Encargo de tratamiento de datos

1. Partes y objeto

El cliente que contrata SiteNorma actúa como responsable del tratamiento. Gassiot & Llobet (NIF J66534553) actúa como encargado del tratamiento y trata los datos solo para prestar el servicio contratado, siguiendo las instrucciones documentadas del cliente, que son estas condiciones y el uso que hace del servicio.

2. Duración

El encargo dura lo mismo que el contrato del servicio. Al terminar se aplica lo previsto en el apartado 8.

3. Naturaleza y finalidad del tratamiento

• Analizar páginas web públicas del cliente. Esas páginas pueden contener datos personales, como nombres, fotografías o datos de contacto publicados por el propio cliente, que quedan en capturas y fragmentos de código.
• Guardar los resultados, las evidencias y los documentos generados.
• Gestionar los usuarios que el cliente invita a su organización.
• Cuando exista el Centro de accesibilidad, recibir y gestionar los avisos que envíen las personas que visitan la web del cliente.

4. Tipos de datos e interesados

Datos tratados por cuenta del cliente

Interesados	Datos
Personas cuyos datos aparecen en las webs analizadas	Los que el cliente publica en su web: nombres, imágenes, datos de contacto.
Usuarios invitados por el cliente	Nombre, email, rol y registro de actividad.
Personas que envían un aviso de accesibilidad (futuro)	Contacto opcional y contenido del aviso.

5. Obligaciones del encargado

• Tratar los datos solo según las instrucciones del cliente y avisarle si una instrucción puede infringir la normativa.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
• Aplicar las medidas de seguridad del artículo 32 del RGPD: cifrado en tránsito y en reposo, control de accesos, registro de auditoría y copias de seguridad cifradas con restauración probada.
• Ayudar al cliente a responder a las solicitudes de ejercicio de derechos y a cumplir sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
• Notificar al cliente, sin dilación indebida, cualquier violación de la seguridad de los datos que conozca.
• Poner a disposición del cliente la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.

6. Obligaciones del cliente

• Analizar solo webs propias o sobre las que tenga autorización.
• Informar a las personas interesadas cuando corresponda, por ejemplo en el formulario del Centro de accesibilidad.
• Invitar solo a usuarios que necesiten acceder y revisar sus permisos.

7. Subencargados

El cliente autoriza de forma general la contratación de los subencargados necesarios para prestar el servicio. Avisaremos con antelación de cualquier cambio en la lista para que el cliente pueda oponerse. Cada subencargado asume por contrato las mismas obligaciones de protección de datos.

Lista provisional de subencargados (pendiente de confirmar)

Proveedor	Servicio	Ubicación de los datos
Hetzner Online GmbH	Servidores y almacenamiento	Alemania y Finlandia (UE)
Anthropic	Sugerencias con IA, solo con fragmentos de HTML público	[PENDIENTE DE CONFIRMAR]
Sentry	Registro de errores de la aplicación	Unión Europea
[PROVEEDOR DE EMAIL]	Envío de emails del servicio	Unión Europea
Stripe	Pagos y suscripciones	[PENDIENTE DE CONFIRMAR]

8. Fin del encargo

Al terminar el servicio, el cliente puede exportar sus datos. Después los suprimiremos, salvo que una ley nos obligue a conservar alguno, en cuyo caso lo mantendremos bloqueado el tiempo exigido. [PLAZOS PENDIENTES]

9. Transferencias internacionales

Si un subencargado trata datos fuera del Espacio Económico Europeo, lo hará con las garantías del capítulo V del RGPD, como las cláusulas contractuales tipo de la Comisión Europea.