Acuerdo de tratamiento de datos (DPA)

El presente DPA se celebra entre:

el Cliente, esto es, la empresa, profesional, entidad u organización que utiliza DutyTask y determina las finalidades y los medios esenciales del tratamiento de los Datos Personales introducidos en el Servicio, en lo sucesivo el «Cliente» o «titular del tratamiento»;

y

GR SOLUZIONI DI GIUSEPPE RICCIO Empresa individual NIF-IVA: 11121011214 REA: NA-1156478 Email: hello@dutytask.com

en lo sucesivo «DutyTask» o «encargado del tratamiento».

Los datos identificativos de la empresa constan en el Registro Mercantil de Nápoles.

DutyTask presta al Cliente un servicio SaaS para la gestión operativa de tareas empresariales, asignaciones, fechas de vencimiento, recurrencias, áreas operativas, archivos adjuntos, notificaciones de incidencias, avisos, informes e historial de las tareas.

En la medida en que dichas funciones impliquen el tratamiento de Datos Personales introducidos por el Cliente o por sus usuarios para finalidades determinadas por el Cliente, DutyTask actúa como encargado del tratamiento conforme al art. 28 GDPR.

El Cliente actúa como titular del tratamiento.

El presente DPA no cubre los tratamientos respecto de los cuales DutyTask actúa de forma autónoma como titular del tratamiento, por ejemplo la gestión de su relación comercial con el Cliente, la facturación, la seguridad de la plataforma, la prevención del fraude y las obligaciones fiscales o legales. Dichos tratamientos se describen en la Política de privacidad de DutyTask.

El presente DPA produce efectos durante toda la relación contractual entre DutyTask y el Cliente y, limitado a las obligaciones que por su naturaleza sobreviven a la extinción, hasta la supresión o devolución completa de los Datos Personales tratados por cuenta del Cliente.

La fase de conservación posterior a la baja prevista en el artículo 14 constituye, a los solos efectos del presente DPA, parte del ciclo de prestación del Servicio.

DutyTask trata los Datos Personales exclusivamente:

• para prestar DutyTask conforme a los Términos y condiciones;
• según las configuraciones y las operaciones efectuadas por el Cliente a través de la aplicación;
• según las demás instrucciones documentadas lícitamente impartidas por el Cliente;
• o cuando el tratamiento sea exigido por una norma de derecho aplicable.

Los Términos, el presente DPA, los ajustes utilizados por el Cliente en la plataforma y las eventuales comunicaciones escritas acordadas con DutyTask constituyen las instrucciones documentadas del Cliente.

Si DutyTask considera que una instrucción del Cliente infringe el GDPR u otra normativa aplicable en materia de protección de datos, informa al Cliente sin dilación indebida, salvo prohibición legal.

El Cliente garantiza que tiene derecho a tratar y a encomendar a DutyTask los Datos Personales introducidos en el Servicio.

El Cliente es responsable, en particular, de determinar las finalidades y las bases jurídicas del tratamiento; de la información que debe facilitarse a sus empleados, colaboradores y demás interesados; de la exactitud de los datos introducidos; de la atribución de roles y permisos a los usuarios; y de la licitud de los eventuales archivos adjuntos, fotografías, notas y demás contenidos cargados.

El Cliente se compromete a no utilizar DutyTask para tratar categorías especiales de datos personales o datos altamente sensibles cuando ello no sea necesario para sus finalidades operativas o cuando no concurran las condiciones jurídicas y las garantías exigidas por la normativa aplicable.

DutyTask garantiza que las personas autorizadas a tratar Datos Personales por su cuenta están sujetas a obligaciones adecuadas de confidencialidad y tienen acceso a los datos únicamente en la medida necesaria para el desempeño de sus funciones.

El acceso a los datos debe limitarse según el principio de necesidad de conocer y a los privilegios mínimos necesarios.

DutyTask adopta medidas técnicas y organizativas adecuadas al riesgo, destinadas a proteger los Datos Personales frente a la destrucción, pérdida, alteración, divulgación no autorizada o acceso ilícito.

Las principales medidas actualmente adoptadas se describen en el Anexo B.

DutyTask puede modificar o mejorar con el tiempo sus medidas técnicas y organizativas, siempre que el nivel global de seguridad no se reduzca de forma sustancial.

