Anexo de tratamiento de datos

1. Ámbito y aceptación

1.1. El presente Anexo de tratamiento de datos («DPA») forma parte de los Términos del servicio celebrados entre Vision Digitale TI Inc. («VDTI», «Encargado del tratamiento») y el Cliente empresarial («Cliente», «Responsable del tratamiento»).

1.2. Se aplica cuando VDTI trata Datos Personales del Cliente por cuenta del Cliente y una Normativa de Protección de Datos es aplicable a ese tratamiento. «Normativa de Protección de Datos» significa, según corresponda: el RGPD (Reglamento (UE) 2016/679); el RGPD del Reino Unido y la Ley de Protección de Datos del Reino Unido de 2018 (Data Protection Act 2018); la Ley Federal suiza de Protección de Datos; la Ley sobre la protección de la información personal en el sector privado de Quebec; la Ley de Protección de la Información Personal y los Documentos Electrónicos de Canadá (PIPEDA); y las leyes estatales de privacidad de EE. UU., incluida la Ley de Privacidad del Consumidor de California (California Consumer Privacy Act).

1.3. El Cliente acepta el presente DPA al aceptar los Términos. El Cliente que necesite un ejemplar firmado por ambas partes puede solicitarlo a privacy@nodelodge.com.

2. Definiciones

• Datos Personales del Cliente: los datos personales contenidos en el Contenido del Cliente que VDTI trata por cuenta del Cliente.
• Subencargado del tratamiento: un tercero contratado por VDTI que puede tratar Datos Personales del Cliente, incluidos los socios de infraestructura Secure y los Anfitriones Community.
• Violación de la seguridad de los datos personales: toda violación de la seguridad que ocasione la destrucción, pérdida o alteración accidental o ilícita de Datos Personales del Cliente, o la comunicación o el acceso no autorizados a dichos datos, incluido un «incidente de confidencialidad» en el sentido del derecho de Quebec.
• CCT: las cláusulas contractuales tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión.
• Addendum del Reino Unido: el International Data Transfer Addendum a las CCT emitido por el Information Commissioner del Reino Unido.

Los demás términos con mayúscula inicial tienen el significado que les atribuyen los Términos o la Normativa de Protección de Datos.

3. Funciones

3.1. Respecto de los Datos Personales del Cliente, el Cliente es el responsable del tratamiento (o un encargado del tratamiento que actúa por cuenta de su propio responsable) y VDTI es el encargado del tratamiento, o el proveedor de servicios (service provider) conforme a las leyes estatales de EE. UU.

3.2. Respecto de los datos de cuenta, facturación, seguridad y del sitio web, VDTI es un responsable del tratamiento independiente, según se describe en la Política de privacidad. El presente DPA no se aplica a esos datos.

4. Instrucciones

4.1. VDTI trata los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, que son los Términos, el presente DPA y el uso y la configuración del Servicio por parte del Cliente, incluidos el nivel y el país de cada Sesión. VDTI sigue otras instrucciones escritas que sean coherentes con los Términos.

4.2. Si la ley obliga a VDTI a tratar los Datos Personales del Cliente de otro modo, VDTI informa previamente al Cliente, salvo que la ley lo prohíba.

4.3. VDTI informa al Cliente si, en su opinión, una instrucción infringe la Normativa de Protección de Datos.

4.4. En su calidad de proveedor de servicios conforme a las leyes estatales de EE. UU., VDTI no vende ni comparte los Datos Personales del Cliente, no los conserva, utiliza ni comunica fuera de la relación comercial directa con el Cliente ni para ninguna finalidad distinta de la prestación del Servicio, y no los combina con otros datos, salvo en la medida en que dichas leyes lo permitan.

4.5. El Cliente es responsable de la licitud de sus instrucciones, incluidas su base jurídica, la información facilitada a los interesados y la elección del nivel y del país. El Cliente no tratará en Community las categorías de datos enumeradas en la sección 5 de las Condiciones del servicio Community.

5. Confidencialidad y seguridad

5.1. VDTI garantiza que las personas autorizadas para tratar Datos Personales del Cliente están sujetas a una obligación de confidencialidad.

5.2. VDTI aplica las medidas técnicas y organizativas del Anexo 2. Puede actualizarlas, siempre que el nivel global de protección no disminuya.

5.3. El Cliente reconoce las características de seguridad de cada nivel descritas en las Condiciones del servicio Secure y Community, en particular que un Anfitrión Community conserva el acceso físico y de administrador a su máquina.

