Acuerdo de tratamiento de datos personales (DPA)

El presente Acuerdo de tratamiento de datos personales («DPA») se aplica a cualquier prestación realizada por elionis en cuyo marco elionis trate datos personales por cuenta del Cliente. Forma parte integrante del contrato celebrado entre elionis y el Cliente desde el momento en que las Condiciones Generales aplicables a la prestación (CGA —Condiciones Generales de Adhesión— o CGSU), el Boletín de adhesión, el presupuesto o cualquier otro documento contractual remitan a él.

1. Partes y calidad de las partes

El «Cliente» designa a la persona física o jurídica identificada en el Boletín de adhesión o en el contrato de prestación aplicable. En el marco de los tratamientos cubiertos por el presente DPA, el Cliente actúa en calidad de responsable del tratamiento o, en su caso, de encargado del tratamiento de sus propios clientes.

«elionis», sociedad por acciones simplificada con un capital social de 25 000 euros, con domicilio social en 19, rue Maryse Bastié – 94490 Ormesson-sur-Marne, inscrita en el Registro Mercantil (RCS) de Créteil con el número 484 736 103, actúa en calidad de encargado del tratamiento cuando trata datos personales por cuenta del Cliente y siguiendo sus instrucciones documentadas.

2. Objeto y ámbito de aplicación

El presente DPA define las condiciones en las que elionis trata datos personales por cuenta del Cliente en el marco de los Servicios, de conformidad con el Reglamento (UE) 2016/679, de 27 de abril de 2016 («RGPD»), en particular su artículo 28, y con la normativa francesa aplicable en materia de protección de datos.

Complementa, según el alcance efectivamente contratado por el Cliente, las CGA o las CGSU aplicables, el Boletín de adhesión, los presupuestos, la documentación técnica y los demás anexos contractuales. Las CGA y las CGSU constituyen marcos contractuales distintos e independientes: el presente DPA se aplica a cada uno de ellos cuando se haga referencia expresa a él. En caso de contradicción relativa específicamente a la protección de los datos personales, prevalecerán las disposiciones imperativas del RGPD.

3. Descripción de los tratamientos

4. Instrucciones del Cliente

elionis trata los datos personales únicamente siguiendo instrucciones documentadas del Cliente, incluso en lo que respecta a las transferencias de datos, salvo cuando el tratamiento venga exigido por el Derecho de la Unión Europea o el Derecho francés. En tal caso, elionis informa al Cliente de esa obligación antes del tratamiento, salvo que la ley lo prohíba.

Las instrucciones documentadas resultan, en particular, del Contrato, de las solicitudes y tickets de soporte, de las solicitudes escritas del Cliente y de las configuraciones realizadas a petición suya. Si elionis considera que una instrucción constituye una infracción de la normativa aplicable en materia de protección de datos, informará de ello al Cliente a la mayor brevedad.

5. Confidencialidad y personas autorizadas

elionis vela por que las personas autorizadas para tratar los datos personales estén sujetas a una obligación adecuada de confidencialidad y solo accedan a los datos en la medida necesaria para el desempeño de sus funciones. Las autorizaciones se conceden según el principio de necesidad de conocer y son objeto de medidas de control adecuadas.

6. Seguridad de los tratamientos

Teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para los derechos y libertades de las personas, elionis aplica las medidas técnicas y organizativas apropiadas de conformidad con el artículo 32 del RGPD.

• cifrado de los flujos de comunicación, administración, interconexión y transferencia según los usos correspondientes;
• control de accesos, gestión de autorizaciones y autenticación;
• cortafuegos, segmentación de red y medidas de protección de los sistemas;
• protección contra el software malicioso y controles de seguridad;
• supervisión, registro y análisis de los eventos de seguridad;
• mecanismos de redundancia, copia de seguridad y controles de restaurabilidad adaptados al Servicio;
• procedimientos destinados a garantizar la confidencialidad, la integridad, la disponibilidad y la resiliencia de los sistemas.

Las medidas técnicas y organizativas detalladas pueden describirse en un anexo de seguridad, en la documentación técnica del Servicio o en una página específica de elionis. Pueden evolucionar para tener en cuenta el estado de la técnica, siempre que no se reduzca sustancialmente el nivel global de protección aplicable al Servicio.

7. Alojamiento de datos de salud

Cuando los Servicios contratados impliquen el alojamiento de datos personales de salud por cuenta del Cliente y estén incluidos en el alcance de certificación aplicable, elionis presta los Servicios respetando los requisitos relativos al alojamiento de datos de salud (HDS) correspondientes a su alcance certificado. La ubicación, la arquitectura y las características técnicas aplicables se precisan en la documentación contractual y técnica del Servicio.

