Acuerdo de tratamiento de datos
El presente Acuerdo de tratamiento de datos (contrato de encargado del tratamiento) («Acuerdo») se celebra entre el cliente y [ENTITY NAME], con domicilio en [ADDRESS] («Nabo»). El cliente es el administrador de fincas, administrador certificado o comunidad de propietarios que crea un edificio en Nabo, y actúa como responsable del tratamiento. Nabo actúa como encargado del tratamiento. El Acuerdo se aplica en virtud del artículo 28 del RGPD y de la Ley albanesa n.º 124/2024 de protección de datos personales. Un administrador lo acepta en la app al crear un edificio, en nombre del responsable del tratamiento; se registran la versión y el momento de la aceptación.
1. Objeto, duración y naturaleza
Nabo trata los datos personales de los residentes para prestar el servicio comunitario privado del edificio descrito en las condiciones del servicio: verificación de miembros, muro, avisos, eventos, «Presta y pide», mensajes, moderación y notificaciones. El tratamiento dura mientras el edificio utilice Nabo, más el plazo de eliminación previsto en la cláusula 9. Los detalles figuran en el Anexo 1.
2. Instrucciones
Nabo trata los datos del edificio únicamente siguiendo las instrucciones documentadas del responsable del tratamiento. Dichas instrucciones son las condiciones del servicio, el presente Acuerdo y el uso que el responsable del tratamiento hace de los ajustes de la app. Nabo no trata ningún dato para fines propios. Nabo informará al responsable del tratamiento si considera que una instrucción infringe la normativa de protección de datos.
3. Confidencialidad
Todas las personas de Nabo que pueden acceder a los datos del edificio están sujetas a un deber de confidencialidad. El equipo de Nabo solo puede acceder a un edificio mediante una función de soporte auditada que registra quién accedió y por qué.
4. Seguridad
Nabo aplica las medidas técnicas y organizativas del Anexo 2 y las mantiene adecuadas al riesgo (art. 32 RGPD).
5. Asistencia
Nabo ayuda al responsable del tratamiento a atender las solicitudes de los residentes. Los residentes pueden exportar sus propios datos y eliminar sus cuentas en la app, y el responsable del tratamiento puede exportar la lista de residentes, los registros de entrega, el registro de auditoría y el contenido desde la pestaña Gestión. Nabo también presta asistencia, cuando sea necesario, en las evaluaciones de impacto relativas a la protección de datos y en las consultas a la autoridad de control.
6. Violaciones de la seguridad de los datos personales
Nabo notificará al responsable del tratamiento cualquier violación de la seguridad de los datos personales que afecte a los datos del edificio sin dilación indebida y, a más tardar, en un plazo de 72 horas desde que tenga conocimiento de ella. La notificación incluirá la información prevista en el art. 33.3 del RGPD en la medida en que se conozca, y Nabo facilitará el resto en cuanto disponga de ella.
7. Subencargados
El responsable del tratamiento autoriza a los subencargados que figuran en la página de subencargados. Nabo comunicará cualquier subencargado nuevo o sustituido con al menos 30 días de antelación, por correo electrónico y en la app. El responsable del tratamiento podrá oponerse por motivos razonables de protección de datos. Si no se encuentra una solución, el responsable del tratamiento podrá poner fin al servicio y se le reembolsarán las cuotas correspondientes al periodo restante. Nabo impone a cada subencargado las mismas obligaciones de protección de datos y sigue siendo responsable de ellos.
8. Transferencias internacionales
Los datos del edificio se almacenan en la Unión Europea (París, Francia). Solo se realizan transferencias fuera de la UE/EEE en los casos indicados en la página de subencargados, al amparo de las Cláusulas contractuales tipo de la Comisión Europea. Las transferencias relativas a edificios albaneses se basan en la lista de países con un nivel de protección adecuado del Comisionado o en cláusulas equivalentes, con una evaluación de riesgos documentada.
