Contrato de Encargo de Tratamiento

Quien recoge firmas recoge datos personales. Tú, como Creador, eres el responsable de los datos de quienes firman tu causa. Causfy los trata por tu cuenta: recoge las firmas, emite los certificados, los guarda cifrados y te los entrega.

Causfy no puede leer por sí sola lo que guarda: los datos de cada firma se cifran de forma que solo tú puedes abrirlos, con tu clave de acceso.

El encargo dura mientras la causa está activa o en pausa y, una vez finalizada, hasta que confirmas que has descifrado los certificados o, como tarde, 90 días. Después, Causfy borra lo que guardaba.

Aceptas este contrato al publicar tu primera causa. Forma parte de las Condiciones para creadores.

1.1. El responsable del tratamiento eres tú, el Creador: la persona u organización titular de la Cuenta desde la que se publica la causa.

1.2. El encargado del tratamiento es CAUSFY GLOBAL TECHNOLOGIES, S.L., cuyos datos figuran al final de este documento.

1.3. Este contrato se aplica a cada causa que publiques desde tu Cuenta. Lo aceptas al publicar la primera, y sigue vigente para las siguientes.

1.4. Las palabras con mayúscula inicial tienen el significado que les dan las Condiciones para creadores.

2.1. Recoger las firmas de tu causa: el nombre y el email de cada firmante, confirmar el email con un código y comprobar que nadie firma dos veces.

2.2. Cuando la causa exige identidad verificada, comprobar la identidad de quien firma con su consentimiento explícito: leer su documento, comprobar que es una persona real y comparar su cara con la foto del documento, en una máquina propia de Causfy sin conexión a internet, sin conservar imágenes ni plantillas biométricas; y calcular un código seudonimizado de su documento para impedir que firme dos veces la misma causa.

2.3. Emitir el Certificado de cada firma, sellarlo y registrar su huella en la blockchain pública.

2.4. Custodiar los Certificados cifrados y entregártelos cuando los descargues, una vez que hayas verificado tu identidad.

2.5. Enviar las actualizaciones de tu causa a quienes pidieron recibirlas, cuando tú las envíes desde la Plataforma.

2.6. Las actualizaciones solo pueden informar sobre la causa y su evolución. No pueden usarse para enviar comunicaciones comerciales ni para promocionar otras causas, productos o servicios.

2.7. Mostrar en público el número de firmas, su reparto por país y, de cada firma reciente, solo la inicial del nombre de quien firma seguida de cuatro asteriscos y hace cuánto firmó.

2.8. Causfy no trata esos datos para ningún otro fin, ni propio ni de terceros.

3.1. El encargo empieza con la primera firma de tu causa y dura mientras la causa está activa, es decir, publicada o en pausa.

3.2. Los Certificados solo pueden descargarse cuando finalizas la causa, y una causa finalizada no puede volver a activarse. Los descargas cifrados y los descifras en tu propio dispositivo.

3.3. El encargo termina cuando confirmas en la Plataforma que has descifrado los Certificados, o a los 90 días de la finalización si no lo confirmas antes, después de avisarte. En ambos casos Causfy borra todos los datos de los firmantes de esa causa. Antes de confirmar, comprueba que tu copia es completa y legible: después, Causfy ya no podrá entregártela de nuevo.

4.1. Las personas afectadas son quienes firman tu causa.

4.2. Los datos son los que contiene el Certificado: nombre y email; el texto de la petición; la fecha y la hora; el país desde el que se firmó, si la conexión pasaba por una VPN, un proxy o Tor, y el navegador y el sistema; el método con que se identificó y, si la hay, la autoridad que lo hizo; y el registro de los pasos de verificación. Además, si el firmante pidió actualizaciones, su email para enviárselas; un código seudonimizado de su email, propio de esta causa, para impedir firmas duplicadas; y, en las firmas con identidad verificada, su nombre y apellidos, el tipo, país y número de su documento, su edad en años y el resultado de la verificación. La verificación en sí no deja ninguna imagen ni dato biométrico guardado.

4.3. Algunas causas pueden revelar opiniones políticas, creencias o afiliación sindical de quien las firma. Por eso la firma se recoge con el consentimiento explícito del firmante, y por eso estos datos se tratan con las medidas de seguridad del apartado 7.

5.1. Causfy trata los datos únicamente siguiendo tus instrucciones, que son las que recoge este contrato y las que das usando las funciones de la Plataforma. Si una norma obliga a Causfy a tratarlos de otro modo, te lo comunicará antes, salvo que esa misma norma lo prohíba.

5.2. Tú te comprometes a usar los datos de tus firmantes solo para la causa y para probar el apoyo ante su Destinatario; a no venderlos, cederlos ni usarlos para otro fin; a atender los derechos que te pidan ejercer; a descargar los Certificados, confirmar que los has descifrado y custodiarlos; y a borrar tu copia del Certificado de quien elimine su firma, cuando Causfy te lo comunique.

5.3. Si Causfy considera que una instrucción tuya infringe la normativa de protección de datos, te lo dirá.

Las plataformas de firmas tienen fama de vivir de los datos de quien firma. Causfy está hecha para que eso no pueda pasar, y no por una promesa, sino por cómo está construida.

6.1. Los datos de cada firma se cifran de forma que solo tú puedes abrirlos, con tu clave de acceso. Causfy no puede descifrar por sí sola lo que guarda, ni su personal, ni quien accediera a sus servidores o a su base de datos.

