Contrato de encargo de tratamiento

Este contrato de encargo de tratamiento (DPA), en virtud del artículo 28 del RGPD, regula los datos personales que Wexlo, nombre comercial de Rybier Consulting (KvK 66637694), President Allendelaan 263, 1068 VM Amsterdam, trata por cuenta de usted al escanear los sitios web que usted indica. Se aplica automáticamente a todos los clientes como parte de nuestras condiciones generales: no hace falta firmarlo. Si necesita una copia firmada para sus propios archivos, escriba a hello@wexlo.eu y se la enviaremos. Si este DPA y las condiciones se contradicen en materia de protección de datos, prevalece este DPA.

Para el tratamiento de los escaneos descrito aquí, usted es el responsable del tratamiento (o un encargado del tratamiento para sus propios clientes, en cuyo caso actuamos como subencargado de usted) y nosotros somos su encargado del tratamiento: usted decide qué dominios escaneamos y nosotros tratamos lo que aparece en esas páginas únicamente para elaborar sus informes. Para su cuenta, sus pedidos y sus facturas somos un responsable independiente; ese tratamiento se describe en la política de privacidad y queda fuera de este DPA.

Objeto: el escaneo automatizado de la accesibilidad de los sitios web que usted registra, y la generación y entrega de los informes correspondientes. Duración: la vigencia de su suscripción, más el plazo de supresión del artículo 10. Naturaleza: recopilación y análisis automatizados de páginas web de acceso público. Finalidad: únicamente para entregar los informes y prestar las funciones correspondientes a su suscripción, nunca para fines propios.

Categorías de datos: los datos personales que resulten visibles en las páginas de acceso público de los sitios web que usted indica (por ejemplo, nombres en una página del equipo). Categorías de interesados: los visitantes de esos sitios web y las personas que aparecen en ellos. Por diseño reducimos esos datos radicalmente al mínimo: del escaneo automatizado solo almacenamos incidencias estructuradas (la regla, el criterio de conformidad de las WCAG, la gravedad y un selector CSS), y nunca capturas de pantalla ni el HTML de sus páginas. En la práctica, los datos personales residuales procedentes del escaneo se limitan, por tanto, a lo que pueda aparecer en una URL o en un selector CSS.

Cuando uno de nuestros evaluadores realiza además una evaluación manual, sí registramos capturas de pantalla y datos de medición en bruto de las páginas evaluadas, entre ellos una captura de pantalla por cada paso de la navegación con el teclado. Es necesario para fundamentar una incidencia y para entregar el conjunto completo si se solicita. Esas capturas muestran la página tal como la ve un visitante sin iniciar sesión; por tanto, los datos personales visibles en ellas también aparecen en la captura. Se almacenan con el mismo subencargado que los informes (Cloudflare R2, jurisdicción de la UE) y se eliminan como máximo 12 meses después de la fecha de la medición, o antes si lo solicita. El almacenamiento no es de acceso público: el material se guarda cifrado, solo circula por una conexión cifrada y solo puede abrirse mediante un enlace que creamos a petición y que caduca como máximo a los siete días.

Solo tratamos los datos siguiendo sus instrucciones documentadas. Registrar un dominio y configurar su suscripción son esas instrucciones; se pueden acordar instrucciones adicionales por correo electrónico. Le avisamos si, en nuestra opinión, una instrucción infringe el RGPD. Al margen de sus instrucciones solo tratamos datos cuando lo exija el Derecho de la Unión o de los Estados miembros, y le informamos de ello previamente salvo que dicho Derecho lo prohíba.

El acceso a los datos personales se limita a las personas que lo necesitan para prestar el servicio y que están sujetas a un deber de confidencialidad. Teniendo en cuenta el estado de la técnica y la naturaleza de los datos, aplicamos las medidas del artículo 32 del RGPD, entre ellas: cifrado TLS en tránsito (impuesto mediante HSTS), cifrado en reposo en nuestros proveedores de base de datos y de almacenamiento, infraestructura alojada en la UE, minimización de datos desde el diseño (el escaneo automatizado no almacena capturas de pantalla ni HTML; las pruebas de una evaluación manual sí se almacenan, tal como describe el artículo 4), enlaces de inicio de sesión de un solo uso en lugar de contraseñas, acceso según el principio de mínimo privilegio, limitación de solicitudes y registro de los eventos relevantes para la seguridad.

Usted da su autorización general a los subencargados que se indican a continuación. Anunciamos las incorporaciones o sustituciones por correo electrónico con al menos 30 días de antelación; si se opone por motivos razonables de protección de datos y no podemos ofrecer una solución, puede poner fin a su suscripción con efecto en la fecha en que el cambio entre en vigor.

