Acuerdo de tratamiento de datos

Esta página es una traducción de cortesía del texto jurídico en inglés. En caso de discrepancia entre las versiones, prevalece la versión en inglés.

El presente Acuerdo de tratamiento de datos (el «DPA») se celebra entre:

• Perspective Analytics SAS, una société par actions simplifiée inscrita en Francia con la referencia RCS Saint-Nazaire 988 270 757, con domicilio social en 2 rue du Général de Gaulle, 44290 Guémené-Penfao, France («nocert»); y
• el Cliente, identificado en su cuenta del Servicio.

Ambos constituyen las «Partes». El DPA forma parte integrante de las Condiciones de uso publicadas en nocert.io/es/legal/terms (las «Condiciones»). El Cliente lo acepta junto con las Condiciones mediante la casilla única de aceptación del formulario de creación de cuenta, de conformidad con el artículo 28 del Reglamento (UE) 2016/679 (el «RGPD»).

Este DPA regula el tratamiento de Datos personales que nocert realiza por cuenta del Cliente al prestar el Servicio. Complementa las Condiciones y prevalece sobre ellas en cualquier cuestión relativa a la protección de Datos personales.

Fecha de entrada en vigor: la fecha en que el Cliente acepta las Condiciones.

1. Definiciones

Los términos con mayúscula inicial no definidos en este DPA tienen el significado que les atribuyen las Condiciones. A efectos de este DPA:

• Normativa aplicable de protección de datos: el Reglamento General de Protección de Datos (Reglamento (UE) 2016/679, «RGPD»), la Loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés francesa, en su versión modificada (la «Loi Informatique et Libertés»), y cualquier otra norma de protección de datos de la Unión Europea o de sus Estados miembros aplicable a una Parte.
• Datos personales del Cliente: los Datos personales incluidos en los Datos del Cliente, según se definen en las Condiciones, que nocert trata por cuenta del Cliente al prestar el Servicio.
• Datos personales, Tratamiento, Responsable del tratamiento, Encargado del tratamiento, Interesado, Violación de la seguridad de los datos personales, Categorías especiales de datos personales y Autoridad de control: tienen el significado atribuido en el artículo 4 del RGPD.
• Subencargado del tratamiento: un tercero contratado por nocert para tratar Datos personales del Cliente por su cuenta, incluido en el Anexo III.
• CCT de la UE: las cláusulas contractuales tipo para la transferencia de datos personales a terceros países con arreglo al RGPD, adoptadas mediante la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021.
• Adenda del Reino Unido: la adenda sobre transferencias internacionales de datos a las CCT de la UE emitida por la Information Commissioner's Office del Reino Unido en virtud de la sección 119A de la Data Protection Act 2018.
• DPF: el Marco de Privacidad de Datos UE-EE. UU., establecido mediante la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023.
• TIA: evaluación de impacto de la transferencia, conforme a las Recomendaciones 01/2020 del CEPD.
• Medidas técnicas y organizativas o TOM: las medidas contempladas en el artículo 32 del RGPD y descritas en el Anexo II.

2. Objeto, alcance, duración y relación con las Condiciones

Objeto y naturaleza del tratamiento. nocert trata Datos personales del Cliente por cuenta de este con el único fin de prestar el Servicio: detección, supervisión y alertas de certificados TLS; puntuaciones de cumplimiento; generación de hallazgos y exportaciones de evidencias; autenticación de usuarios; registros de auditoría; y funcionamiento del agente Sentinel en las instalaciones del Cliente, descrito en el Anexo IV.

Las categorías de Datos personales, las categorías de Interesados y la duración se detallan en el Anexo I.

Duración. Este DPA entra en vigor en su Fecha de entrada en vigor y seguirá vigente mientras nocert trate Datos personales del Cliente por cuenta de este, incluidos, cuando proceda, los períodos de acceso de solo lectura o de conservación de copias de seguridad posteriores a la terminación definidos en las Condiciones.

Relación con las Condiciones. Este DPA forma parte integrante de la relación contractual establecida por las Condiciones. En caso de conflicto sobre una cuestión relativa a Datos personales:

1. las CCT de la UE prevalecen sobre este DPA;
2. este DPA prevalece sobre las Condiciones;
3. las Condiciones prevalecen sobre cualquier otra documentación.

3. Funciones de las Partes

El Cliente como Responsable del tratamiento. El Cliente determina los fines y los medios esenciales del tratamiento de Datos personales del Cliente realizado mediante el Servicio. Actúa como Responsable del tratamiento en el sentido del artículo 4, apartado 7, del RGPD.

nocert como Encargado del tratamiento. nocert trata Datos personales del Cliente exclusivamente por cuenta de este y conforme a sus instrucciones documentadas, según la sección 4. Actúa como Encargado del tratamiento en el sentido del artículo 4, apartado 8, del RGPD.

Agente Sentinel. El agente Sentinel, definido en las Condiciones, es un componente del Servicio y forma parte de la actividad de tratamiento de nocert como Encargado del tratamiento. El Anexo IV describe este tratamiento, incluidas las categorías de datos recopilados, los destinos de salida, las garantías de integridad y el reparto de responsabilidades operativas entre las Partes.

Anonimización. Solo quedan fuera del RGPD las estadísticas que ya no permiten identificar a una persona por medios razonablemente disponibles. Elaborarlas a partir de Datos Personales del Cliente sigue siendo un tratamiento sujeto a este DPA y requiere instrucciones documentadas. Antes de considerar anónimo un resultado, nocert debe evaluar y documentar los riesgos de singularización, vinculación e inferencia. Las reglas siguientes no eliminan la protección de la confidencialidad ni de los secretos empresariales.

