Acuerdo de Tratamiento de Datos

En este DPA: «Derecho de protección de datos» significa toda norma sobre protección de datos personales aplicable al tratamiento previsto en este DPA, incluidos el RGPD del Reino Unido, el RGPD de la UE, la Data Protection Act 2018 del Reino Unido y toda norma nacional que aplique o complemente el RGPD de la UE o la Directiva (UE) 2019/1937 (la «Directiva de denuncia de irregularidades»), cada una en su versión modificada o sustituida. «Responsable», «encargado», «subencargado», «datos personales», «categorías especiales de datos personales», «tratamiento», «violación de la seguridad de los datos personales», «interesado» y «autoridad de control» tienen el significado que les atribuyen el RGPD del Reino Unido y el RGPD de la UE. «Datos personales del Cliente» significa los datos personales que Provoxis trata como su encargado en virtud de este DPA, descritos en el Anexo I; comprenden el «contenido de las denuncias» —todo lo que un informante envía y todo lo que un gestor de casos añade a un caso— y los «datos del informante» —los datos personales relativos a una persona que envía una denuncia, es nombrada en ella o se ve afectada por ella—. «Cláusulas Contractuales Tipo» o «CCT» significa las cláusulas del Anexo de la Decisión de Ejecución (UE) 2021/914 de la Comisión. «Addéndum del Reino Unido» significa el Addéndum sobre Transferencias Internacionales de Datos a dichas cláusulas emitido por la ICO del Reino Unido con arreglo a la sección 119A de la Data Protection Act 2018, e «IDTA del Reino Unido» significa el Acuerdo autónomo de Transferencia Internacional de Datos de la ICO. «Transferencia restringida» significa una transferencia de datos personales del Cliente a un país para el que no exista una decisión de adecuación pertinente y que el Derecho de protección de datos solo permita con un mecanismo de transferencia del tipo enumerado en el artículo 46 del RGPD del Reino Unido o de la UE. Los términos definidos en las Condiciones del Servicio conservan aquí ese significado, salvo que se indique otra cosa.

Respecto del contenido de las denuncias y de los datos de los informantes enviados a través de su canal de denuncias, usted es el responsable del tratamiento y Provoxis es su encargado. Usted determina los fines y los medios del tratamiento; Provoxis solo trata esos datos para prestar el servicio y únicamente siguiendo sus instrucciones documentadas. Provoxis es responsable independiente, y no su encargado, de un conjunto distinto y limitado de datos comerciales descritos en su Política de Privacidad: los datos de identidad y de cuenta de sus administradores y gestores de casos (nombre, dirección de correo electrónico, rol y datos de autenticación), sus registros de facturación y las estadísticas de visitantes del sitio web. Esos datos se rigen por la Política de Privacidad, no por este DPA. Cuando los datos personales de esas mismas personas formen parte, en cambio, del expediente de un caso —el nombre de un gestor en una nota de caso o una entrada del registro de auditoría—, constituyen datos personales del Cliente y este DPA les resulta de aplicación. Una persona que envía una denuncia a través de su canal es un interesado a los efectos de este DPA, nunca una parte del mismo, y nunca está obligada a aceptarlo.

Sus instrucciones documentadas completas a Provoxis son: (a) estas Condiciones del Servicio, este DPA y la Política de Privacidad; (b) las opciones de configuración que sus administradores establecen en el producto (como las categorías de conducta indebida, los ajustes de conservación dentro de los límites permitidos, la asignación de roles, las retenciones legales y las solicitudes de supresión); y (c) cualquier otra instrucción escrita que usted dé y que las partes acuerden por escrito. El tratamiento de los datos personales del Cliente únicamente dentro de la región asignada a su cuenta, según se describe en la sección 11, forma parte de esas instrucciones. Provoxis tratará los datos únicamente para los fines de operar el canal de denuncias, la gestión de casos, el portal del informante y las notificaciones y el registro asociados descritos en la Política de Privacidad, y no tratará los datos personales del Cliente para sus propios fines ni para los de un tercero. Provoxis le informará si, en su opinión, una instrucción infringe el Derecho de protección de datos, y podrá suspender el tratamiento afectado hasta que la instrucción se confirme o se modifique.

