Contrato de encargo del tratamiento de la beta

Reunidos

De una parte, HODEITEK S.L., con NIF B56478027, domicilio social en Markole, Aretxabaleta, 20550, Gipuzkoa, España, inscrita en el Registro Mercantil de Gipuzkoa, Hoja SS-46529, Tomo 3121, Folio 144, representada por la persona que firma en su nombre. En adelante, «Hodeitek» o «el Encargado».

Contacto de protección de datos: privacy@hodeitek.com. Contacto de seguridad e incidentes: security@hodeitek.com.

De otra parte, la organización que ha solicitado participar en la beta, con los datos de identificación, de representación y de contacto (razón social, NIF, domicilio, representante, correo de contacto para este contrato y, en su caso, delegado de protección de datos) que figuran en su solicitud de la beta y en el correo de admisión de Hodeitek. En adelante, «el Cliente».

El Cliente firma en una de estas dos calidades (marcar una):

• ☐ Vía directa. El Cliente es una organización final y actúa como responsable del tratamiento. Hodeitek actúa como encargado.
• ☐ Vía MSSP. El Cliente es un partner MSSP que actúa como encargado de sus propios clientes (que son los responsables). Hodeitek actúa como subencargado. Se aplica además la Parte II.

Hodeitek y el Cliente se reconocen capacidad para firmar este contrato y, a tal efecto, exponen:

Exponen

1. Hodeitek organiza el programa beta de la plataforma HodeiShield, cuyas condiciones están publicadas en hodeishield.com (en adelante, «las Condiciones de la beta»). Las Condiciones de la beta, el correo de admisión de Hodeitek y este contrato forman el acuerdo de participación.

2. Las Condiciones de la beta prevén que los datos que el participante cargue en la plataforma los trate Hodeitek como encargado, con arreglo a un contrato de encargo conforme al art. 28 del Reglamento (UE) 2016/679 («RGPD»), firmado al dar de alta la cuenta beta y antes de cargar datos personales.

3. Este contrato cumple ese compromiso. Se rige por el RGPD, la Ley Orgánica 3/2018 («LOPDGDD») y el resto de normativa aplicable.

1.Definiciones

Los términos del RGPD (responsable, encargado, datos personales, tratamiento, violación de la seguridad, etc.) tienen el significado del art. 4 RGPD. Además:

• Plataforma: el servicio HodeiShield, accesible en app.hodeishield.com, con sus API, el agente de endpoint y el resto de componentes que Hodeitek pone a disposición del Cliente durante la beta.
• Datos del Cliente: los datos personales que el Cliente, sus usuarios o sus sistemas introducen en la Plataforma o que la Plataforma genera a partir de ellos por cuenta del Cliente, descritos en la cláusula 5.
• Beta: el periodo de participación del Cliente en el programa, que según las Condiciones de la beta dura 3 meses desde la aceptación de su plaza, y nunca antes del 2 de noviembre de 2026; las solicitudes se cierran el 31 de diciembre de 2026.
• Subencargado: el tercero al que Hodeitek recurre para tratar Datos del Cliente (Anexo II).
• Instrucciones documentadas: las de la cláusula 6.

2.Objeto y alcance

2.1. Este contrato regula el tratamiento de los Datos del Cliente que Hodeitek realiza por cuenta del Cliente para prestarle la Plataforma durante la beta y el plazo de devolución y supresión posterior.

2.2. Fuera del objeto. No forman parte de este encargo, porque Hodeitek los trata como responsable, los datos siguientes, tal y como dicen las Condiciones de la beta y el aviso de privacidad de la consola:

• los datos de la solicitud de participación en la beta (se rigen por la política de privacidad de hodeishield.com);
• los datos de las cuentas de usuario de la consola, la autenticación, los registros de acceso y de seguridad y, si se contrata desde la consola, la facturación (se rigen por el aviso de privacidad de la consola, app.hodeishield.com/privacy);
• los informes de error y de fallo que el agente de endpoint (y, por separado, la consola) envía a Sentry (Functional Software, Inc.). Hodeitek los trata como responsable, para diagnosticar y corregir fallos de la Plataforma, sobre la base de su interés legítimo en la continuidad y la calidad del servicio (art. 6.1.f RGPD). Los del agente contienen el mensaje y la traza del error, la versión del agente, el entorno, el sistema operativo y la versión del núcleo y la arquitectura; la dirección IP de la conexión llega a los servidores de Sentry, y los informes no incluyen los resultados de las comprobaciones. Los de la consola se describen en el Anexo I, apartado I.11. Se conservan 90 días. Los informes del agente están activos por defecto en los binarios publicados y cada equipo puede desactivarlos con el fichero marcador /etc/hodei-shield/telemetry-off (Linux y macOS) o %ProgramData%\Hodei-Shield\telemetry-off (Windows), o con HODEI_SENTRY_DSN=off, como describe la documentación del agente; los de la consola no tienen interruptor por cliente (Anexo II, detalle de Sentry). Hodeitek informa de este tratamiento en el aviso de privacidad de la consola. En estos informes Sentry es un proveedor de Hodeitek, no un subencargado del Cliente (Anexo II, filas 5 y 6).

2.3. Si un dato de los descritos en 2.2 aparece también dentro de los Datos del Cliente (por ejemplo, el nombre de un usuario como autor de una evidencia o como responsable de un riesgo, o una entrada del registro de auditoría que recoge un cambio en Datos del Cliente), ese uso concreto se trata conforme a este contrato.

3.Duración

3.1. Este contrato entra en vigor en la fecha de la última firma y, en todo caso, antes de que el Cliente cargue datos personales reales. Sin contrato firmado, el Cliente solo puede usar datos de prueba sin personas reales.