Los datos que sigan permitiendo identificar o reidentificar razonablemente a una persona siguen siendo Datos Personales sujetos a este DPA. No se publican como datos anónimos. Una finalidad independiente como responsable requiere una base jurídica, la información exigida a los interesados y, cuando proceda, autorización documentada del Cliente antes del tratamiento; este DPA no autoriza de forma general la reutilización de Datos Personales del Cliente para fines propios de nocert.

Para evitar dudas, este tratamiento está sujeto a la prohibición de entrenar modelos de IA y aprendizaje automático establecida en la sección 11 de las Condiciones.

Tratamientos excluidos. Este DPA no cubre los tratamientos de Datos personales en los que nocert actúa como Responsable del tratamiento por cuenta propia, en particular los datos de contacto de la cuenta del Cliente, la información de facturación y los registros de uso de la plataforma. Estos tratamientos se rigen por la Política de privacidad de nocert, en nocert.io/es/legal/privacy.

4. Instrucciones documentadas del Cliente

Instrucciones documentadas. nocert tratará los Datos personales del Cliente únicamente siguiendo sus instrucciones documentadas, también respecto de las transferencias a terceros países u organizaciones internacionales, salvo que el Derecho de la Unión o de un Estado miembro al que esté sujeto nocert exija otro tratamiento.

Las instrucciones documentadas del Cliente comprenden:

• las Condiciones y este DPA;
• la configuración del Servicio realizada por el Cliente mediante la interfaz o la API, incluidas la incorporación o eliminación de objetivos de supervisión, reglas de alerta y permisos de subcuentas;
• el despliegue y la configuración del agente Sentinel por el Cliente en su propia infraestructura;
• cualquier instrucción específica enviada por escrito a nocert por un representante autorizado del Cliente.

Instrucciones ilícitas. nocert informa inmediatamente al Cliente si una instrucción parece infringir la normativa aplicable de protección de datos y suspende el tratamiento afectado mientras se resuelve la cuestión. La mera confirmación de una instrucción no autoriza un tratamiento ilícito.

Obligaciones legales. Si el Derecho de la Unión o de un Estado miembro exige que nocert trate Datos personales del Cliente al margen de sus instrucciones, nocert informará al Cliente de esa exigencia antes del tratamiento, salvo que dicho Derecho lo prohíba por razones importantes de interés público.

5. Confidencialidad del personal

nocert garantiza que las personas autorizadas para tratar Datos personales del Cliente:

• se han comprometido a respetar la confidencialidad mediante su contrato de trabajo, una política interna de confidencialidad o un acuerdo de confidencialidad independiente, con obligaciones que subsisten tras finalizar su relación con nocert;
• acceden a los Datos personales del Cliente solo cuando lo necesitan y en proporción a las tareas que realizan;
• han recibido formación adecuada sobre protección de datos y las políticas internas de seguridad de nocert;
• pierden sus permisos de acceso sin dilación indebida cuando finaliza su relación con nocert o dejan de necesitar acceso a los Datos personales del Cliente. Para sistemas de producción que contienen esos datos, la revocación se efectúa en un plazo comercialmente razonable, atendiendo a la naturaleza del acceso y a las circunstancias del fin de la relación o de la necesidad de acceso.

6. Seguridad del tratamiento

Artículo 32 del RGPD. nocert aplica medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos de diversa probabilidad y gravedad para los derechos y libertades de las personas físicas.

Medidas técnicas y organizativas. Las medidas aplicadas por nocert se describen en el Anexo II. nocert puede actualizarlo siempre que no reduzca de forma sustancial el nivel de protección. Las modificaciones sustanciales se notifican al Cliente conforme al régimen de modificación de las Condiciones.

Seudonimización y cifrado. Cuando resulte apropiado, nocert seudonimiza y cifra los Datos personales, en particular mediante el cifrado de campos sensibles en reposo y la exigencia de TLS 1.2 o posterior en tránsito. Se prefiere TLS 1.3 cuando es compatible.

Confidencialidad, integridad, disponibilidad y resiliencia. nocert aplica medidas para garantizar estas propiedades de forma continuada en los sistemas y servicios de tratamiento, en proporción a sus recursos y a la naturaleza del Servicio.

Restauración. nocert mantiene la capacidad de restaurar oportunamente la disponibilidad de los Datos personales y el acceso a ellos en caso de incidente físico o técnico, conforme al régimen de copias de seguridad y conservación del Anexo II.

Las comprobaciones internas de seguridad forman parte del desarrollo y la validación de versiones. Pueden encargarse evaluaciones independientes; los informes disponibles pueden compartirse con las condiciones de confidencialidad adecuadas. Este DPA no afirma que exista una certificación independiente ni un calendario fijo de auditorías externas.

7. Violaciones de la seguridad de los datos personales

Notificación de nocert al Cliente. Si se produce una Violación de la seguridad de los datos personales que afecte a Datos personales del Cliente, nocert lo notificará sin dilación indebida desde que tenga constancia de ella y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes, por email a los contactos técnicos y de privacidad registrados en la cuenta del Cliente. A estos efectos, tener constancia significa disponer de un grado razonable de certeza de que se ha producido un incidente de seguridad que ha comprometido Datos personales del Cliente, conforme a las Directrices 9/2022 del CEPD sobre notificación de violaciones de datos personales en el marco del RGPD. La notificación puede realizarse por fases: aviso inicial al tener constancia, actualizaciones durante la investigación y notificación final tras confirmar los hechos, conforme a esas mismas Directrices.

