Acuerdo de tratamiento de datos

Artículo 1 – Partes y ámbito de aplicación

1.1. El encargado del tratamiento

Digital Change Management Services BV, que opera con el nombre comercial Anonimize, sociedad de Derecho belga con domicilio social en 3300 Tienen, Bélgica, inscrita en el Banco-Cruce de Empresas con el número 0798.754.517 (BE 0798.754.517), en lo sucesivo denominada «Anonimize» o «Encargado».

Dirección de contacto: info@anonimize.eu

1.2. El cliente

La persona física o jurídica que utiliza Anonimize en su propio nombre o en el de su organización y que determina los fines y los medios esenciales del tratamiento, en lo sucesivo denominada «Responsable» o «Cliente».

Cuando el propio Cliente actúe como encargado del tratamiento por cuenta de un tercero, este acuerdo se aplica también, conforme a las disposiciones pertinentes, a Anonimize como subencargado del tratamiento.

1.3. Aplicabilidad

Este Acuerdo de Tratamiento de Datos, en lo sucesivo el «DPA», forma parte integrante del contrato entre Anonimize y el Cliente relativo al uso de la plataforma Anonimize.

Este DPA se aplica en la medida en que Anonimize trate datos personales por cuenta del Cliente.

1.4. Aceptación

Este DPA puede aceptarse electrónicamente al contratar los servicios, como parte de un contrato escrito o mediante un procedimiento de aceptación independiente.

La aceptación electrónica tiene el mismo efecto contractual que una aceptación por escrito, de conformidad con la legislación aplicable.

1.5. Prevalencia

En caso de contradicción entre este DPA y las Condiciones Generales de Anonimize, este DPA prevalece en las cuestiones relativas al tratamiento de datos personales por cuenta del Cliente.

Las disposiciones imperativas del RGPD prevalecen siempre.

Artículo 2 – Definiciones

A este DPA se aplican las definiciones del Reglamento (UE) 2016/679, en lo sucesivo el RGPD.

Además, se entenderá por:

Plataforma: la aplicación SaaS, las API y las funcionalidades de software asociadas que ofrece Anonimize.

Datos del Cliente: toda la información que el Cliente o alguien en su nombre aporta, procesa o almacena a través de la Plataforma.

Datos personales: toda información sobre una persona física identificada o identificable, conforme al artículo 4, punto 1, del RGPD.

Tratamiento: cualquier operación o conjunto de operaciones realizadas sobre datos personales, como la recogida, la consulta, el análisis, el almacenamiento, la modificación, la anonimización, la seudonimización, la comunicación, la exportación o la supresión.

Subencargado: un tercero al que Anonimize recurre para tratar datos personales por cuenta del Cliente.

Violación de datos: una violación de la seguridad de los datos personales tal como se define en el artículo 4, punto 12, del RGPD.

Medidas técnicas y organizativas (MTO): las medidas de seguridad con las que Anonimize protege la confidencialidad, la integridad, la disponibilidad y la resiliencia del tratamiento.

Clave de Recuperación: información con la que los valores seudonimizados pueden vincularse a los datos originales.

Artículo 3 – Objeto, naturaleza y finalidad del tratamiento

3.1. Anonimize trata datos personales exclusivamente para prestar los servicios acordados y conforme a las instrucciones documentadas del Cliente, salvo que una obligación legal aplicable exija otra cosa.

3.2. En función de las funcionalidades utilizadas, el tratamiento puede referirse, entre otros, a:

La recepción y el tratamiento temporal de documentos, imágenes y textos.
La realización de OCR, extracción de texto y detección automatizada.
La identificación y sustitución de datos personales.
La anonimización y seudonimización de información.
La creación y gestión de bibliotecas de identidades y claves de recuperación.
El almacenamiento y la gestión de los resultados del procesamiento.
La realización de revisiones de documentos, correcciones y procesos de aprobación.
La restauración de información seudonimizada.
La gestión de proyectos, espacios de trabajo y derechos de usuario.
La ejecución de solicitudes de API autorizadas e integraciones en la nube.
El mantenimiento, la protección y el soporte técnico de los servicios.

3.3. Anonimize no determina de forma autónoma los fines para los que el Cliente aporta datos personales o utiliza los resultados finales.

3.4. Las características concretas del tratamiento, incluidas las categorías de datos personales, los interesados, los fines y los plazos de conservación, figuran en el Anexo I – Descripción del tratamiento.

3.5. El tratamiento dura mientras Anonimize trate datos personales por cuenta del Cliente en el marco de los servicios, incluidas las fases aplicables de exportación, supresión y conservación legalmente obligatoria.

Artículo 4 – Funciones y responsabilidades

4.1. Responsabilidades del Cliente

El Cliente es responsable de:

a. Determinar los fines y las bases jurídicas del tratamiento.

b. Evaluar la necesidad, la proporcionalidad y la licitud del tratamiento.

c. Informar a los interesados cuando el RGPD lo exija.

d. Cumplir los plazos legales de conservación.

e. Evaluar la idoneidad de la Plataforma para las categorías de datos de que se trate.

f. Organizar controles adecuados de los resultados anonimizados y seudonimizados.

g. Gestionar los derechos de acceso de sus Usuarios.

h. Evaluar si es necesaria una evaluación de impacto relativa a la protección de datos.