El objeto del tratamiento es la operación de un servicio de recepción de denuncias y gestión de casos en materia de denuncia de irregularidades. Su naturaleza y finalidad, los tipos de datos personales, las categorías de interesados y la frecuencia del tratamiento (continua, durante toda la vigencia de la suscripción) se describen en el Anexo I. El tratamiento se prolonga mientras su suscripción esté activa, y a continuación durante el período adicional necesario para completar las medidas de devolución y supresión de la sección 14.

Provoxis garantiza que toda persona que autoriza a tratar datos personales del Cliente —sea empleado o contratista aprobado— esté sujeta a un deber contractual o legal de confidencialidad adecuado que subsista tras la finalización de su relación, reciba una formación adecuada a su función en materia de protección de datos personales, y solo obtenga acceso en la medida necesaria para operar o dar soporte al servicio. Dentro del producto, el acceso al contenido de las denuncias está restringido por rol y se aplica en la capa de control de acceso de la aplicación, no solo en la interfaz. El personal de Provoxis no accede al contenido de sus casos salvo cuando usted solicita soporte que lo exige, o cuando el acceso es estrictamente necesario para mantener la seguridad o la integridad del servicio; cada uno de esos accesos se limita a lo que la tarea requiere y se registra en el registro de auditoría al que usted tiene acceso.

Provoxis implementa y mantiene las medidas técnicas y organizativas descritas en el Anexo II, teniendo en cuenta el estado de la técnica, los costes de aplicación y los riesgos del tratamiento, en particular el riesgo de que una denuncia contenga datos de categorías especiales o permita identificar a un informante. Provoxis podrá actualizar estas medidas con el tiempo, siempre que no se reduzca el nivel de protección, y facilita una copia actualizada del Anexo II y responde a un cuestionario de seguridad razonable a petición conforme a la sección 13.

Usted otorga a Provoxis una autorización general por escrito para recurrir a los subencargados enumerados en el Anexo III y en el registro de subencargados que figura a continuación. Provoxis impone a cada subencargado obligaciones de protección de datos no menos protectoras que las de este DPA, y sigue siendo plenamente responsable ante usted de su desempeño. Cada subencargado se utiliza únicamente para el flujo de datos específico descrito para él; una nueva finalidad exige una nueva divulgación. Provoxis anunciará cualquier incorporación o sustitución prevista de un subencargado actualizando el registro «Cambios en esta lista» de la misma página, al menos 30 días antes de que el nuevo subencargado comience a tratar datos. Si usted plantea una objeción razonable en materia de protección de datos dentro de ese plazo, las partes trabajarán de buena fe para resolverla. Si no lo logran en un plazo de 30 días, usted podrá resolver la parte del servicio que requiere el subencargado objetado mediante notificación por escrito, y Provoxis reembolsará las tarifas prepagadas correspondientes al período posterior a la resolución respecto de esa parte.

Teniendo en cuenta la naturaleza del tratamiento, Provoxis le asiste mediante medidas técnicas y organizativas adecuadas, en la medida de lo posible, para el cumplimiento de su obligación de responder a las solicitudes de ejercicio de los derechos de los interesados —incluidas las solicitudes de acceso, rectificación, supresión, limitación del tratamiento, portabilidad de los datos, oposición al tratamiento, y el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado. Dado que el contenido de las denuncias y los datos de los informantes permanecen bajo su control, las herramientas principales están en sus manos: sus administradores pueden exportar un expediente completo, establecer o levantar una retención legal y llevar a cabo en cualquier momento una supresión manual de un caso, motivada y registrada, y esta funcionalidad está disponible durante toda la vigencia sin coste adicional. Si un interesado se pone en contacto directamente con Provoxis en relación con datos que Provoxis trata para usted, Provoxis no responderá sobre el fondo, sino que lo remitirá a usted y le trasladará la solicitud sin dilación indebida.

