Esta guía es una orientación general, no asesoramiento jurídico. Para tu caso concreto, habla con un delegado de protección de datos o con un abogado.
Por qué es importante con las herramientas de aprobación
Una herramienta de aprobación contiene los nombres y correos electrónicos de quienes aprueban, sus comentarios, las horas de sus decisiones y, a menudo, imágenes o vídeos en los que aparecen personas. Son datos personales en el sentido del RGPD.
¿Quién es el responsable y quién el encargado del tratamiento?
Por regla general, como agencia o freelancer eres responsable ante tus clientes de los datos que subes a la herramienta. El proveedor de la herramienta los trata por encargo tuyo. Para esta situación, el artículo 28 del RGPD exige un contrato de encargo del tratamiento, que puede celebrarse por escrito o en formato electrónico.
Lista de control para elegir una herramienta
- Contrato de encargo del tratamiento: ¿ofrece el proveedor un contrato y lo recibes antes de empezar a usar la herramienta?
- Lugar de almacenamiento: ¿dónde se guardan la base de datos y los archivos? ¿Se indica de forma pública y verificable en el sitio web del proveedor?
- Los proveedores de servicios del proveedor: ¿hay una lista de los subencargados utilizados, incluida su ubicación?
- Terceros países: ¿se transfieren datos a países fuera de la UE y con qué base jurídica?
- Medidas técnicas y organizativas: cifrado, control de acceso, copias de seguridad, supervisión. El proveedor debería poder describirlas.
- Eliminación: ¿qué ocurre con los datos tras el fin del contrato y cuánto tiempo permanecen en las copias de seguridad?
- Acceso de quienes aprueban: ¿necesitan cuenta los clientes? Menos cuentas significan menos credenciales almacenadas.
- La política de privacidad del proveedor: ¿coincide con lo que dice la página de seguridad?
Qué debes hacer tú mismo
- Celebra el contrato de encargo del tratamiento y archívalo.
- Incluye la herramienta en tu registro de actividades de tratamiento, si estás obligado a llevarlo.
- Indica en tu política de privacidad y ante tus clientes que usas una herramienta de este tipo.
- Define internamente quién tiene acceso y protege las cuentas con autenticación en dos pasos cuando la herramienta la ofrezca.
- Define una política de eliminación para los proyectos terminados.
Cómo lo gestiona CLAPPO
Alojado en Alemania: servidores, base de datos y archivos en Hetzner, gestionados por ELMACO. Quienes aprueban no necesitan cuenta. Tras el fin del contrato, los clientes pueden exportar sus datos durante 30 días; después se eliminan; de las copias de seguridad, hasta 30 días más tarde. CLAPPO proporciona un contrato de encargo del tratamiento previa solicitud. Todos los proveedores de servicios, lugares de almacenamiento y garantías figuran en la página de Seguridad, los detalles jurídicos en la política de privacidad.