4.2. El Cliente garantiza que está facultado para que Anonimize trate los datos personales de que se trate.

4.3. Cuando el Cliente actúe como encargado del tratamiento por cuenta de otro responsable, garantiza que está facultado para recurrir a Anonimize como subencargado y que las instrucciones pertinentes pueden transmitirse válidamente a Anonimize.

4.4. Responsabilidades de Anonimize

Anonimize se compromete a:

a. Tratar los datos personales exclusivamente según instrucciones documentadas.

b. Adoptar medidas de seguridad técnicas y organizativas adecuadas.

c. Garantizar la confidencialidad de los datos personales.

d. Cumplir las condiciones relativas a los subencargados.

e. Asistir al Cliente en las obligaciones legales según lo dispuesto en este DPA.

f. Suprimir o devolver los datos personales tras la terminación, conforme al artículo 15.

g. Poner a disposición la información necesaria para demostrar el cumplimiento de este DPA.

4.5. Anonimize puede determinar medios técnicos y organizativos no esenciales adecuados para la prestación de los servicios, siempre que ello no suponga una modificación no autorizada de los fines del tratamiento.

4.6. Anonimize puede actuar como responsable del tratamiento independiente para sus propios fines, entre otros para la administración necesaria de cuentas, la facturación, la gestión de contratos y la comunicación empresarial. Estos tratamientos independientes se rigen por la Declaración de Privacidad y no por la facultad de instrucción del Cliente en virtud de este DPA.

Artículo 5 – Instrucciones documentadas

5.1. Anonimize trata los datos personales exclusivamente sobre la base de instrucciones documentadas del Cliente, también en caso de posibles transferencias internacionales.

5.2. Se consideran instrucciones documentadas, entre otras:

Este DPA y el contrato correspondiente.
Los ajustes de procesamiento elegidos por Usuarios autorizados.
Las subidas y las solicitudes de procesamiento.
Las instrucciones a través de la API o de integraciones autorizadas.
Los ajustes de almacenamiento, plazos de conservación y derechos de usuario.
Las instrucciones escritas de un representante del Cliente facultado para ello.

5.3. Las instrucciones deben estar comprendidas en los servicios acordados y ser técnicamente viables.

5.4. Si, a juicio razonable de Anonimize, una instrucción infringe el RGPD u otra legislación aplicable en materia de protección de datos, Anonimize lo comunicará inmediatamente al Cliente.

5.5. Anonimize puede suspender la ejecución de dicha instrucción hasta que se aclare o modifique, en la medida en que sea necesario para evitar un posible tratamiento ilícito.

5.6. Cuando una instrucción requiera desarrollos adicionales, un soporte técnico excepcional o trabajos ajenos a los servicios normales, las partes podrán acordar previamente una remuneración independiente.

5.7. Anonimize no está obligada a ejecutar una instrucción técnicamente imposible, ilícita o contraria a una obligación legal aplicable.

5.8. Cuando Anonimize esté obligada, en virtud del Derecho de la Unión o del Derecho aplicable de un Estado miembro, a tratar datos personales al margen de las instrucciones del Cliente, informará previamente al Cliente de esa obligación legal, salvo que tal Derecho lo prohíba por razones importantes de interés público.

Artículo 6 – Confidencialidad

6.1. Anonimize trata como estrictamente confidenciales los datos personales que trata por cuenta del Cliente.

6.2. El acceso a los datos personales se limita a las personas que razonablemente los necesiten para desempeñar sus funciones.

6.3. Anonimize garantiza que los empleados autorizados y las demás personas bajo su autoridad estén sujetos a obligaciones de confidencialidad contractuales o legales adecuadas.

6.4. Los datos personales no pueden consultarse, copiarse, compartirse ni utilizarse fuera de los fines del tratamiento acordado, salvo que lo exija la ley o el Cliente lo haya instruido válidamente.

6.5. Anonimize solo puede hacer accesibles los datos personales a empleados autorizados, subencargados permitidos u otras partes cuando exista una instrucción válida o una base jurídica para ello.

6.6. Las obligaciones de confidencialidad siguen aplicándose tras la terminación de este DPA mientras los datos personales u otra información confidencial protegida obren lícitamente en poder de Anonimize. Las obligaciones legales de confidencialidad siguen plenamente vigentes.

Artículo 7 – Seguridad técnica y organizativa

7.1. Anonimize adopta medidas técnicas y organizativas adecuadas conforme al artículo 32 del RGPD.

7.2. Para determinar estas medidas se tienen en cuenta:

El estado de la técnica.
Los costes de aplicación.
La naturaleza, el alcance, el contexto y los fines del tratamiento.
La probabilidad y la gravedad de los riesgos para los interesados.

7.3. Las medidas se describen con más detalle en el Anexo II – Medidas de seguridad técnicas y organizativas.

7.4. Anonimize garantiza un nivel de seguridad adecuado a los riesgos del tratamiento acordado. Ello incluye, en la medida en que proceda, el cifrado, el control de acceso, la supervisión de la seguridad, los mecanismos de recuperación y la evaluación periódica de la eficacia de las medidas.