Contenido de la notificación. Incluirá, en la medida en que la información esté disponible en ese momento:

• una descripción de la naturaleza de la Violación, incluidas, cuando sea posible, las categorías y el número aproximado de Interesados afectados y de registros de Datos personales afectados;
• el nombre y los datos de contacto de la persona designada por nocert para las consultas de privacidad (), donde obtener más información;
• las consecuencias probables de la Violación;
• las medidas adoptadas o propuestas para resolverla y mitigar sus posibles efectos negativos.

Violaciones originadas en el Cliente. Las que se originen en la infraestructura del Cliente, incluido un host de Sentinel comprometido o un despliegue mal configurado bajo su responsabilidad según el Anexo IV.E, deberán ser notificadas por el Cliente como Responsable del tratamiento. nocert colaborará en la investigación y subsanación en la medida razonablemente necesaria.

Cooperación. Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, nocert ayuda al Cliente a cumplir sus obligaciones conforme a los artículos 33 y 34 del RGPD, incluidas la notificación a la Autoridad de control competente y, cuando proceda, la comunicación a los Interesados afectados.

Documentación. nocert documenta las Violaciones que afectan a Datos personales del Cliente, incluidos los hechos, sus efectos y las medidas correctoras adoptadas.

8. Subencargados del tratamiento

Autorización general. El Cliente concede a nocert una autorización general por escrito para contratar Subencargados que realicen actividades específicas de tratamiento por su cuenta, con arreglo a esta sección.

Lista inicial. La lista de Subencargados autorizados al aceptar este DPA figura en el Anexo III. La lista actualizada está disponible en nocert.io/es/legal/dpa/subprocessors.

Notificación de cambios. nocert informa a todos los Clientes afectados, incluidos los de Free y Prueba, de la incorporación o sustitución prevista de un Subencargado al menos treinta (30) días naturales antes de que comience el tratamiento, por correo o mediante un aviso directo en la plataforma. La mera publicación de la lista no sustituye este aviso ni la oportunidad de oponerse.

Derecho de oposición. El Cliente podrá oponerse a la incorporación o sustitución por motivos legítimos relacionados con la protección de datos, mediante notificación escrita a dentro de los treinta (30) días siguientes a la notificación.

Resolución. Las Partes examinarán la oposición de buena fe. Si no alcanzan una solución en los treinta (30) días siguientes, el Cliente podrá dar por terminado el Servicio afectado mediante notificación escrita y obtener el reembolso proporcional de las cantidades pagadas por adelantado correspondientes al período en que deje de utilizarlo.

Efecto de la oposición sobre la incorporación. Si el Cliente se opone dentro de plazo, nocert no iniciará el tratamiento de sus Datos personales mediante el Subencargado nuevo o sustituto hasta que se produzca el primero de los siguientes supuestos: (i) la resolución de buena fe entre las Partes, (ii) el transcurso de 30 días de negociación sin acuerdo o (iii) la terminación por el Cliente conforme a esta sección. Este efecto suspensivo no se aplica a las sustituciones de emergencia previstas más adelante.

Obligaciones en cadena. Al contratar un Subencargado, nocert le impondrá contractualmente las mismas obligaciones de protección de datos de este DPA, en particular garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas, conforme al artículo 28, apartado 4, del RGPD. nocert seguirá respondiendo plenamente ante el Cliente del cumplimiento de las obligaciones del Subencargado.

Subcontratación posterior: visibilidad de la cadena. Conforme al Dictamen 22/2024 del CEPD sobre encargados y subencargados, si un Subencargado contrata a su vez otros subencargados con acceso a Datos personales del Cliente, nocert facilitará, previa solicitud escrita razonable del Cliente, la lista mantenida por aquel, en la medida en que sea pública o pueda obtenerse conforme al contrato de nocert con dicho Subencargado.

Sustitución urgente. Si un incidente urgente de seguridad o continuidad hace inviable el plazo ordinario de preaviso, nocert informa a los Clientes afectados antes de iniciar el nuevo tratamiento, explica la urgencia y solicita cualquier autorización adicional exigida por el artículo 28 del RGPD. La emergencia no elimina la autorización previa ni las garantías de transferencia. El tratamiento afectado puede suspenderse si no se cumplen estas condiciones.

9. Transferencias internacionales de datos

Alojamiento principal en la UE/EEE para despliegues alojados por nocert. En estos despliegues, los Datos personales del Cliente se alojan y tratan principalmente en el Espacio Económico Europeo, en infraestructura de OVHcloud SAS en Francia y Alemania. En despliegues autoalojados, el Cliente determina la ubicación de su infraestructura principal. nocert no transfiere Datos personales del Cliente fuera del EEE salvo en los casos descritos en esta sección.

Transferencias a través de proveedores. Los proveedores de correo y de red perimetral pueden tratar Datos Personales del Cliente fuera del EEE. Google Workspace es el proveedor SMTP actual; Amazon SES es una opción complementaria autorizada, sujeta a sus requisitos de activación. Los tratamientos de pago y facturación para fines propios de NoCert se describen en la Política de privacidad. El mecanismo de cada transferencia real debe determinarse antes del tratamiento:

• las cláusulas contractuales tipo de la UE 2021/914, módulo 2 (Responsable a Encargado) o módulo 3 (Encargado a Subencargado), incorporadas por referencia en el acuerdo de tratamiento del Subencargado y mediante el Anexo V de este DPA;
• cuando proceda, la Adenda del Reino Unido a las CCT de la UE emitida por la Information Commissioner's Office para transferencias relativas a Interesados del Reino Unido. Las Partes reconocen que la UK Data (Use and Access) Act 2025 introdujo una prueba de protección de datos modificada para las transferencias internacionales, y nocert mantiene su régimen de transferencias británicas conforme a las directrices vigentes de la ICO al respecto;
• una decisión de adecuación aplicable conforme al artículo 45 del RGPD, incluido el Marco de Privacidad de Datos UE-EE. UU. solo cuando cubra la certificación vigente del destinatario y el servicio y los datos afectados;
• cuando una transferencia se base en el artículo 46 del RGPD, debe completarse y documentarse antes de realizarla una evaluación de la legislación y las prácticas del tercer país y de las medidas complementarias necesarias. Una decisión de adecuación aplicable del artículo 45, incluida la cobertura DPF para un destinatario actualmente certificado y un servicio cubierto, es un mecanismo distinto. Deben verificarse su vigencia y alcance; citar a un proveedor o enlazar sus condiciones no acredita por sí solo el cumplimiento.