3.2. Dura lo que dure la beta del Cliente, más el plazo de devolución y supresión de la cláusula 15.

3.3. Las obligaciones de confidencialidad, seguridad y supresión siguen vigentes mientras Hodeitek o sus subencargados conserven algún Dato del Cliente, incluidas las copias de seguridad hasta que caduquen.

3.4. Relación con el contrato del servicio de pago. Este contrato rige el tratamiento de los Datos del Cliente durante la beta y los 30 días siguientes a su fin (cláusula 15.1). Si el Cliente pasa a un contrato de pago, el tratamiento durante el servicio de pago se rige por el contrato de encargo del tratamiento de ese servicio, el que Hodeitek firma directamente con el cliente de pago, que sustituye a este contrato desde que el Cliente lo acepta; hasta ese momento este contrato sigue aplicándose a los Datos del Cliente. Este contrato no regula el servicio de pago.

4.Naturaleza y finalidad del tratamiento

4.1. Naturaleza: alojamiento, almacenamiento, organización, consulta, análisis, cruce con fuentes públicas de seguridad, cálculo de puntuaciones e informes, envío de notificaciones que el Cliente configure, copia de seguridad, exportación y supresión de los Datos del Cliente, dentro de las funciones de la Plataforma.

4.2. Finalidad única: prestar al Cliente la Plataforma durante la beta para que mida su postura de seguridad y de cumplimiento y la de sus proveedores. HodeiShield mide esa postura y no certifica ni garantiza el cumplimiento de ningún marco.

4.3. Hodeitek no usa los Datos del Cliente para fines propios, ni para publicidad, ni para entrenar modelos de inteligencia artificial. Tampoco los incluye en indicadores agregados entre clientes (comparativas o benchmark, observatorio) salvo que el Cliente lo active expresamente desde la Plataforma. La única excepción a estas dos frases es la agregación y anonimización que el Cliente instruye en la cláusula 6.5, con el fin y los límites que allí se fijan. Los comentarios y sugerencias que el Cliente comunique sobre la Plataforma se rigen por las Condiciones de la beta, sin incluir sus datos.

5.Tipos de datos y categorías de interesados

5.1. Según las funciones que el Cliente use, la Plataforma puede tratar estos Datos del Cliente:

5.2. Categorías especiales. La Plataforma no está pensada para categorías especiales de datos (art. 9 RGPD) ni para datos penales (art. 10 RGPD). El Cliente se compromete a no cargarlos. Si una evidencia o documento los contuviera, el Cliente lo comunicará antes a Hodeitek para valorar si se pueden tratar con las medidas del Anexo I.

5.3. Las Condiciones de la beta obligan al Cliente a dar de alta solo dominios, activos y proveedores que tenga derecho o autorización para analizar.

6.Instrucciones documentadas

6.1. Hodeitek trata los Datos del Cliente solo siguiendo instrucciones documentadas del Cliente, también en lo relativo a transferencias internacionales (art. 28.3.a RGPD), salvo que le obligue a otra cosa el Derecho de la Unión o de un Estado miembro. En ese caso, Hodeitek informará al Cliente de esa exigencia antes del tratamiento, salvo que ese Derecho lo prohíba por razones de interés público.

6.2. Son instrucciones documentadas: (a) este contrato y sus anexos; (b) la configuración que el Cliente o sus usuarios autorizados hacen en la Plataforma (por ejemplo, qué proveedores dan de alta, qué cuestionarios envían, qué destinos de alertas configuran, si activan HodeiAI); (c) las instrucciones adicionales que el Cliente envíe por escrito a privacy@hodeitek.com y Hodeitek confirme.

6.3. Hodeitek informará inmediatamente al Cliente si, en su opinión, una instrucción infringe el RGPD u otra norma de protección de datos (art. 28.3, último párrafo, RGPD).

6.4. HodeiAI. El asistente HodeiAI envía contenido a un subencargado (Anexo II). En la beta está activado por defecto, y un administrador del Cliente (tenant_admin u org_admin) puede desactivarlo en cualquier momento en Configuración, apartado HodeiAI: con el interruptor en «desactivado» no se envía ninguna petición al subencargado. Mantener el interruptor activado es una instrucción documentada del Cliente. Inquilinos de Clientes finales incorporados por un MSSP (Parte II, M7). En esos inquilinos HodeiAI también está activado por defecto en la beta, por instrucción del MSSP, que actúa como encargado de sus Clientes finales y ha obtenido de cada uno, antes de cargar datos, la autorización general por escrito del art. 28.2 RGPD para Hodeitek y sus subencargados, incluido el proveedor de IA (cláusula M7); el administrador de cada Cliente final puede desactivarlo en Configuración, apartado HodeiAI. La instrucción documentada para esos inquilinos la da el MSSP como encargado de su Cliente final (el responsable), y Hodeitek actúa como subencargado. Con el interruptor apagado tampoco se envía a OVHcloud AI Endpoints el análisis de riesgo de los escaneos de proveedores, ni en los escaneos que lanza un usuario ni en los reescaneos programados.

