Encàrrec del tractament de dades

1. Abast d'aquest encàrrec

El Client decideix quines dades incorpora a la plataforma i amb quina finalitat. KPSDrons es limita a allotjar-les i tractar-les tècnicament per prestar el servei, seguint les instruccions del Client.

Aquest encàrrec regula únicament la custòdia i la seguretat de les dades personals. No converteix KPSDrons en responsable del contingut de les dades, de la seva veracitat, ni del compliment de l'EUDR per part del Client, que es regeixen per les Condicions d'ús.

2. Descripció del tractament

• Objecte i finalitat: emmagatzematge, organització, consulta i transmissió de les dades necessàries perquè el Client gestioni la seva diligència deguda EUDR.
• Durada: mentre el Client mantingui el compte actiu.
• Persones afectades: proveïdors i productors del Client i les seves persones de contacte; usuaris convidats pel Client.
• Tipus de dades: identificatives i de contacte (nom, adreça, correu, país); geolocalització de parcel·les, que pot ser dada personal si el titular és una persona física; documents aportats (certificats, declaracions, títols). No es preveu el tractament de categories especials de dades.

3. Obligacions de KPSDrons com a encarregat

• Tractar les dades només seguint les instruccions documentades del Client, que són les que resulten de l'ús de la plataforma i d'aquestes condicions, i no utilitzar-les per a finalitats pròpies.
• Garantir que les persones autoritzades a accedir-hi estan subjectes a un deure de confidencialitat. L'accés de suport només es produeix si el Client el té activat i queda registrat.
• Aplicar les mesures de seguretat de l'apartat 5.
• Assistir el Client, en la mesura que sigui raonable, perquè pugui respondre les sol·licituds de drets de les persones afectades i complir les seves obligacions de seguretat i d'avaluació d'impacte.
• Notificar al Client, sense dilació indeguda i com a màxim en 48 hores des que en tingui coneixement, qualsevol violació de seguretat que afecti les seves dades.
• Posar a disposició del Client la informació necessària per demostrar el compliment d'aquestes obligacions.
• Avisar el Client si considera que una instrucció infringeix la normativa de protecció de dades.

4. Obligacions del Client com a responsable

• Disposar d'una base jurídica per tractar les dades que incorpora a la plataforma i haver informat les persones afectades.
• Atendre les sol·licituds de drets de les persones afectades.
• No incorporar a la plataforma dades que no siguin necessàries per a la finalitat del servei.
• Gestionar correctament els usuaris, rols i enllaços de portal que genera.

5. Mesures de seguretat

• Aïllament de les dades de cada organització a nivell de base de dades.
• Control d'accés per rols i autenticació dels usuaris.
• Xifratge de les comunicacions (HTTPS/TLS) i de les còpies de seguretat.
• Registre d'auditoria que no es pot modificar ni esborrar.
• Còpies de seguretat diàries.
• Allotjament de la base de dades i dels fitxers en centres de dades de la Unió Europea.

6. Subencarregats

El Client autoritza de manera general KPSDrons a recórrer als subencarregats següents, amb els quals manté un contracte amb obligacions equivalents:

• Supabase — Base de dades, autenticació i emmagatzematge de fitxers. Ubicació: UE (Irlanda, eu-west-1).
• Vercel — Allotjament i execució de l'aplicació web. Ubicació: UE (Frankfurt, fra1). Empresa matriu als EUA: transferències sota clàusules contractuals tipus / Marc de Privadesa de Dades UE-EUA.
• Global Forest Watch (World Resources Institute) — Verificació satèl·lit de pèrdua de coberta forestal. Només rep la geometria de la parcel·la, sense noms ni dades de contacte. Ubicació: EUA.

KPSDrons informarà el Client de qualsevol incorporació o substitució amb 30 dies d'antelació, actualitzant aquesta pàgina i avisant el propietari del compte. Si el Client s'hi oposa per motius justificats, pot resoldre el servei.

7. Transferències internacionals

La base de dades i els fitxers s'allotgen a la Unió Europea. Quan un subencarregat està establert fora de l'Espai Econòmic Europeu, la transferència es fa amb les garanties del capítol V del RGPD (decisió d'adequació o clàusules contractuals tipus).

8. Final del servei

Quan el Client es dona de baixa pot demanar l'exportació de les seves dades. KPSDrons eliminarà les dades del Client dels sistemes actius en un termini màxim de 60 dies des de la baixa, i de les còpies de seguretat a mesura que caduquin (màxim 90 dies), llevat que una norma n'obligui a la conservació. El Client és responsable de guardar la documentació que l'EUDR l'obliga a conservar durant cinc anys.

9. Responsabilitat

Cada part respon de les infraccions de la normativa de protecció de dades que li siguin imputables. La limitació de responsabilitat de les Condicions d'ús s'aplica també a aquest encàrrec en la mesura que la llei ho permeti.

10. Contacte

Per a qualsevol qüestió sobre aquest encàrrec o per demanar-ne una còpia signada: hola@kpsdrons.cat.