamiento (Anexo I)

• Naturaleza y finalidad: monitorización y protección de los equipos y de la red del responsable: inventario, métricas y estado en tiempo real, detección de vulnerabilidades y errores de configuración (con Wazuh), alertas y avisos, correcciones, scripts, bloqueo de contenido web, cortafuegos, descubrimiento de dispositivos de la red, acceso remoto, informes, integraciones que el responsable configure, análisis con inteligencia artificial sobre datos minimizados y, si el responsable lo activa, historial de actividad.
• Duración: la del contrato de servicio, más el plazo de devolución y supresión de este contrato.
• Datos de los equipos y de sus usuarios: identificador y nombre del equipo, fabricante y modelo, números de serie de los discos, sistema operativo, cuentas del sistema operativo (nombre de la cuenta, nombre completo, tipo, si es administradora y último inicio de sesión), direcciones IP privadas y pública (esta, la de la conexión del equipo con la plataforma), direcciones MAC, interfaces de red, software instalado y procesos, métricas de uso de recursos, estado de la protección, puertos abiertos, eventos del sistema y de seguridad, vulnerabilidades y resultados de configuración, y salida de los scripts ejecutados.
• Datos de la red: de los dispositivos que el agente descubre en la red local, su dirección privada, dirección MAC, fabricante, tipo probable, servicios y puertos, y el nombre que anuncian, también el de los teléfonos móviles (que suele incluir el nombre de su dueño); nunca el tráfico ni su contenido.
• Acceso remoto: quién abre cada sesión, en qué equipo, cuándo, con qué motivo, su duración, los permisos usados y el nombre y tamaño de los archivos transferidos (nunca su contenido ni el del portapapeles). La imagen de la pantalla se transmite cifrada de extremo a extremo entre el equipo y el visor y la plataforma no la guarda; si la política del responsable lo permite, el técnico puede grabarla en su navegador, lo que se indica a la persona del equipo.
• Historial de actividad, si se activa: aplicaciones en primer plano y su tiempo de uso, por cuenta del sistema operativo, y dominios resueltos por el filtro DNS del equipo; nunca direcciones completas, títulos, contenido, pulsaciones de teclado ni capturas de pantalla.
• Datos de las personas usuarias del panel del responsable: nombre, correo, rol y actividad en el panel.
• Categorías de interesados: personal, colaboradores, alumnado y otras personas usuarias de los equipos del responsable; personas usuarias del panel; titulares de los dispositivos de la red.
• Categorías especiales de datos: el Servicio no está diseñado para tratarlas y el responsable no debe introducirlas deliberadamente. El historial de actividad excluye por defecto los dominios y aplicaciones de banca, salud, sindicatos, religión, partidos políticos y gestores de contraseñas, y el responsable puede añadir exclusiones para toda la organización o por equipo.

3. Instrucciones del responsable

El encargado tratará los datos solo siguiendo las instrucciones documentadas del responsable, que son este contrato, las Condiciones del servicio y la configuración que el responsable haga en el panel y la API, incluidas las integraciones con servicios de terceros que el responsable active, que reciben los datos por su instrucción y bajo su responsabilidad. Si el encargado considera que una instrucción infringe la normativa de protección de datos, se lo comunicará de inmediato.

El responsable instruye también al encargado para obtener estadísticas agregadas y anónimas del funcionamiento del Servicio, que no permiten identificar al responsable ni a ninguna persona, con el fin de mantenerlo y mejorarlo. Los Datos del Cliente no se usan para entrenar modelos de inteligencia artificial.

4. Obligaciones del responsable

El responsable garantiza que tiene base jurídica para el tratamiento, que ha informado a las personas interesadas antes de tratar sus datos y que respeta los artículos 87 a 91 de la LOPDGDD y la normativa laboral. Cuando el tratamiento lo requiera, en particular para el historial de actividad, realizará la evaluación de impacto del artículo 35 del RGPD, para la que el encargado le facilitará a petición su propia evaluación del diseño de la función.

5. Confidencialidad y acceso del personal

El encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad, y que solo acceden a ellos cuando es necesario para prestar el Servicio.