El funcionamiento actual del producto incluye, entre otros, el aislamiento de los datos entre organizaciones, archivos adjuntos privados y la separación de permisos entre titular/administrador y personal.

El Cliente otorga a DutyTask una autorización general para designar subencargados del tratamiento necesarios para prestar el Servicio.

DutyTask impone a sus subencargados obligaciones de protección de datos sustancialmente equivalentes, en la medida aplicable a la naturaleza del servicio prestado, a las previstas en el presente DPA.

DutyTask sigue siendo responsable frente al Cliente del cumplimiento de las obligaciones derivadas del presente DPA en relación con las actividades delegadas a sus subencargados, dentro de los límites de la normativa aplicable.

La lista actual de los principales subencargados figura en el Anexo C.

Nuevos subencargados

DutyTask informará al Cliente de las modificaciones sustanciales de la lista de subencargados, por correo electrónico, aviso en la aplicación o publicación en la página correspondiente del Servicio, con un preaviso razonable cuando sea posible.

El Cliente podrá formular una objeción motivada por razones documentadas relativas a la protección de los Datos Personales.

Las Partes colaborarán de buena fe para hallar una solución razonable. Si no es razonablemente posible resolver la objeción sin comprometer la prestación del Servicio, el Cliente podrá dejar de utilizar la función específica afectada o, cuando ello no sea posible, resolver el Servicio conforme a las condiciones contractuales aplicables.

Esta estructura es coherente con la práctica de los DPA de los principales proveedores utilizados por DutyTask: Vercel, por ejemplo, utiliza una autorización general de subencargados y obligaciones contractuales sustancialmente análogas; Stripe y Supabase incorporan a su vez un DPA en su contrato.

Teniendo en cuenta la naturaleza del tratamiento, DutyTask asiste al Cliente, en la medida razonablemente posible, en el cumplimiento de las obligaciones relativas al ejercicio de los derechos de los interesados.

Si DutyTask recibe directamente una solicitud relativa a Datos Personales tratados exclusivamente por cuenta del Cliente, DutyTask podrá dirigir al interesado al Cliente o transmitir la solicitud al Cliente, salvo otras obligaciones legales.

DutyTask no responde de forma autónoma por cuenta del Cliente a las solicitudes de los interesados, salvo instrucciones específicas u obligaciones legales.

DutyTask informa al Cliente sin dilación indebida tras tener conocimiento de una violación de Datos Personales tratados por cuenta del Cliente.

La comunicación contendrá, en la medida en que la información esté disponible:

• la naturaleza de la violación;
• las categorías de datos y de interesados implicados;
• las posibles consecuencias de la violación;
• las medidas adoptadas o propuestas para ponerle remedio o limitar sus efectos.

Si no toda la información está disponible de inmediato, podrá facilitarse de forma progresiva.

DutyTask colabora razonablemente con el Cliente para que este pueda cumplir sus obligaciones de notificación a la autoridad de control o a los interesados.

DutyTask, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, presta una asistencia razonable al Cliente en relación con:

• evaluaciones de impacto relativas a la protección de datos;
• consultas previas con las autoridades;
• medidas de seguridad;
• gestión de las violaciones de datos;
• otras obligaciones previstas en los artículos 32–36 GDPR.

La asistencia que implique una actividad extraordinaria y significativa respecto de la prestación ordinaria del Servicio podrá ser objeto de un acuerdo separado, en la medida permitida por la ley.

DutyTask pone a disposición del Cliente la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones previstas en el art. 28 GDPR.

El Cliente puede solicitar información o documentación pertinente relativa a las medidas adoptadas.

Si la información disponible no es suficiente, el Cliente puede solicitar una auditoría con un preaviso razonable.

Las auditorías deben realizarse de modo que no comprometan la seguridad, la confidencialidad, el funcionamiento del Servicio ni los datos pertenecientes a otros clientes.

Salvo situaciones excepcionales, sospechas fundadas de incumplimiento o solicitudes de la autoridad competente, no podrá solicitarse más de una auditoría en un período de doce meses.

Los eventuales costes extraordinarios y razonables soportados por DutyTask por auditorías solicitadas exclusivamente por el Cliente podrán repercutirse previo acuerdo.