6.5. Métricas agregadas y anonimizadas para financiación pública. Con la firma de este contrato, el Cliente da a Hodeitek la instrucción documentada (art. 28.3.a RGPD) de agregar y anonimizar Datos del Cliente con el único fin de obtener métricas de uso y de resultados del programa beta para las solicitudes de financiación pública de Hodeitek (programas de financiación pública europeos, nacionales o regionales) y para los informes de seguimiento que pida el organismo que conceda la financiación, como prevén las Condiciones de la beta. La instrucción se limita a ese fin y a estas condiciones:

• a) Qué métricas. Solo métricas de uso y de resultados del conjunto de los participantes, por ejemplo el número de organizaciones participantes, las evaluaciones realizadas, los proveedores supervisados, el tiempo de remediación o la adopción de cada módulo.
• b) Sin datos personales. El resultado no contiene datos personales.
• c) Sin identificar a ninguna organización. El resultado no identifica al Cliente ni a ninguna otra organización, ni directamente ni combinando datos como el sector, el tamaño o la región.
• d) Grupo mínimo. Cada cifra agrega datos de al menos 5 organizaciones participantes, de modo que ninguna pueda deducir de ella los datos de otra; la cifra de un grupo menor no se usa por separado.
• e) Contenido excluido. El resultado no incluye contenido del Cliente (evidencias, documentos, respuestas a cuestionarios, conversaciones de HodeiAI), hallazgos sobre proveedores concretos ni detalles de vulnerabilidades.
• f) Cálculo. Los cálculos se hacen en los sistemas y con las medidas del Anexo I, solo por el personal de la cláusula 8, y ningún dato intermedio que no cumpla las letras b) a e) sale de Hodeitek.
• g) Rendición de cuentas. Hodeitek conserva, para cada solicitud o informe, la lista de las métricas usadas y la descripción de cómo se han calculado, y se la facilita al Cliente si la pide (cláusula 16.1).

Una vez que el resultado cumple las letras b) a e), es información anónima: queda fuera del RGPD (considerando 26 RGPD) y de este contrato.

6.6. Nombre del Cliente. Ni la cláusula 6.5 ni ninguna otra de este contrato autorizan a Hodeitek a nombrar o identificar al Cliente, por su nombre, su logotipo, un testimonio o un caso de éxito, en ningún medio, tampoco en una solicitud de financiación ni en un informe al organismo que la conceda. Para eso hace falta un consentimiento del Cliente previo, por escrito y revocable, que se pide aparte y no forma parte de la firma de este contrato ni de la aceptación de las Condiciones de la beta. Negarse a darlo o retirarlo no afecta a la participación del Cliente en la beta. La retirada surte efecto para usos nuevos: desde ese momento Hodeitek no usa el nombre del Cliente en solicitudes, informes ni materiales nuevos, pero no está obligada a retirar lo que ya hubiera presentado a un organismo de financiación antes de la retirada. Si ese material contiene datos personales (por ejemplo, el nombre o la cita de una persona en un testimonio), Hodeitek los trata como responsable, con su propia información a esa persona y su propia base jurídica, y no como encargado de este contrato. La persona física cuyas palabras, nombre o imagen aparecerían en un testimonio o un caso de éxito da su propio consentimiento y puede negarlo o retirarlo sin ninguna consecuencia para ella; si se niega, el Cliente conserva su plaza y sus descuentos, porque puede dar el testimonio sin nombrar a ninguna persona o por medio de otro portavoz.

7.Obligaciones del Encargado (art. 28.3 RGPD)

Hodeitek se obliga a:

• a) Instrucciones. Tratar los Datos del Cliente solo siguiendo las instrucciones documentadas de la cláusula 6.
• b) Confidencialidad. Garantizar que las personas autorizadas para tratar los Datos del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad (cláusula 8).
• c) Seguridad. Aplicar las medidas del art. 32 RGPD descritas en la cláusula 9 y en el Anexo I.
• d) Subencargados. Respetar las condiciones de los apartados 2 y 4 del art. 28 RGPD para recurrir a otro encargado (cláusula 10 y Anexo II).
• e) Derechos de los interesados. Asistir al Cliente, con medidas técnicas y organizativas apropiadas y en la medida de lo posible, para que pueda responder a las solicitudes de ejercicio de derechos (cláusula 11).
• f) Arts. 32 a 36. Ayudar al Cliente a cumplir las obligaciones de los arts. 32 a 36 RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de la que disponga (cláusulas 12 y 13).
• g) Fin del encargo. A elección del Cliente, suprimir o devolver todos los Datos del Cliente al terminar la prestación y suprimir las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija conservarlos (cláusula 15).
• h) Demostración y auditorías. Poner a disposición del Cliente la información necesaria para demostrar el cumplimiento de estas obligaciones y permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de otro auditor autorizado por él (cláusula 16).

Además, Hodeitek llevará el registro de actividades de tratamiento como encargado (art. 30.2 RGPD), que ya existe en su forma inicial, y cooperará con la autoridad de control cuando esta lo solicite (art. 31 RGPD).

8.Confidencialidad del personal

8.1. Solo acceden a los Datos del Cliente las personas de Hodeitek que lo necesiten para prestar, mantener o asegurar la Plataforma, o para atender una petición del Cliente.

8.2. Esas personas están sujetas a un compromiso escrito de confidencialidad o a un deber legal equivalente, que continúa después de terminar su relación con Hodeitek.

8.3. El acceso de operación a la Plataforma con privilegios de plataforma queda registrado en el registro de auditoría (ver Anexo I).

8.4. Excepción para las métricas de la cláusula 6.5. La confidencialidad de esta cláusula y de la cláusula 7.b) no impide que Hodeitek presente a un organismo de financiación las métricas agregadas y anonimizadas de la cláusula 6.5, con el fin y las condiciones que allí se fijan, porque no contienen Datos del Cliente. La excepción no alcanza a ningún dato intermedio ni a ninguna otra información del Cliente.

9.Seguridad del tratamiento

9.1. Hodeitek aplica las medidas técnicas y organizativas del Anexo I, apropiadas al riesgo según el art. 32 RGPD.

9.2. Hodeitek S.L. está certificada en ISO/IEC 27001 y en el Esquema Nacional de Seguridad (ENS), categoría MEDIA (certificado ENS nº 34/5704/26/09103, emitido por OCA Instituto de Certificación), con un alcance que incluye el servicio SaaS HodeiShield. HodeiShield no tiene calificación CPSTIC ni figura en el Catálogo CPSTIC, y Hodeitek no certifica el cumplimiento del Cliente.