Sustitución del mecanismo de transferencia. Si uno de esos mecanismos deja de ser válido, en particular por una resolución judicial que invalide una decisión de adecuación o las CCT de la UE:

• nocert realizará sin dilación indebida una nueva TIA para cada transferencia afectada e informará al Cliente de las transferencias afectadas y de la solución propuesta;
• nocert implantará un mecanismo sustitutorio equivalente tan pronto como sea razonablemente posible, teniendo en cuenta el tiempo que necesiten las autoridades competentes de la UE y los Subencargados para ofrecerlo, y documentará las medidas técnicas, contractuales u organizativas complementarias necesarias;
• hasta su sustitución, el Cliente podrá solicitar la suspensión de las transferencias afectadas por escrito a , y nocert la aplicará sin dilación indebida;
• la mera sustitución del mecanismo o la incorporación de medidas complementarias no constituye una modificación del DPA que requiera preaviso conforme a la sección 17 de las Condiciones, siempre que no reduzca sustancialmente el nivel de protección de los Interesados.

10. Derechos de auditoría e información

Información. nocert pondrá a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y de este DPA, conforme al artículo 28, apartado 3, letra h), del RGPD.

Medios ordinarios de auditoría. El derecho de auditoría del Cliente, conforme al artículo 28, apartado 3, letra h), se ejerce por los siguientes medios, en este orden de prioridad:

1. Revisión documental: previa solicitud escrita razonable, nocert facilita las versiones actualizadas del Anexo II (TOM) y del Anexo III (Subencargados), la descripción de la arquitectura del Servicio, las políticas de seguridad vigentes y los resúmenes de evaluaciones independientes que haya encargado y pueda compartir bajo un acuerdo de confidencialidad.
2. Cuestionarios escritos: nocert responde en los treinta (30) días naturales siguientes a su recepción a un cuestionario escrito razonable de seguridad enviado por el Cliente. Se incluye gratuitamente uno (1) por cada período de doce (12) meses. Podrá presentarse otro sin coste en caso de: (i) cambio sustancial del Servicio, (ii) incorporación de un Subencargado al que el Cliente se haya opuesto, (iii) Violación de la seguridad de los datos personales o (iv) solicitud documentada de una Autoridad de control competente.
3. Revisión remota. Si la documentación no responde a una cuestión sustancial de cumplimiento, las partes acuerdan una revisión o inspección remota proporcionada. El acceso es supervisado y se limita al ámbito pertinente, con confidencialidad y protección de otros clientes. Los acuerdos ordinarios de calendario, frecuencia y costes no restringen las auditorías necesarias tras una violación o un cambio sustancial, una solicitud de una autoridad o una inspección exigida por el artículo 28(3)(h) del RGPD.

Inspecciones. Las revisiones documentales y remotas suelen ser apropiadas para este servicio alojado. No excluyen las inspecciones necesarias para demostrar el cumplimiento conforme al artículo 28(3)(h) del RGPD. Cuando sean necesarias, las partes acuerdan una inspección proporcionada con preaviso razonable, confidencialidad y garantías para los demás clientes y la seguridad del sistema. El acceso a las instalaciones de un proveedor de alojamiento sigue sus procedimientos de auditoría lícitos; nocert facilita pruebas pertinentes y ejerce sus propios derechos cuando sea necesario. Las autoridades de control conservan sus potestades legales.

Evidencias de auditoría de OVHcloud. Previa solicitud escrita razonable, nocert facilitará al Cliente los informes de auditoría, certificaciones u otros documentos de garantía que reciba en el marco de su relación con OVHcloud, sujetos a las restricciones de confidencialidad aplicables. Cuando lo exija el artículo 28 del RGPD, nocert ejercerá sus propios derechos contractuales de auditoría frente a OVHcloud. Esta disposición no concede al Cliente acceso físico directo a las instalaciones de OVHcloud.

Costes. Las solicitudes de información, la revisión documental y un cuestionario escrito por cada período de doce (12) meses, además de los cuestionarios adicionales motivados por los supuestos anteriores, son gratuitos. También se incluye una primera videoconferencia de hasta cuatro (4) horas por cada período de doce (12) meses. Por encima de estas prestaciones, nocert podrá aplicar cargos razonables basados en costes, comunicados y acordados por escrito de antemano, según su tarifa de consultoría vigente, que no superará los 1.500 EUR, sin IVA, por día de consultor. No se cobrarán las auditorías motivadas por (i) una Violación que afecte al Cliente, (ii) una solicitud documentada de una Autoridad de control competente relativa al Cliente o (iii) un cambio sustancial del Servicio con un efecto negativo sustancial sobre la protección de Datos personales.

Restricciones relativas al auditor. Si el Cliente contrata un auditor externo, nocert podrá oponerse a uno que sea competidor directo de nocert o no ofrezca garantías suficientes de independencia y competencia. En ese caso, el Cliente propondrá otro auditor.

