Contrato de encargo del tratamiento

1. Partes e incorporación

Este Contrato de encargo de tratamiento («Contrato») se celebra entre el cliente que usa OpenWAF Cloud (el «Cliente»), como responsable del tratamiento, y AI Services LLC, con nombre comercial OpenWAF, 99 Wall Street #2351, New York, NY 10005, EE. UU. («OpenWAF»), como encargado del tratamiento. Forma parte de las Condiciones de servicio y se aplica automáticamente cuando el Cliente usa el servicio, sin necesidad de firmarlo por separado. Si el Cliente es una agencia que actúa por cuenta de sus propios clientes, el Cliente actúa como encargado de ellos y OpenWAF actúa como su subencargado en los mismos términos.

2. Objeto, duración, naturaleza y finalidad

• Objeto: el tratamiento de datos personales necesario para prestar el servicio de DNS autoritativo y de cortafuegos de aplicaciones web (WAF) para los dominios y sitios web del Cliente.
• Duración: mientras el Cliente use el servicio y, después, hasta que los datos se borren como se describe en el apartado 10.
• Naturaleza: recibir, inspeccionar, filtrar, reenviar y registrar peticiones HTTP(S) dirigidas a los nombres de host con proxy del Cliente; responder consultas DNS; enviar los correos del control de acceso; guardar la configuración del Cliente.
• Finalidad: proteger los sitios web del Cliente y servir sus zonas DNS, según la configuración del Cliente.

Los detalles figuran en el Anexo I.

3. Instrucciones documentadas

OpenWAF trata los datos personales únicamente siguiendo instrucciones documentadas del Cliente, salvo que la ley le obligue a otra cosa; en ese caso, OpenWAF informará al Cliente antes del tratamiento, salvo que la ley lo prohíba. La configuración que el Cliente fija mediante la API o la CLI, junto con este Contrato y las Condiciones de servicio, constituye las instrucciones del Cliente. OpenWAF avisará al Cliente si, en su opinión, una instrucción infringe la normativa de protección de datos.

El Cliente es responsable de contar con una base jurídica para el tratamiento, de informar a los visitantes de sus sitios web y a las personas que autorice en el control de acceso, y de la licitud de sus instrucciones.

4. Confidencialidad

OpenWAF garantiza que las personas autorizadas para tratar datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad adecuada.

5. Seguridad

OpenWAF aplica las medidas técnicas y organizativas descritas en el Anexo II, adecuadas al riesgo conforme al artículo 32 RGPD. OpenWAF puede actualizar esas medidas siempre que no se reduzca el nivel general de seguridad.

6. Subencargados

El Cliente otorga a OpenWAF una autorización general por escrito para recurrir a los subencargados indicados en el Anexo III. OpenWAF informará al Cliente por correo con al menos 30 días de antelación antes de añadir o sustituir un subencargado. El Cliente puede oponerse en ese plazo por motivos razonables de protección de datos; si las partes no llegan a una solución, el Cliente puede poner fin al servicio. OpenWAF impone a cada subencargado obligaciones de protección de datos equivalentes a las de este Contrato y sigue respondiendo ante el Cliente de su cumplimiento.

7. Asistencia al Cliente

Teniendo en cuenta la naturaleza del tratamiento, OpenWAF ayudará al Cliente, siempre que sea posible:

• a responder a las solicitudes de los interesados que ejerzan sus derechos. Si OpenWAF recibe una solicitud de este tipo directamente, la reenviará al Cliente sin dilación indebida y no la contestará por sí misma, salvo que el Cliente se lo indique;
• a cumplir sus obligaciones de seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa a la autoridad de control (artículos 32 a 36 RGPD), con la información de la que disponga OpenWAF.

