Protección de Datos (RGPD) para Clientes

Este documento complementa nuestra Política de Privacidad (que trata los datos de los visitantes del Sitio) y describe nuestro compromiso de protección de datos como prestador de servicios de IT gestionados para empresas clientes — una función en la que ONEGEST trata a menudo datos personales por cuenta del cliente (por ejemplo, al gestionar el email, los backups, el ERP o el CRM de una empresa que, a su vez, contiene datos personales de sus empleados y clientes).

1. El papel de ONEGEST: responsable frente a encargado

Conforme al artículo 4 del RGPD, cuando el cliente ("responsable del tratamiento") contrata a ONEGEST para gestionar infraestructura, email, backups, su ERP o su CRM, ONEGEST actúa como encargado del tratamiento — trata datos personales exclusivamente según las instrucciones documentadas del cliente, con la finalidad de prestar el servicio contratado, y nunca para fines propios.

2. Contrato de Encargo de Tratamiento (DPA)

Para los clientes de los packs Productividad Cloud y Gestión Total, o de cualquier servicio que implique acceso a datos personales gestionados por el cliente (email, backups, ERP, CRM), ponemos a disposición un Contrato de Encargo de Tratamiento (Data Processing Agreement), conforme al artículo 28 del RGPD, que se firma en el momento de la contratación. Este contrato formaliza, entre otros puntos: el objeto y la duración del tratamiento, su naturaleza y finalidad, el tipo de datos personales y las categorías de interesados, y las obligaciones y derechos del responsable (el cliente).

3. Subencargados del tratamiento

Para prestar sus servicios, ONEGEST recurre a proveedores y partners tecnológicos que pueden tratar datos personales por cuenta del cliente final:

• Hostinger — alojamiento web, dominios, VPS/Cloud y email profesional;
• Microsoft — Microsoft 365 (email, archivos, productividad);
• Google — Google Workspace (email, archivos, productividad);
• Cegid — software de gestión empresarial (ERP) y facturación;
• Proveedores de plataformas de CRM — cuando se contrata el servicio de Gestión Comercial y CRM; el proveedor concreto se indica en el Contrato de Encargo de Tratamiento;
• Proveedores de backup y ciberseguridad gestionados — backup on-premise y SaaS, antivirus gestionado, EDR, firewall y VPN.

La lista completa y actualizada de subencargados relevantes para el servicio contratado figura en el correspondiente Contrato de Encargo de Tratamiento. ONEGEST se compromete a notificar al cliente cualquier cambio en esta lista, dándole la oportunidad de oponerse, salvo impedimento técnico o contractual justificado.

4. Medidas técnicas y organizativas de seguridad

• Cifrado de los datos en tránsito (HTTPS/TLS) en todos los servicios gestionados;
• Control de acceso basado en roles, con autenticación adecuada a cada sistema;
• Política de backups con prueba de restauración periódica y documentada — no solo la copia de los datos, sino la confirmación regular de que son recuperables;
• Antivirus gestionado y, en los niveles avanzados, detección y respuesta ante amenazas (EDR);
• Registro y monitorización de incidentes de seguridad.

5. Notificación de violaciones de la seguridad de los datos

En caso de violación de la seguridad que afecte a datos tratados por cuenta de un cliente, ONEGEST se compromete a notificarlo al cliente (responsable del tratamiento) sin dilación indebida, para que este pueda cumplir su propia obligación de notificación a la autoridad de control en el plazo de 72 horas, conforme al artículo 33 del RGPD.

6. Devolución o supresión de datos al finalizar el contrato

Al finalizar la relación contractual, ONEGEST devuelve al cliente, o suprime de forma segura — según indique el cliente — todos los datos personales tratados por su cuenta, incluidas las copias existentes en sistemas de backup, salvo obligación legal de conservación.

7. Transferencias internacionales de datos

Algunos subencargados (en particular Microsoft y Google) pueden tratar datos en centros de datos situados fuera del Espacio Económico Europeo. En esos casos, ONEGEST se asegura de que existan mecanismos de transferencia válidos conforme al Capítulo V del RGPD, como las Cláusulas Contractuales Tipo de la Comisión Europea o el EU-U.S. Data Privacy Framework, según corresponda.

8. Relación con la Directiva NIS2

Para clientes sujetos a la Directiva (UE) 2022/2555 (NIS2) — o que formen parte de la cadena de suministro de empresas sujetas — ONEGEST presta un servicio de diagnóstico y plan de acción NIS2, que complementa, pero no sustituye, las obligaciones de protección de datos aquí descritas — la NIS2 regula la gestión del riesgo de ciberseguridad y la notificación de incidentes a nivel organizativo, con objetivos distintos (aunque superpuestos) a los del RGPD.

9. Contacto para cuestiones de protección de datos

Para solicitar el Contrato de Encargo de Tratamiento aplicable a su contrato, o para cualquier cuestión sobre el tratamiento de datos personales en nuestros servicios, escríbanos a info@onegest.com o llame al +351 965853634.