Contrato de encargo del tratamiento

Este contrato forma parte de las condiciones del servicio entre Blok Consulting BV, Boomlaarstraat 75B, 2500 Lier, Bélgica, número de empresa y de IVA BE 0767.642.063 («nosotros», el encargado del tratamiento) y la organización que usa BlokCms («usted», el responsable del tratamiento). Se aplica siempre que tratemos datos personales por cuenta suya, y entra en vigor cuando usted acepta las condiciones. Si necesita una copia firmada, escriba a privacy@blokcms.app.

1. Definiciones

Términos como datos personales, tratamiento, responsable del tratamiento, encargado del tratamiento, interesado y violación de la seguridad de los datos personales tienen el significado que les da el Reglamento General de Protección de Datos, Reglamento (UE) 2016/679 («RGPD»). «Sus datos» son los datos personales contenidos en lo que su organización almacena en BlokCms, incluidas las respuestas de sus formularios.

2. Roles e instrucciones

• Usted es el responsable del tratamiento de sus datos y nosotros los tratamos como su encargado del tratamiento, únicamente siguiendo sus instrucciones documentadas. Estas son las condiciones, este contrato y la forma en que usted configura y usa BlokCms: los formularios que crea y sus plazos de conservación, las personas a las que invita, y las integraciones y funciones de IA que activa.
• Le informamos si consideramos que una instrucción infringe la normativa de protección de datos.
• Usted se asegura de que puede recoger y usar sus datos, por ejemplo informando a los visitantes de su sitio web sobre sus formularios en su propio aviso de privacidad. BlokCms no está diseñado para categorías especiales de datos (como los datos de salud); si sus formularios los recogen, le corresponde a usted contar con la base jurídica para ello.

3. Qué tratamos

El objeto, la finalidad, los tipos de datos y los interesados se describen en el anexo 1.

4. Confidencialidad

Todas las personas a las que autorizamos a tratar sus datos están obligadas a mantener su confidencialidad.

5. Seguridad

Protegemos sus datos con las medidas técnicas y organizativas del anexo 2, y las mantenemos adecuadas al riesgo a medida que BlokCms evoluciona.

6. Subencargados del tratamiento

• Usted autoriza a los subencargados del anexo 3.
• Avisamos por correo electrónico a los administradores de su organización al menos 30 días antes de añadir o sustituir uno. Si usted se opone por motivos razonables de protección de datos y no podemos resolverlo, puede poner fin a las condiciones antes del cambio.
• Cada subencargado está sujeto a obligaciones de protección de datos como las de este contrato, y seguimos siendo responsables ante usted de su trabajo.

7. Dónde están sus datos

Sus datos se almacenan en la jurisdicción de la UE de Cloudflare. El contenido que usted publica para el público también se guarda en caché en la red de Cloudflare en todo el mundo, para que los sitios web carguen rápido. Las funciones de IA, que usted activa por espacio, pueden tratar contenido fuera de la UE. Cuando sus datos salen del Espacio Económico Europeo, los protegen las cláusulas contractuales tipo de la UE o el Marco de Privacidad de Datos UE-EE. UU.

8. Solicitudes de los interesados

BlokCms le permite responderlas directamente: puede encontrar y suprimir todo lo que una dirección de correo electrónico ha enviado a través de sus formularios, exportar el contenido de un espacio y eliminar contenido. Si un interesado se pone en contacto con nosotros en relación con sus datos, le trasladamos la solicitud a usted y no la respondemos nosotros. Le ayudamos en lo demás cuando razonablemente lo necesite.

9. Violaciones de la seguridad de los datos personales

Se lo notificamos sin dilación indebida y, a más tardar, en las 48 horas siguientes a tener conocimiento de una violación que afecte a sus datos. Incluimos lo que necesita para notificarla a las autoridades y a las personas afectadas (qué ha ocurrido, qué datos y cuántas personas, las consecuencias probables y lo que estamos haciendo al respecto), y le enviamos lo que aún no sabemos en cuanto lo sepamos.

10. Otra asistencia

Le ayudamos, en la medida razonablemente necesaria, con las evaluaciones de impacto relativas a la protección de datos y las consultas a una autoridad de control que afecten a BlokCms.

11. Supresión y devolución

• Puede exportar su contenido en cualquier momento.
• Cuando elimina un espacio o su organización, deja de estar en línea de inmediato y su contenido, archivos y copias de seguridad se borran en el plazo de un día. Las copias de recuperación que conserva nuestro proveedor de alojamiento caducan en los 30 días siguientes.
• Cuando finalicen las condiciones, exporte lo que quiera conservar y elimine su organización. Borramos lo que quede de la misma forma, salvo que la ley nos obligue a conservarlo.

