Acuerdo de encargo de tratamiento

1. Las partes

El cliente, la organización que gestiona un espacio de trabajo de Ronde en la nube, es el responsable del tratamiento. El editor de Ronde, RONDE, 23 rue des Frères Bonie, 33000 Bordeaux, France · SIRET 821 041 431 00023 · APE 6201Z · TVA FR07821041431, es el encargado del tratamiento.

2. Objeto y duración

Ronde trata datos personales para prestar el servicio que describen las condiciones: preparar, dirigir y registrar las reuniones del cliente, con las funciones y las integraciones que el cliente activa. El tratamiento dura mientras el cliente usa el servicio y, después, hasta que los datos se borran como describe la sección 12.

3. Naturaleza y finalidad del tratamiento

Alojar, almacenar, organizar y mostrar el contenido del espacio de trabajo; enviar recordatorios, notificaciones y actas; transcripciones y resúmenes cuando el cliente los activa; transmitir datos a las integraciones que el cliente conecta; copias de seguridad y supresión. La única finalidad es prestar el servicio al cliente.

4. Tipos de datos personales

• datos de identidad y de contacto: nombres, direcciones de correo, números de móvil para los recordatorios por SMS y WhatsApp, fotos, roles y equipos, cumpleaños (día y mes) cuando se introducen;
• lo que escriben las personas: fichas, notas, decisiones, acciones, comentarios, reacciones, votos y respuestas a encuestas;
• participación: asistencia, turnos de palabra y sus tiempos;
• transcripciones de las reuniones, cuando el cliente las activa;
• datos técnicos: sesiones iniciadas con su dirección IP y su dispositivo, el registro de auditoría del espacio de trabajo.

El servicio no está diseñado para categorías especiales de datos (artículo 9 del RGPD), como los datos de salud: un cliente que necesite tratarlos debería alojar Ronde en sus propios servidores.

5. Categorías de interesados

Los miembros del espacio de trabajo, las personas de su directorio (personal, estudiantes, voluntariado, personal externo), las personas invitadas y observadoras de sus reuniones, y las personas mencionadas en su contenido.

6. Instrucciones

Ronde trata los datos únicamente siguiendo las instrucciones documentadas del cliente: estas condiciones, la configuración del espacio de trabajo y lo que hacen en él las personas que lo usan. Si una instrucción parece infringir la normativa de protección de datos, Ronde lo comunica al cliente. Ronde solo trata los datos para otra finalidad cuando lo exige el Derecho de la Unión Europea o el Derecho francés, y en ese caso informa antes al cliente, salvo que ese Derecho lo prohíba.

7. Confidencialidad

Las personas autorizadas para tratar los datos están sujetas a un deber de confidencialidad y solo acceden a ellos en la medida en que su trabajo lo requiere. Cada consulta de un espacio de trabajo o de una cuenta en el panel interno de Ronde queda registrada, con quién la hizo y cuándo.

8. Seguridad

Ronde aplica medidas adecuadas al riesgo (artículo 32 del RGPD), entre ellas:

• el cifrado de todas las conexiones (TLS);
• el cifrado en reposo de los secretos que necesitan las integraciones (AES-256-GCM);
• los tokens de las invitaciones, los enlaces de invitado, las fuentes de calendario y el aprovisionamiento, guardados como hash, nunca en claro;
• el control de acceso: los datos de cada espacio de trabajo separados, roles dentro del espacio, verificación en dos pasos para sus miembros;
• el panel interno del equipo, accesible solo desde las direcciones del equipo, con contraseña y una aplicación de autenticación, y con registro de cada acción y de cada consulta de datos de clientes;
• copias de seguridad nocturnas de la base de datos en el servidor de alojamiento en Francia, conservadas por rotación (una al día durante 7 días, una a la semana durante 4 semanas, una al mes durante 12 meses, una al año durante 2 años) y usadas solo para recuperarse de un incidente.

9. Subencargados del tratamiento

El cliente autoriza a Ronde a recurrir a los subencargados del tratamiento que se enumeran más abajo. Ronde impone a cada uno, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo, y sigue siendo responsable de ellos. Antes de añadir o sustituir un subencargado, Ronde actualiza esta lista y lo comunica por correo a los propietarios del espacio de trabajo del cliente con al menos 30 días de antelación. El cliente puede oponerse por motivos razonables dentro de ese plazo; a falta de acuerdo, puede poner fin a su suscripción, y se le reembolsa el periodo pagado y no utilizado.

