Acuerdo de tratamiento de datos

El Cliente es responsable y EasyHaus es encargado del tratamiento de los datos personales descritos en el Anexo 1. EasyHaus los trata solo siguiendo instrucciones documentadas del Cliente: las condiciones del servicio, este DPA y el uso del servicio por el Cliente. EasyHaus informará al Cliente si considera que una instrucción infringe la normativa de protección de datos.

EasyHaus garantiza que las personas autorizadas para tratar los datos están sujetas a confidencialidad. El personal solo accede a la organización de un Cliente para prestar soporte cuando su propietario ha activado el acceso; este es limitado, exige un motivo expreso y se registra en el historial de auditoría del Cliente.

EasyHaus aplica las medidas técnicas y organizativas del Anexo 2 y puede actualizarlas siempre que no disminuya el nivel global de protección.

El Cliente autoriza con carácter general a los subencargados del Anexo 3. EasyHaus anunciará las incorporaciones o sustituciones con al menos 30 días de antelación por correo al propietario. El Cliente podrá oponerse por motivos razonables de protección de datos; si las partes no resuelven la objeción, podrá resolver el servicio afectado. EasyHaus impone a cada subencargado obligaciones equivalentes a las de este DPA y sigue siendo responsable de ellos.

• Solicitudes de interesados: el servicio permite al Cliente exportar, corregir y borrar los datos de un cliente inversor. EasyHaus traslada al Cliente las solicitudes que recibe directamente y no las responde por sí mismo.
• EasyHaus ayuda en las evaluaciones de impacto y consultas a autoridades cuando dispone de la información necesaria.

EasyHaus notifica al Cliente sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tenga conocimiento de una violación de seguridad que afecte a sus datos. La notificación describe la naturaleza de la violación, los datos y personas afectados en la medida conocida, las posibles consecuencias y las medidas adoptadas, y se actualiza a medida que se conoce más información.

Durante la suscripción y los 90 días posteriores a su finalización, el Cliente puede exportar todos sus datos. Después de ese plazo, o 30 días después de que elimine su organización, EasyHaus borra los datos de la base de datos y del almacenamiento de archivos. Las copias cifradas caducan según su rotación habitual en un plazo de 30 días. EasyHaus solo conserva datos durante más tiempo cuando la ley lo exige.

EasyHaus facilita la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, incluido un resumen de su última revisión de seguridad. El Cliente puede auditar el cumplimiento o encargarlo a un auditor independiente con 30 días de preaviso, como máximo una vez al año salvo que una violación o una autoridad exija lo contrario, a su cargo y bajo confidencialidad.

La base de datos que contiene los Datos del Cliente se aloja en la Unión Europea. Los subencargados del Anexo 3 establecidos en Estados Unidos o que tratan datos allí están certificados conforme al Marco de Privacidad de Datos UE-EE. UU., y también se aplican las cláusulas contractuales tipo de sus condiciones de tratamiento. EasyHaus se opera desde la República de Azerbaiyán; el acceso a los Datos del Cliente desde Azerbaiyán está amparado por las cláusulas contractuales tipo. EasyHaus solo transfiere datos personales fuera del Espacio Económico Europeo con estas garantías conforme al capítulo V del RGPD.

La responsabilidad derivada de este DPA sigue las condiciones del servicio. Si hay conflicto entre ambos, este DPA prevalece respecto del tratamiento de datos personales. El DPA finaliza cuando EasyHaus deja de tratar datos personales del Cliente.

• Cifrado en tránsito con TLS y HSTS.
• Cifrado en reposo con AES-256-GCM de identificadores fiscales, números de documentos de identidad y cuentas bancarias, identificadores de titulares reales, secretos del segundo factor y códigos de recuperación; claves fuera de la base de datos, con identificadores para su rotación.
• Separación lógica de organizaciones: cada consulta limitada a una organización, aplicada mediante una comprobación automática y pruebas de aislamiento.
• Acceso por roles dentro de la organización (propietario, administrador, gestor, lector); campos sensibles visibles completos solo para propietarios y administradores.
• Contraseñas con hash argon2id, longitud mínima y comprobación de contraseñas filtradas; autenticación de dos factores opcional u obligatoria; bloqueo tras códigos erróneos repetidos.
• Tokens de sesión aleatorios almacenados como hashes, con caducidad por inactividad y absoluta, y revocación.
• Límites de frecuencia para inicio de sesión, restablecimiento de contraseñas, enlaces por correo, subidas y formulario de contacto.
• Almacenamiento privado con enlaces de subida de corta duración y un solo uso; lista de tipos permitidos y comprobación de contenido; recodificación de imágenes.
• Historial de auditoría de cada cambio, con campos personales enmascarados, que los clientes no pueden eliminar; registro de descargas de documentos.
• Acceso del soporte solo con el consentimiento del propietario, limitado y registrado.
• Procesos de servidor reforzados, análisis de vulnerabilidades de dependencias y cabeceras de seguridad, incluida una política de seguridad de contenido.
• Base de datos alojada en la Unión Europea; archivos cifrados en reposo en el almacenamiento.
• Copias de seguridad nocturnas, cifradas con AES-256 en nuestro servidor antes de salir de él y conservadas durante 30 días, con comprobación semanal de integridad y procedimiento de restauración documentado.