Subencargados del tratamiento

Documento complementario del Contrato de encargo del tratamiento (Contrato de encargo del tratamiento) entre cada empresa cliente, como responsable, y Onionly SLU (NIF B66686908, Carrer de les Tres Creus, 2, Barcelona), como encargada. Cumple los apartados 2 y 4 del art. 28 del Reglamento (UE) 2016/679 (RGPD): identifica a los otros encargados a los que Onionly recurre, las garantías que les exige y el procedimiento para cambiarlos.

1. Objeto

Onionly no presta el servicio Laboro con medios exclusivamente propios: el servidor, el almacenamiento de ficheros, el envío de correo y la monitorización de errores los proporcionan proveedores externos que, en la medida en que alojan o pueden acceder a datos personales tratados por cuenta de la empresa cliente, son subencargados en el sentido del art. 28.2 RGPD. Este documento los enumera. La lista vigente es la publicada en laboro.app/legal/subencargados y la versión aplicable a cada contrato es la última comunicada a la empresa.

2. Autorización general (cláusula que cita el contrato de encargo)

Autorización para recurrir a subencargados. La empresa cliente autoriza
de forma general a Onionly a recurrir a los subencargados que figuran en la
lista publicada en subencargados, exclusivamente para los servicios y
los datos que en ella se indican. Onionly informará por escrito a la empresa
de cualquier adición o sustitución de subencargado con al menos treinta
(30) días naturales de antelación a que el nuevo subencargado empiece a
tratar datos, dando así a la empresa la oportunidad de oponerse conforme al
art. 28.2 RGPD y al apartado 5 de este documento. Onionly impondrá a cada
subencargado, mediante contrato, las mismas obligaciones de protección de
datos que asume frente a la empresa, y seguirá siendo plenamente
responsable ante la empresa del cumplimiento de las obligaciones del
subencargado (art. 28.4 RGPD).

3. Lista de subencargados

No hay ningún otro subencargado. En particular, no se utilizan servicios de análisis, publicidad, chat ni fuentes o imágenes servidas por terceros, y los PDF se generan en el propio servidor.

4. Garantías exigidas a cada subencargado

Antes de incorporar un subencargado, Onionly comprueba y documenta que:

1. Existe un contrato escrito con el contenido del art. 28.3 RGPD (instrucciones, confidencialidad, seguridad, asistencia, supresión o devolución al final, auditoría).
2. Los datos se alojan en el Espacio Económico Europeo o, si no, existe una decisión de adecuación o cláusulas contractuales tipo con la evaluación complementaria que exige la jurisprudencia del Tribunal de Justicia de la UE (asunto C-311/18).
3. Las medidas de seguridad del subencargado son, como mínimo, equivalentes a las que Onionly asume en Medidas de seguridad para el servicio concreto que presta (cifrado en tránsito siempre; cifrado en reposo para el almacenamiento; control de acceso; registro de accesos).
4. El subencargado se compromete a notificar a Onionly toda violación de seguridad sin dilación indebida, de modo que Onionly pueda cumplir el plazo de 24 horas del Procedimiento de brechas de seguridad.
5. El subencargado no recurre a su vez a otros encargados sin las mismas garantías.

5. Procedimiento de cambio de subencargado

1. Comunicación previa. Onionly comunica por escrito a cada empresa cliente, al correo del usuario propietario de la cuenta y mediante un aviso en el panel de gestión, la adición o sustitución prevista, con al menos 30 días naturales de antelación. La comunicación indica el proveedor, el servicio, la ubicación de los datos, las garantías y los datos afectados, en la misma forma que la tabla del apartado 3.
2. Derecho de oposición. La empresa puede oponerse por escrito, en ese plazo de 30 días, exponiendo motivos razonables relacionados con la protección de datos. El silencio se entiende como no oposición.
3. Respuesta de Onionly. Recibida la oposición, Onionly puede, en un plazo de 15 días: (a) renunciar al nuevo subencargado; (b) ofrecer una alternativa que atienda la objeción; o (c) comunicar que no puede prestar el servicio sin él.
4. Resolución. Si Onionly no puede atender la objeción, la empresa tiene derecho a resolver el Contrato de encargo y las Condiciones de uso respecto del servicio afectado, sin penalización, antes de que el nuevo subencargado empiece a tratar sus datos. Onionly mantiene el servicio con los subencargados anteriores durante un periodo de transición de 30 días desde la resolución, durante el cual la empresa puede exportar todos sus datos (ZIP con CSV y PDF) desde el propio panel. Transcurrido ese periodo, se aplica lo previsto en el contrato de encargo para la devolución y supresión de los datos.
5. Sustitución urgente. Si un subencargado deja de prestar el servicio de forma sobrevenida o sufre un incidente que obliga a sustituirlo sin poder respetar el plazo de 30 días, Onionly comunica la sustitución tan pronto como sea posible, con los mismos contenidos, y la empresa conserva el derecho de oposición y de resolución del apartado 4 desde esa comunicación.
6. Cambios que no requieren comunicación. No son cambios de subencargado el cambio de plan o de contrato con un mismo proveedor, ni el cambio de región dentro del EEE con el mismo proveedor, aunque se reflejarán en la siguiente versión de la lista.

6. Responsabilidad

Conforme al art. 28.4 RGPD, si un subencargado incumple sus obligaciones de protección de datos, Onionly sigue siendo plenamente responsable ante la empresa cliente del cumplimiento de esas obligaciones, sin perjuicio de las acciones de repetición que Onionly pueda ejercer contra el subencargado.

7. Historial de versiones