7.5. Anonimize puede adaptar las técnicas de seguridad utilizadas para incorporar nuevas tecnologías, conocimientos de seguridad o riesgos, siempre que el nivel general de protección no se reduzca sustancialmente.

7.6. El Cliente sigue siendo responsable de la seguridad de sus propias cuentas, dispositivos, redes, ajustes de usuario y sistemas con los que utiliza la Plataforma.

7.7. Si el Cliente gestiona su propia clave de cifrado, es responsable de su custodia segura, del control de acceso a ella y de su disponibilidad.

7.8. Anonimize no puede estar obligada a realizar una recuperación de datos técnicamente imposible cuando se haya perdido una clave de descifrado gestionada exclusivamente por el Cliente y no disponible en Anonimize.

7.9. Las obligaciones de seguridad de Anonimize siguen aplicándose, también cuando se utiliza el cifrado gestionado por el cliente, a los tratamientos y sistemas de los que Anonimize es responsable.

Artículo 8 – Subencargados

8.1. El Cliente concede a Anonimize una autorización general por escrito para recurrir a subencargados en la medida en que sea necesario para los servicios acordados, con sujeción a este artículo.

8.2. Los subencargados autorizados en el momento de aceptar este DPA y sus tareas de tratamiento correspondientes figuran en el Anexo III – Registro de subencargados.

8.3. Anonimize celebrará con cada subencargado que trate datos personales por cuenta del Cliente un contrato jurídicamente vinculante que imponga al menos las mismas obligaciones materiales de protección de datos que este DPA, en la medida en que sean pertinentes para el tratamiento de que se trate.

8.4. Anonimize informará al Cliente con al menos treinta días naturales de antelación de cualquier incorporación o sustitución prevista de un subencargado, salvo que circunstancias excepcionales hagan necesario un plazo más breve y la ley lo permita.

8.5. La notificación indica como mínimo la identidad del subencargado, la naturaleza del tratamiento y los lugares de tratamiento pertinentes.

8.6. El Cliente puede oponerse por escrito y de forma motivada en un plazo de quince días naturales desde la recepción, basándose en riesgos concretos para la protección de datos o en una contradicción demostrable con las obligaciones legales aplicables.

8.7. Ante dicha oposición, las partes examinarán de buena fe si existen garantías adecuadas o una alternativa razonable.

8.8. Si no es posible una solución razonable, el Cliente puede poner fin a los servicios afectados antes de que intervenga el nuevo subencargado, sin penalización adicional por la terminación. Las cantidades pagadas por adelantado por prestaciones que por ello ya no se presten se reembolsarán proporcionalmente, en la medida en que se deban por ley o por contrato.

8.9. Anonimize puede sustituir subencargados cuando sea necesario por motivos de seguridad, continuidad o cumplimiento legal, respetando los derechos de información y de oposición aplicables del Cliente.

8.10. El Cliente puede consultar la lista actualizada de subencargados en la documentación disponible a tal efecto o solicitarla en info@anonimize.eu.

8.11. Los servicios de almacenamiento en la nube y de identidad con los que el Cliente se conecta directamente mediante su propia cuenta o contrato no son necesariamente subencargados de Anonimize. Su condición y sus responsabilidades se determinan por el reparto efectivo de funciones y los contratos aplicables.

Artículo 9 – Transferencias fuera del Espacio Económico Europeo

9.1. Anonimize solo transferirá datos personales fuera del Espacio Económico Europeo (EEE) cuando exista una instrucción documentada válida o se aplique una obligación legal, y la transferencia cumpla el capítulo V del RGPD.

9.2. Se informa al Cliente de las transferencias internacionales estructurales pertinentes relacionadas con subencargados autorizados.

9.3. Cuando el Cliente ordene, a través de una integración propia, transmitir datos a un servicio externo, es responsable de la licitud de su instrucción y de sus propias obligaciones respecto de ese destinatario externo.

9.4. Una garantía contractual específica de que los datos se traten exclusivamente dentro del EEE se aplica cuando se haya acordado expresamente y la configuración del servicio correspondiente la admita técnicamente.

Artículo 10 – Solicitudes de los interesados

10.1. Teniendo en cuenta la naturaleza del tratamiento y en la medida en que sea técnicamente posible, Anonimize presta al Cliente una asistencia adecuada para responder a las solicitudes de los interesados.

10.2. Esta asistencia puede referirse a:

El acceso a los datos personales.
La rectificación de los datos personales.
La supresión de los datos personales.
La limitación del tratamiento.
La portabilidad de los datos personales.
La oposición al tratamiento.
Otros derechos aplicables en virtud del RGPD.

10.3. Si Anonimize recibe directamente una solicitud relativa a datos personales que trata exclusivamente por cuenta del Cliente, la remitirá al Cliente sin dilación indebida, salvo que la ley lo prohíba.

10.4. Anonimize no tramitará el fondo de dichas solicitudes de forma autónoma sin instrucciones, salvo que esté legalmente obligada a ello.