La infraestructura primaria de base de datos de DutyTask está configurada en la región West EU (Ireland), AWS eu-west-1.

Algunos subencargados pueden, no obstante, tratar Datos Personales fuera del Espacio Económico Europeo.

DutyTask asegura que dichas transferencias se efectúan sobre la base de un mecanismo previsto por el GDPR, cuando sea necesario, incluidas las decisiones de adecuación, los Data Privacy Framework aplicables o las Cláusulas Contractuales Tipo de la Comisión Europea.

La Comisión Europea reconoce las SCC como uno de los instrumentos que pueden proporcionar garantías adecuadas en las transferencias a terceros países.

OpenAI, por ejemplo, prevé en su DPA el rol de encargado del tratamiento respecto de los Customer Data; para un cliente establecido en el EEE el DPA se celebra con OpenAI Ireland Ltd.

Al cese de la suscripción, DutyTask interrumpe el acceso operativo ordinario al Servicio.

Período de conservación para la reactivación

Salvo instrucción distinta del Cliente, este autoriza a DutyTask a conservar los Datos Personales de la organización durante un máximo de 6 meses desde el cese de la suscripción, exclusivamente para permitir una eventual reactivación de la cuenta y la recuperación del historial previamente existente.

Durante dicho período DutyTask no utiliza los Datos Personales para finalidades incompatibles con esa conservación.

Supresión anticipada

El Cliente puede, en cualquier momento durante el período de seis meses, impartir a DutyTask la instrucción de proceder a la supresión anticipada de los datos.

La solicitud puede enviarse a:

hello@dutytask.com

DutyTask puede efectuar comprobaciones razonables sobre la identidad y los poderes del solicitante.

Devolución de los datos

Antes de la supresión definitiva, el Cliente puede solicitar la devolución de los Datos Personales mediante una exportación razonablemente utilizable, teniendo en cuenta la naturaleza de los datos y las funciones técnicas del Servicio.

Supresión transcurridos 6 meses

Transcurridos 6 meses, si la cuenta no se reactiva y salvo instrucciones distintas u obligaciones legales, se suprimen los datos operativos.

La supresión abarca, según proceda:

• cuentas y perfiles de la organización;
• tareas y recurrencias;
• notas e historial;
• archivos adjuntos;
• áreas operativas;
• asociaciones entre usuarios y organización;
• otros datos tratados por cuenta del Cliente.

Las copias residuales en las copias de seguridad pueden permanecer hasta su sobrescritura según los ciclos técnicos ordinarios de copia de seguridad y recuperación ante desastres de los proveedores, permaneciendo protegidas y sin utilizarse para otras finalidades.

Esta obligación no cubre los datos que DutyTask deba conservar de forma autónoma como titular del tratamiento para cumplir obligaciones legales, contables o fiscales o para la tutela de sus propios derechos.

DutyTask utiliza OpenAI como subencargado para funciones específicas del Servicio.

Dictado

Cuando un responsable utiliza el dictado por voz, el audio se transmite para la transcripción e interpretación necesarias para preparar la tarea.

DutyTask no conserva el audio después del tratamiento.

Daily AI Brief

Para generar el Daily AI Brief se transmite a OpenAI información relativa a las tareas y a sus estados, en la medida necesaria para producir el resumen.

Indexación de documentos Clientes

Cuando el estudio marca como importante un fichero del módulo Clientes, DutyTask puede transmitir a OpenAI el documento (fichero PDF o imagen, y un extracto de texto cuando esté disponible) para generar un título, un resumen y palabras clave de búsqueda.

Los ficheros que quedan solo en el chat, y los mensajes de la conversación, no se envían a OpenAI. DutyTask no utiliza un asistente conversacional en el chat Clientes.

DutyTask utiliza los servicios OpenAI destinados a empresas y desarrolladores. El DPA vigente de OpenAI regula el tratamiento de los Customer Data en calidad de encargado del tratamiento, y OpenAI declara que los datos empresariales/API no se utilizan para entrenar los modelos de forma predeterminada.

El Cliente autoriza dicho tratamiento como parte de las funciones de IA que elige utilizar.

Cada Parte es responsable del cumplimiento de las obligaciones que le incumben en virtud del GDPR y de las demás normas aplicables.