Provoxis le notifica sin dilación indebida, y en todo caso en un plazo de 72 horas, tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a datos que trata para usted. La notificación se envía a los administradores de su cuenta, describe —en la medida de lo conocido, y por fases a medida que se disponga de información— la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas, e identifica un punto de contacto para obtener más información. Una notificación conforme a esta sección no constituye un reconocimiento de culpa o responsabilidad por parte de Provoxis. Provoxis no notifica a una autoridad de control ni a los interesados en su nombre, salvo que usted lo instruya por escrito.

Teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, Provoxis presta una asistencia razonable en cualquier evaluación de impacto relativa a la protección de datos y en cualquier consulta previa a una autoridad de control que usted deba realizar en relación con su uso del servicio. La información de seguridad del Anexo II, el modelo de conservación y la funcionalidad de registro de auditoría están concebidos para apoyar esta tarea.

(a) Ubicación de los datos. Provoxis solo almacena y trata el contenido de las denuncias y los datos de las cuentas del personal en la región asignada a su cuenta. Cada región es una infraestructura autónoma; esos datos no se enrutan a través de otra región ni se replican ni se copian de seguridad en ella. (b) Provoxis como encargado del Reino Unido. Provoxis Ltd está establecida en el Reino Unido y su personal administra y da soporte a cada infraestructura regional desde el Reino Unido; su aceptación de este DPA ordena y autoriza ese acceso. En la fecha de este DPA, la decisión de adecuación de la Comisión Europea de 28 de junio de 2021 relativa al Reino Unido está en vigor, por lo que ese acceso no constituye una transferencia restringida. Si dicha decisión expira, se suspende o no se renueva, las CCT (módulo dos, de responsable a encargado) quedan incorporadas a este DPA por referencia y se aplican desde esa fecha al tratamiento por Provoxis de los datos personales del Cliente de la región de la UE, cumplimentadas como sigue: el Anexo I y el Anexo II de este DPA completan los anexos de las CCT; no se utiliza la cláusula facultativa de acoplamiento (cláusula 7); conforme a la cláusula 9, las partes eligen la autorización general por escrito con el plazo de preaviso de la sección 7; no se utiliza la cláusula facultativa de reparación (cláusula 11); conforme a la cláusula 17, las cláusulas se rigen por el Derecho de Irlanda; conforme a la cláusula 18, los litigios se resuelven ante los tribunales de Irlanda; y la autoridad de control competente se identifica en el Anexo I. (c) Transferencias de los subencargados. Cuando un subencargado del Anexo III trate datos personales del Cliente fuera del Reino Unido y del EEE en relación con un flujo de datos permitido, Provoxis garantiza que esa transferencia queda cubierta por una garantía adecuada conforme al artículo 46 del RGPD del Reino Unido o de la UE —las CCT con el Addéndum del Reino Unido, o el IDTA del Reino Unido— y por una evaluación del riesgo de la transferencia. De los subencargados actuales, AWS (Fráncfort) y Mailgun (infraestructura de la UE) tratan datos en el EEE; Stripe trata datos de facturación principalmente en los Estados Unidos en virtud de sus propias CCT y del Addéndum del Reino Unido. (d) Nuevas transferencias. Provoxis no iniciará ninguna nueva transferencia de datos personales del Cliente a un tercer país sin un mecanismo de transferencia válido y, cuando sea necesario, sin medidas complementarias. (e) Suiza. Cuando el Cliente esté establecido en Suiza, o el tratamiento esté por lo demás sujeto a la Ley Federal suiza de Protección de Datos («LPD»), y se active el mecanismo de reserva previsto en el punto (b), las CCT incorporadas conforme a dicho punto se aplican a esos datos personales del Cliente con las adaptaciones publicadas por el Responsable Federal Suizo de Protección de Datos y Transparencia («FDPIC»): las referencias al RGPD de la UE se entienden como referencias a la LPD en la medida en que la LPD no otorgue un nivel de protección inferior; el término «Estado miembro» se entiende que incluye a Suiza, de modo que un interesado en Suiza pueda hacer valer las Cláusulas en su lugar de residencia habitual; y la autoridad de control competente es el FDPIC.