12. Información y auditorías

Le facilitamos la información que necesita para demostrar que se cumple este contrato. Puede hacer que se audite su cumplimiento una vez al año, con un preaviso de 30 días y a su cargo, por parte de un auditor independiente sujeto a confidencialidad, de forma que no se dé acceso a datos de otros clientes. Siempre que sea posible, una auditoría se basa en los informes de nuestro proveedor de alojamiento, Cloudflare, que cuenta con ISO/IEC 27001 y SOC 2 Type II.

13. Duración, responsabilidad y prelación

Este contrato se aplica mientras tratemos sus datos. La responsabilidad está limitada como en las condiciones. En caso de conflicto entre este contrato y las condiciones en materia de protección de datos, prevalece este contrato. Se rige por el derecho belga, y los litigios se someten a los tribunales de Amberes, división de Malinas. Este contrato también existe en inglés, neerlandés, francés y alemán; si esta traducción y la versión en inglés difieren, prevalece la versión en inglés.

Anexo 1: Detalles del tratamiento

• Objeto y finalidad: alojar, editar, publicar y distribuir el contenido de sus sitios web; recibir las respuestas de sus formularios, almacenarlas y notificárselas; las funciones de IA que active.
• Duración: mientras se apliquen las condiciones y, después, hasta su supresión según el apartado 11.
• Naturaleza: almacenamiento, organización, consulta, distribución a través de nuestras API, notificaciones por correo electrónico, webhooks e integraciones que configure, y supresión.
• Interesados: visitantes que envían sus formularios; personas mencionadas o que aparecen en su contenido; los miembros de su equipo como autores de contenido y comentarios.
• Tipos de datos: lo que piden sus formularios (por ejemplo, nombres, direcciones de correo electrónico, números de teléfono, mensajes y archivos subidos), junto con la página y el idioma desde los que se envió el formulario, el agente de usuario del navegador y el texto de consentimiento que aceptó el visitante; las direcciones IP no se almacenan. Contenido sobre personas, como nombres, fotos y biografías. Comentarios y menciones.
• Conservación: respuestas de formularios, el tiempo que usted fije para cada formulario (un año, salvo que elija otro plazo); spam, 30 días; contenido, hasta que lo elimine; copias de seguridad, hasta 30 días.

Anexo 2: Medidas técnicas y organizativas

• Ubicación y separación: bases de datos y archivos en la jurisdicción de la UE de Cloudflare; cada espacio en su propia base de datos.
• Cifrado: TLS para todo el tráfico, cifrado en reposo para todos los datos almacenados.
• Control de acceso: roles por organización y espacio (administrador, editor, autor, lector y roles personalizados, limitados a carpetas o tipos de contenido); respuestas de formularios solo para las personas autorizadas a leerlas; tokens de acceso almacenados únicamente en forma de hash; tokens de vista previa separados de los públicos.
• Autenticación: inicio de sesión a través de un proveedor especializado (Clerk); tokens de sesión verificados en cada solicitud.
• Trazabilidad: un historial de cambios y de actividad por espacio; registros operativos sin direcciones de correo electrónico ni contenido, conservados hasta 30 días.
• Disponibilidad: copias de seguridad cada noche (se conservan las 14 últimas) y recuperación a un momento concreto durante 30 días; contenido publicado servido desde cachés en todo el mundo.
• Protección contra abusos: límites de solicitudes por persona, por token y por visitante de formulario; protección contra spam en los formularios (Cloudflare Turnstile, un campo trampa oculto y límites contra envíos masivos).
• Supresión: plazos de conservación por formulario, supresión por dirección de correo electrónico y supresión de los espacios y organizaciones eliminados según el apartado 11.
• Desarrollo y operaciones: los cambios se revisan y se prueban antes de desplegarlos; el acceso a producción está limitado a nuestros administradores.

Anexo 3: Subencargados del tratamiento

• Cloudflare, Inc. (Estados Unidos): alojamiento, bases de datos, almacenamiento de archivos, distribución de contenido, envío de correos electrónicos (notificaciones de formularios) y registros; Workers AI para las funciones de IA que active. Datos en reposo en la jurisdicción de la UE.
• Microsoft Ireland Operations Ltd (Microsoft 365): correo electrónico de soporte, solo para los datos personales que nos envíe en una solicitud de soporte.

Clerk, Inc. gestiona las cuentas y el inicio de sesión de BlokCms. Somos el responsable del tratamiento de esos datos de cuenta (consulte nuestra política de privacidad); Clerk no recibe sus datos.