9.3. Hodeitek puede actualizar las medidas del Anexo I siempre que el nivel de seguridad resultante no sea inferior al descrito. Una reducción del nivel de seguridad exige acuerdo de las partes.

10.Subencargados

10.1. Autorización general. El Cliente da a Hodeitek una autorización general por escrito (art. 28.2 RGPD) para recurrir a los subencargados de la primera parte del Anexo II, que es la lista completa a la fecha de firma, como prometen las Condiciones de la beta.

10.2. Aviso previo y oposición. Hodeitek avisará por escrito al Cliente, al correo de contacto de este contrato, de cualquier alta o sustitución de un subencargado con al menos 15 días de antelación. El aviso dirá quién es, qué servicio presta, dónde trata los datos y con qué garantía de transferencia.

10.3. El Cliente puede oponerse dentro de ese plazo por motivos razonables de protección de datos. Si Hodeitek no puede ofrecer una alternativa razonable, el Cliente puede dejar el programa y se aplica la cláusula 15 (30 días para exportar o pedir el borrado).

10.4. La actualización del Anexo II mediante este procedimiento no es una modificación del contrato a efectos de la cláusula 19.2.

10.5. Mismas obligaciones. Hodeitek impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato, en particular garantías suficientes de medidas técnicas y organizativas apropiadas (art. 28.4 RGPD). Si un subencargado incumple, Hodeitek sigue respondiendo ante el Cliente del cumplimiento de ese subencargado.

10.6. Destinos que elige el Cliente. Los servicios que el Cliente conecta por su cuenta no son subencargados de Hodeitek: los destinos de alertas (Slack, Microsoft Teams, PagerDuty, Opsgenie, sus webhooks propios, su SIEM, Jira y ServiceNow) y los proveedores de identidad para el inicio de sesión único (Google, Microsoft Entra, Okta, OneLogin o uno propio). El Cliente elige el destino y responde de él; Hodeitek solo envía lo que el Cliente configura.

10.7. Fuentes de datos públicos. Para analizar la exposición de los proveedores del Cliente, la Plataforma consulta servicios de datos públicos (Shodan, Have I Been Pwned, OSV.dev, Logo.dev, NVD y otros, listados en la segunda parte del Anexo II, «Fuentes de datos públicos») y les envía solo identificadores de lo que se analiza: dominios, direcciones de servidores e identificadores de paquete, de producto o de vulnerabilidad; no les envía cuentas de usuario. No son subencargados y no tratan datos personales por cuenta de Hodeitek; se listan aparte para que el Cliente sepa qué sale de la Plataforma. Un dominio de empresa no suele ser un dato personal, pero lo es si identifica a una persona física.

11.Asistencia en el ejercicio de derechos

11.1. Si un interesado se dirige a Hodeitek para ejercer un derecho sobre Datos del Cliente, Hodeitek se lo trasladará al Cliente sin dilación indebida y, como máximo, en 5 días laborables, y no responderá por su cuenta salvo instrucción del Cliente. El aviso de la consola ya dice a los interesados que se dirijan a la organización que cargó sus datos.

11.2. El Cliente puede consultar y rectificar la mayoría de los Datos del Cliente desde la propia Plataforma, y borrar muchos de ellos. Dos borrados de la Plataforma son lógicos y no suprimen el dato: el de un proveedor, que se puede restaurar durante 30 días y no tiene tarea de borrado definitivo (y con él quedan el nombre y el correo de su persona de contacto), y el de un miembro del órgano de dirección. Para suprimir de verdad esos datos, o cuando el Cliente no pueda hacerlo por sí mismo, Hodeitek le ayudará a localizar, exportar, rectificar, limitar o suprimir los datos del interesado en un plazo que permita al Cliente responder dentro del mes del art. 12.3 RGPD.

12.Asistencia en los arts. 32 a 36 RGPD

Hodeitek facilitará al Cliente, a petición y con la información de que disponga:

• la descripción de las medidas del Anexo I y su actualización;
• información para que el Cliente haga una evaluación de impacto (art. 35 RGPD) cuando la necesite, y para la consulta previa a la autoridad (art. 36 RGPD);
• la asistencia de la cláusula 13 en caso de violación de la seguridad.

13.Notificación de violaciones de la seguridad

13.1. Hodeitek notificará al Cliente, sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento, toda violación de la seguridad que afecte a Datos del Cliente (art. 33.2 RGPD).

13.2. La notificación se enviará al correo de contacto del Cliente e incluirá, como mínimo y en la medida en que se conozca: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados; el nombre y los datos de contacto de la persona de Hodeitek de la que puede obtenerse más información; las consecuencias probables; y las medidas adoptadas o propuestas, incluidas las de mitigación. Si no se dispone de toda la información a la vez, se facilitará de forma gradual sin dilación indebida.

13.3. Hodeitek ayudará al Cliente a notificar a la autoridad de control y, en su caso, a los interesados (arts. 33 y 34 RGPD). La decisión de notificar y la notificación misma corresponden al Cliente como responsable.

13.4. Hodeitek documentará cada violación (hechos, efectos y medidas correctoras).

14.Transferencias internacionales

14.1. La Plataforma se aloja en la UE, en OVHcloud (Gravelines, Francia).

14.2. Cloudflare, Inc. (EE. UU.) presta DNS, red de distribución, cortafuegos y terminación TLS en la ruta de cada petición, por lo que ve el tráfico en claro y puede tratar datos en Estados Unidos. La transferencia se ampara en el EU-U.S. Data Privacy Framework (Decisión de Ejecución (UE) 2023/1795), mientras Cloudflare, Inc. figure como participante activo, y, si dejara de aplicarse, en las Cláusulas Contractuales Tipo de la Decisión de Ejecución (UE) 2021/914 incorporadas al contrato con Cloudflare.

