Contrato de encargo del tratamiento

1. Las partes y la celebración del contrato

El presente contrato de encargo del tratamiento («las Cláusulas») se celebra entre

El responsable del tratamiento: la empresa u organización que ha creado una cuenta en GoalCube y ha aceptado las condiciones generales de GoalCube («el cliente»),

y

El encargado del tratamiento: Goalcube ApS, con número CVR (número de empresa danés) 44709805, Ahlmannsvej 19, st., 6400 Sønderborg, Danmark («GoalCube»).

Las Cláusulas forman parte de las condiciones generales de GoalCube y se celebran automáticamente cuando el cliente crea una cuenta o empieza a usar GoalCube. No se necesita firma. Las Cláusulas se basan en el modelo de contrato de encargo del tratamiento de la autoridad danesa de protección de datos, Datatilsynet (cláusulas contractuales tipo adoptadas en virtud del artículo 28, apartado 8, del Reglamento (UE) 2016/679, el «RGPD»). Cuando el modelo ofrece opciones, las opciones elegidas figuran en los anexos.

2. Preámbulo

1. Las Cláusulas establecen los derechos y obligaciones del encargado del tratamiento cuando trata datos personales por cuenta del responsable del tratamiento.
2. Las Cláusulas se han redactado para que las partes cumplan el artículo 28, apartado 3, del RGPD.
3. El tratamiento se realiza en el marco de la prestación de GoalCube (GoalCube AI Map, GoalCube Data Vault y GoalCube Human Decision) según las condiciones generales.
4. Las Cláusulas prevalecen sobre cualquier disposición similar de otros acuerdos entre las partes.
5. Las Cláusulas tienen cuatro anexos, que forman parte integrante de ellas:
   • El anexo A contiene información detallada sobre el tratamiento, incluidos su finalidad y naturaleza, el tipo de datos personales, las categorías de interesados y la duración.
   • El anexo B contiene las condiciones del responsable del tratamiento para que el encargado recurra a subencargados y una lista de los subencargados autorizados.
   • El anexo C contiene las instrucciones del responsable del tratamiento sobre el tratamiento, los requisitos mínimos de seguridad y la forma de supervisar al encargado y a los subencargados.
   • El anexo D contiene las disposiciones de las partes sobre otras cuestiones.
6. Ambas partes conservan las Cláusulas y sus anexos en formato electrónico en goalcube.eu.
7. Las Cláusulas no eximen al encargado del tratamiento de las obligaciones que le impongan el RGPD u otra legislación.

3. Derechos y obligaciones del responsable del tratamiento

1. El responsable del tratamiento es responsable de que el tratamiento de los datos personales se realice de acuerdo con el RGPD (véase el artículo 24), con las disposiciones de protección de datos de otras normas de la Unión o del Derecho nacional de los Estados miembros y con las Cláusulas.
2. El responsable del tratamiento tiene el derecho y la obligación de decidir los fines y los medios del tratamiento de los datos personales.
3. El responsable del tratamiento es responsable de que exista una base jurídica para el tratamiento que encarga al encargado del tratamiento, incluidos los datos que sube el cliente y el uso que hace el cliente de los servicios de IA.
4. El responsable del tratamiento elige el servicio de IA que conecta a GoalCube (por ejemplo ChatGPT, Claude, Microsoft 365 Copilot o Mistral) y contrata directamente con él. El servicio de IA no es subencargado de GoalCube, y el tratamiento que se realiza en él se rige por el contrato del propio cliente con el proveedor de IA.

4. El encargado del tratamiento actúa siguiendo instrucciones

1. El encargado del tratamiento solo puede tratar datos personales siguiendo instrucciones documentadas del responsable del tratamiento, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se le aplique. Las instrucciones se describen en los anexos A y C. El uso que hace el cliente de las funciones de GoalCube –por ejemplo, subir datos, elegir la protección de cada columna, las palabras secretas, las confirmaciones y las decisiones– también constituye una instrucción documentada.
2. El encargado del tratamiento informará inmediatamente al responsable del tratamiento si, en su opinión, una instrucción infringe el RGPD u otras disposiciones de protección de datos del Derecho de la Unión o de los Estados miembros.