11. Asistencia al Cliente

Derechos de los Interesados (artículos 12 a 22 del RGPD). nocert ayuda al Cliente, mediante medidas técnicas y organizativas apropiadas y en la medida de lo posible, a responder a solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición de los Interesados. Si un Interesado dirige una solicitud directamente a nocert, este la remitirá prontamente al Cliente sin responder sobre el fondo, salvo obligación legal.

Herramientas de autoservicio. Cuando sea razonable, nocert ofrece herramientas en la interfaz y la API, incluidas la eliminación de objetivos de supervisión y el acceso al registro de auditoría, para ayudar al Cliente a responder a esas solicitudes. El Cliente puede solicitar una copia portable de sus Datos siguiendo el procedimiento escrito de la sección 16 de las Condiciones.

Evaluación de impacto y consulta previa (artículos 35 y 36 del RGPD). Teniendo en cuenta la naturaleza del tratamiento y la información disponible, nocert ayuda al Cliente a realizar evaluaciones de impacto relativas a la protección de datos y, cuando proceda, consultas previas a la Autoridad de control competente. Esta asistencia comprende: (a) una descripción del tratamiento realizado por el Servicio; (b) la versión actualizada del Anexo II (TOM); y (c) la lista actualizada de Subencargados y lugares de tratamiento.

Asistencia para el cumplimiento (artículos 32 a 36 del RGPD). Además de la asistencia específica anterior, nocert coopera razonablemente con el Cliente para que este cumpla sus obligaciones generales conforme a los artículos 32 a 36 del RGPD.

Costes. La asistencia razonablemente necesaria para solicitudes ordinarias de los Interesados y apoyo ordinario a evaluaciones de impacto es gratuita. Si requiere un trabajo extraordinario o repetido, nocert podrá aplicar cargos razonables basados en costes, comunicados y acordados de antemano.

12. Supresión o devolución de Datos personales

Elección del Cliente. Para los Datos personales del Cliente conservados en sistemas controlados por nocert, el Cliente podrá, antes de la fecha efectiva de terminación del Servicio, exigir su devolución en un formato estructurado compatible mediante la solicitud escrita de portabilidad de la sección 16 de las Condiciones, o su supresión. A falta de elección expresa, podrá presentar esa solicitud durante el período de conservación aplicable. Al finalizar este, nocert suprimirá los datos conforme al régimen siguiente.

Despliegues autoalojados. El Cliente es responsable de devolver o suprimir los Datos personales del Cliente conservados exclusivamente en infraestructura que controla. nocert sigue siendo responsable de suprimir las copias bajo su control conforme a esta sección.

Plazos de supresión. La sección 16 de las Condiciones regula el periodo ordinario de recuperación de sesenta días y cualquier periodo superior por Cambio de proveedor, seguidos de la supresión de producción y la caducidad de las copias de seguridad en treinta días. Una instrucción lícita de supresión anticipada se tramita sin dilación indebida, con sujeción a las obligaciones legales de conservación. Cancelar únicamente un Plan de pago no pone fin al Servicio. Ningún periodo de recuperación permite rechazar una solicitud válida de supresión.

Coherencia con las Condiciones: cuentas de prueba y Free. Las cuentas que no pasan a un Plan de pago continúan en Free conforme a la sección 4 de las Condiciones, sin una supresión programada de Datos personales del Cliente. La supresión sigue el régimen de la sección 16 de las Condiciones a solicitud del Cliente o tras la terminación: supresión de producción y posterior purga de las copias de seguridad que contengan esos datos dentro de los treinta (30) días siguientes.

Obligaciones legales de conservación. nocert podrá conservar Datos personales del Cliente limitados más allá de esos plazos únicamente en la medida necesaria para cumplir obligaciones legales de conservación, en particular contables y fiscales francesas. Esos datos no serán objeto de otros tratamientos y se suprimirán al finalizar el plazo aplicable.

Certificación de supresión. A solicitud escrita del Cliente, nocert proporcionará en un plazo razonable una certificación escrita de la supresión de los datos bajo su control.

13. Responsabilidad, artículo 82 del RGPD e indemnización a cargo del Cliente

Responsabilidad entre las Partes. La responsabilidad conforme a este DPA sigue la sección 14 de las Condiciones, incluidos su mínimo de 6.000 EUR, su límite máximo de 30.000 EUR para Team, Pro y Business y todas las excepciones aplicables. No limita los derechos de los interesados ni los derechos imperativos de repetición conforme al artículo 82 del RGPD. La sección 14 no crea un límite recíproco a la responsabilidad del Cliente cuando solo regula la responsabilidad de nocert.

Excepción adicional. Sin perjuicio de las excepciones imperativas de la sección 14 de las Condiciones, su límite no se aplica a los incumplimientos dolosos o gravemente negligentes de este DPA por nocert como Encargado del tratamiento, incluidos los de sus obligaciones conforme a los artículos 28 y 32 del RGPD, para preservar la eficacia del artículo 28 como obligación esencial del contrato en el sentido del artículo 1170 del Code civil francés.

Artículo 82 del RGPD: reclamaciones de los Interesados. Si un Interesado presenta una reclamación contra el Cliente o nocert conforme al artículo 82 del RGPD:

• entre las Partes, cada una asume la parte de responsabilidad atribuible a su propia infracción del RGPD, conforme al artículo 82, apartado 5;
• nada en este DPA limita la responsabilidad de las Partes frente a los Interesados conforme al artículo 82 del RGPD, que no puede limitarse contractualmente.

Multas administrativas (artículo 83 del RGPD). Cada Parte asume las multas que una Autoridad de control le imponga por sus propias infracciones conforme al artículo 83. nocert no responde de las multas impuestas al Cliente cuando la infracción resulte de decisiones, configuración o instrucciones del propio Cliente.

