Acuerdo sobre la protección de los datos de tus clientes

Tus datos siguen siendo tuyos. ORILA los guarda para ti y no los utiliza para nada más.

El presente acuerdo sobre la protección de los datos de tus clientes (el «Acuerdo») complementa las condiciones de uso y las condiciones de venta de ORILA (conjuntamente, el «Contrato»). Responde al artículo 28 del Reglamento (UE) 2016/679 de 27 de abril de 2016 («RGPD»). Versión 2 de 13 de octubre de 2026.

Se celebra entre:

• el Cliente: la persona jurídica o la persona física que actúa a título profesional y ha abierto un espacio (una «organización») en el servicio ORILA, actuando en calidad de responsable del tratamiento;
• C2SL, sociedad por acciones simplificada con un capital social de 100 €, 6 rue Soutrane, 06560 Valbonne, RCS Grasse 892 281 510, editora del servicio ORILA, actuando en calidad de encargado del tratamiento.

El Cliente acepta el Acuerdo al aceptar el Contrato. El Acuerdo forma parte del Contrato: en caso de contradicción en materia de protección de datos personales, prevalece el Acuerdo.

1. Objeto

El Acuerdo fija las condiciones en las que C2SL trata, por cuenta del Cliente y siguiendo únicamente sus instrucciones, los datos personales que el Cliente registra en el servicio ORILA o que el servicio recoge para él (los «Datos»).

No se aplica a los tratamientos de los que C2SL es ella misma responsable: la gestión de la cuenta y de la suscripción del Cliente, la facturación de C2SL, la seguridad del servicio y la prevención de abusos, la medición de audiencia del sitio orila.co. Estos se describen en la política de privacidad.

2. Descripción del tratamiento

• Objeto: puesta a disposición de un software de gestión empresarial en línea (relación con el cliente, ventas, facturación, secretaría, documentos, equipo).
• Duración: la del Contrato, prorrogada por el período de restitución previsto en el artículo 11.
• Naturaleza: alojamiento, registro, organización, consulta, puesta a disposición, transmisión por orden del Cliente, supresión.
• Finalidad: permitir al Cliente gestionar su actividad mediante el servicio.
• Tipos de datos y categorías de personas: véase el anexo 1, tratamiento por tratamiento.
• Datos sensibles: el servicio no está concebido para datos de salud ni para otras categorías especiales de datos (artículo 9 del RGPD). El Cliente se obliga a no registrar ninguno en él.

3. Instrucciones del Cliente

3.1 C2SL solo trata los Datos siguiendo instrucciones documentadas del Cliente. Constituyen estas instrucciones: el Contrato, el Acuerdo, y los ajustes y acciones que el Cliente efectúa en el servicio (crear una ficha, enviar un correo, compartir un documento, activar una opción, conectar un servicio de terceros, eliminar un dato).

3.2 C2SL nunca utiliza los Datos por cuenta propia, no los vende, no los alquila y no los utiliza para entrenar un modelo de inteligencia artificial.

3.3 Si una instrucción le parece contraria al RGPD o a otra norma de protección de datos, C2SL informa de ello inmediatamente al Cliente.

3.4 Si el derecho de la Unión o de un Estado miembro impone a C2SL un tratamiento no previsto (un requerimiento judicial, por ejemplo), le informa de ello al Cliente antes de realizarlo, salvo que ese derecho lo prohíba por un motivo importante de interés público.

4. Confidencialidad

Las personas de C2SL autorizadas para tratar los Datos están sujetas a confidencialidad por contrato o por una obligación legal, y solo acceden a ellos en la medida necesaria para la ejecución del Contrato, el soporte solicitado por el Cliente o la seguridad del servicio.

5. Seguridad

C2SL aplica las medidas técnicas y organizativas descritas en el anexo 3 para garantizar un nivel de seguridad adecuado al riesgo (artículo 32 del RGPD). Puede hacerlas evolucionar, siempre que nunca rebaje su nivel.

6. Nuestros proveedores

6.1 El Cliente autoriza de manera general a C2SL a recurrir a los proveedores enumerados en el anexo 2 (los «Proveedores», subencargados del tratamiento en el sentido del artículo 28 del RGPD).

6.2 C2SL informa al Cliente de toda adición o sustitución de un Proveedor al menos treinta días antes de que reciba Datos, mediante un mensaje en el servicio y por correo electrónico al administrador de la organización. El Cliente puede oponerse durante ese plazo, por escrito y por un motivo relacionado con la protección de datos. A falta de acuerdo en los treinta días siguientes a la oposición, el Cliente puede resolver sin gastos la parte del Contrato afectada, y C2SL le reembolsa de forma proporcional la parte de la suscripción pagada por adelantado.

6.3 C2SL impone a cada Proveedor, por contrato, obligaciones de protección de datos al menos equivalentes a las del Acuerdo. Sigue siendo plenamente responsable ante el Cliente de su cumplimiento.