• Scalingo: alojamiento de la aplicación (París, Francia)
• Fly.io: escáner que visita sus páginas (región de Fráncfort, Alemania; empresa estadounidense)
• Neon: base de datos de las incidencias de los escaneos (región de Fráncfort, Alemania; empresa estadounidense)
• Cloudflare: almacenamiento de informes y pruebas (R2, jurisdicción de la UE), DNS y cortafuegos (empresa estadounidense)
• Upstash: cola de tareas y limitación de solicitudes (región de la UE; empresa estadounidense)
• Mailjet: entrega de informes por correo electrónico (París, Francia; grupo Sinch)
• Resend: servicio de respaldo para el envío de correo electrónico; solo envía cuando falla Mailjet (región de Irlanda; empresa estadounidense)
• Google (Workspace): nuestro buzón de atención al cliente, por lo que todo correo que nos envíe pasa por él y se queda allí (región de la UE; empresa estadounidense)
• Anthropic: texto de los informes generado con IA a partir de las incidencias estructuradas, y evaluación con IA de los criterios de conformidad de las WCAG relativos al texto sobre fragmentos acotados de la página (Estados Unidos; nuestro contrato de API recoge que los datos de usted no se usan para entrenar modelos)
• Sentry: supervisión de errores (región con residencia de datos en la UE)

Cada subencargado está vinculado por un contrato de encargo de tratamiento con obligaciones sustancialmente equivalentes a estas, y seguimos siendo plenamente responsables ante usted de su cumplimiento.

El tratamiento se realiza en la UE, con una excepción que exponemos con claridad: los pasos de IA se ejecutan a través de la API de Anthropic en Estados Unidos, cubiertos por las cláusulas contractuales tipo de la UE. Son dos pasos, y no envían los mismos datos. Para el texto del informe solo se envían las incidencias estructuradas. Para la evaluación con IA de los criterios de conformidad de las WCAG relativos al texto en los escaneos de pago se envían además fragmentos acotados de la propia página: el título de la página, los encabezados, el texto alternativo de las imágenes, el texto de los enlaces, un breve fragmento del texto que rodea cada elemento y las frases que contienen indicios de instrucciones basadas en características sensoriales. Pueden incluir datos personales visibles en esa página. Los fragmentos enviados no se almacenan como tales: solo existen mientras dura la llamada. Lo que sí conservamos son las incidencias estructuradas que resultan de ella (que pueden incluir una cita breve del elemento evaluado, como cualquier incidencia de un escaneo), además de un hash técnico no rastreable para que las páginas sin cambios no tengan que volver a evaluarse. Puede solicitar una copia de las cláusulas contractuales tipo aplicadas escribiendo a hello@wexlo.eu. Algunos subencargados con región en la UE (Neon, Fly.io, Cloudflare, Upstash, Google, Resend) son empresas estadounidenses; el tratamiento que realizan para nosotros permanece en regiones de la UE, y cualquier transferencia que sí se produzca se basa en el Marco de Privacidad de Datos entre la UE y EE. UU. para las entidades certificadas en virtud de él y, en los demás casos, en las cláusulas contractuales tipo de la UE.

Teniendo en cuenta la naturaleza del tratamiento, le ayudamos con las solicitudes de los interesados (acceso, supresión y los demás derechos del capítulo III del RGPD) y, cuando proceda, con sus obligaciones derivadas de los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto relativas a la protección de datos. Le notificamos sin dilación indebida cualquier violación de la seguridad de los datos personales que afecte a sus datos, en cuanto tengamos conocimiento de ella, con la información que exige el artículo 33, apartado 3, del RGPD, para que pueda cumplir sus propias obligaciones de notificación.

Si finaliza su suscripción, puede exportar sus informes desde el portal de clientes. Si lo solicita, eliminamos tanto las incidencias de los escaneos como los informes que conservamos para usted; en cualquier caso, los eliminamos o anonimizamos con arreglo a los plazos de conservación de la política de privacidad, salvo cuando el Derecho de la Unión o el neerlandés nos obligue a conservar datos concretos (como las facturas).

Ponemos a su disposición la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD: esta página, nuestro resumen de seguridad y los compromisos pertinentes de nuestros contratos con los subencargados. Puede realizar una auditoría una vez por año contractual, con un preaviso mínimo de 30 días, en horario laboral, sin acceso a los datos de otros clientes y a su costa; cuando sea posible, atendemos las auditorías en primer lugar mediante documentación.

El régimen de responsabilidad de las condiciones generales se aplica también a este DPA. Se aplica la legislación neerlandesa. Este DPA está disponible en inglés (https://wexlo.eu/dpa), en neerlandés y en francés (https://wexlo.eu/fr/dpa); si las versiones difieren, prevalece la versión en inglés.