Indemnización a cargo del Cliente: Sentinel e infraestructura bajo su control. Si una reclamación de un Interesado contra nocert conforme al artículo 82 del RGPD deriva total o parcialmente de:

• el incumplimiento por el Cliente de la garantía de autorización para los análisis o de las garantías relativas a sanciones, doble uso o controles de exportación de criptografía de la sección 9 de las Condiciones;
• el incumplimiento por el Cliente de sus responsabilidades de despliegue de Sentinel, seguridad del host o alcance de los análisis del Anexo IV.E;
• el despliegue o uso de un Sentinel modificado o derivado que infrinja el Anexo IV.F;

el Cliente indemnizará a nocert conforme a la sección 14 de las Condiciones por la parte que le sea atribuible. El control de la defensa se rige por esa misma sección 14.

14. Reserva sobre las puntuaciones de cumplimiento

Las Partes recuerdan que las puntuaciones de cumplimiento, los indicadores de alineación, los hallazgos y las exportaciones de evidencias del Servicio, incluidos los relativos a PCI-DSS, ISO 27001, NIS2, ANSSI u otros marcos, son informativos. No constituyen asesoramiento jurídico, certificación normativa, dictamen de auditoría ni garantía de cumplimiento, conforme a la sección 8 de las Condiciones. El Cliente sigue siendo el único y exclusivo Responsable del tratamiento a efectos de cualquier determinación de cumplimiento normativo, también respecto de Datos personales.

Principio de exactitud (artículo 5, apartado 1, letra d), del RGPD). Si un resultado de puntuación contiene Datos personales de un Interesado, por ejemplo una persona identificada como responsable de un activo no conforme, el Cliente, como Responsable del tratamiento, sigue siendo responsable de su exactitud y puede usar los mecanismos de rectificación de la sección 11. nocert no garantiza la exactitud de las puntuaciones más allá del funcionamiento del motor sujeto a una obligación de medios.

15. Vigencia, prelación, resolución de conflictos y subsistencia

Vigencia. Este DPA entra en vigor en la Fecha de entrada en vigor y seguirá vigente mientras nocert trate Datos personales del Cliente por cuenta de este.

Subsistencia. Las siguientes secciones subsisten tras la terminación del contrato, según su naturaleza y durante los períodos indicados o razonablemente necesarios para su finalidad: sección 5 (Confidencialidad del personal); sección 7 (Violaciones, respecto de las ocurridas antes de la terminación o descubiertas después); sección 11 (Asistencia, para solicitudes de Interesados o actuaciones de Autoridades de control iniciadas antes o poco después de la terminación); sección 12 (Supresión); sección 13 (Responsabilidad, artículo 82 del RGPD e indemnización a cargo del Cliente); y sección 14 (Reserva sobre puntuaciones de cumplimiento).

Orden de prelación. En caso de conflicto sobre Datos personales:

1. las CCT de la UE (Anexo V) prevalecen sobre este DPA;
2. este DPA prevalece sobre las Condiciones;
3. las Condiciones prevalecen sobre cualquier otra documentación.

Para las demás cuestiones, se aplica el orden de prelación de las Condiciones.

16. Ley aplicable, jurisdicción, prescripción e idioma

Este DPA se rige por el Derecho francés. Los litigios derivados de él o relacionados con él se someten a la misma jurisdicción prevista en la sección 18 de las Condiciones.

Plazo de prescripción contractual. Sin perjuicio de las reclamaciones conforme al artículo 82 del RGPD, sujetas a los plazos legales de prescripción aplicables, y de las comprendidas en el artículo 1648 del Code civil francés, cualquier acción derivada de este DPA o relacionada con él deberá ejercitarse en los doce (12) meses siguientes a la fecha en que la Parte demandante conoció o debió conocer los hechos que la motivan, conforme al artículo 2254 del Code civil francés. Esta sección constituye el acuerdo expreso de las Partes para reducir el plazo del artículo 2224 del Code civil, en coherencia con la cláusula equivalente de la sección 20 de las Condiciones.

Idioma. Este DPA se ha redactado en inglés y únicamente la versión inglesa es jurídicamente vinculante. Las traducciones que nocert facilite para mayor comodidad carecen de efectos jurídicos; en caso de discrepancia, prevalece la versión inglesa. El Cliente reconoce expresamente que, como profesional, tiene la capacidad lingüística para leer y comprender este DPA en inglés y acepta el inglés como idioma de trabajo del contrato. Su uso se acuerda entre profesionales conforme a la circulaire du 19 mars 1996 relativa a la aplicación de la loi n° 94-665 du 4 août 1994.

Anexo I: Descripción del tratamiento

A. Partes

• Exportador de datos (Responsable del tratamiento): el Cliente, identificado en su cuenta.
• Importador de datos (Encargado del tratamiento): Perspective Analytics SAS, 2 rue du Général de Gaulle, 44290 Guémené-Penfao, France.
• Contacto de privacidad del Importador de datos: .

B. Descripción del tratamiento

C. Autoridad de control competente

• Commission Nationale de l'Informatique et des Libertés (CNIL)
• 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, France
• Teléfono: +33 (0)1 53 73 22 22. Sitio web: https://www.cnil.fr

Anexo II: Medidas técnicas y organizativas (TOM) y medidas de verificabilidad

A continuación se describe el estado actual de las medidas técnicas y organizativas de nocert. Estas pueden actualizarse para reflejar la evolución técnica y el estado de la técnica, siempre que no se reduzca sustancialmente el nivel de protección. También se publica información descriptiva orientativa en nocert.io/es/security.

