Contrato de encargo del tratamiento
Cuándo aplica
Solo cuando MicroLab almacena datos por cuenta del Cliente: plan Team con la opción de catálogo alojado.
No aplica —y no hace falta firmar nada— si:
- Se usa el plan Gratis o Pro. Todo corre en la máquina del usuario.
- Se usa el plan Team con catálogo en repositorio git propio: los escenarios se guardan en la infraestructura del Cliente y MicroLab no los toca.
Esa segunda opción existe, entre otras cosas, para que un cliente que no quiera firmar un encargo de tratamiento no tenga que hacerlo y siga teniendo el producto entero.
<h2>1. Partes</h2>
<ul>
<li><strong>Responsable:</strong> el Cliente (la organización que contrata el plan).</li>
<li><strong>Encargado:</strong> Juan García Valero («MicroLab»), [email protected].</li>
</ul>
<h2>2. Objeto, duración, naturaleza y finalidad</h2>
<div class="legal-table-wrap">
<table>
<tbody>
<tr><th>Objeto</th><td>Alojar el catálogo de escenarios de desarrollo del Cliente</td></tr>
<tr><th>Duración</th><td>La del contrato de suscripción</td></tr>
<tr><th>Naturaleza</th><td>Almacenamiento y recuperación. <strong>Sin acceso al contenido</strong> (ver §4)</td></tr>
<tr><th>Finalidad</th><td>Que el equipo del Cliente comparta configuración de entornos de desarrollo local</td></tr>
</tbody>
</table>
</div>
<h2>3. Categorías de datos e interesados</h2>
<p>
<strong>Interesados:</strong> personas empleadas o colaboradoras del Cliente con acceso a
MicroLab.
</p>
<div class="legal-table-wrap">
<table>
<thead><tr><th>Categoría</th><th>Estado</th></tr></thead>
<tbody>
<tr><td>Contenido del escenario (hosts, nombres de servicios, rutas de repositorios)</td><td><strong>Cifrado de extremo a extremo.</strong> MicroLab no puede leerlo</td></tr>
<tr><td>Nombre y descripción del escenario</td><td>En claro</td></tr>
<tr><td>Código de organización del Cliente</td><td>En claro</td></tr>
<tr><td>Identificador de quien publica</td><td>En claro</td></tr>
<tr><td>Fecha de publicación y tamaño</td><td>En claro</td></tr>
</tbody>
</table>
</div>
<p>
<strong>No se tratan categorías especiales</strong> de datos (art. 9). El Cliente se
compromete a no introducirlas: un catálogo de escenarios de desarrollo no es sitio para
ellas.
</p>
<h2>4. Cifrado de extremo a extremo: qué significa aquí</h2>
<p>
El contenido de cada escenario se cifra <strong>en la máquina del Cliente</strong>
(AES-256-GCM) con una clave que el Cliente genera y custodia. MicroLab almacena el
resultado y <strong>no dispone de la clave</strong>. Consecuencias, que se enuncian por
claridad y no como descargo:
</p>
<ol>
<li>
MicroLab <strong>no puede</strong> acceder al contenido, ni por sí mismo ni a
requerimiento de un tercero. Ante un requerimiento solo puede entregar cifrado.
</li>
<li>
MicroLab <strong>no puede</strong> alterar un escenario sin que se detecte: el cifrado
va autenticado y la manipulación se descubre al abrirlo.
</li>
<li>
<strong>Si el Cliente pierde la clave, el contenido es irrecuperable.</strong> MicroLab
no puede ayudar. Esa imposibilidad <em>es</em> la garantía, y el Cliente la asume
expresamente.
</li>
</ol>
<h2>5. Obligaciones del Encargado (art. 28.3)</h2>
<ul>
<li><strong>a)</strong> Tratar los datos únicamente siguiendo instrucciones documentadas del Cliente, incluidas las transferencias internacionales. Este contrato y la configuración del producto constituyen esas instrucciones.</li>
<li><strong>b)</strong> Garantizar la confidencialidad de quien accede a los datos.</li>
<li><strong>c)</strong> Aplicar las medidas del art. 32 (ver §7).</li>
<li><strong>d)</strong> No subcontratar sin autorización (ver §6).</li>
<li><strong>e)</strong> Asistir al Cliente para atender los derechos de los interesados. El producto incluye borrado a petición sin intervención manual.</li>
<li><strong>f)</strong> Asistirle en el cumplimiento de los arts. 32 a 36.</li>
<li><strong>g)</strong> A elección del Cliente, <strong>suprimir o devolver</strong> todos los datos al terminar, y borrar las copias salvo obligación legal de conservarlas.</li>
<li><strong>h)</strong> Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento y permitir auditorías.</li>
</ul>
<p>
<strong>MicroLab no usa estos datos para ninguna finalidad propia</strong>: no los analiza,
no entrena modelos con ellos y no elabora estadísticas a partir de ellos. Dado el §4, en lo
que respecta al contenido tampoco podría.
