Anexo de seguridad del contrato (modelo)
Modelo de anexo al contrato principal de uso de Verbalu. Reúne en un solo lugar las obligaciones del proveedor en materia de seguridad de la información. Los campos entre corchetes los completan las partes antes de la firma.
Este es un modelo preparado por Verbalu, y no un asesoramiento jurídico. Antes de la firma debería leerlo el abogado del cliente. Los valores consignados en el modelo corresponden a lo que el servicio ofrece a fecha de 12 de noviembre de 2026. El tratamiento de datos personales lo regula un contrato de encargo del tratamiento independiente.
1. Partes y objeto
El anexo forma parte integrante del contrato principal celebrado entre Octigo sp. z o.o., ul. Redycka 38/1, 51-169 Wrocław, Polonia, KRS 0000360836 («el Proveedor») y [nombre, dirección y número de registro del cliente] («el Cliente»). Determina las medidas de seguridad que el Proveedor aplica en la prestación del servicio Verbalu, así como el modo de cooperación de las partes en materia de seguridad. Los términos «incidente», «nivel crítico» y «nivel alto» tienen el significado que se les atribuye en el Procedimiento de gestión de incidentes de seguridad del Proveedor.
2. Ubicación de los datos
El Proveedor almacena los datos del Cliente en el territorio de la Unión Europea, en la infraestructura de Google Cloud: la base de datos y las copias de seguridad en la multirregión eur3, los archivos en la multirregión UE, las funciones de servidor en la región europe-west1. La transferencia de datos fuera del Espacio Económico Europeo puede producirse exclusivamente en los casos y sobre las bases descritos en el contrato de encargo del tratamiento, en particular cuando los usuarios del Cliente utilicen funciones de inteligencia artificial. De la intención de cambiar la región de almacenamiento de los datos el Proveedor informa al Cliente con una antelación mínima de 30 días.
3. Medidas técnicas y organizativas
El Proveedor garantiza como mínimo: el cifrado de la transmisión mediante el protocolo TLS; el cifrado de los datos en reposo, incluidas las copias de seguridad; un control de permisos aplicado en el lado del servidor; la separación de los datos del Cliente respecto de los datos de otros clientes; el principio de mínimo privilegio en el acceso del personal; un registro de auditoría de los eventos de la organización conservado 13 meses y protegido frente a su alteración; el compromiso de confidencialidad del personal, vigente también tras el cese de la colaboración. El Proveedor puede modificar las medidas, siempre que ello no reduzca el nivel de protección alcanzado.
4. Autenticación y acceso
El servicio permite iniciar sesión con la cuenta corporativa del Cliente en un proveedor de identidad externo; la autenticación multifactor la realiza entonces ese proveedor. El Cliente obliga a sus formadores y administradores a iniciar sesión con [la cuenta corporativa con la verificación en dos pasos activada]. El Proveedor declara que el servicio no tiene un segundo factor de inicio de sesión propio e informará al Cliente de su puesta a disposición. El acceso administrativo del personal del Proveedor al entorno de producción se realiza exclusivamente desde cuentas nominativas [con la verificación en dos pasos impuesta], en la medida imprescindible para mantener el servicio o atender una solicitud del Cliente.
5. Copias de seguridad y continuidad del servicio
El Proveedor realiza una copia de seguridad de la base de datos al menos una vez por semana y conserva cada copia 60 días en el territorio de la Unión Europea. La pérdida máxima de datos en una restauración a partir de la copia (RPO) es de 7 días. Tiempo objetivo de restauración del servicio (RTO): [número de horas]. El Cliente puede exportar por sí mismo sus datos desde la aplicación en cualquier momento. Garantía contractual de disponibilidad del servicio (SLA): [ninguna o el nivel acordado por las partes].