La responsabilidad contractual entre DutyTask y el Cliente sigue sujeta a las limitaciones previstas en los Términos y condiciones, en la medida permitida por la ley.

Ninguna disposición del presente DPA limita los derechos de los interesados ni las responsabilidades que no pueden excluirse conforme al GDPR.

En caso de conflicto entre el presente DPA y los Términos y condiciones de DutyTask relativo al tratamiento de Datos Personales efectuado por DutyTask como encargado del tratamiento, prevalece el presente DPA.

Para cualquier otro aspecto siguen aplicándose los Términos y condiciones.

El presente DPA se rige por la ley italiana y por el GDPR.

Para las cuestiones contractuales no reguladas por el GDPR ni por disposiciones inderogables, se aplican las previsiones relativas a ley aplicable y fuero contenidas en los Términos y condiciones de DutyTask.

A.1 Objeto

Tratamiento de Datos Personales necesario para prestar el servicio SaaS DutyTask al Cliente.

A.2 Duración

Durante la vigencia de la suscripción y, tras el cese, durante el período máximo de conservación de 6 meses previsto para permitir la reactivación, salvo solicitud de supresión anticipada, reactivación de la cuenta u obligaciones legales aplicables.

A.3 Naturaleza de las operaciones

El tratamiento puede comprender:

• recogida;
• registro;
• organización;
• estructuración;
• conservación;
• consulta;
• visualización;
• actualización;
• transmisión;
• tratamiento;
• generación de notificaciones e informes;
• tratamiento mediante funciones de IA;
• exportación;
• limitación;
• supresión.

A.4 Finalidades

Prestar las funciones de DutyTask solicitadas por el Cliente, incluida la gestión de usuarios, tareas, asignaciones, recurrencias, áreas operativas, fechas de vencimiento, notificaciones de problemas, archivos adjuntos, avisos, informes, historial y funciones de IA.

A.5 Categorías de interesados

Pueden verse afectados por el tratamiento:

• empleados del Cliente;
• colaboradores;
• administradores;
• responsables de equipos, departamentos o sedes;
• el titular de la organización;
• otros usuarios invitados por el Cliente;
• eventuales personas cuyos datos hayan sido introducidos lícitamente por el Cliente en archivos adjuntos, notas o tareas.

A.6 Categorías de Datos Personales

Pueden tratarse:

• nombre y apellidos;
• dirección de correo electrónico;
• rol y pertenencia organizativa;
• área operativa;
• datos relativos a las tareas asignadas;
• fechas, vencimientos y horarios;
• estado de las tareas;
• información sobre problemas notificados y las soluciones correspondientes;
• notas;
• historial de las operaciones;
• archivos adjuntos y fotografías;
• datos relativos a personas involucradas y asignaciones;
• identificadores técnicos;
• datos relativos a las notificaciones;
• contenidos transmitidos a las funciones de inteligencia artificial.

Las tareas del producto y sus historiales están diseñados de modo que el personal no pueda reescribir arbitrariamente los eventos ya registrados.

A.7 Categorías especiales de datos

DutyTask no está diseñado específicamente para el tratamiento sistemático de categorías especiales de datos personales conforme al art. 9 GDPR.

El Cliente debe evitar la introducción de dichos datos salvo cuando sea estrictamente necesario y, si los trata, sigue siendo responsable de disponer de una base jurídica adecuada y de las demás garantías exigidas.

Las medidas actualmente implementadas o previstas por la arquitectura DutyTask comprenden:

DutyTask podrá añadir progresivamente otras medidas, incluidas funciones de autenticación reforzada, supervisión y controles de seguridad adicionales.

Supabase también publica en su DPA la lista de sus propios subencargados, incluido AWS para el alojamiento. Vercel publica y actualiza su lista de subencargados y prevé obligaciones contractuales sustancialmente análogas para los mismos. Stripe publica un DPA y las salvaguardias de transferencia aplicables. OpenAI publica a su vez la lista vigente de subencargados utilizados para API y servicios empresariales. Resend publica un DPA para el correo electrónico transaccional. Las notificaciones push utilizan el protocolo Web Push (VAPID) hacia el navegador del usuario y no constituyen un servicio de correo electrónico.