Alcance según el despliegue. Las medidas siguientes se aplican a los componentes y tratamientos controlados por nocert. En despliegues autoalojados, el Cliente es responsable de la infraestructura, red, seguridad física, copias de seguridad y recuperación ante desastres que controla, salvo que el formulario de pedido Custom aplicable asigne expresamente una medida a nocert. Cuando proceda, los controles de aplicación suministrados por nocert dependen del despliegue y la configuración del Cliente.

A. Seudonimización y cifrado (artículo 32, apartado 1, letra a), del RGPD)

• TLS 1.2 como mínimo en las conexiones web/API de clientes y en la API de Sentinel; preferencia por TLS 1.3 cuando el cliente lo admite.
• Cifrado AES-256-GCM para secretos MFA, credenciales de conectores, secretos de configuración almacenados, material que permite revelar tokens de registro de Sentinel y tokens de identidad OIDC almacenados.
• Hash de contraseñas con Argon2id.
• Comunicación entre Sentinel y el Servicio protegida mediante firmas de mensajes HTTP conforme a RFC 9421.

B. Confidencialidad, integridad, disponibilidad y resiliencia de los sistemas y servicios de tratamiento (artículo 32, apartado 1, letra b), del RGPD)

• Control de acceso basado en roles y en el principio de mínimo privilegio.
• Autenticación multifactor obligatoria para el acceso administrativo de nocert.
• Autenticación de usuarios basada en sesiones, con cookies HttpOnly, Secure y SameSite=Strict.
• En despliegues alojados por nocert, aislamiento lógico de Clientes en una arquitectura multiinquilino, aplicado en las capas de base de datos y aplicación.
• En despliegues alojados por nocert, WAF de Cloudflare y mitigación de DDoS en el borde de la red.
• Conservación centralizada de registros para detectar anomalías y responder a ellas.

C. Restauración oportuna de la disponibilidad de los Datos personales y del acceso a ellos en caso de incidente físico o técnico (artículo 32, apartado 1, letra c), del RGPD)

• En despliegues alojados por nocert, copias de seguridad cifradas con pruebas periódicas de restauración.
• Procedimiento documentado de respuesta a incidentes.
• En despliegues alojados por nocert, medidas de recuperación ante desastres acordes con el entorno de alojamiento de OVHcloud.

D. Proceso de verificación, evaluación y valoración periódicas de la eficacia de las medidas técnicas y organizativas (artículo 32, apartado 1, letra d), del RGPD)

• Pruebas internas de seguridad durante todo el ciclo de desarrollo y publicación de versiones.
• Las comprobaciones internas de seguridad forman parte del desarrollo y la validación de versiones. Pueden encargarse evaluaciones independientes; los informes disponibles pueden compartirse con las condiciones de confidencialidad adecuadas. Este DPA no afirma que exista una certificación independiente ni un calendario fijo de auditorías externas.
• Revisión periódica de permisos de acceso y de la lista actualizada de Subencargados.

E. Medidas relativas al personal

• Compromisos de confidencialidad exigidos a toda persona autorizada para tratar Datos personales del Cliente.
• Formación sobre protección de datos y políticas internas de seguridad.
• Revocación del acceso sin dilación indebida tras finalizar la relación o la necesidad de acceder a Datos personales del Cliente; para sistemas de producción que contengan esos datos, en un plazo comercialmente razonable.

F. Agente Sentinel: medidas de la cadena de suministro de software

• Firma criptográfica de cada binario de versión de Sentinel.
• Publicación con cada versión de una lista de materiales de software (SBOM) en un formato estándar, CycloneDX o SPDX.
• Publicación de avisos de vulnerabilidad en una página de seguridad o lista de correo dedicada.
• Publicación de correcciones para vulnerabilidades identificadas en un plazo razonable, con prioridad según su gravedad.

G. Medidas de verificabilidad, adicionales a las TOM del artículo 32

• El código fuente de Sentinel se distribuye bajo la licencia Apache, versión 2.0 (Apache-2.0). El código completo de la versión actual se publica en nocert.io/es/sentinel-source como archivo firmado que cualquiera puede descargar y verificar sin cuenta ni Plan de pago. Así, el Cliente o un auditor independiente contratado por él pueden inspeccionar el código que realiza el tratamiento.

H. Gestión de Subencargados

• Lista pública en nocert.io/es/legal/dpa/subprocessors.
• Obligaciones equivalentes de protección de datos impuestas contractualmente a cada Subencargado.

Anexo III: Lista de Subencargados del tratamiento

La lista siguiente refleja los Subencargados autorizados en la Fecha de entrada en vigor de este DPA. La versión actualizada está disponible en nocert.io/es/legal/dpa/subprocessors. Si un Subencargado contrata a su vez otros subencargados con acceso a Datos personales del Cliente, la lista que mantiene se facilitará al Cliente previa solicitud escrita razonable, conforme a la sección 8.

Infraestructura de alojamiento y de borde de red

Pagos y facturación

Infraestructura de nube y correo electrónico

Anexo IV: Descripción del tratamiento del agente Sentinel

Sentinel es un agente de código abierto distribuido por nocert bajo la licencia Apache, versión 2.0 (Apache-2.0), que el Cliente puede desplegar en su propia infraestructura. Forma parte del Servicio y su funcionamiento integra la actividad de tratamiento de nocert como Encargado del tratamiento.

A. Despliegue

• El Cliente lo despliega en su propia infraestructura, en los hosts y ubicaciones de red que elige.
• Un único binario enlazado estáticamente, sin dependencias de ejecución.
• Se ejecuta sin privilegios: no requiere acceso root y utiliza permisos mínimos del sistema.
• El Cliente puede detener, desactivar o desinstalar Sentinel en cualquier momento.