9. Fin del servicio
Cuando un edificio deja Nabo, el responsable del tratamiento puede exportar sus datos mientras el edificio está en modo de solo lectura. Nabo elimina el contenido, las fotos y los miembros del edificio 90 días después de su archivo y, previa solicitud, facilita un certificado de eliminación. Los registros que Nabo debe conservar por ley se conservan solo durante el tiempo exigido: facturas, registro de auditoría y registros de consentimiento.
10. Auditorías
Nabo pone a disposición la información necesaria para demostrar el cumplimiento del presente Acuerdo, incluidos este documento, el Anexo 2 y las certificaciones de sus subencargados. Nabo permite auditorías por parte del responsable del tratamiento o de un auditor designado por este, como máximo una vez al año y con un preaviso de 30 días, salvo que una violación de la seguridad o una autoridad de control exijan otra cosa.
11. Prelación
En caso de conflicto entre el presente Acuerdo y las condiciones del servicio, prevalecerá el presente Acuerdo en lo relativo al tratamiento de datos personales.
Anexo 1: Detalles del tratamiento
| Interesados | Residentes, propietarios, inquilinos y miembros del hogar del edificio; los administradores y moderadores del edificio; las personas incluidas por el responsable del tratamiento en la lista de residentes. |
|---|---|
| Datos personales | Nombre, dirección de correo electrónico y, de forma opcional, teléfono, foto y presentación; edificio, vivienda, hogar y función; publicaciones, comentarios, reacciones, eventos, confirmaciones de asistencia, anuncios, préstamos y valoraciones; mensajes privados; avisos y registros de entrega y de confirmación de lectura; consentimiento para notificaciones oficiales; denuncias, decisiones de moderación y apelaciones; tokens e idioma del dispositivo; registro de auditoría. |
| Categorías especiales de datos | No está previsto tratar ninguna. Los residentes podrían escribir datos de este tipo en texto libre; las normas de la comunidad les piden que no lo hagan. |
| Finalidad | Prestar el servicio comunitario privado del edificio y sus herramientas de administración. |
| Frecuencia | Continua, mientras el edificio utilice Nabo. |
| Conservación | Según lo establecido en el apartado 6 de la política de privacidad. |
Anexo 2: Medidas técnicas y organizativas
- Aislamiento entre edificios: los datos de cada edificio se separan mediante seguridad a nivel de fila (row-level security) en todas las tablas. Las pruebas automatizadas demuestran que un miembro de un edificio no puede leer ni escribir datos de otro edificio.
- Cifrado: TLS 1.2 o una versión posterior en tránsito; cifrado en reposo por parte del proveedor de alojamiento.
- Acceso: inicio de sesión mediante enlace por correo electrónico, código o contraseña; tokens de corta duración (15 minutos) y revocación de sesiones; tokens en el Keychain del dispositivo; funciones con el mínimo privilegio necesario (residente, moderador, administrador); acceso del personal solo mediante una función auditada.
- Archivos multimedia: almacenamiento privado; las fotos se sirven mediante enlaces firmados que caducan y solo funcionan para los miembros del edificio.
- Registro: un registro de auditoría de solo adición de las acciones administrativas, las decisiones de moderación, las exportaciones, las purgas y los accesos del personal.
- Privacidad por defecto: los residentes solo ven el nombre de pila y la inicial del apellido, salvo que la persona decida otra cosa; las direcciones de correo electrónico nunca se muestran a los residentes; sin publicidad y sin seguimiento entre apps.
- Resiliencia: base de datos gestionada en el proveedor de alojamiento, con copias de seguridad [FREQUENCY AND RETENTION, per the hosting plan]; caché sin conexión en el teléfono que se sincroniza con el servidor.
- Respuesta a incidentes: un procedimiento de actuación por escrito, con notificación a los responsables del tratamiento en un plazo de 72 horas.
- Eliminación: tareas programadas de conservación conforme a la política de privacidad; los archivos de exportación caducan a los 7 días.