Si Provoxis recibe una solicitud jurídicamente vinculante de una autoridad pública, incluida una autoridad policial, de divulgación de datos personales del Cliente, Provoxis, salvo prohibición legal: se lo notificará sin dilación indebida y, cuando sea posible, antes de divulgarlos; informará a la autoridad de que Provoxis es un encargado, de que usted no ha autorizado la divulgación y de que la autoridad debe dirigir su solicitud a usted; impugnará una solicitud ilícita, excesivamente amplia o incompatible con la cortesía internacional, y solicitará medidas cautelares cuando estén disponibles; y solo divulgará el mínimo de datos realmente exigido, según una interpretación razonable de la solicitud. Cuando Provoxis tenga prohibido notificárselo, hará esfuerzos razonables para obtener una dispensa de esa prohibición y documentará los esfuerzos realizados para poder ponerlos a su disposición. Provoxis lleva un registro de las solicitudes que recibe y, en la medida en que esté legalmente facultada para ello, le facilita un resumen a petición.

Provoxis pone a su disposición la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 y de este DPA, y permite y contribuye a las auditorías, incluidas las inspecciones, realizadas por usted o por un auditor que usted designe. En primera instancia, Provoxis cumple esto facilitando su documentación de seguridad, un Anexo II cumplimentado y su lista de subencargados a petición y —para los datos que trata para usted— mediante el registro de auditoría accesible al cliente, que registra cada lectura de una denuncia, una nota, un archivo de prueba o una grabación de audio y cada acción privilegiada; cuando Provoxis disponga de un informe de auditoría de un tercero actualizado (como SOC 2 o ISO 27001), facilitar ese informe también satisface una solicitud. Provoxis no dispone actualmente de una certificación SOC 2 ni ISO 27001; la plataforma está construida conforme a los controles de acceso y de evidencia de auditoría que examinan esos marcos, pero Provoxis no reclamará una certificación que no posee. Usted asume sus propios costes de auditoría y reembolsa los costes razonables de tiempo y materiales de Provoxis por apoyar una auditoría in situ que vaya más allá de facilitar documentación. Un auditor que usted designe no debe ser un competidor de Provoxis y debe estar vinculado por obligaciones de confidencialidad al menos tan protectoras como las de este DPA. Una auditoría in situ podrá realizarse como máximo una vez al año (salvo que una autoridad de control exija otra cosa o se haya producido una violación), con un preaviso razonable, en horario laboral, y de forma que no le dé acceso a los datos de otro cliente.

A la expiración o resolución de su suscripción, Provoxis mantiene los datos de las denuncias a su disposición para que usted los exporte, mediante la exportación de expedientes integrada en el producto, durante 30 días. Transcurrido ese plazo, y en todo caso en un plazo de 60 días desde la resolución, Provoxis suprime los datos de las denuncias y las copias existentes e instruye a sus subencargados para que hagan lo mismo, salvo que el Derecho de protección de datos exija conservarlos, en cuyo caso Provoxis aísla y protege esos datos y los suprime cuando cese la exigencia. Por lo demás, la supresión sigue las reglas de conservación descritas en la Política de Privacidad: un caso sujeto a procedimientos judiciales o disciplinarios en curso o razonablemente previsibles se conserva hasta que dichos procedimientos concluyan, y cualquier retención legal que usted haya establecido suspende por completo la supresión. Las copias de seguridad cifradas se purgan en su ciclo rotatorio habitual y no se conservan más allá de él. El contenido de las denuncias, su almacenamiento de objetos y cualquier token de acceso asociado se eliminan de forma permanente, no solo se ocultan. Provoxis confirmará la supresión por escrito a petición.