El personal autorizado del encargado ve los datos técnicos básicos de los equipos (sistema, hardware, red y estado de la protección; de programas y cuentas, solo cuántos hay) para operar la plataforma. Para ver el detalle de una organización necesita un acceso temporal, de solo lectura, con motivo, auditado y con aviso al propietario. Puede enviar órdenes de mantenimiento a un equipo (reiniciar, actualizar o limpiar el disco) solo para resolver una incidencia, con motivo y auditadas. Solo se conecta a un equipo por acceso remoto si el responsable no lo ha desactivado y la persona que lo usa lo acepta en ese momento. Nunca accede al historial de actividad.

6. Medidas de seguridad (Anexo II)

El encargado aplica las medidas técnicas y organizativas del Anexo II, adecuadas al riesgo, teniendo en cuenta el estado de la técnica y los costes (artículo 32 del RGPD), y las revisará periódicamente. Podrá sustituirlas por otras que ofrezcan un nivel de protección igual o superior.

7. Subencargados

El responsable autoriza con carácter general la contratación de subencargados, cuya lista vigente figura en el Anexo III. El encargado informará al responsable de cualquier alta o sustitución con al menos treinta días de antelación; el responsable podrá oponerse por motivos razonables de protección de datos y, si no se resuelve, podrá resolver el contrato de servicio sin penalización.

El encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato y responderá ante el responsable de su cumplimiento.

8. Transferencias internacionales

El encargado no transferirá datos fuera del Espacio Económico Europeo salvo con garantías adecuadas conforme a los artículos 44 a 49 del RGPD. El responsable autoriza la transferencia al proveedor de inteligencia artificial del Anexo III, en Estados Unidos, solo de los datos minimizados que se describen en él, amparada en el Marco de Privacidad de Datos UE-EE. UU. cuando la entidad está adherida y, en todo caso, en las cláusulas contractuales tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), con cifrado en tránsito y minimización previa como medidas complementarias.

9. Ayuda al responsable

El encargado ayudará al responsable, con medidas técnicas y organizativas apropiadas, a atender los derechos de las personas interesadas (con las exportaciones y el borrado del panel y de la API) y a cumplir las obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa). Si recibe directamente una solicitud de una persona interesada, se la trasladará sin demora y no la responderá salvo instrucción del responsable.

10. Violaciones de seguridad

El encargado notificará al responsable, sin dilación indebida y a más tardar en cuarenta y ocho horas desde que tenga constancia, cualquier violación de la seguridad de los datos, con la información de que disponga: naturaleza, categorías y número aproximado de personas y registros afectados, consecuencias probables y medidas adoptadas o propuestas, para que el responsable pueda cumplir los artículos 33 y 34 del RGPD. Facilitará después la información que vaya conociendo.

11. Conservación, devolución y supresión

Durante el servicio, los datos se conservan según la retención de cada función y del plan: métricas, de 7 a 90 días; alertas cerradas o silenciadas y vulnerabilidades y errores de configuración resueltos, de 90 días a dos años desde su cierre según el plan (los que siguen abiertos se conservan mientras lo estén); eventos en bruto del motor de detección, 90 días; historial de actividad, como máximo 30 días en Business y 90 en Enterprise, y se borra al desactivarlo, al bajar a un plan que no lo incluye y al retirar el equipo; dispositivos de la red, 90 días sin verse, salvo los que el responsable marque como conocidos; informes PDF, 90 días; incidencias de soporte resueltas, doce meses; sesiones de las personas usuarias del panel, doce meses después de terminar; registros de sesiones remotas, doce meses desde que terminan; salida de los scripts y de las correcciones, 90 días, pasados los cuales se borra el texto y se conservan el resultado, el código de salida y las fechas. El inventario se sustituye en cada envío. La auditoría y los demás datos de los equipos retirados se conservan mientras exista la organización, salvo que el responsable los borre antes.

Al terminar el servicio, el responsable podrá exportar sus datos durante treinta días (el propietario, con la exportación completa de Ajustes). Transcurrido ese plazo, el encargado los suprimirá, junto con las cuentas que se queden sin organización, los ficheros en disco y los agentes del motor de detección, incluidas las copias de seguridad en su ciclo ordinario de rotación, salvo que una norma de la Unión o de España exija su conservación, en cuyo caso los mantendrá bloqueados y los tratará solo para ese fin; la auditoría de seguridad se conserva bloqueada hasta tres años. A petición, certificará la supresión.

12. Auditoría

El encargado pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de este contrato y permitirá auditorías, incluidas inspecciones, realizadas por el responsable o por un auditor designado por este, con preaviso de treinta días, una vez al año salvo violación de seguridad o requerimiento de una autoridad, sin comprometer la seguridad ni la confidencialidad de otros clientes y con gastos a cargo del responsable. Podrá cumplirse con informes o certificaciones de terceros independientes.

