AsociamosEncargado del tratamiento y subencargados
Cuando una asociación utiliza Asociamos, la asociación es la responsable del tratamiento de los datos de sus socios, simpatizantes, firmantes, suscriptores y usuarios, e Inversia Global Digital, S.L.U. es su encargada del tratamiento, conforme al artículo 28 del Reglamento (UE) 2016/679 y al artículo 33 de la Ley Orgánica 3/2018. Esta página resume, para que cualquier persona pueda conocerlo, el contenido del anexo de encargado que firma cada asociación. El texto íntegro forma parte del contrato.
1. Objeto, duración y naturaleza del tratamiento
El Prestador trata por cuenta de la asociación los datos necesarios para prestar el servicio: datos identificativos y de contacto de socios, simpatizantes, firmantes, suscriptores y usuarios; contenidos que aporten; datos de uso del área privada; y los datos necesarios para la gestión de la subvención (cargos de la junta directiva, cuenta bancaria de la asociación, actividades, facturas). El tratamiento comprende el alojamiento, la conservación, la consulta por las personas autorizadas de la asociación, el envío de comunicaciones, la generación de documentos y las copias de seguridad. Dura lo que dura el contrato; al terminar, los datos se devuelven y se borran (apartado 9).
2. Instrucciones
El Prestador trata los datos únicamente conforme a las instrucciones documentadas de la asociación y para prestar el servicio. No los utiliza para fines propios, no los comunica a terceros salvo obligación legal o a los subencargados autorizados, y no elabora perfiles. Si considera que una instrucción infringe la normativa, informa de inmediato a la asociación.
3. Subencargados autorizados
Todos los subencargados tienen servidores en la Unión Europea y están vinculados por contrato con obligaciones equivalentes a las del Prestador. Cualquier cambio se comunica a la asociación con quince días de antelación, con derecho de oposición.
| Función | Subencargado | País |
|---|---|---|
| Alojamiento de la web y de la plataforma | OVH SAS (OVHcloud) | Francia |
| Bóveda de datos personales de socios (servidor separado de la web) | Hetzner Online GmbH | Alemania |
| Gestor de claves de cifrado y copias externas cifradas | Scaleway SAS | Francia |
| Envío del boletín y de los correos de la plataforma | Brevo (Sendinblue SAS) | Francia |
No se realizan transferencias internacionales de datos personales. Si una asociación contrata además un servicio opcional que implique otro proveedor, se incorpora a su anexo con su consentimiento.
4. Medidas de seguridad
- Cifrado de las comunicaciones (HTTPS con HSTS) y cabeceras de seguridad en el servidor.
- Los datos personales de los socios se guardan en un servidor separado de la web, cifrados campo a campo, con claves custodiadas fuera de ese servidor; la web solo maneja identificadores sin sentido para quien no tenga las claves.
- Control de accesos por perfil y por módulo (administración, junta, vocal, redacción), con contraseñas robustas y recuperación segura; registro de accesos y de acciones consultable por la asociación.
- Separación de datos entre asociaciones: cada una tiene su propia instancia y su propia base de datos.
- Copias de seguridad diarias conservadas 30 días, copias mensuales, copia externa cifrada y copia previa a cada actualización; prueba de restauración mensual.
- Actualizaciones de seguridad automáticas y vigilancia del servicio.
- El personal del Prestador no accede a los datos personales de la asociación salvo en un soporte autorizado por su junta y registrado. El personal está sujeto a confidencialidad y recibe formación en protección de datos.
- Revisión de cumplimiento cada seis meses con la auditoría independiente de CUSTOR.
5. Asistencia a la asociación
El Prestador asiste a la asociación para atender los derechos de las personas (acceso, rectificación, supresión, oposición, limitación, portabilidad) en el plazo de cinco días laborables desde que se lo pida, y le facilita las herramientas para exportar, rectificar y suprimir datos desde el panel. También le ayuda en la elaboración del registro de actividades de tratamiento (se entrega un modelo adaptado) y, cuando proceda, en la evaluación de impacto.
6. Violaciones de la seguridad
El Prestador notifica a la asociación cualquier violación de la seguridad de los datos sin dilación indebida y, como máximo, en 48 horas desde que la conozca, con la información necesaria (naturaleza, categorías y número aproximado de personas y datos afectados, consecuencias probables y medidas adoptadas) para que la asociación pueda cumplir sus obligaciones de notificación a la Agencia Española de Protección de Datos en 72 horas y, en su caso, de comunicación a las personas afectadas.
7. Confidencialidad
El Prestador y su personal guardan secreto sobre los datos y la información de la asociación, durante el contrato y después de su terminación.
8. Auditoría
El Prestador pone a disposición de la asociación la información necesaria para demostrar el cumplimiento de sus obligaciones como encargado y permite auditorías razonables, avisadas con quince días, por la asociación o por un auditor designado por ella.
9. Devolución y borrado
Al terminar el contrato, el Prestador entrega a la asociación una copia completa de sus datos en formato abierto en el plazo de quince días y, transcurridos treinta días desde la entrega, borra la instancia y sus copias, salvo obligación legal de conservación, certificándolo por escrito si la asociación lo pide.
10. Obligaciones de la asociación como responsable
La asociación garantiza que ha obtenido los datos lícitamente, que informa a las personas (la plataforma incluye los textos de información y las casillas de consentimiento necesarios), que dispone de los consentimientos para el boletín, que sus instrucciones cumplen la normativa y que atiende los derechos de las personas. Las personas socias o usuarias que quieran ejercer sus derechos deben dirigirse a su asociación; si se dirigen al Prestador, este traslada la solicitud a la asociación e informa de ello a la persona.