8. Subencargados del tratamiento

El Cliente concede a elionis una autorización general para recurrir a subencargados del tratamiento cuando sea necesario para la prestación de los Servicios. elionis informa previamente al Cliente de toda incorporación o sustitución significativa de un subencargado del tratamiento que intervenga en el tratamiento de los datos personales, con el fin de permitirle formular una oposición motivada basada en la protección de datos.

elionis impone a todo subencargado del tratamiento afectado obligaciones de protección de datos que ofrezcan un nivel de protección al menos equivalente al exigido por el presente DPA para las prestaciones que se le confíen. elionis sigue siendo responsable ante el Cliente del cumplimiento de las obligaciones de protección de datos de sus subencargados del tratamiento en las condiciones previstas por el RGPD.

La lista o las categorías de subencargados del tratamiento aplicables pueden comunicarse al Cliente o publicarse en un soporte contractual o en una página específica que elionis mantiene actualizada.

En la fecha de la presente versión, OPCORE interviene como subencargado del tratamiento de elionis para el alojamiento en centro de datos de las infraestructuras afectadas. La lista o las categorías de subencargados del tratamiento pueden evolucionar de conformidad con las modalidades de información previa y de oposición previstas en el presente DPA.

9. Transferencias fuera del Espacio Económico Europeo (EEE)

elionis da prioridad al tratamiento y al alojamiento de los datos en la Unión Europea. No se realiza ninguna transferencia de datos personales a un tercer país o a una organización internacional por cuenta del Cliente sin respetar los requisitos del capítulo V del RGPD y, cuando así se exija, las instrucciones documentadas del Cliente.

10. Asistencia al Cliente y derechos de los interesados

Teniendo en cuenta la naturaleza del tratamiento, elionis asiste al Cliente, en la medida de lo posible y mediante medidas técnicas y organizativas apropiadas, para permitirle responder a las solicitudes de ejercicio de los derechos de los interesados.

Cuando elionis recibe directamente de un interesado una solicitud relativa a datos tratados por cuenta del Cliente, transmite dicha solicitud al Cliente a la mayor brevedad y no responde sobre el fondo, salvo instrucción del Cliente u obligación legal.

11. Asistencia en materia de cumplimiento

elionis proporciona al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, una asistencia razonable para el cumplimiento de las obligaciones aplicables en materia de seguridad, de notificación de violaciones de datos, de evaluación de impacto relativa a la protección de datos y, en su caso, de consulta previa a la autoridad de control.

Las prestaciones que excedan la asistencia normalmente incluida en los Servicios y requieran trabajos específicos pueden ser objeto de un presupuesto o de una facturación adicional, sin perjuicio de las obligaciones imperativas que incumben a elionis en su calidad de encargado del tratamiento.

12. Violaciones de la seguridad de los datos personales

elionis notifica al Cliente, a la mayor brevedad tras haber tenido conocimiento de ella, cualquier violación de la seguridad de los datos personales que afecte a los datos tratados por su cuenta. La notificación incluye, en la medida en que dicha información esté disponible, los elementos útiles que permitan al Cliente cumplir sus propias obligaciones en virtud de los artículos 33 y 34 del RGPD.

elionis coopera razonablemente con el Cliente en el análisis del incidente, la limitación de sus consecuencias y la documentación de las medidas correctoras.

elionis notifica al Cliente cualquier violación de la seguridad de los datos personales relativa a los tratamientos realizados por su cuenta, sin dilación indebida tras haber tenido conocimiento de ella, y le comunica la información disponible que resulte útil para el cumplimiento de sus propias obligaciones.

13. Copias de seguridad y devolución de datos

Los mecanismos de copia de seguridad de la infraestructura implantados por elionis tienen como finalidad principal garantizar la protección técnica y la restaurabilidad de la infraestructura explotada. Su existencia no confiere al Cliente un acceso directo a las herramientas ni a los soportes de copia de seguridad.

A falta de contratación de un servicio de copia de seguridad individualizado, el Cliente puede no obstante dirigir a elionis una solicitud puntual y razonable de devolución de su información respaldada. Siempre que los datos figuren en las copias de seguridad disponibles y en función de su integridad y de su explotabilidad técnica, elionis puede proceder a su extracción o devolución en un formato técnicamente explotable. Esta operación no constituye un compromiso de restauración a demanda incluido en la tarifa plana básica y puede ser objeto de una facturación adicional.

Las características de retención, frecuencia, ubicación y restauración aplicables son las previstas por el Servicio y su documentación técnica. El Cliente puede contratar por separado un servicio de copia de seguridad dedicado.

