Acuerdo de Tratamiento de Datos Personales
1. Consideraciones previas
El presente documento resulta aplicable a los clientes de Signe, S.A., con N.I.F. A11029279 y domicilio social en Calle de la Imprenta 6, C.P. 28760, Tres Cantos, Madrid, en relación con los servicios prestados por medio de la plataforma denominada "eTítulo".
De manera supletoria, a la utilización del Servicio Web serán aplicables el Aviso Legal, la Política de Privacidad, la Política de Cookies y las Condiciones Generales.
2. Objeto del encargo del tratamiento
Mediante el presente acuerdo se habilita a Signe para tratar por cuenta del cliente, y bajo sus instrucciones específicas, los datos de carácter personal necesarios para prestar los servicios.
El tratamiento incluirá, según proceda:
- Configuración de usuarios y permisos
- Diseño y emisión de credenciales
- Generación de documentos
- Firma digital de credenciales
- Almacenamiento
- Notificación al destinatario
- Puesta a disposición en cartera digital
- Verificación pública
- Compartición temporal
- Soporte técnico
- Auditoría y registro de consumos
3. Roles en el tratamiento
- Cliente: Normalmente será considerado responsable del tratamiento de acuerdo con el art. 4.7 del RGPD.
- Signe: Será considerado encargado del tratamiento respecto de los datos personales objeto de este acuerdo.
El cliente determinará el contenido de las credenciales, las categorías de interesados, los datos incorporados, las bases jurídicas y los plazos de conservación.
4. Observancia de la normativa aplicable
Las partes se comprometen a cumplir con:
- El Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016 (RGPD).
- La Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales.
- La Ley 34/2002, de 11 de julio, de servicios de la sociedad de la información y de comercio electrónico.
5. Obligaciones de Signe
Signe se obliga a:
- Utilizar los datos personales exclusivamente para la finalidad de prestar los servicios especificados.
- Informar al cliente si considera que alguna de sus instrucciones infringe la normativa de protección de datos.
- Llevar un registro de las categorías de actividades de tratamiento.
- No comunicar los datos personales a terceros, salvo autorización expresa o supuesto legalmente admisible.
- Mantener el deber de secreto respecto a los datos personales.
- Garantizar que el personal que trata los datos está sometido a confidencialidad.
- Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de las obligaciones.
- Asistir al cliente en la respuesta al ejercicio de derechos de los interesados.
- Notificar al cliente las violaciones de seguridad de los datos personales en un plazo máximo de 48 horas.
- Dar apoyo en la realización de evaluaciones de impacto relativas a la protección de datos.
- Implementar medidas técnicas y organizativas apropiadas para garantizar un nivel de seguridad adecuado.
- Designar un delegado de protección de datos (contacto: protecciondedatos@signe.es).
- A la terminación del acuerdo, devolver o suprimir todos los datos personales.
6. Obligaciones del Cliente
El cliente se obliga a:
- Entregar a Signe los datos personales necesarios y mantenerlos actualizados.
- Determinar la base jurídica de los tratamientos realizados a través del Servicio Web.
- Proporcionar a los interesados la información pertinente en el momento de recogida de los datos.
- Valorar si las operaciones de tratamiento requieren una evaluación de impacto.
- Velar por el cumplimiento de la normativa de protección de datos por parte de Signe.
- Atender las solicitudes de ejercicio de derechos de los interesados.
- Configurar adecuadamente los roles, permisos y flujos de aprobación del tenant.
7. Medidas de seguridad
Entre las medidas de seguridad implementadas se incluyen:
- Segregación de tenants
- Control de acceso por roles
- Autenticación OIDC/JWT
- Comunicaciones TLS/HTTPS
- Hashing seguro de contraseñas (Argon2id)
- Registro de auditoría
- Redacción de datos sensibles en logs
- Protección de secretos
- Almacenamiento inmutable cuando proceda
- Backups y monitorización
8. Categorías de datos personales tratados
| Categoría | Ejemplos |
|---|---|
| Datos identificativos y de contacto | Nombre, apellidos, email, identificador de usuario, afiliación organizativa |
| Datos académicos, profesionales o de competencia | Títulos, diplomas, certificaciones, resultados de aprendizaje, competencias, calificaciones |
| Datos del destinatario de la credencial | Datos de identificación del estudiante o profesional, email |
| Datos de entidades emisoras | Representantes, certificados digitales, identidad organizativa |
| Datos criptográficos y técnicos | Credenciales firmadas, hashes SHA-256, tokens de compartición, JWT |
| Datos de documentos y ficheros | Plantillas, documentos PDF, ficheros de importación |
| Datos de auditoría y consumo | Usuario, acción, fecha/hora, estado de credencial |
| Datos de soporte | Consultas, incidencias, comunicaciones de soporte |
9. Categorías de interesados
| Categoría | Descripción |
|---|---|
| Usuarios organizativos del cliente | Administradores de tenant, operadores, diseñadores, aprobadores |
| Destinatarios de credenciales | Estudiantes, egresados, profesionales, candidatos |
| Representantes y contactos | Personas asociadas a identidades organizativas |
| Terceros verificadores | Personas que acceden a enlaces públicos de verificación |
| Usuarios de soporte de Signe | Personal autorizado que presta soporte técnico |
10. Subencargados autorizados
El cliente autoriza con carácter general la intervención de las categorías de subencargados necesarias para la prestación del Servicio Web:
- Proveedor de infraestructura cloud (alojamiento, almacenamiento, backup, monitorización)
- Proveedor de motor de firma digital (firma de credenciales)
- Proveedor de servicio SMTP (envío de emails transaccionales)
11. Ley aplicable y jurisdicción
El presente acuerdo se regirá por la normativa española. Para la resolución de cualquier litigio, las partes se someten a los Juzgados y Tribunales de la ciudad de Madrid (España), salvo norma imperativa en contrario.