14.3. Sentry (Functional Software, Inc., EE. UU.): la organización de Sentry de Hodeitek guarda los datos en la región de la UE, así que la región de almacenamiento no supone transferencia internacional. Functional Software, Inc. puede acceder o tratar datos desde Estados Unidos (soporte y sus propios subencargados); su contrato de encargo público (versión 5.1.0, de 29 de mayo de 2024, https://sentry.io/legal/dpa/) ampara esas transferencias en el EU-U.S. Data Privacy Framework y, si este no se aplica, en las Cláusulas Contractuales Tipo (módulos 2 y 3). En estos informes de error Sentry actúa como proveedor de Hodeitek, que es su responsable (cláusula 2.2), y no como subencargado del Cliente; las garantías anteriores son las que Hodeitek tiene con Sentry. Ver Anexo II.

14.4. Para el resto de subencargados del Anexo II, cualquier tratamiento fuera del EEE se amparará en una decisión de adecuación o en las garantías del art. 46 RGPD, que el Anexo II indica para cada uno. En particular, Resend (Plus Five Five, Inc., EE. UU.) declara en su contrato de encargo que su tratamiento principal se hace en Estados Unidos, con Cláusulas Contractuales Tipo y adhesión al EU-U.S. Data Privacy Framework (Anexo II, fila 4; región de envío: eu-west-1, Irlanda; garantía de transferencia: DPF o Cláusulas Contractuales Tipo). Las fuentes de datos públicos de la segunda parte del Anexo II no son subencargados: son servicios públicos de terceros que la Plataforma consulta y que solo reciben los identificadores de lo que se analiza que indica esa tabla (dominios y direcciones IP de los proveedores, identificadores de paquetes de software, nombres CPE e identificadores CVE), no cuentas de usuario. Hodeitek no hará nuevas transferencias sin el procedimiento de la cláusula 10. El Cliente puede pedir copia de las garantías a privacy@hodeitek.com.

15.Devolución y supresión al terminar

15.1. Plazo de 30 días. Al terminar la beta, o la participación del Cliente por cualquier causa (también el cierre anticipado), el Cliente dispone de 30 días para pedir a Hodeitek, escribiendo a privacy@hodeitek.com, la exportación de sus datos, su borrado o ambas cosas. Ese plazo coincide con los 30 días de gracia en solo lectura de la licencia.

15.2. Devolución. El Cliente obtiene la copia de los Datos del Cliente por dos vías que se complementan:

• (a) Autoservicio. Mientras la licencia del Cliente está en su periodo de gracia, un administrador del Cliente puede descargar por sí mismo, con la función «Exportar mis datos» de la consola, un archivo JSON con los datos básicos del espacio de trabajo (nombre, sector y fecha de alta) y los inventarios de proveedores (nombre, dominio, categoría, estado y fecha de alta) y de activos (nombre, criticidad, estado y fecha de alta). La función no incluye el resto de los Datos del Cliente, por ejemplo usuarios, contactos de proveedores, cuestionarios y respuestas, evidencias, incidentes, riesgos, políticas, inventario del agente, SBOM, registro de auditoría ni conversaciones de HodeiAI.
• (b) Procedimiento manual. A petición escrita del Cliente, hecha escribiendo a privacy@hodeitek.com dentro del plazo de la cláusula 15.1, Hodeitek le entrega una copia de los Datos del Cliente que la función del apartado (a) no cubre, en un formato estructurado, de uso común y de lectura mecánica (JSON o CSV), por un procedimiento manual que ejecuta el personal de Hodeitek, dentro de los 30 días siguientes a la petición.
• (c) Independencia. El procedimiento manual no depende de la función del apartado (a). Si esa función no está disponible para el Cliente (por ejemplo, porque ha terminado el periodo de gracia de la licencia o la licencia se ha suspendido) o no funciona, Hodeitek entrega por el procedimiento manual, en el mismo plazo, también los datos que la función cubriría.

15.3. Supresión. La supresión no se hace desde la Plataforma. A petición escrita del Cliente, hecha escribiendo a privacy@hodeitek.com, Hodeitek suprime los Datos del Cliente de los sistemas activos por el mismo procedimiento manual que ejecuta su personal, dentro de los 30 días siguientes a la petición; si el Cliente pide la devolución y la supresión, Hodeitek suprime después de entregar la copia, dentro del mismo plazo. Si al terminar el plazo de la cláusula 15.1 el Cliente no ha pasado a pago ni ha pedido nada, Hodeitek suprime los Datos del Cliente de los sistemas activos por el mismo procedimiento, dentro de los 30 días siguientes al fin de ese plazo. Quedan a salvo las cláusulas 15.3 bis, 15.4 y 15.6.

15.3 bis. Registro de auditoría y registros de derechos de los interesados. (a) Las entradas del registro de auditoría que recogen cambios en Datos del Cliente (cláusula 2.3) son de solo anexado, se conservan 365 días en la base de datos y después se archivan en almacenamiento de objetos. (b) Las entradas que recogen las acciones sobre derechos de los interesados que el Cliente gestiona en la Plataforma, en su módulo de solicitudes de derechos (alta y cierre de cada solicitud), se conservan 5 años en la base de datos y después se archivan; son Datos del Cliente que Hodeitek conserva según las instrucciones documentadas del Cliente y no se suprimen con el resto de los Datos del Cliente. (c) Los registros que Hodeitek lleva, como responsable, de las solicitudes de derechos que se le dirigen a ella (acceso o exportación, rectificación, limitación y supresión de los datos de los usuarios de la consola) no son Datos del Cliente: quedan bloqueados al cumplirse 1 año desde la resolución de la solicitud y se destruyen al cumplirse 3 años, sin archivarse, conforme a los arts. 32 y 72.1.k de la LOPDGDD.

