Esta traducción se proporciona a título informativo: solo la versión francesa es vinculante.
Acuerdo de tratamiento de datos (DPA)
Versión del 2026-10-31. Acuerdo celebrado en aplicación del artículo 28 del Reglamento General de Protección de Datos (RGPD), entre el cliente (responsable del tratamiento) y Thomas SAMSON (SAMSON Tech) (encargado del tratamiento). Forma parte de las condiciones generales y se aplica desde la creación de una organización.
1. Descripción del tratamiento
- Objeto
- Prestar el servicio Wardpod: análisis de vulnerabilidades e inventario de software de los clústeres Kubernetes del cliente.
- Naturaleza
- Recopilación por el agente instalado por el cliente, almacenamiento, cálculo de puntuaciones y prioridades, visualización en la consola, envío de alertas e informes.
- Duración
- La de la suscripción, y después supresión conforme al artículo 7.
- Datos
- Metadatos de los clústeres: nombres de clústeres, namespaces, workloads y contenedores, imágenes, paquetes y versiones, vulnerabilidades, exposición (nombres de host de Ingress y rutas), ajustes de seguridad de los pods. En principio no contienen datos personales, salvo los que el propio cliente ponga en esos nombres. Cuentas de los usuarios de la consola (nombre de usuario, correo electrónico, registro de actividad).
- Personas afectadas
- Usuarios de la consola designados por el cliente; personas eventualmente nombradas en los metadatos de los clústeres.
- Exclusiones
- El agente nunca envía el contenido de los archivos de las imágenes, los valores de las variables de entorno de los pods, los Secrets, los ConfigMaps ni los registros.
2. Instrucciones del cliente
El encargado solo trata los datos siguiendo instrucciones documentadas del cliente, constituidas por las condiciones generales, el presente acuerdo y el uso que el cliente hace de la consola. Informa al cliente si una instrucción le parece contraria al RGPD.
3. Confidencialidad
Las personas autorizadas a tratar los datos están obligadas a la confidencialidad. El encargado solo accede a los datos de una organización para prestar el servicio, solucionar problemas a petición del cliente o cumplir una obligación legal.
4. Seguridad
Medidas técnicas y organizativas en vigor:
- cifrado de los intercambios (HTTPS) entre el agente, la consola y el servicio;
- tokens de agente propios de cada clúster; un clúster no puede modificar nada de lo que ven los demás;
- aislamiento de las organizaciones, verificado por pruebas automáticas; consola propia para cada organización en los planes de pago;
- contraseñas almacenadas en forma de huella, secretos cifrados en la base de datos, autenticación de dos factores disponible;
- servidor reforzado (acceso por clave, cortafuegos, actualizaciones automáticas), accesible solo a través del proxy;
- copias de seguridad cifradas dos veces al día, almacenadas aparte, restauración probada;
- supervisión continua y alertas; acceso de administración restringido y registrado.
5. Subencargados
El cliente autoriza el recurso a los siguientes subencargados:
| Subencargado | Función | Ubicación |
|---|---|---|
| OVH SAS | Alojamiento del servicio y de las copias de seguridad | Francia |
| Cloudflare, Inc. | Encaminamiento y protección del tráfico | Red mundial (Data Privacy Framework, cláusulas contractuales tipo) |
| Brevo (Sendinblue SAS) | Envío de correos (alertas, informes) | Francia |
El encargado impone a cada uno obligaciones equivalentes al presente acuerdo. Informa al cliente por correo de toda incorporación o sustitución con al menos 30 días de antelación; el cliente puede oponerse por un motivo relacionado con la protección de datos y resolver sin coste si no se encuentra solución.
6. Asistencia al cliente
- Derechos de las personas: el encargado transmite sin demora al cliente toda solicitud recibida de una persona afectada y le ayuda a responder.
- Violación de datos: notifica al cliente toda violación de datos personales lo antes posible y, a más tardar, 48 horas después de tener conocimiento de ella, con la información útil para la notificación a la autoridad de control.
- Evaluaciones de impacto: proporciona al cliente la información necesaria para sus evaluaciones de impacto y la consulta previa a la autoridad.
7. Fin del tratamiento
Al eliminar la organización o al finalizar la suscripción, los datos se borran del servicio y después de las copias de seguridad a medida que rotan, en un máximo de 6 meses. Antes de la eliminación, el cliente puede exportar sus datos desde la consola. El editor conserva los datos de facturación en virtud de sus obligaciones legales.
8. Auditoría
El encargado pone a disposición del cliente la información necesaria para demostrar el cumplimiento del presente acuerdo. El cliente puede encargar una auditoría, a su costa, a un auditor independiente sujeto a secreto, como máximo una vez al año, con un preaviso de 30 días, sin acceso a los datos de otras organizaciones.
9. Transferencias
Los datos se alojan en Francia. Una transferencia fuera de la Unión Europea por un subencargado solo se realiza con las garantías previstas por el RGPD (decisión de adecuación, incluido el Data Privacy Framework, o cláusulas contractuales tipo de la Comisión Europea).
10. Contacto
Para cualquier pregunta relativa a este acuerdo: [email protected].