Acuerdo de procesamiento de datos de NeuroDisplay: clientes profesionales

1. Objeto y alcance

La DPA define las obligaciones de las Partes de conformidad con el artículo 28 del RGPD. Abarca los tratamientos descritos en el Anexo II y prevalece, para dichos tratamientos, sobre cualquier estipulación contradictoria de rango inferior.

2. Funciones de las Partes e instrucciones documentadas

El Cliente actúa como responsable del tratamiento de los contenidos, rutas, configuraciones y datos que decide tratar en NeuroDisplay. A2Display actúa como subcontratista para estas operaciones y solo procesa estos datos siguiendo instrucciones documentadas del Cliente, incluso para transferencias, salvo obligación legal aplicable.

A2Display actúa por separado como responsable del tratamiento de datos para la gestión de cuentas, seguridad, relaciones comerciales, facturación, soporte y sus obligaciones legales. Estos tratamientos se describen en la Política de Privacidad.

3. Instrucciones legales y responsabilidad del Cliente

El Cliente garantiza la licitud de sus instrucciones, la pertinencia de los datos, la información de las personas y la existencia de una base jurídica. No utiliza el Servicio para procesar datos confidenciales innecesariamente. A2Display informa al Cliente cuando una instrucción parece violar la ley aplicable, a menos que lo prohíba la ley.

4. Duración

El DPA se aplica durante la duración del contrato y hasta la eliminación o restitución de los datos tratados para el Cliente, sujeto a las obligaciones legales de conservación y a los ciclos técnicos de copia de seguridad.

5. Confidencialidad y personal autorizado

A2Display limita el acceso a quienes lo necesitan para proporcionar, asegurar o respaldar el Servicio. Estas personas están sujetas a una adecuada obligación de confidencialidad y a normas de gestión de acceso.

6. Seguridad del tratamiento

A2Display implementa las medidas adecuadas descritas en el Anexo III, teniendo en cuenta el estado de la técnica, costes, naturaleza, alcance, contexto y riesgos. No se reclama ninguna certificación no obtenida por A2Display.

7. Subencargados

El Cliente generalmente autoriza a los subencargados que figuran en la versión activa de la lista pública. A2Display impone obligaciones de protección adecuadas y sigue siendo responsable de sus obligaciones de subcontratación en las condiciones de la ley aplicable.

A2Display notificará a los Clientes sobre un cambio material por un medio razonable. El Cliente podrá plantear una oposición motivada por la protección de datos; las Partes buscan entonces una solución razonable.

8. Transferencias internacionales

Algunos proveedores pueden procesar datos o permitir el acceso desde países fuera del Espacio Económico Europeo. Según el caso, las transferencias se basan en una decisión de adecuación, cláusulas contractuales tipo u otra garantía aplicable. No se promete ninguna residencia exclusivamente europea sin prueba vinculada a la configuración activa.

9. Derechos de las personas

Teniendo en cuenta la naturaleza del procesamiento, A2Display proporciona al Cliente asistencia razonable para responder a las solicitudes de acceso, rectificación, supresión, limitación, oposición y portabilidad. A2Display transmite al Cliente cualquier solicitud claramente relacionada con datos procesados ​​en su nombre, a menos que se le indique o exija lo contrario.

10. Asistencia para el cumplimiento

A2Display asiste razonablemente al Cliente con análisis de seguridad, impacto y consultas previas, teniendo en cuenta la información disponible y la naturaleza del Servicio. Un servicio inusual o importante puede estar sujeto a condiciones razonables acordadas de antemano.

11. Violaciones de datos personales

Cuando A2Display confirma una violación que afecta a los datos procesados para el Cliente, A2Display informa al Cliente sin demoras indebidas y proporciona progresivamente información útil disponible. El Cliente sigue siendo responsable de sus notificaciones como responsable del tratamiento.

12. Restitución, exportación y supresión

Durante el contrato, el Cliente utiliza las funciones de exportación disponibles. Una vez finalizado el contrato, se podrá proporcionar un período de acceso o exportación de treinta días. Los datos de los sistemas activos se eliminan dentro de los treinta días siguientes a esta ventana, a menos que lo exija la ley o su congelación esté justificada.

Las copias de seguridad caducan según los ciclos técnicos del proveedor, no se reutilizan para fines comerciales y las eliminaciones se vuelven a aplicar después de la restauración cuando sea necesario. No se promete que una copia de seguridad cifrada se reescribirá inmediatamente para una línea aislada.

13. Información, auditorías y pruebas

A2Display pone a disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA. Las auditorías son planificadas, proporcionadas, sujetas a confidencialidad y diseñadas para evitar comprometer a otros Clientes o la seguridad del Servicio. Se prefieren los informes independientes disponibles o las pruebas documentales.