Las solicitudes excepcionales de devolución o restauración que no estén incluidas en el ámbito del Servicio contratado pueden ser objeto de una facturación adicional, según la tarifa de intervención vigente o previo presupuesto en función de la naturaleza de la intervención.

14. Destino de los datos al término de los Servicios

Los tickets de soporte y las grabaciones de llamadas telefónicas se conservan, en principio, durante doce (12) meses. Determinados elementos pueden conservarse durante más tiempo cuando lo justifique una finalidad particular, en especial para la gestión de expedientes complejos, la constitución o conservación de elementos probatorios o jurídicos, o las necesidades de formación. En estos casos, la conservación se limita a la duración necesaria para la finalidad correspondiente y es objeto de una reevaluación.

Al término de los Servicios y a elección del Cliente, elionis devuelve o suprime los datos personales tratados por su cuenta, así como las copias existentes, salvo obligación legal que imponga su conservación. Las modalidades prácticas de reversibilidad, los formatos disponibles, los plazos y los posibles costes se rigen por el Contrato y las prestaciones contratadas.

15. Documentación, auditorías y demostración del cumplimiento

elionis pone a disposición del Cliente la información necesaria para demostrar el cumplimiento de las obligaciones previstas en el artículo 28 del RGPD y contribuye a las auditorías razonablemente necesarias para dicha demostración.

Salvo incidente de seguridad, solicitud de una autoridad competente o motivo legítimo particular, toda auditoría in situ se organiza con un preaviso razonable, en horario laboral, de forma que no perturbe los Servicios y respetando las obligaciones de seguridad y confidencialidad aplicables a los demás clientes y a las infraestructuras compartidas. Los costes específicos de una auditoría solicitada por el Cliente pueden correr a su cargo cuando excedan los justificantes y controles normalmente puestos a disposición, sin perjuicio de las obligaciones legales imperativas.

Las auditorías, solicitudes de asistencia o trabajos específicos que excedan las obligaciones legales de elionis o el ámbito de los Servicios contratados pueden ser objeto de una facturación adicional, según la tarifa de intervención vigente o previo presupuesto.

16. Obligaciones del Cliente

El Cliente sigue siendo responsable de la licitud de los tratamientos que confía a elionis, de la determinación de los fines y de las bases jurídicas, de la información a los interesados, de la gestión de sus derechos y, de forma más general, del cumplimiento de las obligaciones que le incumben en calidad de responsable del tratamiento.

El Cliente se compromete a transmitir a elionis únicamente los datos necesarios para los Servicios contratados y a comunicar instrucciones lícitas, documentadas y compatibles con el ámbito contractual.

17. Responsabilidad

La responsabilidad de las partes en virtud del presente DPA se determina de conformidad con el RGPD, la normativa aplicable y las estipulaciones del Contrato, sin que ninguna cláusula contractual pueda excluir o limitar una responsabilidad cuya exclusión o limitación no esté legalmente permitida.

18. Duración y entrada en vigor

El presente DPA entra en vigor al mismo tiempo que el Contrato al que está vinculado y sigue siendo aplicable mientras elionis trate datos personales por cuenta del Cliente. Las obligaciones que, por su naturaleza, deban subsistir tras la finalización del Contrato, en particular las relativas a la confidencialidad y al destino de los datos, siguen siendo aplicables.

19. Versión y puesta a disposición

El presente DPA está publicado y es accesible en la dirección permanente: https://elionis.fr/accord-relatif-au-traitement-des-donnees-personnelles-dpa/

Cada versión del DPA se identifica mediante un número de versión y una fecha de entrada en vigor. elionis conserva las versiones anteriores para poder determinar la versión aplicable a una relación contractual determinada.

Punto de contacto en materia de protección de datos: Thomas SERRE, referente RGPD de elionis – dpo@elionis.fr.

Versión 1.2 – Septiembre de 2026. El presente DPA es un documento transversal, independiente de las CGA y de las CGSU, al que cada uno de estos marcos contractuales puede remitir por separado. Puede ponerse a disposición por vía electrónica en una dirección permanente única comunicada en las CGA, las CGSU, el Boletín de adhesión, el presupuesto o cualquier otro documento contractual. La versión aplicable al Cliente es la identificada en el Contrato o la vigente en la fecha de aceptación del Contrato, sin perjuicio de las modificaciones que resulten necesarias por una evolución legal o reglamentaria.

Anexo A – Medidas técnicas y organizativas

Las medidas que figuran a continuación constituyen una base general. Las medidas efectivamente aplicables dependen del Servicio contratado y de la documentación técnica asociada.