6.2. Lo que Causfy sí ve, y por qué: la inicial del nombre, para la lista pública; el país, para las estadísticas; la fecha; y el código seudonimizado del email, para impedir firmas duplicadas.

6.3. Los datos de una firma están en claro únicamente mientras se produce, en memoria: enviar el código, confirmarlo, generar y sellar el Certificado y enviar el email de confirmación. Si el firmante pidió actualizaciones, su email se descifra además un instante cuando envías una, y se descarta.

6.4. Por eso Causfy no vende, alquila ni cede los datos de quien firma: lo único que podría entregar son ficheros cifrados que no puede abrir.

6.5. El personal de Causfy está obligado a guardar secreto sobre cualquier dato que pudiera conocer en el ejercicio de su trabajo, y ese deber se mantiene cuando termina el encargo.

7.1. Causfy no guarda ningún dato personal de un firmante en claro, salvo los indicados en 6.2.

7.2. Los datos personales de cada firma se cifran con una clave propia, sellada a una clave de la causa que solo puede abrirse con tu clave de acceso.

7.3. El código para impedir firmas duplicadas se calcula con una clave secreta custodiada en el gestor de secretos de Causfy y el identificador de la causa, de modo que no permite relacionar firmas de causas distintas.

7.4. La verificación de identidad se ejecuta en una máquina propia sin conexión a internet, accesible solo desde los servidores de Causfy por un canal cifrado. El registro de auditoría está encadenado para que cualquier manipulación se detecte.

7.5. Si pierdes todas tus claves de acceso y tu código de recuperación, los Certificados cifrados de tu Cuenta no se pueden recuperar. Es la consecuencia de que Causfy no pueda leerlos.

8.1. Para prestar el servicio Causfy se apoya en otros proveedores, que tratan los datos de tus firmantes por cuenta de Causfy y con sus mismas obligaciones:

8.2. Autorizas de forma general a Causfy a usar estos proveedores y a cambiarlos. Causfy te avisará de cualquier cambio con antelación, y podrás oponerte; si te opones, podrás finalizar tu causa y descargar los Certificados.

8.3. Causfy responde ante ti de lo que hagan sus proveedores.

8.4. Transferencias. Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea, de las que Causfy te facilitará copia.

9.1. Derechos de los firmantes. Causfy pone a su disposición los enlaces del email de confirmación para eliminar su firma y darse de baja de las actualizaciones. Si un firmante ejerce otro derecho ante Causfy, Causfy te trasladará la solicitud sin demora. Si lo ejerce ante ti, Causfy te dará la información que necesites para atenderlo.

9.2. Incidentes de seguridad. Como nadie en Causfy puede leer los datos de tus firmantes, un incidente aquí no significa que alguien los haya leído. Puede significar que se han perdido o borrado ficheros cifrados, y entonces tú pierdes esos Certificados; que alguien se ha llevado ficheros cifrados que no puede abrir; o que algo ha ocurrido en los minutos en que una firma estaba en claro mientras se producía. En cualquiera de esos casos, la ley obliga a Causfy a comunicártelo sin dilación indebida, con la información que tenga, para que decidas qué hacer como responsable. Si los datos afectados eran ilegibles, la propia ley te exime de avisar a los firmantes.

9.3. Causfy te notificará cualquier violación de seguridad que afecte a datos de tus firmantes en un plazo máximo de 48 horas desde que tenga conocimiento de ella.

9.4. Evaluaciones y consultas. Causfy te ayudará, con la información de que disponga, si tienes que hacer una evaluación de impacto o consultar a la autoridad de control. Causfy pone a tu disposición su evaluación de impacto de la verificación de identidad.

10.1. Al terminar el encargo, Causfy borra los Certificados cifrados, los emails cifrados y los nombres completos cifrados de tus firmantes. Lo borrado puede permanecer hasta 30 días en copias de seguridad cifradas, sin uso, y si hubiera que restaurarlas se vuelven a aplicar antes los borrados pendientes.

10.2. La Causa sigue publicada en estado finalizada, con su texto y su contador de firmas, que es un número y no un dato personal. Queda también la huella de cada Certificado en la blockchain, que es permanente, no se puede borrar y tampoco contiene datos personales. La lista de iniciales se borra.

10.3. Tu copia de los Certificados es tuya desde que la descargas, y la conservas bajo tu propia responsabilidad.

11.1. Causfy te facilitará la información necesaria para demostrar que cumple este contrato.

11.2. Puedes pedir una auditoría, directamente o a través de un auditor independiente, con un preaviso razonable y sin interrumpir el servicio. Causfy podrá ofrecerte en su lugar un informe de auditoría reciente.

12.1. Aceptas este contrato al publicar tu primera causa. Forma parte de las Condiciones para creadores y se rige por la misma ley y los mismos tribunales.

12.2. Causfy puede modificarlo. Los cambios sustanciales se comunican con al menos treinta días naturales de antelación.

12.3. Quién es el encargado.

CAUSFY GLOBAL TECHNOLOGIES, S.L.

NIF B88744602

C/ Princesa 31, planta 2, puerta 2, 28008 Madrid, España

Registro Mercantil de Madrid, Sección 8.ª, Hoja M-888274, Inscripción 1.ª

• Protección de datos: