Acuerdo de tratamiento de datos

Funciones

Términos como "datos personales", "tratamiento", "responsable del tratamiento", "encargado del tratamiento", "interesado" y "violación de la seguridad de los datos personales" tienen el significado que les da el RGPD. "Datos personales del cliente" son los datos personales de sus formularios, respuestas, archivos subidos y respuestas en curso que tratamos por cuenta de usted.

Respecto de los datos personales del cliente, usted es el responsable del tratamiento y nosotros somos su encargado del tratamiento. Si usted actúa por cuenta de su propio cliente, usted es el encargado del tratamiento de ese cliente y nosotros somos su subencargado del tratamiento. Respecto de su cuenta, la facturación y el uso de fillio.so, nosotros somos el responsable del tratamiento, como explica nuestra Política de privacidad.

Detalles del tratamiento

• Objeto: alojar sus formularios, recoger y almacenar sus respuestas y archivos, y mostrarlos, enviarlos y exportarlos por cuenta de usted.
• Duración: mientras use el Servicio, hasta que los datos se eliminen como se describe más abajo.
• Naturaleza y finalidad: almacenar, organizar, mostrar, enviar, exportar y eliminar datos personales del cliente, solo para prestarle el Servicio.
• Interesados: las personas que abren o rellenan sus formularios, las personas mencionadas en sus respuestas y los compañeros de equipo que usted invite.
• Tipos de datos personales: lo que pidan sus formularios, como nombres, direcciones de correo electrónico, números de teléfono, respuestas y archivos subidos; cuándo se envió una respuesta, la página de la que procedía y las etiquetas de campaña; una dirección de correo electrónico confirmada si su formulario la pide; y las páginas alcanzadas en un formulario y, mientras su plan incluya respuestas parciales, las respuestas no enviadas.
• Datos sensibles: solo si su formulario los pide. Usted decide si los recoge y es responsable de tener una base jurídica para ello.

Sus instrucciones

Solo tratamos datos personales del cliente siguiendo sus instrucciones documentadas. Estos términos, este Acuerdo y las acciones que usted realiza en el Servicio, como publicar un formulario, fijar un plazo de conservación, conectar un webhook, exportar o eliminar respuestas, son sus instrucciones. Le avisamos si consideramos que una instrucción infringe la normativa de protección de datos.

Si la ley nos obliga a tratar datos personales del cliente de otra forma, se lo comunicamos antes de hacerlo, salvo que la ley lo prohíba.

Sus responsabilidades

Usted es responsable de tener una base jurídica para los datos que recoge, de informar a las personas que rellenan sus formularios de cómo usa sus respuestas y de asegurarse de que sus instrucciones cumplen la ley. También es responsable de los servicios que conecta a sus formularios, como webhooks o píxeles de seguimiento, y de los datos que les envía.

Confidencialidad

Todas las personas a las que permitimos tratar datos personales del cliente están obligadas a mantener su confidencialidad. Solo accedemos a ellos cuando es necesario para prestar el Servicio, responder a sus solicitudes de soporte, revisar una denuncia o cumplir una obligación legal.

No vendemos datos personales del cliente, no los usamos para publicidad ni para fines propios y no los usamos para entrenar modelos de IA.

Medidas de seguridad

Protegemos los datos personales del cliente con estas medidas:

• Fillio se sirve solo a través de HTTPS, y nuestro proveedor de alojamiento cifra la base de datos y los archivos almacenados.
• Las reglas de acceso a la base de datos y al almacenamiento de archivos solo permiten leer las respuestas de un formulario a su propietario y a los compañeros de equipo que invite.
• Las contraseñas de los formularios, los enlaces para reclamar formularios y los códigos de inicio de sesión se guardan en registros que solo pueden leer nuestros servidores. Los códigos de inicio de sesión y de verificación se guardan solo como hashes y caducan a los 10 minutos.
• La carpeta de archivos subidos a un formulario no se puede listar, por lo que conocer un formulario nunca revela los archivos enviados a él. Cualquier persona que tenga el enlace de un archivo concreto puede abrirlo.
• La subida de archivos solo acepta determinados tipos de archivo, hasta el tamaño que permita el plan del propietario del formulario.
• Los límites de frecuencia y los controles de spam protegen los formularios y el inicio de sesión frente a abusos.
• Nuestra analítica no ve el contenido de los formularios ni lo que escriben los encuestados.

Podemos cambiar estas medidas con el tiempo, pero nunca de forma que se reduzca la protección global de los datos personales del cliente.

Subencargados del tratamiento

Usted nos autoriza a recurrir a los subencargados del tratamiento que se indican a continuación. Cada uno de ellos está sujeto a condiciones de protección de datos que protegen los datos personales del cliente al menos tan bien como exige este Acuerdo, y seguimos siendo responsables ante usted de ellos según exige la ley.

Antes de añadir una nueva categoría de subencargados del tratamiento o de trasladar datos personales del cliente a una nueva región, actualizamos la lista que figura a continuación y lo comunicamos a los titulares de cuentas por correo electrónico o en la aplicación, para que tenga tiempo de oponerse. Si se opone por motivos razonables de protección de datos y no podemos resolver su inquietud, puede poner fin al acuerdo eliminando su cuenta, y le reembolsaremos la parte no utilizada de cualquier importe que haya pagado por adelantado.

Subencargados del tratamiento actuales

• Proveedor de alojamiento en la nube y base de datos: alojamiento, base de datos, almacenamiento de archivos e inicio de sesión. Todos los datos personales del cliente. Estados Unidos.
• Proveedor de envío de correo electrónico: correos de notificación de respuestas y códigos de verificación de correo, con las respuestas de un envío y direcciones de correo electrónico. Estados Unidos.
• Herramienta de grabación de sesiones: datos de interacción como clics y desplazamiento en las páginas de formularios, con el contenido del formulario y lo que escriben los encuestados ocultos. Estados Unidos.
• Proveedor de analítica: datos de uso en las páginas de formularios, como páginas vistas, tipo de dispositivo y país aproximado. Estados Unidos.
• Servicio de localización: determinar el país de un encuestado a partir de su dirección IP, para el campo de número de teléfono. Estados Unidos.
• Proveedores de modelos de IA: solo cuando usa el creador de formularios con IA, con su descripción y las preguntas y opciones de un formulario, nunca con respuestas. No almacenan estos datos ni los usan para entrenar. Estados Unidos.

Paddle no es un subencargado del tratamiento. Gestiona sus pagos como comerciante registrado (merchant of record) y no recibe respuestas. Los servicios que usted conecta a un formulario, y el contenido de otros sitios que muestra dentro de un formulario, son elección suya y no son subencargados nuestros. Puede pedirnos la lista actual de proveedores de cada categoría en support@fillio.so.

Transferencias internacionales

Los datos personales del cliente se almacenan en nuestro proveedor de alojamiento en la nube en Estados Unidos, y nuestros subencargados del tratamiento los tratan en Estados Unidos.

Cuando el RGPD se aplique a usted y una transferencia de datos personales del cliente a nosotros o a nuestros subencargados del tratamiento requiera una garantía, se aplican entre usted y nosotros, y forman parte de este Acuerdo, las cláusulas contractuales tipo adoptadas por la Comisión Europea en la Decisión de Ejecución (UE) 2021/914: el módulo dos cuando usted es responsable del tratamiento, y el módulo tres cuando es encargado del tratamiento. En esas cláusulas, la cláusula 7 opcional no se aplica, se aplica la opción 2 de la cláusula 9 con el aviso descrito más arriba, la redacción opcional de la cláusula 11 no se aplica, y las cláusulas 17 y 18 eligen la legislación y los tribunales de Irlanda. Las secciones de este Acuerdo contienen la información de los anexos I, II y III, y la autoridad de control competente es la que determina la cláusula 13.

Para los datos protegidos por el UK GDPR, se aplica junto con esas cláusulas el anexo de transferencia internacional de datos (International Data Transfer Addendum) emitido por el Information Commissioner del Reino Unido. Para los datos protegidos por la legislación suiza, las cláusulas se aplican entendiendo las referencias al RGPD como referencias a la Ley Federal suiza de Protección de Datos, y la autoridad competente es el Comisionado Federal suizo de Protección de Datos y Transparencia.

Cuando nuestros subencargados del tratamiento transfieren datos, se basan en las cláusulas contractuales tipo o en una decisión de adecuación como el Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework).

Solicitudes de los interesados

Usted mismo puede buscar, exportar y eliminar respuestas en Fillio, lo que cubre la mayoría de las solicitudes de las personas que rellenan sus formularios. Si alguien nos pregunta directamente por sus datos en su formulario, le indicamos que contacte con usted, y no respondemos nosotros a la solicitud salvo que la ley lo exija. Si necesita más ayuda para responder a una solicitud, escríbanos y le ayudaremos en la medida en que razonablemente podamos.

Ayuda con sus obligaciones

Teniendo en cuenta la naturaleza del tratamiento y la información de la que disponemos, le prestamos una ayuda razonable con sus obligaciones de seguridad, las evaluaciones de impacto relativas a la protección de datos y las consultas a una autoridad de control que afecten al Servicio.

Violaciones de la seguridad de los datos personales

Si tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a datos personales del cliente, se lo comunicamos sin dilación indebida por correo electrónico a la dirección de su cuenta. Describimos lo ocurrido, los datos y las personas probablemente afectados, las consecuencias probables y las medidas que estamos tomando, y añadimos detalles a medida que sabemos más. Tomamos medidas razonables para contener la violación y limitar sus efectos. Comunicarle una violación no supone que admitamos ninguna culpa.

Usted es responsable de notificarlo a las autoridades de control y a las personas afectadas cuando la ley lo exija, y le ayudamos con la información de la que disponemos.

Eliminación

Los datos personales del cliente se eliminan cuando usted los elimina: una sola respuesta, un formulario con sus respuestas, archivos y registros, o toda su cuenta. En el plan Business, también puede hacer que las respuestas se eliminen solas pasado un tiempo determinado. Las respuestas en curso y las estadísticas de visitas se eliminan pasados 91 días.

Exporte lo que quiera conservar antes de eliminarlo. Tras la eliminación, nuestros proveedores pueden conservar los datos en sus sistemas durante un tiempo limitado antes de que se borren por completo. Solo conservamos los datos durante más tiempo cuando la ley lo exige.

Información y auditorías

Le facilitamos la información que razonablemente necesite para demostrar que se cumple este Acuerdo, a través de esta página, la lista de subencargados del tratamiento y respuestas por escrito a sus preguntas. Nuestro proveedor de alojamiento publica las certificaciones y los informes de auditoría de la infraestructura en la que funciona Fillio.

Si esa información no es suficiente, o si una autoridad de control lo exige, puede auditar nuestro cumplimiento de este Acuerdo, como máximo una vez al año, salvo que una autoridad de control exija más. Avísenos con al menos 30 días de antelación, recurra a un auditor sujeto a confidencialidad y asuma los costes de la auditoría. Una auditoría no puede dar acceso a los datos de otros clientes.

Responsabilidad

Los límites de responsabilidad de los términos se aplican a este Acuerdo, en la medida en que la ley lo permita. No limitan los derechos que la ley otorga a las personas a las que se refieren sus datos.

Duración y cambios

Este Acuerdo se aplica mientras tratemos datos personales del cliente por cuenta de usted. Podemos actualizarlo, por ejemplo cuando cambien nuestros subencargados del tratamiento. La fecha que aparece arriba indica cuándo se modificó por última vez. Si un cambio es significativo, lo comunicaremos a los titulares de cuentas por correo electrónico o en la aplicación antes de que entre en vigor.

Contacto

Preguntas sobre este Acuerdo o sobre los datos personales del cliente: support@fillio.so.