15.4. Copias de seguridad. Los Datos del Cliente que estén en copias de seguridad no se restauran ni se usan y se eliminan cuando caducan esas copias. En particular, una vez suprimidos de los sistemas activos conforme a la cláusula 15.3, los Datos del Cliente que queden en las copias de seguridad de la base de datos que gestiona el proveedor de alojamiento (OVHcloud) caducan con esas copias, como máximo 2 días después, según la retención de copias que aplica ese proveedor (Anexo I, I.2).

15.5. Certificado. A petición del Cliente, Hodeitek le confirmará por escrito la supresión, una vez que se haya producido.

15.6. Conservación legal. Hodeitek solo conservará Datos del Cliente después de esos plazos si una norma de la Unión o de un Estado miembro lo exige, bloqueados y solo para esa finalidad.

15.7. Paso a pago. Si el Cliente pasa a pago dentro de los 30 días, sus datos continúan en el servicio de pago. Si lo hace después, empieza sin los datos de la beta.

16.Auditorías e inspecciones

16.1. Primera vía: documentación. Hodeitek pondrá a disposición del Cliente, a petición, la información necesaria para demostrar el cumplimiento de este contrato. Como primera vía, Hodeitek aportará los certificados vigentes de ISO/IEC 27001 y de ENS categoría MEDIA de Hodeitek S.L. (ENS nº 34/5704/26/09103; https://hodeitek.com/docs/certificado-ens-34-5704-26-09103.pdf), con su alcance, y las respuestas razonables a un cuestionario de seguridad del Cliente.

16.2. Auditoría. Si esa documentación no basta para un fin concreto, o lo pide una autoridad de control, el Cliente puede hacer una auditoría, por sí mismo o por un auditor independiente obligado a confidencialidad, con estas condiciones: aviso previo por escrito con antelación razonable, como máximo una vez durante la beta salvo violación de la seguridad o requerimiento de una autoridad, en horario laboral, limitada a lo necesario y sin acceso a datos de otros clientes ni a información que comprometa la seguridad de la Plataforma.

16.3. Cada parte asume sus propios costes de auditoría.

16.4. Las Condiciones de la beta prohíben las pruebas de seguridad sobre la Plataforma salvo comunicando vulnerabilidades a security@hodeitek.com. Una prueba técnica intrusiva dentro de una auditoría exige acuerdo previo por escrito sobre su alcance.

17.Obligaciones del Cliente

El Cliente:

• es responsable de la licitud del tratamiento de los Datos del Cliente y de haber informado a los interesados (arts. 13 y 14 RGPD), y de contar con base jurídica para cargarlos;
• informa a las personas usuarias de los equipos donde instala el agente de endpoint de que el agente comprueba la configuración del equipo y envía a la Plataforma el nombre del equipo, el sistema operativo, la versión y la arquitectura, las direcciones IP de las interfaces y el resultado de las comprobaciones, y de que, si falla, puede enviar un informe de error (cláusula 2.2), y cuenta con una base de licitud para ello. Hodeitek pone a su disposición la descripción de lo que sale del equipo, en la documentación del agente;
• da instrucciones conformes con el RGPD;
• solo carga datos de proveedores, dominios y activos que tenga derecho o autorización para analizar;
• en la vía MSSP, cumple además la Parte II;
• mantiene sus propias copias de la información que considere importante;
• gestiona con diligencia las cuentas de sus usuarios y sus permisos dentro de la Plataforma.

18.Responsabilidad

18.1. Cada parte responde frente a los interesados según el art. 82 RGPD.

18.2. Entre las partes, cada una responde de los daños que cause a la otra por incumplir este contrato o el RGPD.

18.3. Entre las partes, la responsabilidad total de Hodeitek por los daños derivados de este contrato, incluida la protección de datos personales, se limita: (a) mientras el Cliente use la Plataforma en la beta gratuita, a los daños directos que el Cliente acredite, como en las Condiciones de la beta; y (b) desde el paso a un plan de pago, a los honorarios que el Cliente haya pagado a Hodeitek por la Plataforma en los 12 meses anteriores al hecho que dé lugar a la responsabilidad. En ambos casos el límite no se aplica en caso de dolo ni de culpa grave. Este límite rige solo entre las partes y no afecta a los derechos de los interesados frente a cualquiera de ellas conforme al art. 82 RGPD.

19.Prevalencia, modificación y nulidad parcial

19.1. Prevalencia. En materia de protección de datos, este contrato prevalece sobre las Condiciones de la beta, como ellas mismas prevén, y, por acuerdo de las partes en este contrato, sobre el correo de admisión. En lo demás, rigen las Condiciones de la beta.

19.2. Modificación. Este contrato solo se modifica por acuerdo escrito de ambas partes. Los cambios que Hodeitek haga en las Condiciones de la beta no modifican este contrato. Quedan a salvo el procedimiento de subencargados (cláusula 10) y la actualización de medidas sin reducir el nivel de seguridad (cláusula 9.3).

19.3. Si una cláusula fuera nula, el resto sigue vigente y las partes la sustituirán por otra válida de efecto lo más parecido posible.

20.Ley aplicable y jurisdicción

Este contrato se rige por la ley española. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Donostia-San Sebastián, como las Condiciones de la beta. Esto no limita las competencias de las autoridades de control.