6. Subencargados del tratamiento

6.1. El Cliente otorga a VDTI una autorización general para contratar Subencargados del tratamiento. Los Subencargados del tratamiento vigentes figuran por categoría y país en nuestra página de Subencargados del tratamiento, que constituye el Anexo 3. Los Anfitriones Community se contratan por Sesión, entre el conjunto de Anfitriones revisados en el país que elige el Cliente.

6.2. VDTI impone a cada Subencargado del tratamiento, mediante contrato escrito, obligaciones de protección de datos que ofrecen al menos el mismo nivel de protección que el presente DPA, en la medida aplicable a su servicio. VDTI sigue siendo responsable ante el Cliente del cumplimiento de dichas obligaciones por parte de sus Subencargados del tratamiento.

6.3. VDTI avisa con al menos 30 días de antelación antes de que una nueva categoría de Subencargado del tratamiento, o un Subencargado del tratamiento en un nuevo país, comience a tratar Datos Personales del Cliente, actualizando la página de Subencargados del tratamiento y su canal, y por correo electrónico a los Clientes que se hayan suscrito. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si las partes no logran resolver la oposición, el Cliente puede dejar de utilizar la parte afectada del Servicio, o resolver los Términos y obtener el reembolso del Crédito comprado no utilizado.

7. Violación de la seguridad de los datos personales

7.1. VDTI notifica al Cliente sin dilación indebida, y a más tardar 48 horas después de haber tenido conocimiento de una Violación de la seguridad de los datos personales.

7.2. La notificación describe, en la medida en que se conozcan, la naturaleza de la violación, las categorías y el número aproximado de personas y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas, e indica un punto de contacto. VDTI la completa a medida que dispone de información.

7.3. VDTI anota toda Violación de la seguridad de los datos personales en su registro de incidentes y asiste al Cliente en sus propias notificaciones.

7.4. Una notificación no constituye un reconocimiento de culpa.

8. Asistencia

8.1. Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, VDTI asiste al Cliente en la respuesta a las solicitudes de las personas que ejercen sus derechos, en las evaluaciones de impacto relativas a la protección de datos y a la privacidad y en las consultas previas, así como en el cumplimiento de sus obligaciones en materia de seguridad y de violaciones de datos.

8.2. VDTI no accede al Contenido del Cliente. Las solicitudes relativas a los Datos Personales del Cliente las atiende el Cliente directamente en sus Máquinas, mientras se ejecuta la Sesión.

9. Transferencias internacionales

9.1. Los Datos Personales del Cliente se tratan en el país de la Máquina que elige el Cliente, indicado antes del lanzamiento, y transitan por el relé de Sesiones y por los operadores de red entre el Cliente y la Máquina.

9.2. Transferencias desde la UE. En la medida en que el tratamiento realizado por VDTI implique una transferencia de Datos Personales del Cliente sujetos al RGPD a un país que no cuente con una decisión de adecuación, las CCT se incorporan por referencia: el Módulo 2 cuando el Cliente es responsable del tratamiento, el Módulo 3 cuando es encargado del tratamiento. Se aplica la cláusula 7. Conforme a la cláusula 9, letra a), se aplica la opción 2, con el plazo de preaviso de la sección 6.3. No se aplica la redacción opcional de la cláusula 11, letra a). Conforme a las cláusulas 17 y 18, se aplican el derecho y los tribunales de Irlanda. El Anexo I se completa con el Anexo 1 del presente DPA, el Anexo II con el Anexo 2 y el Anexo III con la página de Subencargados del tratamiento. Las transferencias a Canadá se basan en la decisión de adecuación relativa a Canadá.

9.3. Transferencias desde el Reino Unido. Para las transferencias sujetas al RGPD del Reino Unido, se aplica el Addendum del Reino Unido, completado con la información del presente DPA. Cualquiera de las partes puede ponerle fin según lo permita su Tabla 4.

9.4. Transferencias desde Suiza. Para las transferencias sujetas a la Ley Federal suiza de Protección de Datos, las CCT se aplican con las adaptaciones que exige el Comisionado Federal de Protección de Datos e Información de Suiza: el Comisionado es la autoridad competente, y «Estado miembro» incluye a Suiza.

9.5. Transferencias desde Quebec. Antes de comunicar Datos Personales del Cliente fuera de Quebec, VDTI realiza la evaluación de impacto relativa a la privacidad que exige el derecho de Quebec para sus propias comunicaciones a los Subencargados del tratamiento, y se basa en un acuerdo escrito con cada uno de ellos.

