Entre la organización cliente (el responsable) y AnonimData (el encargado). Se acepta al crear la cuenta y forma parte de los términos de uso.
1. Objeto y duración
El encargado trata por cuenta del responsable los datos personales que contienen los documentos y textos que este sube, solo para detectarlos y generar versiones anonimizadas o seudonimizadas. Dura lo mismo que la suscripción.
2. Datos e interesados
Los que contengan los documentos: datos identificativos y de contacto, económicos, y en su caso categorías especiales (por ejemplo, de salud). Interesados: las personas que aparezcan en ellos (clientes, pacientes, empleados, partes de un procedimiento…). El responsable decide qué sube y garantiza que puede hacerlo.
3. Obligaciones del encargado
- Tratar los datos solo siguiendo las instrucciones del responsable, que son el uso de la aplicación.
- No usarlos para fines propios ni para entrenar modelos de IA, ni cederlos salvo obligación legal.
- Que su personal esté obligado a confidencialidad; el equipo de administración no accede al contenido.
- Medidas de seguridad: tratamiento en la Unión Europea, cifrado AES-256 en reposo y TLS en tránsito, verificación en dos pasos, control de accesos por organización, registro de auditoría y copias de seguridad.
- Ayudar al responsable a atender los derechos de los interesados y en las evaluaciones de impacto.
- Notificar al responsable cualquier violación de seguridad sin dilación indebida y, en todo caso, en 48 horas.
- Suprimir los documentos en el plazo de conservación que fije el responsable (de 1 a 30 días) y, al terminar el servicio, todo lo que quede; el responsable puede descargarlo antes.
- Poner a disposición del responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
4. Subencargados
El responsable autoriza a los subencargados de la política de privacidad, con contratos que imponen las mismas obligaciones. El encargado avisará con 30 días de antelación de cualquier cambio, y el responsable podrá oponerse y dar de baja el servicio.
5. Transferencias internacionales
No se transfieren datos fuera del Espacio Económico Europeo.
6. Obligaciones del responsable
Tener una base legítima para tratar los datos que sube, revisar el resultado antes de compartirlo o publicarlo y custodiar la tabla de correspondencias, que permite deshacer la anonimización.