Parte II. Cláusulas específicas de la vía MSSP

Se aplican cuando el Cliente firma como partner MSSP. Recogen lo que dicen las Condiciones de la beta.

M1. Papel de cada parte

• Cada cliente final que el MSSP incorpora a la beta (en adelante, «Cliente final») es el responsable de sus datos.
• El MSSP actúa como encargado del Cliente final.
• Hodeitek actúa como subencargado del MSSP.
• Cada MSSP puede incorporar hasta 3 Clientes finales a la beta.

M2. Autorización del Cliente final (art. 28.2 RGPD)

El MSSP garantiza que, antes de cargar datos de un Cliente final, cuenta con la autorización previa y por escrito de ese Cliente final para recurrir a Hodeitek como subencargado, y que esa autorización cubre los subencargados del Anexo II. El MSSP entregará copia de esa autorización a Hodeitek si esta la pide.

M3. Obligaciones espejo (art. 28.4 RGPD)

El MSSP declara que las obligaciones de protección de datos de la Parte I son las mismas que el MSSP tiene con cada Cliente final en su contrato de encargo. Si el contrato del MSSP con un Cliente final impone obligaciones más estrictas que afecten a Hodeitek, el MSSP las comunicará por escrito antes de cargar datos y, si Hodeitek las acepta, se incorporarán como anexo. Si no se aceptan, ese Cliente final no se incorpora por esta vía.

M4. Cadena de comunicación

• Las instrucciones del Cliente final llegan a Hodeitek a través del MSSP. El MSSP responde de que reflejan las instrucciones del Cliente final.
• Las notificaciones de Hodeitek (violaciones de la seguridad, cambios de subencargados, solicitudes de interesados) se envían al MSSP, que las traslada al Cliente final sin dilación indebida.
• Oposición a un subencargado nuevo (cláusula 10.3). El MSSP traslada el aviso de la cláusula 10.2 a cada Cliente final con tiempo para que pueda oponerse dentro del plazo de 15 días, y ejerce la oposición en su nombre. Si Hodeitek no ofrece una alternativa razonable, el efecto de la cláusula 10.3 (dejar el programa y aplicar la cláusula 15) puede limitarse al inquilino de ese Cliente final, sin afectar al MSSP ni a sus otros Clientes finales.
• Auditoría (cláusula 16). El derecho de auditoría del art. 28.3.h RGPD alcanza al Cliente final: lo ejerce el MSSP en su nombre o el propio Cliente final, con las condiciones de la cláusula 16, y una auditoría pedida por varios Clientes finales del mismo MSSP puede hacerse de forma conjunta.
• Si el MSSP deja de existir, se vuelve insolvente o abandona el programa, Hodeitek puede dirigirse directamente al Cliente final para permitirle exportar o borrar sus datos en el plazo de la cláusula 15.

M5. Fin de la beta del Cliente final

Las licencias de prueba de los Clientes finales vencen el día que termina la beta del MSSP. Los 30 días de la cláusula 15 se cuentan desde ese día para cada Cliente final.

M6. Opción de firma directa

Si el Cliente final lo prefiere, puede firmar este contrato directamente con Hodeitek en la vía directa. En ese caso Hodeitek es encargado del Cliente final para sus datos, la relación del MSSP con esos datos se rige por el contrato entre el MSSP y el Cliente final, y el acceso del MSSP al inquilino del Cliente final es una instrucción documentada del Cliente final.

M7. HodeiAI en los inquilinos de los Clientes finales

• En la beta, los Clientes finales incorporados por el MSSP heredan las condiciones de la beta, incluido HodeiAI activado por defecto en sus inquilinos (cláusula 6.4). Es el MSSP quien decide por ellos.
• La instrucción documentada de mantener HodeiAI activado en esos inquilinos la da el MSSP como encargado de su Cliente final (el responsable), y Hodeitek actúa como subencargado.
• El MSSP obtiene de cada Cliente final la autorización general por escrito (art. 28.2 RGPD) para Hodeitek y sus subencargados, incluido el proveedor de IA, antes de cargar datos. No basta con informar al Cliente final: sin esa autorización previa, el MSSP no carga sus datos. La autorización (M2) debe cubrir expresamente que HodeiAI está activado por defecto, que envía contenido al subencargado OVH SAS por medio de OVHcloud AI Endpoints (inferencia de IA; Anexo II, fila 7) y que el administrador del Cliente final puede desactivarlo en Configuración, apartado HodeiAI.
• Las obligaciones espejo del art. 28.4 RGPD (M3) alcanzan a este tratamiento: el MSSP responde de que su contrato con cada Cliente final permite esta cadena de subencargados.
• Si un administrador del Cliente final desactiva HodeiAI, Hodeitek deja de enviar peticiones al subencargado desde ese inquilino.
• El MSSP puede cambiarlo y queda registrado en el historial del cliente: el org_admin del MSSP actúa sobre los inquilinos de sus clientes, org_admin puede cambiar el ajuste de HodeiAI y el cambio se registra en el historial del inquilino con el autor.

M8. Métricas agregadas y nombre de los Clientes finales

• La instrucción de la cláusula 6.5 para los datos de los Clientes finales la da el MSSP como encargado de su Cliente final, con Hodeitek como subencargado, y el MSSP garantiza que su contrato con cada Cliente final le permite darla (M3).
• En las cifras de la cláusula 6.5, cada Cliente final cuenta como una organización distinta del MSSP. No se usa una cifra en la que todas las organizaciones menos una sean el MSSP y sus Clientes finales, porque el MSSP, que ve los datos de sus Clientes finales, podría deducir el dato de la restante.
• Nombrar o identificar a un Cliente final (cláusula 6.6) exige el consentimiento aparte de ese Cliente final; el del MSSP no basta. Negarse o retirarlo no afecta a la participación del Cliente final ni a la del MSSP.