</p>
<h2>6. Subencargados</h2>
<p>
El Cliente <strong>autoriza</strong> a los
<a href="/subencargados">subencargados listados</a>. MicroLab informará de cualquier
alta o cambio con <strong>30 días</strong> de antelación, y el Cliente podrá oponerse y
resolver el contrato sin penalización si la objeción es razonable y no puede resolverse.
</p>
<p>
Subencargado actual para este tratamiento: <strong>Cloudflare, Inc.</strong>
(almacenamiento con jurisdicción UE y base de datos en Europa Occidental).
</p>
<h2>7. Medidas de seguridad (art. 32)</h2>
<div class="legal-table-wrap">
<table>
<thead><tr><th>Medida</th><th>Cómo</th></tr></thead>
<tbody>
<tr><td>Cifrado en reposo</td><td>Extremo a extremo, clave del Cliente (AES-256-GCM)</td></tr>
<tr><td>Cifrado en tránsito</td><td>TLS 1.3</td></tr>
<tr><td>Autenticidad</td><td>Cifrado autenticado: la manipulación se detecta al descifrar</td></tr>
<tr><td>Control de acceso</td><td>Por organización, derivada de un token <strong>firmado</strong> por el proveedor de identidad. Nunca de un parámetro de la petición</td></tr>
<tr><td>Aislamiento</td><td>Cada organización, en su propio prefijo de almacenamiento</td></tr>
<tr><td>Sin caché intermedia</td><td>Todas las respuestas con <code>no-store</code> y <code>Vary: Authorization</code></td></tr>
<tr><td>Minimización</td><td>Solo se almacena lo necesario para listar y recuperar</td></tr>
<tr><td>Resiliencia</td><td>Infraestructura distribuida de Cloudflare</td></tr>
</tbody>
</table>
</div>
<h2>8. Ubicación y transferencias</h2>
<p>
Los datos se almacenan en la <strong>Unión Europea</strong>. Cloudflare, Inc. es una
sociedad estadounidense: el acceso de su personal puede constituir transferencia
internacional, amparada en <strong>Cláusulas Contractuales Tipo</strong> y en el
<strong>Marco de Privacidad de Datos UE-EE. UU.</strong>
</p>
<h2>9. Violaciones de seguridad</h2>
<p>
MicroLab notificará al Cliente <strong>sin dilación indebida y, como máximo, en 48
horas</strong> desde que tenga conocimiento de una violación que afecte a sus datos, con
la información del art. 33.3 disponible en ese momento. Las 48 horas dejan margen al
Cliente dentro de las 72 que él tiene frente a la autoridad.
</p>
<h2>10. Auditoría</h2>
<p>
El Cliente puede solicitar, una vez al año y con 30 días de preaviso, la información
necesaria para verificar el cumplimiento. Se atenderá con documentación e informes; una
inspección presencial requerirá acuerdo previo sobre alcance y coste.
</p>
<h2>11. Fin del contrato</h2>
<p>
A elección del Cliente, comunicada en los 30 días siguientes: <strong>devolución</strong>
de los datos (cifrados, tal como están: solo el Cliente puede descifrarlos) o
<strong>supresión</strong>. Sin indicación, se suprimen a los 60 días.
</p>
<h2>12. Responsabilidad y ley aplicable</h2>
<p>
Se rige por lo pactado en los <a href="/terms">Términos de Uso</a>. Ley española y
RGPD; jurisdicción de los tribunales del domicilio del Encargado, salvo norma imperativa
en contrario.
</p>
<p>
<strong>Aceptación.</strong> Al contratar el plan Team con catálogo alojado, el Cliente
acepta este contrato. Si necesita firma en su propio modelo, escribir a
[email protected].
</p>