Provoxis presta la asistencia descrita en las secciones 8 a 13 como parte del servicio. Cuando una solicitud de asistencia sea manifiestamente infundada o excesiva, en particular por su carácter repetitivo, o cuando la necesidad de asistencia derive de su propia acción u omisión, Provoxis podrá cobrar una tarifa razonable basada en su coste administrativo, tras habérselo comunicado y haberle dado la oportunidad de retirar o acotar la solicitud.

Provoxis no vende los datos personales del Cliente y no los utiliza con fines publicitarios ni para sus propios fines comerciales. Provoxis no utiliza el contenido de las denuncias ni los datos de los informantes para entrenar, ajustar o evaluar modelos de aprendizaje automático o de inteligencia artificial. Provoxis podrá crear y utilizar estadísticas agregadas sobre el funcionamiento del servicio (como volúmenes de solicitudes y tasas de error) siempre que no contengan datos personales y no permitan identificarle a usted, a un informante ni a ningún otro interesado.

La responsabilidad de cada parte en virtud del presente DPA o en relación con él está sujeta a las exclusiones y limitaciones de responsabilidad establecidas en las Condiciones del Servicio; todo límite a la responsabilidad agregada de una parte en dichas condiciones se aplica a su responsabilidad conforme a las Condiciones del Servicio y a este DPA considerados conjuntamente, y no como un límite adicional independiente. Nada en este DPA ni en las Condiciones del Servicio limita la responsabilidad de una parte frente a un interesado o una autoridad de control en virtud del Derecho de protección de datos, ni responsabilidad alguna que no pueda limitarse legalmente.

Provoxis mantiene un registro de las actividades de tratamiento que lleva a cabo por cuenta de usted, según exige el artículo 30, apartado 2, del RGPD del Reino Unido y de la UE, y coopera, a petición, con una autoridad de control en el desempeño de sus funciones en relación con dicho tratamiento.

Usted celebra este DPA en su propio nombre y, en la medida en que lo exija el Derecho de protección de datos, en nombre y por cuenta de sus empresas afiliadas cuyos datos personales se tratan a través de su cuenta. Usted sigue siendo el punto de contacto único para todas las instrucciones, solicitudes y comunicaciones con Provoxis en virtud de este DPA, y es responsable de los actos y omisiones de esas empresas afiliadas como si fueran propios. La responsabilidad total combinada de Provoxis frente a usted y a todas esas empresas afiliadas está sujeta a la sección 17.

Las notificaciones en virtud de este DPA se hacen por escrito. Provoxis le notifica por correo electrónico a los administradores de su cuenta, o a través del producto; usted notifica a Provoxis en support@provoxis.com. Una notificación se considera recibida el día de su envío si es un día hábil y, en caso contrario, el siguiente día hábil. Es su responsabilidad mantener actualizados sus datos de contacto registrados.

Provoxis podrá actualizar este DPA de vez en cuando, por ejemplo para reflejar un cambio legislativo, un nuevo subencargado, un cambio en el servicio o un nuevo mecanismo de transferencia. Para una modificación que no reduzca sustancialmente sus derechos ni aumente sustancialmente sus obligaciones, Provoxis actualiza la fecha de «última actualización» anterior. Para una modificación que sí lo haga, Provoxis lo notificará a los administradores de su cuenta con al menos 30 días de antelación a su entrada en vigor; si usted notifica a Provoxis dentro de ese plazo que se opone y las partes no llegan a acordar una alternativa, usted podrá resolver el servicio afectado mediante notificación por escrito antes de que la modificación entre en vigor, y Provoxis reembolsará las tarifas prepagadas correspondientes al período posterior a la resolución. El uso continuado del servicio después de que una modificación entre en vigor constituye su aceptación. Una modificación exigida por la ley surte efecto en la fecha que la ley exija.

