Data Processing Agreement (DPA)
Acord de Tractament de Dades (DPA)
Versió del document: 1.0
Darrera actualització: 16 setembre de 2026
Entre: el Client (segons s'identifica al contracte o compte de subscripció, "Responsable del Tractament") i , autònom/a, amb NIF , domicili fiscal a , operant sota el nom comercial LudiSec ("Encarregat del Tractament", "LudiSec").
Aquest Acord de Tractament de Dades ("DPA") desenvolupa l'art. 28 RGPD i s'incorpora per referència als Termes i Condicions d'Ús acceptats pel Client en contractar la Plataforma. La seva acceptació mitjançant casella de verificació en el moment de l'alta del compte té la mateixa validesa que la signatura manuscrita, conforme a l'art. 28.9 RGPD, que admet el format electrònic.
1. Objecte i durada
L'Encarregat tractarà dades personals per compte del Responsable exclusivament per a la prestació del servei LudiSec, durant la vigència de la relació contractual i, després de la seva finalització, durant el termini indicat a la clàusula 8.
2. Naturalesa i finalitat del tractament
Allotjament, processament i anàlisi de les dades necessàries per: gestió de comptes d'Usuaris Finals, seguiment formatiu i gamificació, execució de simulacions de phishing, generació d'indicadors de risc (inclòs el classificador global descrit a la clàusula 5), i funcions d'administració multi-tenant quan el Client actuï com a Reseller.
3. Tipus de dades i categories d'interessats
| Categoria de dades | Categories d'interessats |
|---|---|
| Dades identificatives i de contacte | Empleats/Usuaris Finals del Client |
| Dades d'ús de la plataforma | Empleats/Usuaris Finals del Client |
| Dades d'interacció amb simulacions de phishing | Empleats/Usuaris Finals del Client |
| Dades tècniques (IP, navegador, logs) | Empleats/Usuaris Finals i administradors |
No es tracten categories especials de dades (art. 9 RGPD) llevat que el Client les introdueixi per error, cas en què ho ha de notificar immediatament a .
4. Instruccions del Responsable
L'Encarregat tractarà les dades únicament seguint instruccions documentades del Responsable. Si l'Encarregat considera que una instrucció infringeix el RGPD, ho comunicarà al Responsable abans d'executar-la.
5. Classificador global i dades agregades
El Responsable autoritza l'Encarregat a utilitzar dades derivades de l'ús de la Plataforma pels seus Usuaris Finals, en format agregat i pseudonimitzat, per entrenar el classificador global de risc humà (Naive Bayes), amb la finalitat de millorar la detecció de patrons de risc en benefici del conjunt de Clients.
6. Confidencialitat
L'Encarregat garanteix que les persones autoritzades a tractar les dades s'han compromès a respectar la confidencialitat.
7. Mesures de seguretat (art. 32 RGPD)
Xifratge en trànsit i repòs, control d'accessos per rols, autenticació SSO/Keycloak, registre d'esdeveniments de compliment amb encadenament de hashes, còpies de seguretat periòdiques, segmentació d'entorns, monitorització d'infraestructura.
8. Subencarregats
El Client autoritza amb caràcter general la subcontractació dels següents subencarregats: AWS (EC2, RDS, S3), Amazon SES, Stripe, Odoo (SaaS/Verifactu), Bunny Stream. L'Encarregat notificarà qualsevol canvi amb almenys 15 dies d'antelació.
9. Assistència al Responsable
L'Encarregat assistirà el Responsable en l'atenció de sol·licituds de drets, avaluacions d'impacte i notificació de violacions de seguretat.
10. Notificació de violacions de seguretat
L'Encarregat notificarà qualsevol violació de seguretat sense dilació indeguda i, en tot cas, dins les 48 hores següents a tenir-ne constància.
11. Transferències internacionals
Quan algun subencarregat se situï fora de l'EEE, l'Encarregat garanteix Clàusules Contractuals Tipus o un altre mecanisme adequat (Capítol V RGPD).
12. Supressió o devolució de dades
En finalitzar la prestació del servei, l'Encarregat suprimirà o retornarà totes les dades personals, llevat que la normativa exigeixi la seva conservació.
13. Auditories
L'Encarregat facilitarà la informació necessària per demostrar el compliment de l'art. 28 RGPD i permetrà auditories raonables amb preavís de 30 dies.
14. Responsabilitat
Cada part respon dels danys causats pel seu propi incompliment, conforme a l'art. 82 RGPD.
15. Acceptació
L'acceptació d'aquest DPA es realitza mitjançant la casella corresponent en el procés d'alta del compte, i queda registrada de forma immutable (usuari, data, hora, IP i versió/hash del document) al sistema de traçabilitat de compliment de LudiSec.
16. Legislació aplicable
Aquest DPA es regeix per la legislació espanyola i el RGPD, i se sotmet als Jutjats i Tribunals de Barcelona.