10.5. El Cliente sigue siendo responsable de evaluar la identidad, la admisibilidad y el fundamento jurídico de las solicitudes.

10.6. Anonimize puede cobrar una remuneración razonable, acordada previamente, por solicitudes de asistencia voluminosas o excepcionales que excedan de las funcionalidades normales.

Artículo 11 – Violaciones de datos e incidentes de seguridad

11.1. Anonimize dispone de un procedimiento para identificar, investigar y gestionar los incidentes de seguridad que afecten al tratamiento de datos personales.

11.2. Cuando Anonimize tenga conocimiento de una violación de la seguridad de los datos personales que trata por cuenta del Cliente, se lo notificará al Cliente sin dilación indebida. Cuando sea posible, la primera notificación se realiza en un plazo de 48 horas desde que se tiene conocimiento.

11.3. La primera notificación incluye, en la medida en que esté disponible en ese momento:

a. Una descripción de la naturaleza de la violación.

b. Las categorías de datos personales presuntamente afectadas.

c. Las categorías de interesados presuntamente afectadas.

d. Las consecuencias conocidas o probables.

e. Las medidas adoptadas o propuestas.

f. Un punto de contacto para el seguimiento.

11.4. Si aún no se dispone de toda la información, Anonimize puede facilitarla de forma escalonada a medida que avance la investigación.

11.5. Anonimize adopta medidas adecuadas para contener la violación, limitar sus consecuencias y ayudar a evitar que se repita.

11.6. El Cliente, como responsable del tratamiento, sigue siendo responsable de evaluar y cumplir las posibles obligaciones legales de notificación a las autoridades de control y a los interesados.

11.7. Anonimize presta una asistencia razonable en dichas notificaciones y facilita la información pertinente disponible.

11.8. Una notificación de Anonimize no constituye por sí misma un reconocimiento de responsabilidad contractual o de culpa.

Artículo 12 – Asistencia en el cumplimiento y EIPD

12.1. Teniendo en cuenta la naturaleza del tratamiento y la información disponible, Anonimize asiste al Cliente en el cumplimiento de los artículos 32 a 36 del RGPD.

12.2. Esta asistencia comprende, cuando proceda:

Facilitar información sobre las medidas de seguridad.
Apoyar las investigaciones de violaciones de datos.
Facilitar información técnica para una evaluación de impacto relativa a la protección de datos (EIPD).
Apoyar una consulta previa a una autoridad de control.
Facilitar información sobre flujos de datos, lugares de tratamiento y subencargados.

12.3. El Cliente sigue siendo responsable de la evaluación jurídica de su tratamiento y de decidir si es necesaria una EIPD o una consulta previa.

12.4. Anonimize no está obligada a prestar asesoramiento jurídico independiente, evaluaciones a medida ni a desarrollar nuevas funcionalidades de software como parte de una suscripción estándar.

12.5. Para una asistencia voluminosa ajena a los servicios ordinarios, las partes pueden acordar previamente una remuneración razonable.

Artículo 13 – Control y auditorías

13.1. Anonimize pone a disposición la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD.

13.2. El Cliente o un auditor independiente autorizado por él tiene derecho a realizar auditorías e inspecciones, y Anonimize debe contribuir a ellas conforme al artículo 28, apartado 3, letra h), del RGPD.

13.3. Las partes procurarán organizar las auditorías de forma eficiente y proporcionada. En principio se sigue el orden siguiente:

a. La documentación de seguridad disponible y las descripciones de las medidas.

b. Cuestionarios escritos y pruebas documentales adicionales.

c. Entrevistas o controles a distancia.

d. Una auditoría presencial o una auditoría técnica más exhaustiva cuando sea razonablemente necesario.

13.4. Es preferible que una auditoría ordinaria se anuncie con al menos treinta días naturales de antelación y se realice en horario laboral normal.

13.5. Como principio, se prevé como máximo una auditoría ordinaria por cada periodo de doce meses.

13.6. Las auditorías no deben poner en peligro innecesariamente la confidencialidad de los datos de otros clientes, la seguridad de la Plataforma ni secretos empresariales protegidos.

13.7. Anonimize puede facilitar pruebas alternativas adecuadas o aplicar medidas de protección cuando el acceso directo a determinada información generaría riesgos.

13.8. Un auditor externo debe ser suficientemente independiente y competente y respetar obligaciones de confidencialidad adecuadas.

13.9. En principio, el Cliente asume los costes de una auditoría adicional iniciada por él.

Artículo 14 – Registro y documentación

14.1. En la medida en que lo exija el artículo 30 del RGPD, Anonimize lleva un registro de las categorías de actividades de tratamiento que realiza por cuenta de responsables del tratamiento.

14.2. Anonimize documenta las medidas técnicas y organizativas pertinentes, el recurso a subencargados y los procedimientos para incidentes de seguridad.

14.3. El Cliente puede solicitar la información sobre el tratamiento razonablemente necesaria para su propia responsabilidad proactiva.