M9. Información a las personas usuarias de los equipos

Antes de instalar el agente de endpoint en los equipos de un Cliente final, el MSSP se asegura de que ese Cliente final, que es el responsable de sus datos (M1), ha informado a las personas usuarias de esos equipos de lo que dice la cláusula 17 sobre el agente y cuenta con una base de licitud para ello. El MSSP puede darles esa información en nombre del Cliente final si este se lo encarga. Hodeitek pone a disposición la descripción de lo que sale del equipo, en la documentación del agente.

Anexo I. Medidas técnicas y organizativas

Este anexo describe, en términos generales, las categorías de medidas técnicas y organizativas que Hodeitek aplica a los Datos del Cliente, y no afirma las que no puede respaldar. La descripción técnica detallada de estas medidas está a disposición de los clientes bajo petición, escribiendo a privacy@hodeitek.com.

Marco certificado

• Hodeitek S.L. (la empresa) está certificada en ISO/IEC 27001 y en el Esquema Nacional de Seguridad (ENS), categoría MEDIA, con un alcance que incluye el servicio SaaS HodeiShield.
• HodeiShield no tiene calificación CPSTIC ni una certificación de producto. Este anexo no afirma ninguna de ellas.

Aislamiento entre clientes

• Los datos de cada cliente se aíslan de los de los demás clientes en la base de datos, y las consultas se ejecutan dentro del contexto del cliente al que corresponden.
• Esta medida protege frente a un fallo de la aplicación que olvide filtrar por cliente. No es una barrera frente a quien pueda elegir las consultas que se ejecutan, por lo que se combina con el control de acceso y con el registro de auditoría.

Cifrado en tránsito

• Todo el tráfico de la consola va cifrado con TLS. Cloudflare termina TLS en el borde (Anexo II) y el origen solo acepta conexiones autenticadas procedentes de Cloudflare.
• La aplicación se conecta a la base de datos gestionada con TLS y verifica el certificado del servidor.
• El agente de endpoint solo envía datos por conexiones cifradas.

Cifrado y protección de secretos en reposo

• Las contraseñas se guardan con un algoritmo de resumen diseñado para ese fin, nunca en claro.
• Los materiales del segundo factor, las claves privadas de firma de sesiones y los secretos de integraciones (por ejemplo SSO, OAuth o webhooks) se guardan cifrados.
• Las claves de API se guardan solo como resumen, y su parte secreta se muestra una única vez, al crearla.
• El almacenamiento de objetos cifra los ficheros en el servidor.
• La base de datos gestionada cifra sus volúmenes y sus copias, según la documentación del proveedor de infraestructura (OVHcloud, Anexo II).

Control de acceso y autenticación

• El acceso es por roles, con permisos de lectura y de escritura diferenciados.
• El segundo factor (TOTP) y las llaves de acceso (passkeys) están disponibles para todos los usuarios. El administrador del Cliente puede exigir el segundo factor a todos sus usuarios mediante la política del inquilino; por defecto no está exigido, y Hodeitek recomienda al Cliente activarlo.
• Los intentos de inicio de sesión y de segundo factor están limitados.
• Las sesiones tienen una duración máxima, y las cuentas sin uso se suspenden tras un plazo que el Cliente puede ajustar.

Copias de seguridad

• La base de datos gestionada dispone de copias de seguridad automáticas, con registro continuo de transacciones para recuperar un punto en el tiempo, a cargo del proveedor de infraestructura (OVHcloud, Anexo II) y dentro del Espacio Económico Europeo.
• Este contrato no promete alta disponibilidad ni objetivos de tiempo o de punto de recuperación.

Registro y monitorización

• Las acciones en la consola quedan en un registro de auditoría con usuario, fecha, IP y navegador.
• El registro es de solo anexado: no admite modificaciones, y solo un proceso de purga dedicado puede borrar entradas ya archivadas. Las entradas se conservan durante un plazo definido y después se archivan.
• Los informes de error y los registros que la Plataforma envía al servicio de diagnóstico (Sentry, Anexo II) pasan por un filtro que elimina usuario, cookies y cabeceras de la petición y redacta secretos, tokens, correos y direcciones IP.
• Ese filtro no reconoce nombres de personas, por lo que este contrato no afirma «sin datos personales» en el diagnóstico de errores. El agente de endpoint solo informa de errores y fallos y redacta sus identificadores antes del envío.

Minimización y seudonimización

• El agente de endpoint solo recoge los datos técnicos mínimos del equipo, y no recoge nombres de usuario, números de serie ni direcciones MAC.
• Hay borrados automáticos por plazo, entre ellos el historial de HodeiAI y las sesiones caducadas. No incluyen la supresión de los datos del Cliente al terminar la beta, que se rige por este contrato.
• Antes de enviar texto al proveedor de IA (Anexo II), la Plataforma seudonimiza correos, teléfonos, documentos de identidad, IBAN y los nombres del diccionario del inquilino, en los flujos de HodeiAI y de redacción de políticas. No se aplica a todos los flujos y no reconoce todo nombre de persona, dirección postal o identificador de formato libre, que pueden salir tal cual.

Integridad y gestión de vulnerabilidades

• Las observaciones que envía el agente van firmadas, y la consola rechaza las que no verifican.
• Las dependencias se actualizan de forma automatizada, con una espera antes de adoptar versiones nuevas. Las imágenes de producción y el código se reescanean cada semana con análisis de vulnerabilidades y análisis estático, y al publicar imágenes se genera un inventario de componentes de software (SBOM).
• Las vulnerabilidades pueden comunicarse a security@hodeitek.com.