6.4 Los servicios que el Cliente conecta él mismo, con sus propias credenciales (su banco, su plataforma contable, su mensajería WhatsApp profesional, su propio servidor de correo), no son Proveedores de C2SL: los elige el Cliente y se rigen por el contrato que ha celebrado directamente con ellos. C2SL solo les transmite Datos por orden del Cliente, dada mediante dicha conexión.

7. Transferencias fuera de la Unión Europea

Los Datos se alojan en Europa. Cuando un Proveedor establecido fuera de la Unión Europea puede acceder a ellos, la transferencia se ampara en una decisión de adecuación (incluido el marco de protección de datos UE–Estados Unidos, para un proveedor certificado) o en las cláusulas contractuales tipo adoptadas por la Comisión Europea (Decisión 2021/914). El anexo 2 indica, para cada uno, el lugar y el marco que la ampara.

8. Derechos de las personas

8.1 C2SL ayuda al Cliente, mediante medidas técnicas y organizativas apropiadas, a responder a las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición). El servicio permite al Cliente consultar, corregir, exportar y eliminar él mismo los Datos.

8.2 Si una persona se dirige directamente a C2SL respecto de Datos tratados para el Cliente, C2SL no le responde sobre el fondo: transmite la solicitud al Cliente en un plazo de cinco días hábiles e informa de ello a la persona.

9. Violación de datos

9.1 C2SL notifica al Cliente toda violación de datos personales que afecte a los Datos sin dilación indebida y, a más tardar, cuarenta y ocho horas después de haber tenido conocimiento de ella, por correo electrónico al administrador de la organización.

9.2 La notificación contiene, en la medida en que se conozcan: la naturaleza de la violación, las categorías y el número aproximado de personas y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas, y el contacto en C2SL. Los elementos que aún no se conozcan se transmiten en cuanto se conozcan.

9.3 Corresponde al Cliente, como responsable del tratamiento, notificar la violación a la autoridad de control y, en su caso, a los interesados (artículos 33 y 34 del RGPD). C2SL le ayuda en ello.

10. Ayuda al Cliente

C2SL ayuda al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone, a cumplir sus obligaciones relativas a la seguridad, a las violaciones de datos, a la evaluación de impacto y a la consulta previa a la autoridad (artículos 32 a 36 del RGPD). Esta ayuda es gratuita cuando se refiere al propio servicio; una ayuda a medida, más allá de eso, puede ser objeto de un presupuesto previo.

11. Destino de los Datos al término del Contrato

Al término del Contrato, y según elija el Cliente, C2SL le restituye los Datos o los suprime, en las condiciones del artículo «Datos, reversibilidad y copia de seguridad» de las condiciones de venta: exportación en cualquier momento y sin gastos, período de transición de treinta días previa solicitud, Datos recuperables durante treinta días tras el final del servicio y después supresión íntegra. Las copias de seguridad, conservadas únicamente para restablecer el servicio tras un incidente, se borran al término de su ciclo de rotación. Solo se conservan los Datos cuya conservación impone el derecho de la Unión o de un Estado miembro, y únicamente durante el plazo impuesto.

12. Auditoría e información

12.1 C2SL pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, y permite la realización de auditorías, incluidas inspecciones, por el Cliente o por un auditor al que este autorice.

12.2 Para no comprometer la seguridad de los demás clientes, la auditoría se solicita por escrito con un preaviso de treinta días, se refiere a lo que concierne al Cliente, la realiza un auditor sujeto a secreto y que no sea competidor de C2SL, durante el horario laboral. El Cliente asume su coste, salvo que la auditoría revele un incumplimiento del Acuerdo por parte de C2SL. Se responde primero por escrito y por documentos; una inspección in situ solo tiene lugar si esas respuestas no bastan, o a petición de una autoridad de control.

13. Registro

C2SL lleva un registro de las categorías de tratamientos que efectúa por cuenta de sus clientes (artículo 30, apartado 2, del RGPD).

14. Obligaciones del Cliente

El Cliente garantiza que dispone de una base jurídica para los tratamientos que confía a C2SL, que ha informado a los interesados en las condiciones de los artículos 13 y 14 del RGPD, en particular a los destinatarios de sus envíos y de sus contenidos compartidos, y que no da ninguna instrucción contraria al RGPD.

15. Responsabilidad

Cada parte responde de sus propios incumplimientos en las condiciones del artículo 82 del RGPD. La limitación de responsabilidad prevista por las condiciones de venta se aplica al Acuerdo, salvo culpa grave o dolo.

16. Duración y modificación

El Acuerdo se aplica mientras C2SL trate Datos para el Cliente. C2SL puede modificarlo para seguir la evolución del derecho o del servicio; toda modificación que reduzca la protección de los Datos se notifica con treinta días de antelación, con la misma facultad de resolución que en el artículo 6.2. La versión en vigor se publica en esta página.

17. Derecho aplicable

El Acuerdo se rige por el derecho francés. Los litigios corresponden a los tribunales designados por las condiciones de uso.

