Declaración de conformidad RGPD

RIADVICE SUARL («RIADVICE», «nosotros», «nos» o «nuestro») protege los datos personales de conformidad con el Reglamento General de Protección de Datos (UE) 2016/679 («RGPD») y con la Ley Orgánica tunecina n.º 2004-63, de 27 de julio de 2004, relativa a la protección de datos personales. La presente declaración explica cómo cumplimos el RGPD cuando tratamos datos personales por cuenta de nuestros Clientes, qué compromisos asumimos como encargado del tratamiento y cómo pueden los interesados ejercer sus derechos. Utiliza las definiciones de nuestras Condiciones de Uso y complementa nuestra Política de Privacidad, que abarca los tratamientos de los que RIADVICE es responsable.

1. Ámbito de aplicación

La presente declaración se aplica a los Servicios Alojados y a los Servicios Profesionales en los que RIADVICE trata datos personales por cuenta de un Cliente. Cuando un Cliente haya firmado un contrato de encargo del tratamiento con RIADVICE, dicho contrato prevalece sobre la presente declaración. En caso contrario, los compromisos del apartado 4 se aplican como las estipulaciones sobre el tratamiento exigidas por el artículo 28 del RGPD, según lo previsto en el apartado 5 de nuestras Condiciones de Uso.

2. Nuestros servicios y los datos que implican

RIADVICE presta servicios de alojamiento y servicios gestionados para BigBlueButton y para otras aplicaciones utilizadas por organizaciones educativas, públicas y comerciales. BigBlueButton permite la colaboración en tiempo real mediante audio, vídeo, chat, encuestas, notas compartidas, pizarras y uso compartido de pantalla. Las sesiones pueden grabarse, en función de las políticas y la configuración del Cliente. Nuestros complementos convierten las grabaciones en vídeo, elaboran paneles e informes de asistencia y participación a partir de los datos de las sesiones y distribuyen las reuniones entre varios servidores. También operamos aplicaciones para los Clientes, como la sincronización y el uso compartido de archivos, tiendas en línea y middleware de envíos de correo. Proteger la privacidad y la seguridad de estos datos es esencial en nuestro trabajo, y aplicamos los principios del RGPD de licitud, lealtad, transparencia, limitación de la finalidad, minimización de datos, exactitud, limitación del plazo de conservación, integridad, confidencialidad y responsabilidad proactiva.

3. Funciones

• En la mayoría de los casos, el Cliente, por ejemplo una institución educativa, un proveedor de formación o una empresa, es el responsable del tratamiento. RIADVICE es su encargado del tratamiento.
• Cuando el propio Cliente actúa como encargado del tratamiento para otra organización, por ejemplo un proveedor de formación que presta servicio a un cliente, RIADVICE actúa como su subencargado del tratamiento.
• RIADVICE solo es responsable del tratamiento de los datos que trata para sus propios fines, como la gestión de las cuentas de los Clientes, la facturación y el soporte, según se describe en la Política de Privacidad.

4. Nuestros compromisos como encargado del tratamiento

Cuando RIADVICE trata datos personales por cuenta de un Cliente:

• trata los datos únicamente siguiendo las instrucciones documentadas del Cliente, también en lo que respecta a las transferencias internacionales, salvo que la legislación a la que está sujeta RIADVICE disponga otra cosa, en cuyo caso informa al Cliente antes del tratamiento, salvo que dicha legislación lo prohíba. Las Condiciones de Uso, el Formulario de Pedido y la configuración que el Cliente elige en el servicio constituyen sus instrucciones;
• informa al Cliente si, en su opinión, una instrucción infringe el RGPD u otra normativa de protección de datos;
• garantiza que las personas autorizadas para tratar los datos están sujetas a una obligación de confidencialidad;
• aplica las medidas de seguridad descritas en el apartado 8, de conformidad con el artículo 32 del RGPD;
• recurre a subencargados del tratamiento únicamente en las condiciones del apartado 10;
• asiste al Cliente, teniendo en cuenta la naturaleza del tratamiento, en la respuesta a las solicitudes de los interesados;
• ayuda al Cliente a garantizar el cumplimiento de sus obligaciones en materia de seguridad, notificación de violaciones de la seguridad de los datos, evaluaciones de impacto relativas a la protección de datos y consulta previa, teniendo en cuenta la información a disposición de RIADVICE;
• al término de los servicios, suprime o devuelve los datos personales, a elección del Cliente, según se describe en el apartado 13, salvo que la ley exija su conservación;
• pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, y permite y contribuye a la realización de auditorías según se describe en el apartado 14.

