Contrato de encargo del tratamiento
Versión 1.0 · Anexo a las condiciones de contratación de VideoConecta.
1. Partes
- Responsable del tratamiento («el cliente»): la persona o empresa que contrata VideoConecta, con los datos que facilita al contratar.
- Encargado del tratamiento («el proveedor»): GADSHARE, S.L., NIF B42619395, con domicilio en C/ Fadrins, 1, 03440 Ibi (Alicante), España. Contacto para protección de datos: privacidad@videoconecta.com.
Este contrato cumple el artículo 28 del Reglamento (UE) 2016/679 (RGPD) y el artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD). Forma parte de las condiciones de contratación: el cliente lo acepta al contratar el servicio, y está vigente mientras dure la suscripción.
2. Objeto
El proveedor trata datos personales por cuenta del cliente con el único fin de prestar el servicio VideoConecta en la web del cliente: mostrar la caja de ayuda, poner en contacto por videollamada a los visitantes con los agentes del cliente, recoger las solicitudes de «te llamamos» y permitir al cliente gestionar sus agentes.
3. Datos tratados e interesados
| Visitantes de la web del cliente |
Dirección IP y datos técnicos de la conexión (necesarios para establecer la llamada). Página de la web del cliente en la que se encuentra el visitante, sin parámetros de la dirección. Imagen y voz durante la videollamada: se transmiten en directo, cifradas de extremo a extremo entre los navegadores. No se graban ni se almacenan, y el proveedor no tiene acceso a su contenido. Mensajes del chat con el agente: se reenvían a través del servidor, cifrados con TLS, y no se guardan. Si el visitante pide que le llamen: nombre, teléfono, mensaje opcional, página y fecha de su consentimiento. |
|---|---|
| Agentes del cliente (sus empleados o colaboradores) | Nombre, email, contraseña (guardada solo como resumen cifrado, nunca en claro), fecha del último acceso y su foto, que el agente sube o toma con su cámara desde el panel (puede omitirla). La foto y el nombre se muestran a los visitantes en la invitación del widget, y se borran al eliminar al agente. |
No se tratan categorías especiales de datos, salvo las que el visitante decida comunicar oralmente durante la llamada, que no se registran.
4. Instrucciones del cliente
El proveedor trata los datos únicamente siguiendo las instrucciones documentadas del cliente, que son las de este contrato y las que el cliente configura en su panel. No los utiliza para fines propios ni los comunica a terceros, salvo obligación legal. Si una instrucción le parece contraria al RGPD, lo comunicará al cliente de inmediato.
5. Obligaciones del proveedor
- Confidencialidad: las personas autorizadas para tratar los datos se comprometen a mantener su confidencialidad.
- Seguridad (art. 32 RGPD): aplica, como mínimo, las medidas del apartado 8.
- Derechos de los interesados: si un visitante o agente ejerce sus derechos ante el proveedor, el proveedor lo trasladará al cliente en un plazo máximo de 5 días hábiles. Además, le ayudará a responder, por ejemplo borrando a petición del cliente una solicitud de «te llamamos» o los datos de un agente.
- Brechas de seguridad: el proveedor notificará al cliente cualquier brecha que afecte a sus datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento. Le facilitará la información disponible para que el cliente pueda, si procede, notificarla a la autoridad de control y a los interesados.
- Colaboración: ayudará al cliente con las evaluaciones de impacto y las consultas previas que procedan, en la medida de la información de que disponga.
- Demostrar el cumplimiento: pondrá a disposición del cliente la información necesaria para demostrar el cumplimiento de este contrato, y permitirá auditorías razonables con un preaviso de 30 días. Los gastos de la auditoría corren a cargo del cliente.
6. Subencargados
El cliente autoriza de forma general al proveedor a recurrir a los siguientes subencargados:
| IONOS SE (Alemania) | Alojamiento del servidor de VideoConecta: señalización de las llamadas, retransmisión cifrada (TURN) y datos de agentes y de «te llamamos». Centro de datos en España. |
|---|
El proveedor informará al cliente, con al menos 30 días de antelación, de cualquier cambio o nuevo subencargado. Durante ese plazo, el cliente podrá oponerse y, si no se alcanza una solución, cancelar la suscripción sin penalización. El proveedor impone a cada subencargado las mismas obligaciones de protección de datos que este contrato.
7. Transferencias internacionales
Los datos se tratan en España, dentro de la Unión Europea, y no se transfieren fuera del Espacio Económico Europeo. Si en algún momento fuera necesaria otra transferencia internacional, el proveedor solo la realizará con las garantías del capítulo V del RGPD, como las cláusulas contractuales tipo, e informará previamente al cliente.
8. Medidas de seguridad
- El audio y el vídeo de las llamadas viajan cifrados de extremo a extremo (DTLS-SRTP). No existe función de grabación.
- Todas las comunicaciones con el servidor van cifradas con TLS (https y wss).
- Separación entre clientes: cada cliente tiene su clave y sus dominios autorizados, y sus agentes solo ven a sus visitantes.
- Las contraseñas de los agentes se guardan como resumen cifrado (scrypt). Las sesiones caducan a las 12 horas y se limitan los intentos de acceso fallidos.
- Las credenciales de retransmisión (TURN) son temporales y distintas para cada llamada.
- Minimización: al agente solo se le muestra la página visitada sin parámetros, y las solicitudes de «te llamamos» se borran automáticamente a los 30 días.
- El servidor solo admite acceso de administración mediante clave criptográfica (SSH) y está protegido por cortafuegos.
9. Obligaciones del cliente
- Informar a los visitantes de su web del uso de VideoConecta en su propia política de privacidad, enlazarla en el widget y contar con una base legal para el tratamiento. El widget permite al visitante ver al agente sin compartir nada, y pide su consentimiento expreso antes de activar su micrófono o su cámara.
- Informar a sus agentes de que su imagen se muestra en directo a los visitantes y, si suben foto, de que se publica en la invitación del widget.
- Dar instrucciones conformes con el RGPD y supervisar el tratamiento.
- Custodiar las contraseñas de sus agentes y dar de baja a los que dejen de necesitar acceso.
10. Fin del encargo
Cuando termine la suscripción, el proveedor suprimirá los datos personales tratados por cuenta del cliente: agentes y solicitudes de «te llamamos». Lo hará en un plazo máximo de 30 días, salvo que el cliente pida antes su devolución o que una ley obligue a conservarlos. En ese caso, los mantendrá bloqueados mientras dure la obligación.
11. Responsabilidad
Si el proveedor trata los datos para fines distintos de los pactados o incumple este contrato, será considerado responsable del tratamiento respecto a esos datos y responderá de las infracciones en que haya incurrido.