5. Confidencialidad

1. El encargado del tratamiento solo puede dar acceso a los datos personales a personas bajo su autoridad que se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada, y solo en la medida necesaria. La lista de personas con acceso se revisa periódicamente y el acceso se retira cuando deja de ser necesario.
2. El encargado del tratamiento deberá poder demostrar, a petición del responsable del tratamiento, que dichas personas están sujetas a la obligación de confidencialidad mencionada.

6. Seguridad del tratamiento

1. El encargado del tratamiento aplica medidas técnicas y organizativas apropiadas de acuerdo con el artículo 32 del RGPD, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas físicas.
2. El encargado del tratamiento evalúa por sí mismo los riesgos y aplica medidas para hacerles frente. Las medidas se describen en el anexo C.2.
3. El encargado del tratamiento ayuda al responsable del tratamiento a cumplir su obligación en virtud del artículo 32 del RGPD, entre otras cosas facilitándole la información necesaria para su propia evaluación de riesgos.

7. Recurso a subencargados

1. El encargado del tratamiento debe cumplir las condiciones del artículo 28, apartados 2 y 4, del RGPD para recurrir a otro encargado (un subencargado).
2. El encargado del tratamiento cuenta con la autorización general del responsable del tratamiento para recurrir a subencargados. El encargado del tratamiento informará por escrito al responsable del tratamiento de cualquier cambio previsto relativo a la incorporación o sustitución de subencargados con una antelación mínima de 14 días. La información se envía por correo electrónico a la persona de contacto de la cuenta y se publica en goalcube.eu/da/databehandleraftale/ (versión danesa vinculante; también aquí: goalcube.eu/es/contrato-encargado-tratamiento/). El responsable del tratamiento puede oponerse dentro del plazo de preaviso. Si se opone y las partes no encuentran una solución, el responsable del tratamiento puede resolver el contrato con efecto antes de que el cambio entre en vigor. La lista de subencargados autorizados figura en el anexo B.
3. El encargado del tratamiento impone al subencargado, mediante un contrato, las mismas obligaciones de protección de datos que se establecen en las Cláusulas, en particular compromisos suficientes de aplicar medidas técnicas y organizativas apropiadas.
4. El encargado del tratamiento se asegura de que el contrato del subencargado permita al responsable del tratamiento, como tercero beneficiario, ejercer sus derechos frente al subencargado en caso de quiebra del encargado del tratamiento, en la medida en que las condiciones estándar del subencargado lo permitan.
5. Si el subencargado no cumple sus obligaciones de protección de datos, el encargado del tratamiento seguirá siendo plenamente responsable ante el responsable del tratamiento del cumplimiento de las obligaciones del subencargado, sin perjuicio de la limitación de responsabilidad del anexo D.

8. Transferencias a terceros países u organizaciones internacionales

1. El encargado del tratamiento solo puede transferir datos personales a terceros países (países fuera de la UE/EEE) u organizaciones internacionales siguiendo instrucciones documentadas del responsable del tratamiento y de acuerdo con el capítulo V del RGPD.
2. Las instrucciones sobre transferencias figuran en el anexo C.6. En el marco de las Cláusulas, el responsable del tratamiento no puede encargar otras transferencias al encargado del tratamiento.
3. Cuando el cliente conecta por su cuenta un servicio de IA a GoalCube y le pide que recupere datos, GoalCube solo entrega datos seudonimizados al servicio de IA, siguiendo las instrucciones del cliente. Cualquier transferencia a un tercer país que se produzca en el servicio de IA se rige por el contrato del propio cliente con el proveedor de IA, véase el punto 3.4.