Este DPA surte efecto cuando usted acepta las Condiciones del Servicio y continúa mientras Provoxis trate datos personales del Cliente para usted. La sección 14 (devolución y supresión), la sección 17 (responsabilidad) y toda disposición que por su naturaleza esté destinada a subsistir, subsisten tras la resolución hasta su plena ejecución.

Este DPA se rige por la legislación que rige las Condiciones del Servicio, y los mismos tribunales son competentes, salvo cuando se apliquen las CCT conforme a la sección 11(b), en cuyo caso prevalecen sus propias cláusulas de legislación aplicable y de foro para las materias que regulan. Nada en esta sección priva a un interesado de la protección del Derecho imperativo de su país de residencia.

Usted garantiza, mientras utilice el servicio, que: ha establecido y opera su canal de denuncias de conformidad con el Derecho de protección de datos y con la norma nacional que transpone la Directiva de denuncia de irregularidades que le resulta aplicable; dispone de una base jurídica válida para el tratamiento que instruye a Provoxis para que lleve a cabo, incluidos los datos de categorías especiales o relativos a infracciones penales que una denuncia pueda contener; ha realizado cualquier evaluación de impacto relativa a la protección de datos que la ley le exija antes de poner en uso su canal; y ha facilitado a las personas que puedan utilizar su canal —los informantes y, cuando proceda, las personas objeto de una denuncia y los testigos— la información sobre el tratamiento exigida por los artículos 13 y 14 del RGPD del Reino Unido y de la UE, incluido el hecho de que Provoxis actúa como su encargado. Usted es responsable de las opciones de configuración, los ajustes de conservación, la asignación de roles y las retenciones legales que establezcan sus administradores, y de mantener actualizados los datos de sus administradores y contactos de la cuenta para que le lleguen las notificaciones previstas en este DPA. Provoxis se basa en estas garantías para prestar el servicio.

Esta sección solo se aplica cuando, y en la medida en que, los datos personales del Cliente estén sujetos a una ley de privacidad de un estado de los Estados Unidos, como la California Consumer Privacy Act en su versión modificada por la California Privacy Rights Act («CCPA»). Respecto de esos datos, Provoxis actúa como su «proveedor de servicios» (o «encargado» cuando se utilice ese término), y no como un «tercero». Provoxis trata esos datos únicamente para prestar el servicio siguiendo sus instrucciones y para ningún otro fin; no los «vende» ni los «comparte»; no los conserva, utiliza ni divulga fuera de la relación comercial directa con usted ni para un fin distinto del servicio; y no los combina con información personal de otra fuente, salvo en la medida en que lo permita un fin comercial autorizado. Provoxis le comunicará si determina que ya no puede cumplir sus obligaciones en virtud de la ley aplicable, y usted podrá adoptar medidas razonables para detener y subsanar cualquier tratamiento no autorizado. Provoxis certifica que comprende y cumplirá las restricciones establecidas en esta sección. Nada en esta sección convierte a Provoxis en el responsable o la «empresa» respecto de esos datos, ni extiende una ley de un estado de los Estados Unidos a un tratamiento que dicha ley no regule con arreglo a sus propios términos.