6. Actualizaciones y vulnerabilidades
El Proveedor mantiene el servicio en versiones de software con soporte y elimina las vulnerabilidades en función de su gravedad: las críticas en un plazo de [7] días, las altas en un plazo de [30] días desde su confirmación, las restantes en el marco de los trabajos corrientes. De una vulnerabilidad crítica que afecte a los datos del Cliente y no pueda eliminarse en ese plazo, el Proveedor informa al Cliente junto con una descripción de las medidas sustitutivas. El Cliente puede encargar una prueba de penetración del servicio a su propia costa, previo acuerdo del alcance y de la fecha con una antelación mínima de [30] días; el Proveedor elimina los hallazgos confirmados en los plazos de esta cláusula.
7. Subcontratistas
La lista actual de los subcontratistas que tratan los datos del Cliente figura en el Paquete de seguridad de Verbalu y en el contrato de encargo del tratamiento. De la intención de añadir o sustituir a un subcontratista el Proveedor informa al Cliente por correo electrónico con una antelación mínima de 30 días; el Cliente puede formular en ese plazo una oposición motivada. El Proveedor responde de las actuaciones de los subcontratistas como de las propias.
8. Incidentes
El Proveedor informa al Cliente de un incidente que afecte a sus datos o que limite de forma significativa la disponibilidad del servicio sin dilación indebida, a más tardar en un plazo de 24 horas desde su constatación, en la dirección [correo electrónico del contacto de seguridad del Cliente] y, además, por teléfono en el número [teléfono]. Transmite la información complementaria en un plazo de 72 horas y el informe final en un plazo de 30 días desde el cierre del incidente. El Proveedor coopera con el Cliente en las notificaciones exigidas por la normativa, incluidos el RGPD y las disposiciones de transposición de la Directiva NIS2. El Cliente comunica al Proveedor los incidentes y las sospechas de incidente en la dirección hello@verbalu.com.
9. Información y auditoría
El Proveedor pone a disposición del Cliente, previa solicitud, la información necesaria para evaluar la seguridad del servicio, incluidas las respuestas al cuestionario de seguridad del Cliente, en un plazo de [14] días. El Cliente o un auditor autorizado por él, obligado a la confidencialidad, puede realizar una auditoría con una frecuencia no superior a una vez cada 12 meses, previa notificación con una antelación mínima de 30 días, de un modo que no perturbe el funcionamiento del servicio y respetando los datos de otros clientes. La limitación de la frecuencia no se aplica a la auditoría posterior a un incidente de nivel alto o crítico.
10. Finalización de la colaboración
Tras la finalización del contrato principal, el Cliente puede exportar sus datos en un plazo de [30] días. Transcurrido ese plazo, a petición escrita del Cliente, el Proveedor elimina de forma permanente los datos del Cliente de los sistemas de producción en un plazo de [30] días y lo confirma por correo electrónico. Las copias de seguridad que contienen esos datos caducan a más tardar 60 días después de su creación.
11. Disposiciones finales
En caso de discrepancia entre el anexo y el contrato de encargo del tratamiento de datos personales, en lo relativo a los datos personales prevalece el contrato de encargo del tratamiento. Las modificaciones del anexo requieren forma documental. El anexo está en vigor durante la vigencia del contrato principal.
| Parámetro | Valor |
|---|---|
| Cliente | [nombre, dirección, número de registro] |
| Contrato principal | [número o fecha del contrato] |
| Contacto de seguridad del Cliente | [nombre y apellidos, correo electrónico, teléfono] |
| Contacto de seguridad del Proveedor | Marcin Żmigrodzki, marcin.zmigrodzki@octigo.pl |
| Notificación del incidente | Hasta 24 horas desde la constatación |
| Informe final del incidente | Hasta 30 días desde el cierre del incidente |
| Copias de seguridad | Semanales, conservadas 60 días, en la UE |
| Pérdida máxima de datos (RPO) | 7 días |
| Tiempo de restauración (RTO) | [número de horas] |
| Eliminación de vulnerabilidades | Críticas: [7] días. Altas: [30] días. |
| Eliminación de los datos tras la finalización del contrato | [30] días desde la solicitud |
| Fecha y firmas de las partes | [fecha, firma del Cliente, firma del Proveedor] |