9. Asistencia al responsable del tratamiento

1. Teniendo en cuenta la naturaleza del tratamiento, el encargado del tratamiento ayuda en la medida de lo posible al responsable del tratamiento, mediante medidas técnicas y organizativas apropiadas, a cumplir su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados establecidos en el capítulo III del RGPD (información, acceso, rectificación, supresión, limitación, portabilidad, oposición y decisiones individuales automatizadas). La asistencia se presta en primer lugar a través de las funciones de GoalCube, véase el anexo C.3.
2. Además, el encargado del tratamiento ayuda al responsable del tratamiento a:
   • notificar una violación de la seguridad de los datos personales a la autoridad de control sin dilación indebida y, de ser posible, a más tardar 72 horas después de que el responsable del tratamiento haya tenido constancia de ella, a menos que sea improbable que la violación constituya un riesgo para los derechos de las personas físicas,
   • comunicar la violación a los interesados cuando sea probable que entrañe un alto riesgo para sus derechos,
   • realizar evaluaciones de impacto relativas a la protección de datos (EIPD) y, en su caso, consultas previas a la autoridad de control.
3. La asistencia que vaya más allá de las funciones de GoalCube y de la información que GoalCube publica se factura según el anexo D.

10. Notificación de violaciones de la seguridad de los datos personales

1. El encargado del tratamiento notificará al responsable del tratamiento sin dilación indebida que se ha producido una violación de la seguridad de los datos personales en sus sistemas o en los de un subencargado, una vez que tenga constancia de ella.
2. La notificación se realiza, de ser posible, a más tardar 48 horas después de que el encargado del tratamiento haya tenido constancia de la violación, para que el responsable del tratamiento pueda cumplir su plazo de 72 horas.
3. La notificación incluye, en la medida en que se disponga de la información: una descripción de la naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y de registros de datos personales afectados, las consecuencias probables y las medidas adoptadas o propuestas. Si la información no puede facilitarse al mismo tiempo, se facilita de forma gradual sin dilación indebida.

11. Supresión y devolución de los datos

1. Al finalizar la prestación de los servicios de tratamiento de datos personales, el encargado del tratamiento está obligado a suprimir todos los datos personales tratados por cuenta del responsable del tratamiento y a confirmar al responsable del tratamiento que se han suprimido. La supresión se realiza a más tardar 30 días después de la finalización, véase el anexo C.4.
2. Antes de la finalización, el responsable del tratamiento puede consultar, descargar informes y guardar documentación de GoalCube (por ejemplo, el informe para la autoridad y el auditor) mientras la cuenta esté activa.
3. El encargado del tratamiento no puede conservar los datos personales durante más tiempo, salvo que lo exija el Derecho de la Unión o nacional.

12. Auditorías, incluidas las inspecciones

1. El encargado del tratamiento pone a disposición del responsable del tratamiento toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y de las Cláusulas, y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del responsable del tratamiento o de otro auditor autorizado por él.
2. Los procedimientos de supervisión del encargado del tratamiento y de los subencargados por parte del responsable del tratamiento figuran en los anexos C.7 y C.8.
3. El encargado del tratamiento da acceso a las autoridades de control que, según la legislación aplicable, tengan acceso a las instalaciones del responsable del tratamiento y del encargado del tratamiento, previa presentación de la debida identificación.

13. Acuerdo de las partes sobre otras cuestiones

1. Las partes pueden acordar otras disposiciones sobre el servicio, por ejemplo sobre responsabilidad, siempre que no contradigan directa o indirectamente las Cláusulas ni menoscaben los derechos fundamentales del interesado. Figuran en el anexo D y en las condiciones generales.