10. Auditorías

10.1. Previa solicitud por escrito, como máximo una vez al año, VDTI facilita la información razonablemente necesaria para demostrar el cumplimiento del presente DPA, como una descripción de sus medidas y las respuestas a un cuestionario de seguridad.

10.2. Si dicha información no es suficiente, o si una autoridad de control lo exige, el Cliente puede realizar una auditoría a su propio cargo, con un preaviso de 30 días, en horario laboral, con sujeción a confidencialidad, sin acceso a los datos de otros clientes ni a las instalaciones de los Subencargados del tratamiento más allá de lo que permitan sus propias condiciones. Las partes acuerdan previamente su alcance.

11. Supresión y devolución

11.1. El Contenido del Cliente se suprime al final de cada Sesión: las Máquinas Secure y sus discos se suprimen en el socio y se confirma la supresión; los discos de trabajo Community se vuelven ilegibles mediante el borrado de su clave de cifrado y, a continuación, se suprimen. VDTI no conserva ninguna copia de seguridad de las Máquinas.

11.2. El Cliente copia los datos que necesita antes del final de cada Sesión. VDTI no conserva ningún Dato Personal del Cliente después del final de una Sesión, salvo cuando la ley lo exija.

12. Responsabilidad, duración y prelación

12.1. Las limitaciones de responsabilidad de los Términos se aplican al presente DPA, salvo cuando la Normativa de Protección de Datos o las CCT no lo permitan.

12.2. El presente DPA permanece vigente mientras VDTI trate Datos Personales del Cliente.

12.3. En caso de conflicto entre el presente DPA y los Términos, prevalece el presente DPA. En caso de conflicto con las CCT o con el Addendum del Reino Unido, prevalecen estos.

Anexo 1. Descripción del tratamiento

Anexo 2. Medidas técnicas y organizativas

Todas las Sesiones

• Cada Sesión se ejecuta en una máquina virtual dedicada, con sus GPU asignadas únicamente a esa VM.
• Acceso SSH con la clave pública del Cliente, instalada solo para esa Sesión. VDTI no instala ninguna clave propia y no inicia sesión.
• Puerto TCP 25 saliente bloqueado.
• Detención en función del Presupuesto y supresión al final de cada Sesión; supresiones confirmadas y reintentadas hasta su confirmación; máquinas residuales detectadas y suprimidas.

Secure

• Máquinas en centros de datos de socios con control de acceso físico.
• Cortafuegos delante de cada Máquina, que solo admite conexiones SSH entrantes desde la dirección o el rango IP del Cliente.

Community

• Una micro-VM por Sesión, aislada (jail) en el anfitrión, con la GPU asignada exclusivamente a ella mediante passthrough.
• Imagen del sistema firmada, de solo lectura y verificada bloque a bloque.
• Disco de trabajo cifrado dentro de la VM; la clave la entrega la plataforma a través de un túnel cifrado, nunca se escribe en el disco del anfitrión y se destruye al final de la Sesión.
• Ningún puerto entrante en el anfitrión; acceso a través del relé de Node Lodge.
• Anfitriones revisados antes de su inclusión en el catálogo; prohibición contractual de acceder a las Sesiones; registros de red limitados a metadatos para la gestión de abusos.

Plataforma

• Plataforma y base de datos alojadas en Canadá; base de datos no expuesta a internet; administración de los servidores únicamente a través de una red privada.
• Cifrado en tránsito para el sitio web, la consola, la API, los agentes y el relé.
• Contraseñas convertidas en hash con argon2id; tokens, enlaces, códigos de emparejamiento, claves de API y códigos de recuperación almacenados como hashes; secretos del autenticador cifrados con AES-256-GCM.
• Autenticación de dos factores obligatoria para los administradores de VDTI, un segundo factor reciente, un motivo y una entrada de auditoría para cada cambio administrativo.
• Cookie de sesión HttpOnly, Secure, SameSite=Strict, restringida a nuestro host; comprobaciones de origen contra las solicitudes entre sitios.
• Claves de API limitadas por ámbito, vencimiento, límites de gasto y límites de concurrencia.
• Registro de actividad y libro de cuentas de solo anexión.
• Registros depurados de contraseñas, cookies, cabeceras de autorización, firmas y tokens.
• Copias de seguridad diarias de la base de datos con una copia externa en un bucket privado, bajo una clave limitada a ese bucket.
• Seguimiento de incidentes, un interruptor de emergencia para los nuevos lanzamientos Secure y un registro de incidentes de confidencialidad.

Anexo 3. Subencargados del tratamiento

Consulte la página de Subencargados del tratamiento.