1. Partes y alcance
Este acuerdo se celebra entre tú (el propietario del espacio de trabajo, denominado aquí el cliente) y A Plus Apps, inscrita en la Cámara de Comercio neerlandesa (KVK) con el número 42117052 y establecida en los Países Bajos, que opera el servicio PollsLive. Rige nuestro tratamiento de datos personales por cuenta tuya y prevalece sobre cualquier disposición en contrario de los Términos y Condiciones en esa materia. Nada de lo que contiene reduce ningún derecho que tengas en virtud del GDPR.
2. Quién es el responsable y quién el encargado
Respecto del contenido y las respuestas dentro de tu espacio de trabajo (las preguntas que escribes, los votos y las respuestas de texto abierto que envían tus participantes, los apodos que eligen y cualquier campo de captación de leads que actives), tú eres el responsable del tratamiento y nosotros somos el encargado del tratamiento. Tú decides qué preguntar, a quién preguntar y durante cuánto tiempo conservarlo. Este acuerdo cubre ese tratamiento.
Respecto de tu propia cuenta (tu nombre, correo electrónico, espacio de trabajo, estado de facturación e historial de soporte), nosotros somos el responsable del tratamiento, y la rige nuestra Política de Privacidad en lugar de este acuerdo. El reparto es el mismo que se establece en la sección 2 de esa política.
Cuando un centro educativo, un empleador u otra institución gestiona sesiones con PollsLive, esa institución es el responsable del tratamiento de la actividad del aula o del lugar de trabajo, y este acuerdo se aplica a ella.
3. Objeto, duración, naturaleza y finalidad
Objeto y finalidad. La prestación del servicio PollsLive: alojar encuestas, cuestionarios y sesiones en vivo, recopilar y contar las respuestas en tiempo real, presentar los resultados, y generar exportaciones y resúmenes a petición tuya.
Naturaleza del tratamiento. Recogida, registro, almacenamiento, estructuración, consulta, visualización, exportación y supresión, por medios automatizados. Cuando usas nuestras funciones de IA, incluye también la transmisión al encargado de IA indicado en nuestra página de Subencargados. Ten en cuenta que ejecutar un resumen de respuestas con IA envía las respuestas de texto abierto de tus participantes en esa encuesta.
Duración. Mientras exista tu espacio de trabajo y, después, solo durante el periodo descrito en la sección 10.
Categorías de interesados. Tus participantes y encuestados, los miembros que invitas a tu espacio de trabajo y cualquier persona identificada en el contenido que subas.
Tipos de datos personales. Las respuestas a tus preguntas, incluidas las respuestas de texto libre; los apodos o nombres visibles que introducen los participantes; cualquier campo de contacto o de captación de leads que decidas recopilar; los nombres y direcciones de correo electrónico de los miembros del espacio de trabajo; y los datos técnicos utilizados para impedir el doble voto, que son un valor seudónimo unidireccional y no una dirección almacenada. No te pedimos datos de categorías especiales conforme al artículo 9, y el servicio no está diseñado para contenerlos. Si tus preguntas los suscitan, sigues siendo el responsable del tratamiento en cuanto a esa decisión.
4. Tratamiento según instrucciones documentadas
Tratamos los datos personales únicamente siguiendo tus instrucciones documentadas, también en lo relativo a las transferencias internacionales. Tu uso del servicio (las encuestas que creas, los ajustes que eliges, las exportaciones que realizas) constituye esas instrucciones, junto con este acuerdo y los Términos. Si el Derecho de la UE o de un Estado miembro nos obliga a tratar los datos sobre otra base, te lo comunicaremos antes de hacerlo, salvo que ese Derecho prohíba la comunicación. Si consideramos que una instrucción infringe la normativa de protección de datos, te lo comunicaremos.
5. Confidencialidad
El acceso a los sistemas de producción se limita a las personas que lo necesitan para operar y dar soporte al servicio, y están sujetas a obligaciones de confidencialidad que subsisten tras el fin de su relación. No leemos el contenido de los espacios de trabajo salvo cuando sea necesario para prestar el soporte que hayas solicitado, para investigar una denuncia de abuso o cuando la ley lo exija.
