Acuerdo de tratamiento de datos (art. 28 RGPD)

Este acuerdo forma parte de la contratación del Plan Cooperativas y regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD), el tratamiento de datos personales que VITISENSE realiza por cuenta de la cooperativa. Se acepta expresamente al contratar el plan, por medios electrónicos (art. 28.9 RGPD): VITISENSE guarda la versión aceptada, la fecha, la IP y los datos de facturación de la cooperativa. Queda vigente mientras dure la suscripción.

1. Partes

• Responsable del tratamiento: la cooperativa o entidad que contrata el Plan Cooperativas (la «Cooperativa»), identificada con los datos de facturación y el NIF facilitados al contratar.
• Encargado del tratamiento: VITISENSE, SOCIEDAD LIMITADA, CIF B21945217, Calle Moro 44, 16220 Quintanar del Rey (Cuenca), inscrita en el Registro Mercantil de Cuenca, Hoja CU-13322, inscripción 1ª de 5 de mayo de 2025, cooperativas@vitisense.es («VITISENSE»).

2. Objeto, naturaleza y finalidad

VITISENSE pone a disposición de la Cooperativa un panel con información de los socios que se unen a ella mediante invitación, con la única finalidad de que la Cooperativa planifique el asesoramiento técnico a sus socios. El tratamiento consiste en recoger, almacenar, organizar, consultar y mostrar esos datos en el panel, y en elaborar estadísticas agregadas en los términos de la cláusula 3.

3. Datos e interesados

• Interesados: socios de la Cooperativa invitados por ella y personas de la Cooperativa con acceso al panel (responsables).
• Datos de todos los socios vinculados: nombre, correo electrónico, fecha de alta y si comparten o no sus datos, con la única finalidad de gestionar la invitación y la pertenencia al plan.
• Registros del equipo técnico de la Cooperativa: visitas técnicas (fecha, socio, motivo, estado fenológico, incidencias, observaciones, fotos y recomendación), notas internas y tareas que los responsables crean sobre los socios; avisos enviados a socios (texto, segmento, destinatarios, lectura y envío por correo mediante el subencargado de correo) y recomendaciones de tratamiento firmadas por el técnico (producto, nº de registro, dosis, plazo de seguridad, nº ROPO del firmante y si el socio la ha aplicado y cuándo). La Cooperativa decide su contenido y responde de que sea adecuado, pertinente y limitado a la relación de asesoramiento técnico; no deben incluir categorías especiales de datos. Una visita solo puede vincularse a una parcela del socio si este comparte su explotación, y solo se copia al cuaderno del socio si este lo ha autorizado de forma separada. Muestreos de maduración (fecha, variedad, zona o parcela, ºBaumé, acidez, pH, peso de 100 bayas, sanidad) y aforos de cosecha (superficie, cepas, racimos, peso y kg estimados), que solo pueden vincularse a parcelas de socios que comparten su explotación; y el reparto de municipios entre los responsables de la Cooperativa.
• Datos que solo se muestran con el consentimiento del socio: explotación (municipio, variedades, superficie y parcelas), cuaderno de campo, riesgo de sus parcelas y, con autorización separada, diagnósticos por foto.
• Estadísticas agregadas: superficie y variedades totales, riesgo por municipio y número de socios activos, consultas y diagnósticos de la semana. Se calculan exclusivamente con los datos de los socios que hayan dado su consentimiento y solo se muestran cuando el grupo incluye al menos 5 socios; en otro caso, el panel indica «Datos insuficientes». Una variedad o un municipio solo aparece si lo comparten 5 o más socios. El riesgo de cada municipio se calcula con los datos meteorológicos del municipio, nunca con la explotación de un socio concreto. Las consultas se cuentan por número, sin tratar su contenido.

4. Exclusiones

No forman parte del encargo las categorías especiales de datos (art. 9 RGPD) ni el contenido de las conversaciones de los socios con el asesor, que VITISENSE no lee, no analiza ni comunica a la Cooperativa. Queda prohibido a la Cooperativa intentar reidentificar a socios a partir de datos agregados.

5. Duración y fin del encargo

El encargo dura mientras esté vigente la suscripción del Plan Cooperativas. En los 30 días siguientes a su finalización, la Cooperativa podrá pedir a cooperativas@vitisense.es una copia en CSV de los datos de su panel. Transcurrido ese plazo, VITISENSE suprimirá los datos tratados por cuenta de la Cooperativa, incluidos los de las copias de seguridad dentro de su ciclo de rotación de 30 días, y emitirá un certificado de supresión si se le solicita, salvo que la ley exija conservarlos bloqueados (art. 33.4 LOPDGDD). Las cuentas individuales de los socios, de las que VITISENSE es responsable, no se ven afectadas.

