Acuerdo de tratamiento de datos (DPA)

Este DPA forma parte del contrato de servicio entre el cliente (responsable del tratamiento) y Certums (encargado del tratamiento) y aplica a todos los datos personales tratados en la prestación del servicio.

Roles y objeto

• El cliente es responsable de los datos que emite, firma o gestiona en su espacio.
• Certums actúa como encargado: trata datos solo por instrucción documentada del cliente y para operar el servicio.
• Categorías tratadas: identificación de firmantes (nombre, correo), contenido documental, metadatos probatorios (IP, user-agent, hashes, sellos de tiempo).

Medidas de seguridad

• Aislamiento multi-tenant estricto a nivel de datos y permisos, verificado por tests automatizados.
• Cifrado en tránsito (TLS 1.3) y en reposo; contraseñas con Argon2id; secretos fuera del código.
• Auditoría append-only con cadena de hashes y retención configurable.
• Controles alineados con OWASP ASVS 5.0 y NIST SP 800-63B.

Subprocesadores

Certums utiliza subprocesadores para infraestructura, almacenamiento, envío de correo transaccional y sellado de tiempo. La lista vigente se entrega con el contrato y los cambios se notifican con 30 días de antelación, con derecho de objeción.

Notificación de incidentes

Certums notificará al cliente sin dilación indebida, y a más tardar en 72 horas, cualquier violación de seguridad que afecte a datos personales, incluyendo alcance, impacto estimado y medidas adoptadas.

Supresión y devolución

Al terminar el contrato, el cliente puede exportar sus documentos y expedientes de evidencia. Los datos se suprimen según la política de retención del plan, salvo obligación legal de conservación.

Auditoría

El cliente puede solicitar una vez al año evidencia razonable del cumplimiento de este DPA (resúmenes de controles, resultados de pruebas). Para clientes Enterprise se acuerdan derechos de auditoría ampliados en contrato.

Para firmar este DPA o solicitar la lista de subprocesadores: [email protected].