B. Datos recopilados por Sentinel

• Certificados TLS detectados al analizar los rangos de red y puertos configurados por el Cliente: metadatos del sujeto, SAN, emisor, validez, tipos de clave y suites de cifrado.
• Nombres de host y direcciones IP de los hosts en los que se detecta un certificado TLS.
• Elementos de topología de red que se desprenden del análisis, como la existencia de un host en una dirección IP y puerto determinados.
• Telemetría operativa de Sentinel: versión, tiempo de actividad, estadísticas de análisis y errores.

Sentinel no envía claves privadas, contenidos generales de archivos, listados de procesos ni credenciales de Kubernetes a NoCert, y no proporciona acceso a una shell. Las fuentes de archivos y Kubernetes extraen localmente los certificados y los metadatos relacionados; los certificados se envían para su análisis. Las sondas de red y los objetivos de escaneo configurados siguen sujetos a la autorización del Cliente.

C. Comunicación

• Todas las comunicaciones son exclusivamente salientes, de Sentinel al Servicio.
• Todas las solicitudes se firman mediante firmas de mensajes HTTP conforme a RFC 9421, lo que garantiza su integridad y autenticidad.
• No hay conexiones entrantes del Servicio a Sentinel, shell remota ni capacidad de ejecución remota.
• Las comunicaciones de control y los informes se envían a la API de NoCert mediante HTTPS saliente. Para ejecutar el descubrimiento configurado, el agente también contacta con los objetivos de red autorizados, los resolutores DNS o una API de Kubernetes configurada. La instalación y las actualizaciones de paquetes pueden contactar por separado con el repositorio de NoCert mediante el gestor de paquetes del Cliente.

D. Integridad y actualizaciones

• Los binarios de las versiones de Sentinel llevan firma criptográfica. El Cliente debería verificarla antes del despliegue.
• Cada versión incluye una lista de materiales de software (SBOM) en un formato estándar, CycloneDX o SPDX.
• El código fuente completo de la versión actual se publica como archivo firmado en nocert.io/es/sentinel-source. Los binarios se distribuyen mediante el repositorio APT firmado; véase el Anexo II.G.
• El Cliente es responsable de decidir cuándo aplicar las actualizaciones de Sentinel.

E. Reparto de responsabilidades

F. Versiones de Sentinel modificadas o derivadas

El Cliente puede modificar Sentinel o crear una versión derivada, con sujeción a la licencia Apache-2.0. nocert se compromete a tratar la telemetría solo en la medida en que se ajuste al protocolo documentado. nocert no responde de las consecuencias de ejecutar un Sentinel modificado, una versión derivada o una compilación procedente de fuentes distintas de las versiones oficiales si produce datos inválidos, incompletos o inesperados, o introduce vulnerabilidades ausentes en la versión oficial.

Anexo V: Cláusulas contractuales tipo de la UE

Cuando una transferencia requiera CCT de la UE, las cláusulas aplicables de la Decisión (UE) 2021/914 deben vincular al exportador y al importador reales, con anexos cumplimentados y la evaluación exigida. Las disposiciones siguientes describen el marco previsto; la mera aceptación de este DPA de NoCert no formaliza un acuerdo con un proveedor tercero ni acredita que se hayan completado las garantías de transferencia.

• El módulo 2 se aplica a una transferencia real de responsable a encargado cuando lo exijan los roles y las circunstancias de la transferencia.
• Módulo 3 (Encargado a Subencargado): para transferencias en las que nocert actúa como Encargado del tratamiento y un Subencargado fuera del EEE actúa como subencargado posterior.

Cuando nocert formalice un acuerdo de CCT separado, las elecciones siguientes sirven de punto de partida, con sujeción a los roles reales, la transferencia y el acuerdo formalizado con el proveedor. No se modifica el texto de las CCT; los anexos exigidos deben identificar a las partes y los tratamientos reales.

• Cláusula 7 (cláusula de incorporación): no aplicable en la configuración estándar.
• Cláusula 9 (recurso a subencargados): opción 2, autorización general por escrito, con el mecanismo de preaviso y oposición de 30 días de la sección 8 de este DPA.
• Cláusula 11 (reparación): no se elige el organismo independiente facultativo de resolución de litigios.
• Cláusula 17 (ley aplicable): Derecho francés.
• Cláusula 18 (elección del foro y jurisdicción): tribunales de Saint-Nazaire, Francia. Sin perjuicio de la cláusula 18, letra c), de las CCT de la UE, que permite a los Interesados demandar al Exportador o al Importador de datos ante los tribunales del Estado miembro de su residencia habitual.
• Anexo I.A: identificar al exportador y al importador reales, sus contactos, roles y aceptación vinculante. Las partes NoCert/Cliente indicadas anteriormente no sustituyen la identificación de un proveedor destinatario de una transferencia ulterior.
• Anexo I.B: describir las categorías reales de datos y personas, la finalidad, frecuencia, destino y conservación de la transferencia; utilizar el anexo I.B anterior únicamente en la medida en que corresponda a esos hechos.
• Anexo I.C (autoridad de control competente): según el Anexo I.C anterior (CNIL).
• Anexo II (medidas técnicas y organizativas): según el Anexo II anterior.
• Anexo III (lista de subencargados): según el Anexo III anterior.

Para una transferencia regulada por la normativa británica de protección de datos, deben establecerse antes de realizarla el instrumento británico de transferencia aplicable, sus tablas cumplimentadas y la evaluación exigida. La nacionalidad o ubicación de un interesado no formaliza automáticamente el Addendum británico con un proveedor.