Acuerdo de encargo del tratamiento

Descripción del tratamiento

• Objeto: ejecutar las apps que publicas en Bunbird y guardar sus datos.
• Duración: mientras existan la app y tu organización, más los plazos de eliminación de «Eliminación» más abajo.
• Naturaleza y finalidad: guardar, recuperar, respaldar y entregar los datos de las apps a las personas a las que das acceso a la app, enviar las notificaciones que la app pide y mantener la app segura. Nada más.
• Tipos de datos: lo que introducen los usuarios de tu app y tu app guarda: registros, archivos, quién inició sesión y cuándo, notificaciones. Las categorías especiales de datos (artículo 9 del RGPD) y los datos de tarjetas de pago no están permitidos sin nuestro acuerdo previo por escrito.
• Interesados: los miembros e invitados a los que das acceso a la app, y las personas cuyos datos introducen.

Instrucciones

Tratamos los datos de las apps solo siguiendo tus instrucciones documentadas. Tus instrucciones son: la app tal como la publicaste (qué guarda, quién puede usarla, sus reglas de retención), estas condiciones, y lo que tú o tu asistente hacéis en la consola o a través de la API. Si creemos que una instrucción infringe el RGPD u otra norma de protección de datos, te lo decimos. No tratamos los datos de las apps para fines propios.

Quién puede usar cada app, y con qué rol, forma parte de tus instrucciones. Lo deciden tus propietarios y administradores, y mantenerlo al día, incluido sacar a las personas que ya no deban tener acceso, es tu responsabilidad como responsable del tratamiento. El acceso que diste, o que no quitaste, es tratamiento según tus instrucciones y no un incumplimiento de este acuerdo por nuestra parte. De un fallo de nuestras propias medidas de seguridad seguimos respondiendo nosotros, como describe «Violaciones de la seguridad de los datos» más abajo.

Confidencialidad

Solo las personas que operan Bunbird pueden acceder a los datos de las apps, solo cuando operar el servicio lo exige, y están obligadas a mantenerlos confidenciales. No leemos los datos de las apps para saber qué contienen.

Seguridad

Aplicamos las medidas descritas en la sección «Seguridad» de la Política de privacidad: cifrado en tránsito y en reposo, aislamiento entre organizaciones aplicado en cada petición, secretos en un almacén cifrado dedicado, sesiones firmadas, una política de seguridad de contenido para cada app, acceso de mínimo privilegio para las personas que operan el servicio, y análisis de dependencias e imágenes en nuestra cadena de compilación. Las instantáneas diarias del disco se conservan 14 días. Podemos cambiar las medidas siempre que el nivel de protección no baje.

Durante la vista previa no se mantiene un procedimiento de restauración y los datos pueden perderse, como dicen las Condiciones del servicio. Guarda tu propia copia de lo que no puedas permitirte perder.

Subencargados

Nos autorizas de forma general a usar los subencargados indicados en la Política de privacidad bajo «Quién más trata tus datos». Para los datos de las apps son Google Cloud (alojamiento en europe-west1) y Resend (notificaciones entregadas por correo). Te avisamos al menos 30 días antes de añadir o sustituir uno, por correo o en la consola; puedes oponerte escribiendo a support@bunbird.com, y si no podemos resolver la objeción puedes eliminar la app y poner fin a este acuerdo. Imponemos a cada subencargado obligaciones de protección de datos equivalentes a estas y seguimos respondiendo ante ti de su trabajo.

Ubicación y transferencias

Los datos de las apps se almacenan y se tratan en la UE (Google Cloud, europe-west1). No los transferimos fuera de la UE salvo en los casos que permite el capítulo V del RGPD, y te avisamos antes de cualquier transferencia de ese tipo. La Política de privacidad describe las regiones que tenemos previsto añadir; cuando llegue ese momento, tú elegirás dónde viven tus apps.

Asistencia

Te ayudamos a cumplir tus obligaciones como responsable. Si alguien ejerce sus derechos ante nosotros sobre datos de tu app, te remitimos la solicitud sin dilación indebida y no la respondemos nosotros salvo que nos lo pidas. Te damos la información sobre el tratamiento que necesites para las evaluaciones de impacto y para las consultas a una autoridad de control. Tus apps te permiten leer, corregir y eliminar los datos que contienen.

Violaciones de la seguridad de los datos

Si tenemos conocimiento de una violación de la seguridad que afecte a datos de las apps, te lo comunicamos sin dilación indebida, con lo que sepamos en ese momento: la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un contacto. Te vamos actualizando según sepamos más. Notificar a la autoridad de control y a las personas afectadas es decisión tuya como responsable; te damos la información que necesites para ello.

Eliminación

Cuando eliminas una app o tu organización, o cuando termina este acuerdo, eliminamos sus datos según el calendario de la Política de privacidad: una app o una organización eliminada se conserva, recuperable, durante el periodo que fije tu plan, y después se elimina de forma permanente, y las copias de seguridad caducan a los 14 días. Hasta entonces puedes leer los datos a través de la app. Después no conservamos nada, salvo lo que la ley nos obligue a conservar.

Cumplimiento y auditorías

A petición tuya te damos la información necesaria para demostrar que cumplimos estas obligaciones: este acuerdo, la Política de privacidad y la descripción de nuestras medidas de seguridad. Puedes auditar nuestro cumplimiento una vez al año, con 30 días de preaviso, mediante preguntas por escrito o, cuando no baste, una revisión realizada por ti o por un auditor independiente sujeto a confidencialidad, en horarios razonables y a tu cargo. Cooperamos con las autoridades de control en lo que exige la ley.

Incumplimiento y terminación

Si no podemos cumplir estas obligaciones, te lo decimos sin dilación indebida. Puedes entonces suspender el tratamiento o eliminar la app, y poner fin a este acuerdo. Este acuerdo termina cuando se eliminan tu última app y tu organización. La responsabilidad entre nosotros se rige por las Condiciones del servicio, incluida la sección para consumidores.

Contacto

César Arroba, David Martín Bragado, Pedro Miguel Díaz Peña y Pepe Fagoaga, que operan conjuntamente bajo el nombre comercial Bunbird. C/ Menorca 23, Bajo B, 28290 Las Rozas de Madrid, Madrid, España. Correo: support@bunbird.com.