Encargo de tratamiento de datos

Este documento forma parte de las condiciones del servicio y recoge lo que exige el artículo 28 del Reglamento General de Protección de Datos cuando una empresa trata datos personales por cuenta de otra.

1. Quién es quién

El Estudio es el responsable del tratamiento: decide qué datos de sus clientes, de sus colaboradores y de su propio equipo introduce en Cimbra y para qué. Cimbra (Pamba Gestión y Rehabilitaciones, S.L., NIF B56240476, Plaza Carlos III, 1, 8.º, 30008 Murcia) es el encargado del tratamiento: trata esos datos únicamente para prestar el servicio y siguiendo las instrucciones del Estudio, que son las que resultan del uso normal de la aplicación.

2. Qué datos y de quién

• Equipo del Estudio: nombre, correo, contraseña (cifrada), rol, horas imputadas, vacaciones y, si el Estudio lo usa, las nóminas que suba.
• Clientes del Estudio: nombre, NIF, correo, teléfono y dirección; los datos de su proyecto, los mensajes que cruzan con el Estudio, las respuestas a cuestionarios, las actas de reunión, los presupuestos y facturas que el Estudio comparte y su conformidad.
• Colaboradores (aparejadores, ingenierías, contratas): nombre, correo, teléfono y empresa; sus entregas, mensajes y las actas que firman.
• Otras personas que aparecen en los proyectos: asistentes a visitas de obra, personas de contacto de organismos, nombres que figuren en documentos y fotos de obra.

Cimbra no está pensada para datos de categorías especiales (salud, ideología…); el Estudio no debe introducirlos.

3. Para qué y durante cuánto tiempo

Solo para prestar el servicio descrito en las condiciones: guardar y mostrar los datos al Estudio y a quien él autorice, enviar los correos y avisos que la aplicación genera, y ofrecer las funciones de IA sobre esos datos. Mientras dure el contrato. Tras la baja, 30 días en solo lectura y después se borran todos los datos y archivos, salvo lo que la ley obligue a conservar.

4. Obligaciones de Cimbra

• Tratar los datos solo conforme a este encargo y a las instrucciones del Estudio; no usarlos para fines propios ni cederlos, salvo a los proveedores del punto 6.
• Guardar secreto, también después de terminar el contrato, y exigirlo a quien trabaje para Cimbra.
• Aplicar medidas de seguridad adecuadas (punto 7).
• Ayudar al Estudio a atender los derechos de las personas (acceso, rectificación, supresión, oposición, limitación, portabilidad): si una persona los ejerce ante Cimbra, Cimbra se lo comunica al Estudio sin demora.
• Avisar al Estudio sin dilación indebida —y como máximo en 48 horas desde que lo sepa— de cualquier brecha de seguridad que afecte a sus datos, con la información necesaria para que el Estudio pueda notificarla a la autoridad y a las personas afectadas si procede.
• Poner a disposición del Estudio la información necesaria para demostrar el cumplimiento de este encargo y permitirle auditarlo, con preaviso razonable y sin perjudicar al resto de estudios.
• Al terminar el contrato, devolver los datos al Estudio (exportación) y borrarlos como se indica en el punto 3.

5. Obligaciones del Estudio

• Tener base legal para tratar los datos que introduce e informar a sus clientes, colaboradores y equipo de que usa Cimbra para gestionar su relación con ellos.
• Dar instrucciones conformes a la ley y atender los derechos de las personas.
• Dar accesos solo a quien deba tenerlos y retirarlos cuando ya no procedan.

6. Proveedores (subencargados)

Para prestar el servicio, Cimbra se apoya en estos proveedores, que tratan los datos siguiendo las mismas obligaciones. El Estudio los autoriza al aceptar este encargo. Si Cimbra cambia alguno, avisará al Estudio con 30 días, que podrá oponerse y, en su caso, darse de baja.

Los datos se alojan en la Unión Europea. Los proveedores con sede en Estados Unidos que reciben datos lo hacen al amparo del Marco de Privacidad de Datos UE-EE. UU. o de las cláusulas contractuales tipo aprobadas por la Comisión Europea, con las medidas adicionales que procedan.

7. Medidas de seguridad

• Acceso con correo y contraseña propios; las contraseñas se guardan cifradas (nunca en claro) y las sesiones caducan.
• Cada estudio solo ve sus datos: la separación entre estudios está en el propio modelo de datos y en cada consulta.
• Clientes y colaboradores solo ven lo que el Estudio decide compartir; los enlaces a archivos caducan a los 15 minutos.
• Comunicaciones cifradas (HTTPS) entre el navegador y la aplicación, y entre la aplicación y sus proveedores.
• Copias de seguridad de la base de datos a cargo del proveedor; registro de los cambios relevantes (quién y cuándo).
• Los avisos de errores salen sin datos personales. Las claves de los programas de facturación conectados se guardan cifradas.

8. Duración

Este encargo dura lo mismo que las condiciones del servicio y se acepta junto con ellas; su versión vigente está publicada en la web.