14.4. Al facilitar documentación, Anonimize puede proteger datos confidenciales de otros clientes, información sensible para la seguridad y secretos empresariales, siempre que ello no impida el cumplimiento del artículo 28 del RGPD.

Artículo 15 – Devolución, exportación y supresión de datos personales

15.1. Al finalizar los servicios, Anonimize, a elección del Cliente, suprimirá o devolverá al Cliente los datos personales que trata por su cuenta, salvo que el Derecho de la Unión o el Derecho aplicable de un Estado miembro exija su conservación.

15.2. Durante los servicios, el Cliente puede exportar los datos y Resultados disponibles mediante las funcionalidades previstas para ello.

15.3. Para la exportación y el cambio de proveedor se aplican las disposiciones pertinentes de las Condiciones Generales, incluidas las normas aplicables de la Data Act de la UE.

15.4. El Cliente debe conservar o exportar a tiempo las claves de recuperación y demás información necesaria para la restauración.

15.5. Si el Cliente no da una instrucción específica, Anonimize suprimirá los datos tras la terminación, una vez transcurrido el plazo contractual o legal de exportación y recuperación aplicable.

15.6. La supresión de los sistemas activos se realiza sin dilación indebida conforme al procedimiento técnico de supresión aplicable.

15.7. Los datos de las copias de seguridad se suprimen conforme al ciclo de conservación de copias de seguridad comunicado previamente, o antes cuando sea técnicamente posible.

15.8. Mientras los datos suprimidos sigan presentes temporalmente en copias de seguridad protegidas, no se vuelven a poner a disposición ni se tratan para fines operativos ordinarios, salvo cuando sea necesario para la recuperación, la seguridad o el cumplimiento legal.

15.9. Cuando sea necesaria una conservación legalmente obligatoria, los datos correspondientes se protegen y solo se tratan en la medida en que lo exija dicha obligación legal.

15.10. Previa solicitud razonable, Anonimize confirma la ejecución de una orden de supresión, teniendo en cuenta el ciclo técnico de supresión.

15.11. El Cliente reconoce que los datos ya suprimidos lícitamente, incluidos los textos de origen temporales y los archivos de revisión caducados, no pueden necesariamente reconstruirse.

Artículo 16 – Tratamiento automatizado y modelos lingüísticos

16.1. Para detectar datos personales, Anonimize utiliza reglas de detección basadas en software y componentes de tecnología lingüística.

16.2. Según la arquitectura actual del producto, el procesamiento principal se ejecuta dentro del entorno de la aplicación.

16.3. Durante el procesamiento, el contenido de los documentos aportados por el Cliente no se envía a servicios externos de IA generativa para la detección ni para el entrenamiento de modelos.

16.4. Anonimize no utiliza el contenido de los documentos del Cliente para entrenar modelos de IA.

16.5. Un cambio sustancial que implique comunicar datos personales a nuevos encargados externos se tratará conforme al artículo 8 y, en su caso, al artículo 9.

16.6. Anonimize no garantiza que cada dato personal se detecte automáticamente ni que el resultado pueda calificarse jurídicamente como anónimo sin una revisión adicional.

16.7. El Cliente sigue siendo responsable de evaluar y, cuando sea necesario, revisar los Resultados antes de utilizarlos para sus fines.

Artículo 17 – Seudonimización y claves de recuperación

17.1. El Cliente determina qué modo de procesamiento se utiliza y si es necesaria una seudonimización reversible.

17.2. La seudonimización es una medida de seguridad y de protección de datos, pero no significa que los datos personales queden fuera del ámbito de aplicación del RGPD.

17.3. Las claves de recuperación y las bibliotecas de identidades se tratan como información confidencial que puede contener datos personales.

17.4. Cuando el Cliente exporta una clave de recuperación o la conserva fuera de Anonimize, asume la responsabilidad de la seguridad de ese ejemplar externo.

17.5. Anonimize no puede ser considerada responsable del uso ilícito de una clave por un tercero en la medida en que este se deba exclusivamente a una divulgación o a una protección insuficiente imputables al Cliente.

Artículo 18 – Remuneración y responsabilidad

18.1. Las actividades de tratamiento ordinarias y el soporte estándar previstos en los servicios elegidos están incluidos en el precio acordado.

18.2. Para servicios adicionales a medida, informes excepcionales, trabajos de migración especiales o auditorías adicionales, las partes pueden acordar previamente remuneraciones independientes.

18.3. Cada parte es responsable de los daños que le sean imputables conforme a las normas legales aplicables.

18.4. El régimen de responsabilidad de las Condiciones Generales de Anonimize se aplica entre las partes en la medida en que sea válido.

18.5. El Cliente mantendrá indemne a Anonimize frente a las reclamaciones justificadas que deriven directamente de instrucciones ilícitas o de datos personales aportados ilícitamente que sean imputables al Cliente, en la medida en que dicha indemnidad esté permitida por la ley.

Artículo 19 – Duración y terminación

19.1. Este DPA entra en vigor en el momento en que las partes lo aceptan válidamente.

19.2. Sigue siendo aplicable mientras Anonimize trate datos personales por cuenta del Cliente, incluido el periodo necesario para la devolución, la supresión o la conservación legalmente obligatoria.