6. Medidas de seguridad (artículo 32)
Las medidas técnicas y organizativas vigentes hoy. Se describen con más detalle en nuestra página de Seguridad; esta lista es a lo que nos comprometemos contractualmente, y podemos cambiar una medida concreta siempre que no se reduzca el nivel general de protección.
- Cifrado en tránsito. Todo el tráfico se sirve mediante TLS, terminado en nuestra CDN, con HTTP Strict Transport Security aplicado.
- Almacenamiento de credenciales. Las contraseñas se protegen mediante un almacenamiento unidireccional conforme a los estándares del sector. Nunca conservamos una copia recuperable.
- Minimización de datos para la prevención de abusos. Los identificadores técnicos utilizados para prevenir abusos se minimizan, se protegen y se conservan solo durante el tiempo necesario para la finalidad de seguridad correspondiente.
- Seguridad de la infraestructura. Los datos del servicio se alojan en la Unión Europea con controles de red y de acceso por capas.
- Control de acceso. El acceso a los espacios de trabajo se basa en roles, las acciones administrativas se auditan y el acceso a producción se limita al personal autorizado.
- Refuerzo de la aplicación. Utilizamos controles de seguridad del navegador, límites de solicitudes, prevención automatizada de abusos y una supervisión de la seguridad adecuada al servicio.
- Seguridad de las subidas. Las imágenes se vuelven a codificar al recibirlas, lo que elimina los metadatos incrustados y todo lo que no sean datos de imagen, y se rechazan los tipos de archivo no seguros.
- Resiliencia. Las copias de seguridad se realizan de forma programada, se guardan en otra ubicación y se prueba su restauración en lugar de darla por supuesta. Los límites de conservación se aplican mediante una tarea programada, no se quedan en una mera aspiración.
- Disponibilidad de tus datos para ti. Los propietarios de espacios de trabajo pueden exportar sus datos y eliminar su cuenta sin pedírnoslo, así que ninguna de las dos cosas depende de nuestro tiempo de respuesta.
- Parches y gestión de vulnerabilidades. Las actualizaciones de seguridad del sistema operativo se aplican automáticamente, y la configuración del servidor se audita con regularidad. Las dependencias de la aplicación se supervisan en busca de vulnerabilidades publicadas y se actualizan de forma continua.
- Datos almacenados. El acceso a los datos almacenados del servicio está restringido y las credenciales sensibles utilizan protección unidireccional.
7. Subencargados
Nos otorgas una autorización general para recurrir a subencargados. La lista actual, con la finalidad de cada uno, los datos que trata y dónde se encuentra, está publicada y se mantiene actualizada en Subencargados: esa página es el anexo de este acuerdo y no una copia de él, de modo que ambos no pueden divergir.
Cada subencargado está vinculado por un acuerdo escrito que le impone obligaciones de protección de datos no menos protectoras que las de este acuerdo, y respondemos ante ti de su cumplimiento como del nuestro propio, dentro de los límites de responsabilidad de la sección 20 de nuestros Términos y Condiciones. Cuando prevemos añadir o sustituir un subencargado, actualizamos esa página con el cambio y la fecha en que surte efecto al menos 30 días antes de que empiece a tratar tus datos, salvo que debamos actuar antes para mantener la seguridad o la disponibilidad del Servicio, en cuyo caso la actualizamos lo antes posible. Cualquier cliente puede pedir a través de nuestro formulario de contacto que se le informe directamente de dichos cambios, y puede oponerse por motivos razonables de protección de datos antes de que el cambio surta efecto. Si no podemos atender la objeción, puedes poner fin al servicio afectado y te reembolsamos las cuotas abonadas por anticipado correspondientes al periodo no utilizado.