14. Responsabilidad y orden contractual

La responsabilidad vinculada al DPA se rige por las limitaciones legales previstas en el contrato, sin menoscabo de los derechos imperativos de las personas ni de las obligaciones inlimitables. En caso de contradicción, prevalece la DPA para la protección de los datos tratados para el Cliente.

15. Evolución y contacto

El DPA está versionado. Una modificación material se notifica y puede requerir una nueva aceptación por parte de un Propietario o representante autorizado, sin efecto retroactivo. Las solicitudes utilizan el formulario NeuroDisplay, la categoría "Protección de datos" o Soporte de NeuroDisplay para clientes autenticados. A2Display no afirma haber designado un DPO.

16. Anexo I — Partes

Subcontratista: A2Display, sociedad por acciones simplificada, operadora de NeuroDisplay, 1 rue de la Caillardière, 49070 Beaucouzé, Francia.

Responsable del procesamiento: el Cliente Profesional identificado en la Organización, el Checkout, la cotización o el contrato. El representante que acepta el DPA certifica tener la autoridad para obligar al Cliente.

17. Anexo II — Descripción del tratamiento

• Asunto: alojamiento, organización, distribución, soporte y seguridad de los contenidos y configuraciones del Cliente.
• Duración: duración del contrato y plazo de supresión descrito en el artículo 12.
• Naturaleza: recopilación, grabación, organización, consulta, adaptación, transmisión a los Jugadores y destinatarios elegidos, copia de seguridad y eliminación.
• Finalidades: visualización dinámica, rutas táctiles, administración, soporte, seguridad y funciones solicitadas por el Cliente.
• Datos: identidad profesional, cuentas y roles, contenido, medios, configuraciones, registros técnicos, datos de soporte y datos habilitados por el contexto.
• Personas: Usuarios del Cliente, personal, visitantes u otras personas cuyos datos el Cliente decida procesar.

18. Anexo III — Medidas técnicas y organizativas

Las medidas establecidas incluyen: RLS, RBAC, aislamiento multiinquilino, controles del servidor, secretos guardados en el lado del servidor, cifrado en tránsito, almacenamiento del proveedor cifrado según sus capacidades, URL firmadas, registros redactados, request_id, separación de prueba/producción, datos de prueba sintéticos, protecciones entre organizaciones, limitación de velocidad, autorización de comandos del jugador, gestión de acceso, copias de seguridad del proveedor y procedimiento de incidentes.

19. Anexo IV — Subcontratistas activos

La lista activa y versionada se publica en la página de Subcontratistas de NeuroDisplay. Incluye Supabase, Vercel, Resend y OpenAI cuando las funciones de IA están activas. Open-Meteo queda temporalmente deshabilitado hasta que se configure una suscripción comercial y no reciba ningún dato de producción.

Cloudflare R2 para Future Document Library, GitHub, Mailosaur, herramientas para desarrolladores y proveedores no utilizados no se encuentran en la lista activa.

20. Anexo V — Transferencias internacionales

Las regiones y los mecanismos dependen del proveedor, el plan y la configuración activa. Las posibles transferencias fuera del EEE utilizan una decisión de adecuación, cláusulas contractuales estándar u otra salvaguardia aplicable. La lista versionada indica posibles regiones y mecanismos generales sin revelar configuraciones confidenciales.

21. Anexo VI — Conservación y supresión

• contenidos, normas, composiciones y configuraciones: contrato, exportación a los treinta días, supresión activa dentro de los treinta días siguientes;
• archivos temporales y cargas abandonadas: veinticuatro horas;
• registros de aplicaciones: noventa días;
• registros de seguridad y autenticación: ciento ochenta días;
• Condición técnica y pulsaciones del jugador: noventa días;
• análisis identificables por Organización: trece meses como máximo;
• Tickets de soporte y anexos: procesamiento luego de doce meses después del cierre;
• Avisos de IA: no se almacenan en Analytics ni de forma permanente, a menos que se registren explícitamente; registros técnicos redactados: treinta días como máximo;
• pruebas contractuales y contables: duraciones legales aplicables.

La retención superior sólo se aplica en presencia de una obligación legal, un litigio o una congelación documentada.

22. Anexo VII — Asistencia e incidentes

A2Display mantiene un procedimiento que abarca la detección, clasificación, contención, conservación de pruebas, evaluación de personas y datos, análisis de riesgos, notificación al Cliente sin demoras indebidas, actualizaciones, cierre y retroalimentación. Los intercambios utilizan un request_id y un registro redactado.