A. Partes y funciones. El Responsable es el Cliente: la organización identificada en el registro de la cuenta de Provoxis, que actúa como responsable del contenido de las denuncias y de los datos de los informantes enviados a través de su canal de denuncias. El Encargado es Provoxis Ltd, número de sociedad 17472067, domicilio social Grosvenor House, 3 Chapel Street, Congleton, England, CW12 4AB, que actúa como encargado del Cliente respecto de esos datos. Puntos de contacto: para el Cliente, sus administradores de cuenta según consten en la cuenta; para Provoxis, support@provoxis.com. B. Descripción del tratamiento. Categorías de interesados: personas que envían una denuncia a través del canal de denuncias de un cliente (informantes), identificadas o anónimas; personas nombradas o descritas en una denuncia (incluida la persona objeto de una alegación y los posibles testigos); y los propios administradores y gestores de casos del cliente, en la medida en que se registren sus acciones sobre un caso. Categorías de datos personales: el contenido de texto libre de una denuncia; los anexos probatorios opcionales; una grabación de audio anonimizada cuando se utiliza el canal oral; los mensajes intercambiados entre un informante y un gestor de casos; los metadatos del caso (código de referencia, categoría, estado, marcas de tiempo, plazos de SLA); y cualquier dato de identidad o de contacto que un informante decida facilitar. Categorías especiales de datos personales (artículo 9): una denuncia puede, por su naturaleza, revelar el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, datos de salud o datos relativos a la vida sexual o la orientación sexual, y —dado que el canal oral capta la voz de una persona— puede incluir datos biométricos; también pueden tratarse datos personales relativos a condenas e infracciones penales o a alegaciones conexas (artículo 10). Las garantías aplicadas a esos datos figuran en el Anexo II. Frecuencia del tratamiento: continua, durante toda la vigencia de la suscripción. Naturaleza y finalidad: recibir, acusar recibo, clasificar, investigar y responder a denuncias de conductas indebidas en el marco del programa de denuncia de irregularidades del Cliente y de la Directiva de denuncia de irregularidades o de una norma nacional equivalente, y conservar los registros resultantes durante los períodos exigidos. Duración: el plazo de la suscripción, más el período de devolución y supresión de la sección 14, con sujeción a las reglas de conservación descritas en la Política de Privacidad y a cualquier límite de conservación impuesto por la norma nacional que transponga la Directiva de denuncia de irregularidades aplicable al Cliente. C. Autoridad de control competente. Cuando se apliquen las CCT conforme a la sección 11(b), la autoridad de control competente es la del Estado miembro de la UE en el que el Cliente esté establecido o, cuando el Cliente haya designado un representante conforme al artículo 27 del RGPD de la UE, la del Estado miembro del representante; cuando el Cliente no esté establecido en la UE y no haya designado tal representante, la autoridad de control del Estado miembro en el que esté establecido el propio representante de Provoxis conforme al artículo 27 ([GDPR ART. 27 EU REPRESENTATIVE — NOT YET APPOINTED]).