8. Violaciones de la seguridad de los datos personales

OpenWAF notificará al Cliente cualquier violación de la seguridad de los datos personales que afecte a los datos del Cliente sin dilación indebida desde que tenga conocimiento de ella, por correo a la dirección de contacto de la cuenta. La notificación incluirá, en la medida en que se disponga de ella, la información del artículo 33.3 RGPD: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, un punto de contacto, las consecuencias probables y las medidas adoptadas o propuestas. La información que no esté disponible al principio podrá facilitarse por fases.

9. Transferencias internacionales

Los datos del Cliente se tratan en la Unión Europea (Alemania). Cuando se produzca una transferencia a un país fuera del Espacio Económico Europeo, incluido el acceso de AI Services LLC desde Estados Unidos y los subencargados del Anexo III, se amparará en el Marco de Privacidad de Datos UE-EE. UU. cuando el destinatario esté certificado en él o, en otro caso, en las cláusulas contractuales tipo aprobadas por la Comisión Europea, que se incorporan por referencia cuando proceda.

10. Supresión y devolución de los datos

• Los eventos de seguridad caducan y se borran 30 días después de registrarse.
• Cuando se cierra la cuenta, OpenWAF borra la configuración del Cliente, incluidas las direcciones de correo del control de acceso y las claves privadas de los certificados, en un plazo de 30 días, salvo que la ley le obligue a conservarlas.
• Antes de cerrar la cuenta, el Cliente puede pedir a OpenWAF en [email protected] una copia de su configuración.

11. Información y auditorías

OpenWAF pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 RGPD y permitirá y contribuirá a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de un auditor designado por él. Las auditorías requieren un preaviso razonable, corren a cargo del Cliente, están sujetas a confidencialidad y pueden realizarse una vez al año, salvo que se haya producido una violación de la seguridad de los datos personales o lo exija una autoridad de control.

12. Responsabilidad y prelación

La responsabilidad de cada parte según este Contrato se rige por las Condiciones de servicio, en la medida en que la ley lo permita. En caso de contradicción entre este Contrato y las Condiciones de servicio sobre el tratamiento de datos personales, prevalece este Contrato.

Anexo I. Detalles del tratamiento

Categorías de interesados

Visitantes de los sitios web del Cliente; personas que el Cliente autoriza en el control de acceso; personal del Cliente y miembros de su cuenta.

Categorías de datos personales

Direcciones IP; metadatos de las peticiones, incluidos el nombre de host, la ruta, el método y cabeceras como el agente de usuario; huella TLS; país y número de sistema autónomo (ASN) derivados de la dirección IP; detalles de los eventos de seguridad (hora, estado, acción, regla, tipo de ataque y mensaje); direcciones de correo del control de acceso y códigos de un solo uso. Las consultas DNS se tratan para responderlas.

Categorías especiales de datos

No se prevén. El servicio no está diseñado para tratar categorías especiales de datos; si el contenido de las peticiones incluye alguno, solo se trata en tránsito.

Frecuencia

Continua, mientras se use el servicio.

Conservación

Eventos de seguridad: 30 días por defecto. Configuración: mientras exista la cuenta y hasta 30 días después de su cierre.

Anexo II. Medidas técnicas y organizativas

• Alojamiento en la Unión Europea (Hetzner, Alemania) de servidores, DNS y nodos de borde.
• Cifrado en tránsito con TLS, también de los documentos de configuración enviados a los nodos de borde.
• Documentos de configuración firmados con Ed25519, que los nodos de borde verifican antes de usarlos.
• Los nodos de borde siguen sirviendo la última configuración válida si el plano de control no está accesible.
• Acceso a los sistemas según el principio de mínimo privilegio.
• Tokens de API guardados solo como hashes y con caducidad obligatoria (como máximo 365 días).
• Motivo obligatorio en cada cambio de configuración y registro de auditoría de quién cambió qué, cuándo y por qué.
• Versionado de la configuración, con historial, comparación y vuelta atrás.
• Caducidad automática de los eventos de seguridad a los 30 días.

Anexo III. Subencargados