Partes, alcance y duración
El acuerdo identificará a la organización responsable y a EKADE AUDITORES TECNICOS SL como encargado del diagnóstico, cuando esas sean sus funciones efectivas. Se aplicará a la prestación contratada y a las operaciones acordadas de devolución o supresión. Esta publicación es un modelo; no equivale a un contrato suscrito.
Objeto: gestionar evaluaciones culturales, invitaciones, respuestas, resultados agrupados, revisiones asignadas y seguimiento. Personas afectadas: contactos autorizados, participantes y consultores. Datos: contacto, permisos, selecciones, puntuaciones y documentación mínima necesaria. Se excluye solicitar categorías especiales de datos o perfiles individuales de empleo.
Instrucciones y límites de uso
El responsable documentará finalidad, base jurídica, destinatarios, población, aviso, plazo de conservación y asignaciones. EKADE tratará los datos para ejecutar las instrucciones acordadas y comunicará las instrucciones que considere contrarias a la normativa antes de darles curso.
No se utilizarán las respuestas para fines propios ajenos al encargo, publicidad o entrenamiento de modelos. Los tratamientos propios de cuentas, facturación y defensa de derechos deberán diferenciarse en el aviso correspondiente.
Confidencialidad y medidas
El personal autorizado deberá asumir confidencialidad y acceder solo por una necesidad de servicio. Las asignaciones de consultores se documentarán y retirarán al terminar. El administrador global tendrá acceso vinculado a gestión, soporte o revisión autorizada, sin convertir su rol en un acceso irrestricto para fines personales.
El anexo de seguridad recogerá las medidas verificadas: comprobación de permisos por organización, verificación del correo, contraseñas derivadas, sesiones temporales, enlaces individuales protegidos, separación de identidad y respuesta, resultados agrupados y límites contra abusos. Añadirá los procedimientos de copias, restauración, acceso técnico y eliminación que se acrediten. No se incorporarán certificaciones ni garantías técnicas sin evidencia.
Subencargados y transferencias
El anexo identificará por entidad y servicio a los proveedores efectivos, los datos que reciben, ubicaciones y garantías. El responsable autorizará los subencargos conforme al mecanismo acordado; los cambios se comunicarán con antelación suficiente para ejercer la oposición pactada. EKADE impondrá obligaciones equivalentes en la cadena contractual aplicable.
Para transferencias internacionales se documentará el mecanismo jurídico válido y las medidas complementarias que correspondan. No basta con el nombre comercial de un proveedor o con un enlace a su DPA. La cadena de Sites, Resend y los demás servicios utilizados debe confirmarse para las cuentas contratadas.
Derechos, riesgos e incidentes
EKADE asistirá al responsable en solicitudes de derechos, seguridad y evaluaciones de impacto cuando procedan. Una solicitud relativa al diagnóstico se dirigirá al responsable, con seguimiento de su resolución. No se reconstruirán respuestas individuales a partir de datos de contacto para facilitar una nueva identificación.
EKADE comunicará al responsable las violaciones de seguridad de datos personales sin dilación indebida desde que tenga conocimiento, aportará la información disponible y la actualizará. El responsable valorará sus obligaciones de comunicación a personas y autoridades. El plazo de 72 horas del RGPD para notificar a la autoridad cuando proceda no es un plazo de espera del encargado.
Fin del servicio, comprobación y anexos
Al finalizar, el responsable elegirá la devolución o supresión de los datos según lo acordado, salvo conservación legal obligatoria. Se fijarán formatos, plazos, tratamiento de copias y confirmación de ejecución. Conservar un informe agrupado no legitima mantener indefinidamente respuestas o contactos originales.
EKADE facilitará información para acreditar sus obligaciones y contribuirá a las auditorías que procedan, con alcance y medidas que protejan a otros clientes. Las instrucciones y cambios se conservarán junto a la versión aceptada del acuerdo.
Antes de formalizar: completar identidad del cliente y representantes; instrucciones del diagnóstico; inventario; conservación y devolución; entidades, ubicaciones y transferencias; medidas y responsables operativos; canal de incidentes; consultores; fecha, versión y aceptación por ambas partes. Estos anexos siguen pendientes para cualquier cliente real.