Residencia y aislamiento de los datos: cada cliente se vincula en el aprovisionamiento a una única región y se enruta a ella en la capa de DNS y de borde; los servidores de aplicación, la base de datos, la caché, los workers de cola y el almacenamiento de objetos constituyen una infraestructura completa e independiente por región, y los datos de las denuncias nunca se enrutan a través de otra región ni se replican en ella. Cifrado: el texto de la denuncia y los posibles campos de identidad del informante, junto con su dirección de notificación opcional, se cifran en reposo a nivel de aplicación; los archivos de prueba y las grabaciones de audio se cifran en reposo con una clave de cifrado de datos propia del cliente, protegida por un servicio regional de gestión de claves; la base de datos está además protegida mediante cifrado a nivel de disco; todo el tráfico hacia y desde el servicio se cifra en tránsito mediante TLS. Control de acceso: cada usuario dispone de una cuenta individual nominativa, autenticada por cliente; una vez enviada, el contenido de una denuncia es visible para cualquier miembro autenticado del equipo del cliente correspondiente, quedando la asignación de casos, la retención legal, la supresión manual y los cambios en las reglas de control de acceso reservados a los administradores del cliente, mientras que los cambios cotidianos del estado del caso y del nivel de conservación están disponibles para cualquier miembro autenticado del equipo. Una denuncia enviada de forma anónima no recoge ningún campo de identidad —y no simplemente oculto—, de modo que no hay nada que exponer, independientemente de qué miembro del equipo la consulte. Seguridad del personal: cuentas individuales nominativas con autenticación multifactor en todo acceso administrativo de Provoxis, autorización con privilegios mínimos, sin credenciales compartidas, proceso de altas y bajas, y verificación de antecedentes del personal con acceso a producción en la medida en que sea lícito. Desarrollo seguro: revisión de código por pares, análisis de dependencias y análisis estático, gestión de cambios, entornos separados y ausencia de contenido de denuncias de producción en los entornos de desarrollo o de pruebas. Gestión de vulnerabilidades: aplicación periódica de parches, análisis de vulnerabilidades periódicos y pruebas de penetración de la plataforma por un tercero al menos una vez al año, con corrección de los hallazgos importantes según una priorización basada en el riesgo. Registro y supervisión: registro centralizado de la infraestructura y de la aplicación dentro de la región y alertas ante accesos anómalos o privilegiados. Trazabilidad: un registro de auditoría inalterable registra cada lectura del contenido de una denuncia y cada acción privilegiada (retención legal establecida o levantada, supresión manual, cambio de reglas de conservación o de control de acceso, exportación del registro de auditoría). Minimización de datos: no se exige ningún campo de identidad para enviar una denuncia; los metadatos identificativos (EXIF/GPS, autor del documento e historial de revisiones) se eliminan de los archivos de prueba subidos en el lado del servidor en el momento de la subida, sin conservar ninguna copia sin depurar. Denuncias orales: el audio se somete internamente a un desplazamiento de tono y formantes antes de su almacenamiento; la grabación original nunca se conserva y no se utiliza ningún servicio de transcripción de terceros. Respuesta a incidentes: un plan documentado con funciones definidas, notificación al cliente conforme a la sección 9 y una revisión posterior al incidente. Resiliencia y continuidad: copias de seguridad cifradas y automatizadas de la base de datos por región con pruebas de restauración periódicas; el servicio funciona con una única instancia por región sin conmutación por error automática y no ofrece compromiso alguno de tiempo o punto de recuperación más allá de una recuperación basada en copias de seguridad. Organizativas: obligaciones de confidencialidad para todo el personal, formación en protección de datos, acceso con privilegios mínimos para el personal de soporte y un registro documentado de subencargados mantenido sincronizado con producción, con cláusulas contractuales no menos protectoras que este DPA.

Los subencargados autorizados actuales, su finalidad y sus ubicaciones de tratamiento figuran en el registro de subencargados que figura a continuación, que forma parte de este Anexo. En la fecha de última actualización de este DPA son: Amazon Web Services (alojamiento en la nube, almacenamiento cifrado de pruebas y grabaciones de audio, gestión de claves y DNS; tratamiento en el EEE en Fráncfort); Stripe (facturación de suscripciones y procesamiento de tarjetas de pago; principalmente en los Estados Unidos, en virtud de sus propias Cláusulas Contractuales Tipo y del Addéndum del Reino Unido); y Mailgun (entrega de correo electrónico transaccional, desde infraestructura de la UE, que solo contiene metadatos del caso y un enlace de vuelta al producto, nunca el contenido completo de una denuncia). Los cambios se rigen por la sección 7 y se recogen en el registro «Cambios en esta lista» de la misma página.

Las preguntas sobre este DPA, o una solicitud de copia firmada, pueden enviarse a support@provoxis.com. El Delegado de Protección de Datos de Provoxis es [DATA PROTECTION OFFICER — NOT YET APPOINTED / REQUIREMENT NOT YET DETERMINED]. El representante de Provoxis en la Unión Europea a efectos del artículo 27 del RGPD de la UE es [GDPR ART. 27 EU REPRESENTATIVE — NOT YET APPOINTED].