La asistencia que vaya más allá de lo que RIADVICE presta como parte del servicio estándar puede facturarse según sus precios vigentes, salvo que la necesidad de dicha asistencia se deba a un incumplimiento de RIADVICE.

5. Base jurídica y consentimiento

Como responsable del tratamiento, el Cliente determina la base jurídica del tratamiento conforme al artículo 6 del RGPD, por ejemplo la ejecución de un contrato, una obligación legal, una misión realizada en interés público, intereses legítimos o el consentimiento y, cuando sea necesario, una de las condiciones del artículo 9 del RGPD. Cuando se requiera el consentimiento, por ejemplo para algunas grabaciones, el Cliente lo obtiene, normalmente a través de su sistema de gestión del aprendizaje u otra plataforma de acceso (front-end). El Cliente también informa a los participantes antes de que se grabe una sesión. BigBlueButton indica a los participantes cuándo se está grabando una sesión.

6. Categorías de datos y de interesados

En función del servicio y del uso que haga de él el Cliente, los interesados incluyen al personal, los profesores, los estudiantes, los alumnos en formación, los participantes, los invitados y los contactos del Cliente. Los datos pueden incluir:

• datos identificativos, como nombres, nombres de usuario, direcciones de correo electrónico e identificadores de usuario transmitidos por la plataforma del Cliente;
• datos de participación, como las horas de entrada y salida, el tiempo de intervención, el tiempo de uso de la cámara web y de pantalla compartida, la actividad en el chat, las respuestas a encuestas y las reacciones;
• contenido compartido durante las sesiones, como audio, vídeo, mensajes de chat, presentaciones, notas, anotaciones en la pizarra y grabaciones;
• archivos, documentos y mensajes almacenados en aplicaciones operadas para el Cliente;
• datos técnicos, como direcciones IP, tipos de navegador y de sistema operativo, y registros de conexión.

El Cliente no debe utilizar los servicios para tratar categorías especiales de datos personales ni datos relativos a condenas penales, salvo que disponga de una base jurídica para ello y, cuando se requieran medidas específicas, haya informado previamente a RIADVICE.

7. Conservación

Los plazos de conservación los decide el Cliente como responsable del tratamiento. Las grabaciones y los datos de las reuniones se suprimen automáticamente al término de los plazos de conservación configurados para la plataforma del Cliente o indicados en el Formulario de Pedido, salvo que el Cliente solicite otra cosa o la ley exija su conservación. Los registros técnicos solo se conservan durante el tiempo necesario para operar y proteger el servicio.

8. Medidas de seguridad

RIADVICE aplica medidas técnicas y organizativas adecuadas al riesgo, entre ellas:

• el cifrado de los datos en tránsito y el cifrado de los datos confidenciales;
• controles de acceso, mecanismos de autenticación y acceso restringido al personal autorizado según el principio de necesidad de conocer;
• la separación de los entornos y los datos de los Clientes, cuando el diseño del servicio lo prevea;
• actualizaciones y parches de seguridad periódicos;
• la supervisión de los sistemas y servicios;
• copias de seguridad y procedimientos de restauración;
• compromisos de confidencialidad y formación del personal en materia de protección de datos y del RGPD.

9. Violaciones de la seguridad de los datos personales

RIADVICE notifica al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Cliente. La notificación describe, en la medida en que se disponga de la información, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. A continuación, RIADVICE facilita información adicional a medida que esté disponible y ayuda al Cliente a cumplir su propia obligación de notificar a la autoridad de control y, cuando proceda, a los interesados.