19.3. La terminación del contrato principal no conlleva automáticamente la extinción de las obligaciones de confidencialidad, supresión, protección de datos o responsabilidad que por su naturaleza deban subsistir.

Artículo 20 – Derecho aplicable y controversias

20.1. Este DPA se rige por el Derecho belga, sin perjuicio del Derecho de la Unión directamente aplicable.

20.2. Las partes procurarán resolver primero de forma amistosa cualquier controversia.

20.3. Para las controversias empresariales son competentes los tribunales materialmente competentes del partido judicial de Lovaina, salvo normas imperativas de competencia en contrario.

Artículo 21 – Disposiciones finales

21.1. Este DPA, junto con sus anexos, forma parte vinculante de los acuerdos contractuales entre las partes.

21.2. Las adaptaciones necesarias por cambios legislativos pueden introducirse conforme a los procedimientos contractuales y legales aplicables.

21.3. Los cambios que menoscaben sustancialmente los acuerdos de protección de datos existentes requieren una base contractual válida y no pueden reducir unilateralmente las obligaciones imperativas del RGPD.

21.4. Si una disposición resulta total o parcialmente inválida, las demás disposiciones siguen vigentes en la medida en que el contrato pueda subsistir sin dicha disposición.

21.5. Los anexos se consideran parte integrante de este DPA.

Anexo I – Descripción del tratamiento

Este anexo contiene la información a que se refiere el artículo 28, apartado 3, del RGPD.

1. Objeto del tratamiento

La oferta de una plataforma digital con la que los Clientes pueden detectar, anonimizar, seudonimizar, revisar, procesar, gestionar, exportar y, en caso de seudonimización, restaurar datos personales en textos y documentos.

2. Duración del tratamiento

El tratamiento se realiza durante la prestación activa de los servicios y, cuando proceda, durante el periodo contractual o legal de exportación, conservación y supresión.

3. Naturaleza del tratamiento

El tratamiento puede consistir en:

Recepción y puesta a disposición temporal de datos.
Extracción y OCR.
Reconocimiento automatizado de textos y patrones.
Clasificación e identificación de datos.
Anonimización y seudonimización
Almacenamiento de resultados e información de restauración,.
Consulta, revisión y corrección.
Revisión de documentos, control de versiones y registro de auditoría.
Exportación, transferencia y supresión.
Soporte técnico y seguridad.

4. Fines del tratamiento

La ejecución de los procesamientos de documentos y textos solicitados por el Cliente y las operaciones técnicas necesarias para hacer posibles, proteger y mantener estos servicios.

5. Categorías de interesados

En función de los datos aportados por el Cliente, pueden ser, entre otros:

Empleados y colaboradores autónomos.
Clientes y proveedores.
Personas de contacto y representantes.
Ciudadanos y residentes.
Solicitantes, reclamantes y otras personas implicadas en expedientes.
Usuarios de servicios públicos o privados.
Pacientes o clientes, si se aportan lícitamente.
Otras personas físicas que aparecen en los documentos aportados.

6. Categorías de datos personales

En función del uso, pueden tratarse, entre otros, los siguientes datos:

Nombres, tratamientos y datos de contacto.
Direcciones y datos de localización.
Direcciones de correo electrónico y números de teléfono.
Fechas de nacimiento.
Números de identificación nacionales.
Identificadores financieros y administrativos.
Direcciones IP y datos técnicos.
Datos de personal e información de expedientes.
Texto libre y contenido de documentos.
Datos relativos a la salud.
Otras categorías especiales de datos personales conforme al artículo 9 del RGPD.
Datos relativos a condenas e infracciones penales conforme al artículo 10 del RGPD, si se tratan lícitamente.

Que una categoría se trate efectivamente depende del contenido que aporte el Cliente. Esta enumeración no constituye una autorización autónoma para tratar datos personales sin una base jurídica aplicable.

7. Frecuencia y alcance

El tratamiento se realiza por iniciativa de Usuarios autorizados o mediante llamadas a la API e integraciones autorizadas.

El alcance se determina por el uso efectivo y por los límites técnicos y contractuales aplicables.

8. Plazos de conservación

Archivos de origen temporales

Se conservan solo mientras sea necesario para la ejecución técnica, la corrección y la tramitación del procesamiento, conforme a la configuración técnica de conservación aplicable.

Resultados de revisión temporales

Caducan conforme al plazo técnico de conservación configurado. La documentación de producto describe actualmente un plazo de unos cinco minutos para los resultados de revisión temporales aún no recuperados.

Resultados almacenados

Se conservan por defecto hasta que el Cliente los elimina, expira un plazo de conservación configurado o los servicios terminan conforme a lo acordado.

Claves de recuperación y bibliotecas de identidades

Se conservan conforme a la conservación configurada para el proyecto y el espacio de trabajo. El ajuste por defecto puede ser una conservación indefinida hasta que el Cliente lo modifique o se produzca una supresión.

Estadísticas técnicas de uso de la API

Según la documentación de producto actual, se conservan durante un máximo de noventa días, salvo que se aplique otro plazo de conservación lícito.

Copias de seguridad

Siguen el ciclo técnico de copias de seguridad y supresión del entorno de producción, establecido por separado.

Tras la terminación

Se aplica el régimen contractual y legal de exportación y supresión correspondiente.

El propio Cliente debe configurar plazos de conservación adecuados cuando los ajustes por defecto no sean compatibles con sus obligaciones legales.

9. Lugar del tratamiento

El lugar principal de tratamiento lo determinan el alojamiento de producción efectivamente utilizado y la región elegida.

La región de producción actual, los posibles lugares de copia de seguridad y los subencargados pertinentes se recogen en el Anexo III y en la documentación operativa de seguridad.

Las transferencias internacionales solo están permitidas conforme al artículo 9 de este DPA.

10. Derechos y obligaciones

El Responsable conserva la facultad de dar instrucciones y las responsabilidades legales sobre sus fines de tratamiento.

Anonimize tiene los derechos y las obligaciones descritos en este DPA y en el artículo 28 del RGPD.

Anexo II – Medidas de seguridad técnicas y organizativas

Este anexo describe el marco de seguridad de Anonimize. Las funcionalidades efectivamente activadas dependen de la configuración de producción y de la suscripción elegida.

1. Gestión de accesos

Anonimize prevé:

Cuentas de usuario personales.
Autenticación basada en datos de acceso protegidos.
Hash de las contraseñas.
Gestión de accesos basada en roles.
Organizaciones y espacios de trabajo separados.
Limitación del acceso a los datos asignados.
Gestión y revocación de los derechos de usuario.
Compatibilidad con la verificación en dos pasos.
Autenticación opcional con Microsoft Entra ID.

2. Cifrado

La arquitectura técnica prevé, entre otras cosas:

HTTPS/TLS para la conexión externa con la Plataforma.
Almacenamiento cifrado de determinados datos sensibles.
Protección de los Resultados, las claves de recuperación y las bibliotecas de identidades almacenados.
Un modo opcional de cifrado gestionado por el cliente (BYOK).
Cifrado AES-256-GCM en el navegador para los datos aptos cuando BYOK está activado.
Protección separada de los secretos técnicos de configuración.

En el almacenamiento estándar, la arquitectura actual del producto utiliza, entre otros, el cifrado Fernet para los Resultados almacenados y el material de claves.

Con BYOK, el servidor de la aplicación necesita acceso al contenido de origen sin cifrar durante la detección activa de documentos y el OCR.

3. Separación lógica de datos

Las organizaciones disponen de contextos de acceso separados.
Los espacios de trabajo y los proyectos están sujetos a derechos de acceso.
Los usuarios solo pueden consultar la información para la que están autorizados.
Los derechos de acceso administrativo se limitan a las funciones de gestión necesarias.

4. Seguridad del tratamiento

El procesamiento de documentos tiene lugar dentro del entorno de la aplicación.
Las tareas de procesamiento se ejecutan, cuando así está previsto técnicamente, mediante colas limitadas.
Los archivos temporales están sujetos a procedimientos técnicos de caducidad y supresión.
En la arquitectura estándar, los componentes de detección procesan el contenido sin llamadas a IA generativa.
Las claves API pueden limitarse a determinadas facultades y dotarse de una fecha de caducidad.

5. Registro y trazabilidad

Anonimize prevé, en la medida en que esté disponible y sea adecuado:

Registro técnico.
Registro de auditoría de las acciones de gestión pertinentes.
Registro de las acciones sobre documentos y usuarios.
Supervisión de mensajes de error y eventos técnicos.
Limitación de la inclusión innecesaria de contenido de documentos en los registros operativos.

6. Protección de la información de soporte

Las conversaciones y los datos de soporte se tratan como información confidencial.

La arquitectura actual del producto prevé el almacenamiento cifrado de los mensajes de soporte.

El acceso se limita a las personas autorizadas.

7. Disponibilidad y recuperación

Anonimize adopta medidas adecuadas para proteger la disponibilidad y la capacidad de recuperación de los Servicios.

La frecuencia concreta de las copias de seguridad, su conservación, los procedimientos de recuperación y los posibles objetivos de recuperación los determina la configuración operativa de producción.

No se garantiza ningún tiempo de recuperación ni disponibilidad específicos, salvo que se aplique un SLA independiente.

8. Actualizaciones de seguridad y evaluación

Anonimize evalúa periódicamente, con un enfoque basado en el riesgo:

Las actualizaciones de seguridad pertinentes.
Las dependencias de software.
Los derechos de acceso.
Las vulnerabilidades.
Los incidentes de seguridad.
La eficacia de las medidas aplicadas.

9. Gestión de incidentes

Anonimize prevé procedimientos para identificar, investigar, contener y hacer el seguimiento de los incidentes de seguridad.

Las violaciones de datos se tratan conforme al artículo 11 de este DPA.

10. Medidas organizativas

Anonimize garantiza obligaciones de confidencialidad adecuadas, un acceso controlado, responsabilidades claras y un tratamiento de los datos personales basado en el riesgo.