14. Entrada en vigor y terminación

1. Las Cláusulas entran en vigor cuando el cliente crea una cuenta o empieza a usar GoalCube.
2. Ambas partes pueden exigir que se renegocien las Cláusulas si cambios legislativos o deficiencias lo justifican. GoalCube puede modificar las Cláusulas con un preaviso mínimo de 14 días si el cambio no reduce la protección de los datos personales; en caso contrario, se requiere la aceptación del cliente.
3. Las Cláusulas se aplican mientras dure el servicio de tratamiento de datos personales y no pueden resolverse sin que termine al mismo tiempo el contrato principal (las condiciones generales).
4. Si cesa la prestación de los servicios y los datos personales se han suprimido según el punto 11, cualquiera de las partes puede resolver las Cláusulas.

15. Personas de contacto

1. Contacto del encargado del tratamiento: contact@goalcube.eu.
2. Contacto del responsable del tratamiento: la persona de contacto de la cuenta. El cliente mantiene actualizados los datos de contacto en GoalCube.

Anexo A – Información sobre el tratamiento

A.1. Finalidad del tratamiento de datos personales por parte del encargado por cuenta del responsable del tratamiento: Prestar GoalCube: un inventario del uso de la IA por parte del cliente con clasificación según el Reglamento de IA, una política de uso de IA y un curso de alfabetización en IA (AI Map); guardar los datos del cliente en la UE, entregarlos seudonimizados al servicio de IA que el cliente ha conectado y mostrar las respuestas con los valores reales en GoalCube (Data Vault); y permitir que una persona decida los casos sobre personas, con registro y sellos de tiempo (Human Decision).

A.2. El tratamiento de datos personales por parte del encargado por cuenta del responsable del tratamiento consiste principalmente en (naturaleza del tratamiento): Conservación, estructuración, seudonimización (sustitución de identificadores por códigos), generalización (por ejemplo, de la fecha de nacimiento a un grupo de edad), entrega de datos seudonimizados al servicio de IA del cliente siguiendo sus instrucciones, retraducción de los códigos a los valores reales en GoalCube, registro de acciones y decisiones, envío de correos electrónicos desde el sistema y supresión.

A.3. El tratamiento incluye los siguientes tipos de datos personales de los interesados: Los datos que el propio cliente sube o escribe en GoalCube, por ejemplo nombre, datos de contacto, números de identificación (incluidos los números CPR daneses), números de cliente y de cuenta, direcciones, datos sobre el empleo, CV, consultas de clientes, contratos y decisiones. Según los datos del cliente, puede incluir categorías especiales de datos personales (artículo 9 del RGPD) y datos relativos a condenas e infracciones penales (artículo 10 del RGPD). Además, datos sobre los usuarios del cliente: nombre, correo electrónico, rol, passkeys y acciones en el sistema.

A.4. El tratamiento incluye las siguientes categorías de interesados: Empleados, candidatos, clientes, socios y proveedores del cliente y sus personas de contacto, y otras personas a las que se refieran los datos del cliente, así como los usuarios de GoalCube del cliente.

A.5. El tratamiento de datos personales por parte del encargado por cuenta del responsable del tratamiento puede comenzar tras la entrada en vigor de las Cláusulas. El tratamiento tiene la siguiente duración: Mientras el cliente tenga una cuenta en GoalCube y hasta que los datos se hayan suprimido según el punto 11 y el anexo C.4.

Anexo B – Subencargados

B.1. Subencargados autorizados En el momento de la entrada en vigor de las Cláusulas, el responsable del tratamiento ha autorizado el recurso a los siguientes subencargados:

B.2. Preaviso para la autorización de subencargados El encargado del tratamiento comunica la incorporación o sustitución de subencargados con una antelación mínima de 14 días, véase el punto 7.2.

Servicios sin datos personales. El sistema usa además estos servicios, que no reciben datos personales y, por tanto, no son subencargados:

Anexo C – Instrucciones sobre el tratamiento de datos personales

C.1. Objeto del tratamiento/instrucciones El tratamiento por parte del encargado consiste en que GoalCube conserva los datos del cliente en la UE, los seudonimiza según las opciones que elige el cliente (por ejemplo, la protección de cada columna y las palabras secretas), los entrega seudonimizados al servicio de IA que el cliente ha conectado cuando el cliente o un usuario lo solicita, muestra las respuestas de la IA con los valores reales en GoalCube y registra confirmaciones y decisiones. GoalCube no usa los datos del cliente para otros fines, no los vende y no los usa para entrenar modelos de IA.