6. Obligaciones de VITISENSE

VITISENSE se compromete a:

• tratar los datos solo siguiendo las instrucciones documentadas de la Cooperativa, que son las que resultan de este acuerdo y del uso del panel, salvo que la ley le obligue a otro tratamiento, en cuyo caso se lo comunicará antes, si la ley no lo prohíbe. Informará de inmediato a la Cooperativa si considera que una instrucción infringe la normativa;
• no usar los datos para fines propios distintos de la prestación del servicio;
• garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad;
• aplicar las medidas de seguridad del Anexo I (art. 32 RGPD);
• ayudar a la Cooperativa a atender los derechos de los interesados: le reenviará en un plazo de 5 días hábiles las solicitudes que reciba y que afecten a los datos del panel;
• ayudar a la Cooperativa a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (arts. 32 a 36 RGPD);
• notificar a la Cooperativa sin dilación indebida, y en todo caso en un plazo máximo de 48 horas, cualquier violación de seguridad que afecte a esos datos. La notificación incluirá como mínimo lo previsto en el art. 33.3 RGPD, y la información podrá facilitarse por fases. Contacto: cooperativas@vitisense.es;
• poner a su disposición la información necesaria para demostrar el cumplimiento de este acuerdo y permitir auditorías razonables, con preaviso de 30 días, a cargo de la Cooperativa y por un auditor sometido a confidencialidad.

7. Subencargados

Se autoriza a los subencargados del Anexo II. VITISENSE comunicará por correo cualquier alta o sustitución con 15 días de antelación. La Cooperativa podrá oponerse de forma motivada en ese plazo y, si no hay alternativa, resolver el plan sin penalización y con reembolso del periodo no disfrutado. VITISENSE impondrá a cada subencargado las mismas obligaciones de protección de datos y responderá de su cumplimiento frente a la Cooperativa (art. 28.4 RGPD).

8. Transferencias internacionales

Las transferencias a EE. UU. a Vercel, OpenAI y Cloudinary se amparan en la Decisión de adecuación UE-EE. UU. de 10 de julio de 2023 (Marco de Privacidad de Datos) respecto de las entidades certificadas. En su defecto, se amparan en las Cláusulas Contractuales Tipo (Decisión 2021/914, módulo 3) con una evaluación de impacto de la transferencia. Copia a disposición de la Cooperativa. A los sistemas de inteligencia artificial no se envían el nombre ni el correo de los socios.

9. Obligaciones de la Cooperativa

La Cooperativa se compromete a:

• usar los datos solo para planificar el asesoramiento técnico a sus socios y garantizar que dispone de base jurídica para sus propios usos;
• informar a sus socios del tratamiento (art. 13 RGPD) y atender sus derechos;
• limitar el acceso al panel a las personas que lo necesiten, mantener la confidencialidad de sus credenciales y dar de baja los accesos de los responsables que cesen;
• no exportar masivamente los datos, ni cederlos o usarlos con otros fines sin una base jurídica válida;
• no intentar reidentificar a socios a partir de datos agregados;
• reenviar a VITISENSE las solicitudes de derechos que afecten a la plataforma.

10. Responsabilidad (art. 28.10 RGPD y art. 33 LOPDGDD)

Si VITISENSE destinara los datos a fines propios o los tratara incumpliendo este acuerdo, será considerada responsable del tratamiento a todos los efectos.

11. Ley aplicable y jurisdicción

Este acuerdo se rige por la ley española y por el RGPD. Para cualquier controversia, las partes se someten a los juzgados y tribunales de Cuenca, domicilio social de VITISENSE.

Anexo I. Medidas de seguridad

• Cifrado en tránsito (HTTPS con HSTS) y cabeceras de seguridad.
• Contraseñas cifradas con scrypt.
• Control de acceso por rol (titular, responsable o socio) y comprobación de la pertenencia a la cooperativa en cada petición.
• Comprobación del consentimiento del socio antes de mostrar cualquier dato individual o incluirlo en estadísticas.
• Límites de peticiones frente a abusos.
• Copias de seguridad diarias cifradas (AES-256-GCM), conservadas 7 días en el servidor y 30 días en una copia externa.
• Registros de acceso del servidor, conservados hasta 30 días.
• Borrado periódico de las cuentas de prueba.
• Procedimiento de gestión y notificación de brechas de seguridad.

Anexo II. Subencargados autorizados

Stripe Payments Europe, Ltd. trata los datos de facturación de la Cooperativa como responsable independiente y no es subencargado de los datos de los socios.