1. Objeto y calificación de las partes
El presente acuerdo regula el tratamiento de datos de carácter personal que el Creador (el « Responsable del tratamiento ») recolecta de sus Respondientes mediante los formularios que publica en Meliform, y que Kassim MONDOHA (el « Subcontratista ») trata por su cuenta.
No se aplica no a los datos de la cuenta del propio Creador, para los cuales el Subcontratista actúa como responsable del tratamiento: éstos están cubiertos por la política de privacidad.
2. Descripción del tratamiento (art. 28 § 3 del RGPD)
| Elemento | Descripción |
|---|---|
| Objeto | Alojamiento y puesta a disposición de un servicio de creación, difusión y análisis de formularios en línea |
| Naturaleza de las operaciones | Recolección, registro, organización, estructuración, conservación, consulta, puesta a disposición, eliminación |
| Finalidad | Permitir al Responsable del tratamiento recolectar y explotar las respuestas a sus formularios |
| Duración | Duración de la cuenta del Responsable del tratamiento, o hasta la supresión de los formularios y las respuestas correspondientes |
| Tipos de datos | Respuestas a las preguntas planteadas, puntuación y avance, registro de tiempo, duración de participación, identidad y dirección de correo electrónico del Respondiente cuando el formulario los solicita o cuando el Respondiente está conectado |
| Categorías de personas | Respondientes a los formularios del Responsable del tratamiento (alumnos, candidatos, clientes, miembros, visitantes…) |
El Responsable del tratamiento determina solo las preguntas planteadas y, por consecuencia, las categorías de datos realmente recolectados.
3. Sus obligaciones como responsable del tratamiento
Usted se compromete a:
- disponer de una base legal válida para cada recolección que realice (consentimiento, contrato, obligación legal, interés legítimo…);
- informar a sus Respondientes, antes de que respondan, de la identidad del responsable, de las finalidades, de los destinatarios, de las duraciones de conservación y de sus derechos — la descripción o la página de introducción de su formulario es el lugar apropiado;
- no recolectar más que los datos estrictamente necesarios para su finalidad (principio de minimización);
- no recolectar datos sensibles (artículo 9 del RGPD) ni infracciones (artículo 10) sin respetar las condiciones específicas que se les aplican;
- responder a las solicitudes de ejercicio de derechos de sus Respondientes, dentro de los plazos legales;
- documentar sus instrucciones y no usar el Servicio más que conforme a las condiciones de uso;
- mantener su registro de actividades de tratamiento cuando esté obligado a ello;
- eliminar las respuestas que ya no necesite.
4. Nuestras obligaciones como subcontratista
Nos comprometemos a:
- tratar los datos solo siguiendo sus instrucciones documentadas — el uso que usted hace del Servicio y el presente acuerdo valen como instrucciones — salvo obligación legal, en cuyo caso le informaremos previamente, salvo prohibición legal;
- advertirle si una instrucción nos parece constituir una violación del RGPD;
- no usar las respuestas recolectadas para nuestros propios fines: no se explotan comercialmente, no se ceden, ni se utilizan para entrenar modelos de inteligencia artificial;
- velar por que las personas autorizadas para tratar los datos estén sometidas a una obligación de confidencialidad;
- implementar las medidas de seguridad descritas en el artículo 5;
- respetar las condiciones aplicables al recurso a un subcontratista posterior (artículo 6);
- asistirle en el cumplimiento de sus obligaciones (artículo 7);
- restituir o eliminar los datos al término del servicio (artículo 9);
- poner a su disposición la información necesaria para demostrar el cumplimiento del artículo 28 (artículo 10).
5. Medidas técnicas y organizativas (art. 32)
- cifrado de las comunicaciones en tránsito (HTTPS/TLS);
- compartimentación de los datos por cuenta y por organización, con control de acceso sistemático a cada consulta o modificación;
- autenticación mediante contraseña almacenada en forma de hash unidireccional, limitación de intentos de conexión;
- gestión precisa de derechos dentro de una organización (roles, permisos por recurso);
- registro de acciones sensibles;
- alojamiento en centros de datos ubicados en la Unión Europea, copias de seguridad regulares;
- mantenimiento actualizado de los componentes de software y aplicación de correcciones de seguridad.
