Contrato de encargo de tratamiento

Tú eres el responsable de los datos que envían tus aplicaciones. Nosotros somos el encargado. Este contrato rige desde el momento en que se crea una organización y mientras guardemos algo por tu cuenta.

Objeto: monitorización de errores de software, logs, trazas y métricas. Duración: la vigencia del contrato de servicio. Naturaleza y finalidad: recibir, guardar, agrupar y mostrar los datos que envías. Tipos de datos: telemetría técnica que puede contener identificadores, contexto de petición y texto libre escrito por tu aplicación. Categorías de interesados: los usuarios de tus aplicaciones y tu propio personal.

Tratamos únicamente según tus instrucciones documentadas, que son estas condiciones, la configuración que fijas en el producto y lo que nos pidas por escrito. Si creemos que una instrucción infringe la normativa de protección de datos, lo diremos en vez de cumplirla en silencio.

No usamos tus datos para entrenar modelos, para construir un producto ni para ningún fin propio.

Todo el que tiene acceso está sujeto a confidencialidad. El acceso al bucket o la base de datos de un cliente se limita a las cuentas que operan la plataforma, y se usa para soporte solo a petición tuya o cuando sea necesario para restablecer el servicio.

Separación por base de datos y por bucket de almacenamiento por organización, en vez de por un filtro en el código de la aplicación. Cifrado en tránsito en todos los endpoints. Payloads comprimidos y guardados en almacenamiento de objetos con acceso restringido a la plataforma. Credenciales de bucket aportadas por el cliente guardadas cifradas. Una lista fija de limpieza aplicada a cada payload antes de escribirlo. Tokens de API acotados con capacidades comprobadas por herramienta y no por método HTTP. Sesiones acotadas por host de organización.

La lista vigente está publicada en este sitio. Aceptas esos. Anunciaremos uno nuevo al menos treinta días antes de que empiece a tratar, y puedes oponerte; si no podemos resolver la objeción, puedes terminar el servicio afectado sin penalización.

Las peticiones nos llegan a través de Cloudflare, Inc., en Estados Unidos, que termina la conexión cifrada en el borde de su red antes de pasarla. Esa transferencia está cubierta por su certificación en el Marco de Privacidad de Datos UE-EE. UU. y por las cláusulas contractuales tipo de sus condiciones de tratamiento. No hay ningún otro tratamiento fuera del Espacio Económico Europeo, salvo donde configures la entrega de alertas a un servicio de fuera. En ese caso la transferencia se hace según tu instrucción y queda cubierta por las cláusulas contractuales tipo en las que se apoya ese servicio.

Te avisamos sin dilación indebida y en todo caso dentro de las setenta y dos horas desde que tengamos conocimiento de una brecha de datos personales que afecte a tus datos, con lo que sepamos en ese momento. Tu propio plazo empieza cuando empieza el nuestro, así que no esperamos a que termine la investigación para decírtelo.

Te ayudamos a responder solicitudes de interesados y a completar evaluaciones de impacto, en la medida en que lo permita la naturaleza del tratamiento. La API de gestión es como se hace la mayor parte directamente.

Al terminar, y bajo petición en cualquier momento, borramos: se elimina el bucket y se descarta la base de datos de la organización. Las copias de seguridad caducan en treinta días.

Facilitamos la información necesaria para demostrar el cumplimiento y permitimos auditorías, incluidas inspecciones, con aviso razonable y a intervalos razonables, de forma que no comprometa a otros clientes.