8. Asistencia con los derechos de los interesados
Teniendo en cuenta la naturaleza del tratamiento, te asistimos mediante medidas técnicas y organizativas apropiadas para atender las solicitudes de tus participantes de acceso, rectificación, supresión, limitación, portabilidad u oposición al tratamiento de sus datos. En la práctica, la mayor parte es autoservicio: los propietarios de espacios de trabajo pueden ver, exportar y eliminar las respuestas directamente. Si un participante se pone en contacto con nosotros por una encuesta que gestionaste, le remitiremos a ti como responsable del tratamiento y te ayudaremos a atender la solicitud. Cuando una solicitud nos llegue y la ley nos obligue a actuar nosotros mismos, lo haremos.
9. Notificación de violaciones y evaluaciones
Mantenemos procedimientos para detectar, investigar y registrar las violaciones de la seguridad de los datos personales. Cuando una violación afecte a datos personales que tratamos por cuenta tuya, te lo notificaremos sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tengamos conocimiento de ella, con la información que necesitas para cumplir tu propia obligación del artículo 33: qué ha ocurrido, las categorías y el número aproximado de registros afectados, las consecuencias probables y las medidas adoptadas. Si aún no disponemos de toda esa información, te enviamos la que tenemos y la completamos posteriormente. Notificarlo a tu autoridad de control sigue siendo una decisión tuya como responsable del tratamiento.
Te asistimos, teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, en las evaluaciones de impacto relativas a la protección de datos y en la consulta previa conforme a los artículos 35 y 36.
10. Devolución y eliminación
En cualquier momento durante la prestación del servicio puedes exportar los datos de tu espacio de trabajo en un formato legible por máquina, de modo que la devolución no depende de la terminación.
Cuando eliminas tu cuenta o cierras tu espacio de trabajo, eliminamos los datos personales que tratamos por cuenta tuya, salvo cuando el Derecho de la UE o de un Estado miembro nos obligue a conservarlos: en particular, los registros de facturación, que están sujetos a una obligación de conservación neerlandesa y se indican en nuestra Política de Privacidad en lugar de eliminarse. Los eliminamos de nuestros sistemas en producción en un plazo de 30 días, y desaparecen de nuestras copias de seguridad a medida que estas se renuevan, en un plazo adicional de 35 días. Previa solicitud, confirmamos la eliminación por escrito.
11. Información y auditoría
Ponemos a tu disposición la información necesaria para demostrar el cumplimiento del artículo 28, y permitimos y contribuimos a la realización de auditorías, incluidas inspecciones, por parte tuya o de un auditor autorizado por ti.
En primer lugar, responderemos a un cuestionario de seguridad por escrito y facilitaremos una descripción por escrito de nuestros controles, de la residencia de los datos y de nuestras prácticas de revisión, lo que para la mayoría de los clientes resuelve la cuestión sin una visita in situ. Cuando eso realmente no sea suficiente, podrá realizarse una auditoría con un preaviso razonable, no más de una vez al año salvo que una violación o una autoridad de control exija otra cosa, en horario laboral, con sujeción a confidencialidad y de forma que no perturbe el servicio para otros clientes. Somos una empresa pequeña: no publicamos informes de auditoría detallados en internet, y lo decimos en lugar de dar a entender que tenemos una certificación que no tenemos.
12. Transferencias internacionales
Nuestra aplicación principal y nuestra base de datos están alojadas en la Unión Europea. Cuando un subencargado pueda tratar datos personales fuera del EEE, esa transferencia se realiza con una garantía adecuada conforme al artículo 46: en la práctica, las Cláusulas Contractuales Tipo de la Comisión Europea y, cuando proceda, el Marco de Privacidad de Datos UE-EE. UU. Las cláusulas del Módulo Dos (de responsable a encargado) se incorporan a este acuerdo por remisión para cualquier transferencia de este tipo, y los Anexos de este acuerdo se completan con las secciones 3, 6 y 7 anteriores.
13. Obtener una copia firmada
Este acuerdo ya está en vigor para tu espacio de trabajo; no es necesaria ninguna firma para que se aplique. Si tu equipo de compras o jurídico necesita un PDF firmado por ambas partes, o necesita formalizarlo en vuestro propio modelo de documento, escribe a support@pollslive.com o usa nuestro formulario de contacto y elige "Privacy / GDPR". Las preguntas sobre cualquier punto anterior se dirigen al mismo lugar.