C.2. Seguridad del tratamiento El nivel de seguridad refleja que el tratamiento puede incluir categorías especiales de datos y datos sobre relaciones laborales. El encargado del tratamiento ha aplicado las siguientes medidas:

• Los datos se cifran en tránsito (HTTPS/TLS).
• Los datos de clientes se almacenan en la UE, en Clever Cloud. En producción, el sistema no arranca sin almacenamiento permanente en la UE.
• Los servicios de IA que conecta el cliente solo reciben seudónimos: nunca nombres, correos, números de identificación, de teléfono o de cuenta, direcciones ni las palabras secretas del cliente.
• Los archivos subidos no se guardan; solo el texto extraído que el cliente decide guardar como conjunto de datos.
• Las decisiones, confirmaciones y cambios se guardan en un registro de auditoría con sumas de verificación (cadena de hash) y sellos de tiempo independientes.
• Las palabras secretas nunca se guardan en el registro de auditoría.
• Las páginas no cargan archivos de terceros (por ejemplo, fuentes de Google) y el sistema no instala cookies de seguimiento.
• Los correos a GoalCube que debe responder una persona se leen y responden en GoalCube. El empleado solo recibe en su correo un aviso sin contenido.
• Las claves de acceso no se escriben en el registro del servidor.
• Solo el personal de GoalCube que lo necesita tiene acceso al sistema y a los datos, con deber de confidencialidad.

La comprobación automática de GoalCube verifica, en cada cambio del sistema, que el código respeta las medidas y las listas que figuran en este contrato.

C.3. Asistencia al responsable del tratamiento El encargado del tratamiento ayuda al responsable del tratamiento según los puntos 9.1 y 9.2 de la siguiente manera:

• El cliente puede consultar por sí mismo sus datos y los valores reales que hay detrás de cada seudónimo, suprimir conjuntos de datos subidos, eliminar palabras secretas y descargar en GoalCube el informe para la autoridad y el auditor.
• El registro de auditoría y el historial (por ejemplo, decisiones, informes y palabras secretas eliminadas) no pueden modificarse ni suprimirse entrada por entrada, porque deben poder demostrar lo que ha ocurrido. Se suprimen al terminar el contrato. Si algo debe suprimirse antes, por ejemplo tras una solicitud de un interesado, se hace de acuerdo con GoalCube.
• Las solicitudes que el cliente no pueda resolver por sí mismo en el sistema se envían a contact@goalcube.eu, y GoalCube responde sin dilación indebida.
• En caso de violación de la seguridad de los datos personales, GoalCube facilita la información mencionada en el punto 10.3.

C.4. Plazo de conservación/procedimiento de supresión

• Los datos del cliente se conservan hasta que el propio cliente los suprime o hasta que termina el contrato.
• Cuando el cliente suprime en GoalCube un conjunto de datos subido, el conjunto de datos se suprime de inmediato. Los informes elaborados a partir del conjunto de datos solo contienen seudónimos y se conservan como parte del historial hasta que termina el contrato.
• Los archivos subidos (por ejemplo, PDF y Word) no se guardan; solo el texto que el cliente decide guardar como conjunto de datos.
• El historial y el registro de auditoría se conservan mientras dure el contrato, véase C.3.
• Al terminar el contrato, todos los datos del cliente, incluido el registro de auditoría, se suprimen a más tardar 30 días después de la terminación, salvo que la legislación exija conservarlos. Las copias en las copias de seguridad del proveedor de alojamiento se suprimen cuando dichas copias caducan en el proveedor.
• Los correos electrónicos que el cliente o sus usuarios envían al soporte de GoalCube no están sujetos al plazo anterior. Se suprimen automáticamente 24 meses después de su recepción, o antes si el cliente lo solicita.