6. Subcontratistas posteriores
Usted autoriza de forma general el recurso a los siguientes subcontratistas posteriores, cuya lista se actualiza en esta página:
| Proveedor | Rol | Ubicación de los datos |
|---|---|---|
| OVH SAS | Alojamiento del sitio y de la base de datos | Francia (Unión Europea) |
| OVH SAS | Envío de correos electrónicos del servicio | Francia (Unión Europea) |
| Mistral AI SAS | Funciones de asistencia por inteligencia artificial | Francia (Unión Europea) |
| Umami | Medición de audiencia anónima, sin cookies | Francia (Unión Europea) — autoalojado |
En caso de añadir o sustituir a un subcontratista posterior, le informaremos al menos treinta días de antelación por correo electrónico o mediante una notificación en el Servicio. Usted dispondrá de este plazo para formular objeciones motivadas; en ausencia de solución, podrá rescindir eliminando los formularios correspondientes o su cuenta. Cada subcontratista posterior está sujeto a obligaciones de protección de datos equivalentes a las del presente acuerdo.
7. Asistencia, derechos de las personas e infracciones de datos
- Derechos de los Respondientes: el Servicio le da acceso a las respuestas y le permite consultarlas, exportarlas y eliminarlas, para que usted pueda responder personalmente a las solicitudes de acceso, rectificación, supresión o portabilidad. Si una solicitud nos llega directamente, la transmitiremos sin responder por usted.
- Infracción de datos: le notificaremos de cualquier infracción de datos personales referentes a sus Respondientes dentro de las cuarenta y ocho horas siguientes a su constatación, comunicándole los elementos de los que disponemos (naturaleza, categorías y volumen aproximado de datos afectados, consecuencias probables, medidas tomadas). Le corresponderá a usted proceder, en su caso, a la notificación a la autoridad de control (artículo 33) y a la información de las personas afectadas (artículo 34).
- Análisis de impacto: le proporcionaremos, a petición, la información técnica necesaria para la realización de un análisis de impacto relativo a la protección de datos y a una eventual consulta previa con la autoridad de control.
8. Transferencias fuera de la Unión Europea
El alojamiento y almacenamiento de las respuestas tiene lugar en la Unión Europea. No se realiza ninguna transferencia de respuestas fuera de la Unión, incluyendo por los subcontratistas posteriores listados en el artículo 6.
9. Destino de los datos al término del servicio
Al eliminarse un formulario, las respuestas asociadas son eliminadas. Al eliminarse su cuenta, el conjunto de formularios y respuestas de los que usted es responsable es eliminado o anonimizado. Se le invita a exportar los datos que desee conservar antes de cualquier eliminación: ésta es definitiva y no conservamos copias, salvo por las copias de seguridad técnicas temporales, cuya duración de retención no excede de treinta días.
10. Documentación y auditoría
Ponemos a su disposición, previa petición dirigida a contact@meliform.com, la información necesaria para demostrar el cumplimiento de las obligaciones del presente acuerdo. Usted puede realizar una auditoría, como máximo una vez al año y sujeta a un preaviso de treinta días, en condiciones acordadas entre las partes y que no afecten la seguridad de otros usuarios del Servicio. Los costos de la auditoría correrán por su cuenta, ya que el Servicio se proporciona de forma gratuita.
11. Responsabilidad
Cada parte responde por los daños causados por un tratamiento que viole el RGPD, bajo las condiciones de su artículo 82. El Subcontratista no es responsable, en particular, del carácter lícito de la recolección decidida por el Responsable del tratamiento, del contenido de las preguntas planteadas, ni de la información de los Respondientes.