Acuerdo de encargo del tratamiento (DPA)

• Responsable del tratamiento: el cliente, es decir, la organización que contrata Granel.
• Encargado del tratamiento: Thinktier OÜ, código de registro de Estonia 17249293, VAT EE102949399, Lõõtsa tn 5, 11415 Tallinn, Estonia.

Los datos que Thinktier trata como responsable —los de la cuenta de cada usuario, la facturación o el formulario de contacto— se rigen por la política de privacidad, no por este acuerdo.

• Objeto: los datos personales que el cliente introduce en el Servicio o le hace llegar por los canales de captura.
• Duración: la de la relación contractual, más el tiempo necesario para devolver o suprimir los datos según el apartado 10.
• Naturaleza: alojamiento, almacenamiento, consulta, cálculo, exportación y, cuando el cliente usa la captura, extracción asistida por IA del texto de los mensajes.
• Finalidad: exclusivamente prestar el Servicio al cliente.

• Interesados: los usuarios del cliente; las personas de contacto de sus contrapartes (clientes, proveedores, transitarios y otros), y los remitentes de los mensajes que el cliente reenvía para su captura.
• Datos: nombre, email, teléfono y nombre de usuario de mensajería; el texto íntegro de los mensajes capturados; los datos comerciales de las operaciones asociados a esas personas, los documentos que el cliente sube, y un extracto del catálogo del cliente (nombre, tipo y país de hasta 20 contrapartes; nombre, categoría y unidad de hasta 20 productos) que se envía con cada mensaje a la extracción por IA.
• Categorías especiales: el Servicio no está pensado para ellas y el cliente se compromete a no introducirlas.

Thinktier trata los datos únicamente siguiendo las instrucciones documentadas del cliente, que son estos términos y la configuración que el cliente hace del Servicio, también en lo que respecta a las transferencias internacionales, salvo que una norma de la Unión o de un Estado miembro le obligue a otra cosa; en ese caso informará al cliente antes de tratar los datos, salvo que esa norma lo prohíba. Si una instrucción le parece contraria al RGPD, lo comunicará al cliente de inmediato.

Las personas autorizadas por Thinktier para tratar los datos se han comprometido a respetar su confidencialidad o están sujetas a una obligación legal de confidencialidad.

Thinktier aplica las medidas técnicas y organizativas del artículo 32 del RGPD. Las que están implantadas hoy se describen en la página de seguridad, entre ellas:

• aislamiento de los datos de cada organización mediante políticas de seguridad a nivel de fila en la base de datos;
• segundo factor de autenticación (TOTP) que cada usuario puede activar y que, una vez activado, también exige la base de datos;
• claves de API guardadas solo como hash, con rol limitado, caducidad y revocación;
• registro de auditoría de solo inserción y límites de tasa en el acceso, la API y los webhooks.

El cliente otorga una autorización general para que Thinktier recurra a los subencargados que figuran en la política de privacidad. Thinktier informará al cliente de cualquier alta o sustitución antes de que se produzca, para que pueda oponerse, e impondrá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo. Thinktier sigue respondiendo ante el cliente del cumplimiento de sus subencargados.

Algunos subencargados tratan datos fuera del Espacio Económico Europeo; en particular, el texto que se envía a extracción asistida por IA se trata en Estados Unidos. Las transferencias y sus garantías se describen en la política de privacidad.

• Derechos de los interesados: Thinktier ayuda al cliente, con medidas técnicas y organizativas apropiadas, a responder a las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición. El cliente puede consultar y corregir sus datos desde el propio Servicio y exportar en CSV o Excel sus operaciones (deals y partidas de coste), contrapartes y productos; el resto (cobros, contratos, reclamaciones, comentarios y documentos emitidos) lo entrega Thinktier a petición escrita. Si un interesado se dirige directamente a Thinktier, se le remitirá al cliente.
• Violaciones de la seguridad: Thinktier notificará al cliente sin dilación indebida cualquier violación de la seguridad de los datos personales que trate por su cuenta, con la información de que disponga para que el cliente pueda cumplir los artículos 33 y 34 del RGPD.
• Evaluaciones de impacto y consultas previas: Thinktier facilitará la información a su alcance que el cliente necesite para ellas.

Al terminar la prestación del Servicio, y a elección del cliente, Thinktier devolverá los datos o los suprimirá, junto con las copias existentes, salvo que una norma exija conservarlos. Mientras la organización exista, el cliente puede exportar en CSV o Excel sus operaciones, contrapartes y productos desde el Servicio; el resto de sus datos se entrega a petición escrita. La supresión se solicita por escrito a privacy@granel.io.

Thinktier pondrá a disposición del cliente la información necesaria para demostrar el cumplimiento de este acuerdo y permitirá y contribuirá a las auditorías, incluidas las inspecciones, que realice el cliente o un auditor autorizado por él, en condiciones que las partes acordarán por escrito.

Para cualquier cuestión sobre este acuerdo, escríbenos a privacy@granel.io.