11. Modificación de las medidas

Anonimize puede mejorar medidas de seguridad concretas o sustituirlas por alternativas equivalentes o mejores.

Anexo III – Registro de subencargados

1. Generalidades

Este registro describe las partes a las que Anonimize recurre efectivamente para tratar datos personales por cuenta del Cliente.

Para cada parte se conservan como mínimo los siguientes datos:

Denominación jurídica del subencargado.
Servicio y finalidad del tratamiento.
Categorías de datos personales.
Lugar del tratamiento.
Transferencias internacionales pertinentes y garantías.
Fecha de incorporación o de la última modificación pertinente.

2. Infraestructura principal

Zerops – infraestructura en la nube

Estado: en uso para el entorno de producción desde el 16 de octubre de 2026.

Función: alojamiento, ejecución de cargas de trabajo de la aplicación, almacenamiento, servicios de red y servicios técnicos conexos.

Categorías de datos potenciales: contenido de documentos, Resultados almacenados, claves de recuperación cifradas, datos de proyectos y metadatos técnicos.

Región de tratamiento: prg1 en Praga, Chequia (EEE), en centros de datos de vshosting.

Transferencias internacionales: Zerops solo transfiere datos personales fuera del EEE por instrucción documentada o cuando lo exija el Derecho de la Unión o de un Estado miembro. Anonimize no da ninguna instrucción de transferencia.

Entidad contractual y posibles subencargados ulteriores: Zerops s.r.o., Varšavská 715/36, 120 00 Praga-Vinohrady, Chequia, número de empresa (IČO) 212 75 602. Las estipulaciones de encargo del tratamiento figuran en el artículo 13 de las condiciones generales de Zerops. Zerops puede recurrir a otros encargados que le ayuden a cumplir sus obligaciones, en particular en el funcionamiento de sus instalaciones, y ofrece la posibilidad de oponerse a los cambios.

3. Otros subencargados

Otros proveedores solo se incluyen como subencargados cuando tratan efectivamente, por cuenta de Anonimize, datos personales de los que el Cliente es responsable o encargado del tratamiento.

Las copias de seguridad, los registros y la supervisión del entorno de producción permanecen en Zerops, en la misma región. Anonimize hace cada día su propia copia de seguridad de la base de datos y la conserva siete días. Además, Zerops hace cada día una copia de seguridad cifrada del volumen de almacenamiento y conserva al menos siete copias diarias, cuatro semanales y tres mensuales, con un máximo de cincuenta. Anonimize no recurre a otros proveedores para el almacenamiento de copias de seguridad, la supervisión, el registro de errores ni el soporte técnico.

4. Servicios de pago

Para los pagos de la suscripción pueden utilizarse Stripe Managed Payments o Link.

En la medida en que el proveedor de servicios de pago correspondiente determine de forma autónoma los fines y los medios del tratamiento de los datos de pago y fiscales, actúa como responsable del tratamiento independiente.

Los proveedores de servicios de pago no se consideran subencargados respecto del contenido de los documentos de los Clientes por el mero hecho de intervenir en la facturación.

Las responsabilidades concretas en materia de privacidad se derivan de la estructura de pago efectivamente utilizada.

5. Integraciones activadas por el Cliente

Anonimize puede admitir integraciones con, entre otros, Microsoft OneDrive, SharePoint, Google Drive, Dropbox y Box.

Cuando un Cliente activa una integración mediante su propia cuenta y su propia relación contractual, ese servicio externo no es automáticamente un subencargado designado por Anonimize.

El reparto de funciones, el consentimiento necesario y las condiciones de transferencia aplicables deben determinarse en función de la configuración efectiva.

6. Cambios

La lista de subencargados se actualiza conforme al artículo 8 de este DPA.

Se informa a los Clientes de las incorporaciones o sustituciones pertinentes, y estos conservan sus derechos contractuales de oposición.

Anexo IV – Datos de contacto y aceptación contractual

1. Encargado

Digital Change Management Services BV – Anonimize

3300 Tienen
Bélgica

Número de empresa: 0798.754.517
Número de IVA: BE 0798.754.517
Correo electrónico: info@anonimize.eu

2. Responsable

El Cliente se identifica mediante los datos de la organización y del contrato facilitados en el registro o en la celebración del contrato.

En los contratos empresariales, estos datos incluyen, cuando estén disponibles, la denominación social oficial, el número de empresa, la dirección del establecimiento y una persona de contacto autorizada.

3. Punto de contacto para la protección de datos

El Cliente designa un punto de contacto accesible para las solicitudes relativas a la protección de datos y a los incidentes de seguridad.

Anonimize utiliza info@anonimize.eu como punto de contacto general, salvo que se haya comunicado por escrito un contacto específico de seguridad o privacidad.

4. Aceptación electrónica

En caso de aceptación electrónica, pueden registrarse, entre otros, los siguientes datos como prueba de la celebración:

Identidad del usuario que acepta.
Organización de que se trate.
Número de versión del DPA.
Fecha y hora de la aceptación.
Registro del acto de aceptación realizado.

No se requiere una firma separada cuando el contrato se celebra válidamente por vía electrónica.