C.5. Lugar del tratamiento El tratamiento de los datos personales objeto de las Cláusulas no puede realizarse, sin la autorización previa por escrito del responsable del tratamiento, en lugares distintos de: Clever Cloud SAS, Región de París (zona «par» de Clever Cloud), Francia, así como en los subencargados del anexo B, en los lugares indicados allí.

C.6. Instrucciones sobre la transferencia de datos personales a terceros países El encargado del tratamiento no transfiere datos personales del cliente a terceros países, con esta única excepción: si el cliente o sus usuarios envían un correo electrónico a GoalCube, el correo puede contener datos personales. Antes de que el asistente de correo de GoalCube redacte un borrador de respuesta, GoalCube sustituye automáticamente en la UE los nombres, correos, números de teléfono, de identificación y de cuenta y los nombres de empresas por códigos. Los nombres en texto libre se detectan con listas de nombres y patrones, por lo que, excepcionalmente, un nombre poco común podría no detectarse. Solo el texto seudonimizado se envía a Anthropic, en EE. UU., sobre la base de las cláusulas contractuales tipo de la UE. Las consultas sobre cuestiones jurídicas, reclamaciones, pagos y derechos las responde una persona.

Las transferencias que se producen porque el propio cliente pide a su servicio de IA que recupere datos de GoalCube se realizan siguiendo las instrucciones del cliente y bajo el contrato del propio cliente con el proveedor de IA, véase el punto 8.3.

Si el responsable del tratamiento no da, en las Cláusulas o posteriormente, instrucciones documentadas sobre la transferencia de datos personales a un tercer país, el encargado del tratamiento no está autorizado a realizar dichas transferencias en el marco de las Cláusulas.

C.7. Procedimientos para las auditorías, incluidas las inspecciones, del responsable del tratamiento sobre el tratamiento de datos personales encargado al encargado del tratamiento A petición del responsable del tratamiento, y como máximo una vez al año, el encargado del tratamiento elabora un informe escrito sobre el cumplimiento de las Cláusulas (autocontrol). Además, el responsable del tratamiento puede, a su cargo, realizar o encargar a un auditor independiente una inspección si existe un motivo concreto, con un preaviso mínimo de 30 días y como máximo una vez al año. La inspección se organiza de forma que no dé acceso a datos de otros clientes. El tiempo dedicado por el encargado del tratamiento se factura según el anexo D.

C.8. Procedimientos para las auditorías, incluidas las inspecciones, sobre el tratamiento de datos personales encargado a subencargados Al menos una vez al año, el encargado del tratamiento revisa la documentación propia de los subencargados sobre la seguridad del tratamiento (por ejemplo, certificaciones, informes de auditoría, contratos de encargo del tratamiento y listas de subencargados) y evalúa si siguen cumpliendo sus obligaciones. El resultado se incluye en el informe del anexo C.7.

Anexo D – Regulación de otras cuestiones por las partes

1. Responsabilidad. La responsabilidad de las partes en virtud de las Cláusulas está sujeta a la limitación de responsabilidad de las condiciones generales, en la medida en que sea compatible con los artículos 82 y 83 del RGPD.
2. Pago por la asistencia. La asistencia que puede prestarse con las funciones de GoalCube y la notificación de violaciones son gratuitas. Cualquier otra asistencia según el punto 9 y las auditorías según el punto 12 se facturan por el tiempo dedicado a la tarifa por hora vigente de GoalCube, que se comunica de antemano.
3. Orden de prelación. En caso de contradicción, las Cláusulas prevalecen sobre las condiciones generales en lo relativo al tratamiento de datos personales.
4. Legislación aplicable y fuero: se rigen por las condiciones generales.

Ver también: Política de privacidad · Condiciones generales · Política de cookies