Ronde no elige a los proveedores de las integraciones que activa el cliente: el cliente los elige y da instrucciones a Ronde para que les envíe lo que la integración necesita, y su propio acuerdo con cada proveedor rige lo que ese proveedor hace con ello.

10. Asistencia

Ronde ayuda al cliente a responder a las solicitudes de las personas que ejercen sus derechos: los propietarios del espacio de trabajo pueden exportar, rectificar y suprimir su contenido, y una solicitud que llegue directamente a Ronde se transmite al cliente. Ronde también facilita al cliente la información que necesita para una evaluación de impacto relativa a la protección de datos o una consulta previa a la autoridad de control.

11. Violaciones de la seguridad de los datos personales

Ronde notifica al cliente toda violación de la seguridad de los datos personales sin dilación indebida, y a más tardar 48 horas después de haber tenido conocimiento de ella, con lo que sabe: la naturaleza de la violación, las categorías y el número aproximado de personas y de registros afectados, sus consecuencias probables y las medidas adoptadas o propuestas. Completa esa información a medida que sabe más.

12. Fin del servicio

El cliente puede exportar el contenido del espacio de trabajo en cualquier momento: las actas en Markdown o PDF, las listas en CSV y todo el espacio de trabajo en un archivo JSON, a petición en hello@joinronde.com. Cuando se elimina el espacio de trabajo, su contenido se borra 30 días después y, luego, desaparece de las copias de seguridad a medida que estas rotan, en un plazo máximo de 2 años. Ronde no conserva nada durante más tiempo, salvo lo que la ley le obliga a conservar, como las facturas.

13. Auditorías

Ronde pone a disposición del cliente la información necesaria para demostrar que cumple estas obligaciones: este acuerdo, la descripción de sus medidas y su documentación, a petición en hello@joinronde.com. Si no es suficiente, el cliente puede hacer realizar una auditoría a su cargo, por una entidad auditora independiente sujeta a confidencialidad, con un preaviso de 30 días y no más de una vez al año, salvo que lo exija una violación de datos o una autoridad de control.

14. Transferencias

Ronde aloja los datos en Francia y no los transfiere por sí mismo fuera de la Unión Europea. Una transferencia solo se produce a través de un subencargado enumerado más abajo o de una integración que activa el cliente, y en ese caso con las garantías del capítulo V del RGPD: una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU., o las cláusulas contractuales tipo de la Comisión Europea.

15. Responsabilidad y prelación

Se aplican los límites de responsabilidad de las condiciones. En materia de protección de datos, este acuerdo prevalece sobre el resto de las condiciones. Si sus versiones en distintos idiomas difieren, prevalece la versión francesa.

Subencargados del tratamiento

Quién trata datos personales para Ronde en la nube, para qué y dónde.

Proveedores elegidos por el espacio de trabajo o sus miembros

Solo reciben datos cuando el espacio de trabajo activa la integración, o cuando una persona activa las notificaciones, y solo lo que esa integración necesita. Muchos están en Estados Unidos: las garantías son las de sus propias condiciones.

• Slack, Mattermost, Discord, Matrix: mensajes y actas publicados en los canales que elige el espacio de trabajo.
• Google Calendar, Microsoft 365, servidores CalDAV: los eventos de las reuniones, en los calendarios que conecta el espacio de trabajo.
• Jira, Linear, GitHub, GitLab: los tickets y las acciones vinculados a las reuniones.
• Wikis: las actas publicadas en las páginas que elige el espacio de trabajo.
• Proveedores de videollamadas: la llamada de cada reunión.
• Twilio: recordatorios por SMS y WhatsApp, a los números de las personas destinatarias.
• Anthropic: el asistente de IA, con la propia clave de API del espacio de trabajo, solo cuando el espacio lo activa; cada petición queda anotada en el registro de auditoría del espacio.
• Transcripción de voz a texto: las transcripciones de las reuniones, por el proveedor que configura el espacio de trabajo, con su propia clave.
• Servicios push de los fabricantes de navegadores (Google, Mozilla, Apple, Microsoft): notificaciones en los dispositivos donde las personas las activan, cifradas para que solo el dispositivo pueda leerlas.