13. Responsabilidad, duración y ley

La responsabilidad de las partes se rige por el artículo 82 del RGPD y por las Condiciones del servicio. Este contrato dura mientras el encargado trate datos por cuenta del responsable y se rige por la legislación española, con sumisión a los tribunales previstos en las Condiciones del servicio.

14. Anexo II: medidas técnicas y organizativas

• Cifrado de las comunicaciones con TLS; autenticación mutua con certificados (mTLS) emitidos por una autoridad propia en la comunicación de los equipos con la plataforma; el acceso remoto va cifrado de extremo a extremo (WebRTC) entre el equipo y el visor.
• Autenticación: contraseñas almacenadas con scrypt; segundo factor (TOTP) con códigos de recuperación, que el responsable puede exigir a sus miembros y que es obligatorio para todo el personal del encargado; inicio de sesión único (OIDC) opcional; sesiones con cookies HttpOnly, cifradas y SameSite, revocables por el usuario; bloqueo temporal tras intentos de acceso fallidos.
• Separación estricta de tres sistemas de acceso (clientes, empleados y equipos), con entidades, secretos y rutas distintos; todos los datos de un cliente se filtran por su organización; el motor de detección (Wazuh) no está expuesto a Internet y solo lo consulta la API.
• Control de acceso por roles (clientes) y por permisos (empleados); el acceso de soporte del personal del encargado es temporal, de solo lectura, con motivo, caducidad y aviso al cliente; el acceso remoto del soporte exige la aceptación de quien usa el equipo y un sello de identidad firmado que el agente verifica.
• Auditoría de las acciones sensibles (cambios de ajustes, órdenes y correcciones, scripts, sesiones remotas, accesos de soporte, consultas del historial y exportaciones).
• El agente valida lo que recibe del servidor, guarda el estado anterior de los cambios para poder revertirlos y solo ejecuta scripts de la biblioteca con firma válida.
• Minimización: el historial de actividad solo guarda aplicaciones y dominios, con exclusiones; los datos enviados a modelos de inteligencia artificial se seudonimizan y minimizan, y el historial nunca se envía; el descubrimiento de red no registra tráfico ni contenido.
• Retención limitada y supresión automática según el plan y la función.
• Secretos de integraciones y de configuración guardados cifrados y de solo escritura; claves de API guardadas solo como huella; cabeceras de seguridad y política de seguridad de contenido en el panel.
• Desarrollo seguro: revisión de código, análisis de dependencias y licencias, imágenes firmadas y pruebas automáticas en la integración continua.
• Copias de seguridad diarias y cifradas, guardadas fuera del servidor principal en el Espacio Económico Europeo y con restauración probada periódicamente, y cifrado en reposo de los volúmenes con los datos, con el proveedor de alojamiento del Anexo III.

15. Anexo III: subencargados

El encargado utiliza los siguientes subencargados. La lista se actualizará antes de cualquier cambio, conforme al apartado de subencargados.

• Alojamiento e infraestructura (servidor privado virtual con la base de datos, las copias y el motor de detección): [PENDIENTE: proveedor, país del centro de datos (Espacio Económico Europeo)]. Trata todos los datos como soporte físico.
• Correo electrónico transaccional (avisos, alertas, facturas, resúmenes): [PENDIENTE: proveedor y ubicación]. Trata la dirección de correo de las personas usuarias del panel y el contenido de los correos.
• Pasarela de pago: Stripe Payments Europe Ltd. (Irlanda), con empresas de su grupo en Estados Unidos bajo el Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo. Solo datos de facturación y pago del Cliente; los datos de la tarjeta los trata la propia pasarela como responsable.
• Modelos de inteligencia artificial: Anthropic (modelos Claude, por su API comercial), en Estados Unidos, con las garantías del apartado de transferencias. Solo datos técnicos minimizados y seudonimizados, sin nombres de usuario, correos, direcciones completas, IP públicas ni direcciones MAC; nunca el historial de actividad. Las correcciones redactadas por IA solo reciben el CVE, el sistema operativo y el idioma. Sin uso para entrenar modelos.
• Detección de seguridad (Wazuh, software libre autoalojado por el encargado en el mismo alojamiento): sin subencargado adicional.