10. Subencargados del tratamiento

El Cliente otorga a RIADVICE una autorización general para recurrir a subencargados del tratamiento. RIADVICE impone a cada subencargado, mediante un contrato escrito, obligaciones de protección de datos equivalentes a las de la presente declaración, y sigue siendo responsable ante el Cliente de sus subencargados. RIADVICE notifica cualquier incorporación o sustitución prevista de un subencargado, por correo electrónico o actualizando esta lista, antes de que el cambio surta efecto cuando sea razonablemente posible. Un Cliente puede oponerse por motivos razonables relacionados con la protección de datos. Si las partes no logran solucionar la objeción, el Cliente puede resolver el servicio afectado.

Los subencargados del tratamiento utilizados para los servicios alojados y gestionados son:

No todos los subencargados se utilizan para todos los servicios. El Formulario de Pedido o la configuración de la plataforma del Cliente indica dónde se aloja el servicio del Cliente. La lista de subencargados que intervienen en un servicio concreto se facilita previa solicitud.

11. Transferencias internacionales

RIADVICE está establecida en Túnez, país que no está cubierto por una decisión de adecuación de la Comisión Europea. Los datos personales que un Cliente de la Unión Europea o del Espacio Económico Europeo transfiere a RIADVICE están protegidos por las cláusulas contractuales tipo adoptadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914 (módulo dos, de responsable a encargado, o módulo tres, de encargado a encargado), complementadas con las medidas del apartado 8. Cuando un subencargado trata datos personales fuera de la Unión Europea o del Espacio Económico Europeo, RIADVICE se basa en una decisión de adecuación o en las cláusulas contractuales tipo. Las transferencias desde Túnez se realizan en las condiciones de la Ley Orgánica n.º 2004-63, incluida la autorización de la INPDP cuando sea necesaria.

12. Solicitudes de los interesados

En virtud del RGPD, los interesados tienen derecho a acceder a sus datos, a rectificarlos y a suprimirlos, a la limitación del tratamiento o a oponerse a él, y a la portabilidad de los datos. Los usuarios de un servicio alojado deben dirigirse en primer lugar a su organización, que es la responsable del tratamiento. Si RIADVICE recibe directamente una solicitud, la remite al Cliente sin dilación indebida y no la responde ella misma salvo que el Cliente la autorice. RIADVICE ayuda al Cliente a responder, por ejemplo localizando, exportando o suprimiendo datos.

13. Devolución y supresión

Al término de los servicios, el Cliente puede exportar sus datos según lo previsto en el apartado 25 de las Condiciones de Uso. A continuación, RIADVICE suprime los datos personales de sus sistemas activos, y de las copias de seguridad a medida que estas se sobrescriben en su rotación habitual, salvo que la ley exija su conservación. Los datos pendientes de supresión en las copias de seguridad no son objeto de ningún otro tratamiento, salvo para restaurar un sistema. Previa solicitud, RIADVICE confirma la supresión por escrito.

14. Auditorías e información

RIADVICE responde a las preguntas razonables formuladas por escrito y a los cuestionarios de seguridad de los Clientes sobre sus tratamientos. Cuando esta información no sea suficiente para demostrar el cumplimiento, un Cliente puede realizar una auditoría, por sí mismo o a través de un auditor independiente sujeto a confidencialidad, como máximo una vez al año salvo que una violación de la seguridad de los datos personales o una solicitud de una autoridad de control lo justifique, con un preaviso mínimo de treinta (30) días, en horario de oficina y sin perturbar los servicios ni comprometer la seguridad o la confidencialidad de los datos de otros clientes. Cada parte asume sus propios costes, salvo que la auditoría revele un incumplimiento sustancial por parte de RIADVICE.

15. Contacto de protección de datos

El contacto de protección de datos de RIADVICE supervisa el cumplimiento y responde a las preguntas y solicitudes sobre datos personales en privacy@riadvice.tn.

16. Contacto

Para más información sobre nuestro cumplimiento del RGPD o nuestras prácticas de privacidad, escriba a privacy@riadvice.tn o a contact@riadvice.com, o por correo postal a RIADVICE SUARL, Appartement B1, Résidence Ramzi, 2074 Mourouj 5, Ben Arous, Tunisia.

Última actualización: 9 de octubre de 2026