Contrato de encargo de tratamiento.

Artículo 1

Objeto, naturaleza y duración.

Qué tratamos, para qué y hasta cuándo.

• Objeto. Prestación de un servicio de cumplimiento en materia de prevención del blanqueo de capitales y de la financiación del terrorismo: constitución y conservación de expedientes de diligencia, cribado contra las listas oficiales, preparación de comunicaciones de operaciones sospechosas.
• Naturaleza de las operaciones. Recogida, registro, estructuración, conservación, consulta, extracción, cifrado, supresión.
• Categorías de personas. Clientes y posibles clientes del despacho, sus titulares reales, sus contrapartes y los colaboradores del despacho que utilizan el servicio.
• Categorías de datos. Datos de identificación, documentos justificativos, elementos de apreciación del riesgo y —cuando existe una comunicación— su contenido, cuya confidencialidad protege el artículo L.561-18 del Código monetario y financiero francés.
• Duración. La de la suscripción, prolongada por los plazos legales de conservación que usted configure, en particular los cinco años del artículo L.561-12.

Artículo 2

Nuestras obligaciones.

• Instrucciones documentadas. Solo tratamos sus datos siguiendo sus instrucciones, materializadas en su uso del servicio y en el presente contrato. Si una instrucción nos parece contraria al Reglamento, se lo comunicamos.
• Confidencialidad. Las personas autorizadas a acceder a los datos están sujetas a un compromiso de confidencialidad. El acceso a las comunicaciones de operaciones sospechosas está además restringido, dentro del servicio, a las personas que usted designe a tal efecto.
• Asistencia. Le asistimos para responder a las solicitudes de ejercicio de derechos, para sus evaluaciones de impacto y en caso de violación de datos —que le notificamos sin dilación indebida.
• Registro. Llevamos el registro de las categorías de tratamientos efectuados por su cuenta, previsto en el artículo 30.2.

Artículo 3

Subencargados del tratamiento.

Usted autoriza el recurso a los encargados del tratamiento enumerados a continuación. Toda incorporación se le comunica antes de su puesta en servicio, lo que le deja la facultad de oponerse.

La lista actualizada, con los datos afectados y las garantías aplicables, figura en la página encargados del tratamiento.

Artículo 4

Seguridad.

Las medidas que siguen son las que están efectivamente implantadas, no una lista de intenciones.

• Cifrado de los datos en reposo (AES-256-GCM) y en tránsito (TLS).
• Compartimentación de los datos por despacho, aplicada en la propia base de datos y no solo por el código de la aplicación.
• Registro de los accesos y registro de integridad encadenado en cada expediente, verificable con independencia del servicio.
• Segundo factor de autenticación disponible para cada cuenta, y exigible para todo un despacho.
• Copias de seguridad cifradas y restauración probada.

Artículo 5

Destino de los datos al final del contrato.

Al término de la prestación, usted elige entre la restitución y la supresión. La restitución se realiza en un formato explotable, acompañada de los elementos de prueba que permiten verificar su integridad. La supresión alcanza a las copias, incluidas las de seguridad, en un plazo que le indicamos.

Una reserva, y es importante: los datos que usted debe conservar en virtud de una obligación legal —en particular los cinco años del artículo L.561-12— no se suprimen mientras esa obligación siga vigente. Manda su dispositivo de cumplimiento, no el fin de la suscripción.

Artículo 6

Auditoría.

Usted puede solicitar que demostremos el cumplimiento de estas obligaciones. Ponemos a disposición la documentación técnica del servicio y respondemos a los cuestionarios de verificación. Puede acordarse una auditoría in situ, a su costa, con un preaviso razonable y sin comprometer la confidencialidad de los datos de otros despachos.