Anexo 1 — Los tratamientos realizados para el Cliente

• Cartera y relación con el cliente — identidad, datos de contacto profesionales, cargo, empresa, notas, intercambios, citas, tareas, oportunidades · clientes, clientes potenciales y contactos del Cliente · hasta su eliminación por el Cliente y después según el artículo 11.
• Ventas y facturación — identidad y datos de facturación, números de identificación de empresa y de IVA, presupuestos, facturas, pagos; cuando un cliente del Cliente acepta o rechaza un presupuesto desde su enlace, la prueba de su respuesta: fecha y hora, dirección de red y navegador, huella digital del presupuesto tal como se mostraba, motivo del rechazo si elige uno · clientes del Cliente · hasta su eliminación por el Cliente; las facturas emitidas se conservan según las obligaciones contables del Cliente, y la prueba de una respuesta mientras el Cliente conserve el presupuesto.
• Firma en línea (presupuesto u otro documento) — nombre y dirección de correo electrónico del firmante tal como los introduce el Cliente, nombre escrito y firma trazada por el firmante, fecha y hora de cada paso (envío del enlace, primera apertura, envío del código, firma o rechazo, con el motivo del rechazo si elige uno), dirección de red y navegador en la primera apertura, al pedir el código y al firmar o rechazar, huella digital del documento recalculada en el momento de firmar; el código recibido por correo electrónico solo se guarda en forma de huella, nunca en claro · firmantes designados por el Cliente · mientras el Cliente conserve el expediente de prueba y después según el artículo 11.
• Correo (buzón conectado, envíos, campañas) — direcciones, nombres, contenido de los mensajes y archivos adjuntos, consentimiento de un contacto para recibir mensajes · corresponsales y destinatarios del Cliente · hasta su eliminación por el Cliente (un mensaje enviado a la papelera se borra a los 30 días).
• Documentos — contenido de los archivos depositados por el Cliente · toda persona citada en esos documentos · hasta su eliminación por el Cliente (papelera vaciada tras siete días).
• Contadores de consulta de los contenidos compartidos — para cada contenido compartido: número y hora de las aperturas del enlace, de cada documento o página, de los inicios de reproducción de vídeo y de las descargas, en su orden; ninguna dirección de red, ningún navegador, ninguna cookie, ningún dato sobre la persona; el tipo de navegador se lee de pasada para descartar los robots, sin conservarse · destinatarios de los contenidos compartidos y de los enlaces cortos del Cliente · hasta que el Cliente deje de compartir, y como máximo doce meses después de la última apertura.
• Eventos — identidad, datos de contacto, respuesta, asistencia, preferencias alimentarias si el invitado las facilita · invitados del Cliente · hasta su eliminación por el Cliente.
• Equipo — identidad, rol, accesos, mensajes internos · miembros del equipo del Cliente · hasta su eliminación por el Cliente.
• Importación de un archivo existente — contenido del archivo depositado; si el Cliente lo solicita, encabezados de columnas y algunas filas transmitidos a Mistral AI · personas que figuran en el archivo · durante la importación y después según los tratamientos anteriores.
• Equipo de agentes (opción) — extractos del expediente de que se trate, contenido de los correos recibidos que lee un agente e instrucción del Cliente, transmitidos a Mistral AI · personas que figuran en esos expedientes y remitentes de esos correos · durante la solicitud, sin que sirvan para entrenar los modelos del proveedor.

Anexo 2 — Nuestros proveedores

• Cloudflare, Inc. — alojamiento de la aplicación, almacenamiento de archivos, entrega de las páginas · almacenamiento en Europa; sociedad establecida en Estados Unidos · marco de protección de datos UE–Estados Unidos (certificación activa comprobada el 14 de septiembre de 2026), cláusulas contractuales tipo como reserva.
• Neon, Inc. — base de datos · Europa; sociedad establecida en Estados Unidos · cláusulas contractuales tipo.
• Amazon Web Services — envío de correos electrónicos · región de París; sociedad establecida en Estados Unidos · cláusulas contractuales tipo.
• Brevo — envío de correos electrónicos, como solución de respaldo · Francia.
• Mistral AI — tratamiento de las solicitudes a los agentes, de los correos recibidos que leen y de la importación de archivos, si el Cliente lo activa · Europa.

Anexo 3 — Medidas de seguridad

• Comunicaciones cifradas (HTTPS/TLS) entre el navegador y el servicio.
• Aislamiento de cada organización: cada dato lleva el identificador de su organización, y el filtrado lo aplica automáticamente el servidor en cada solicitud.
• Derechos por rol y por servicio dentro de una organización.
• Registro de los intentos de abuso, alertas internas y medidas graduales, descritos en las condiciones de uso.
• Limitación de los intentos de inicio de sesión.
• Archivos servidos con protecciones contra su ejecución en el navegador; páginas compartidas mostradas en un dominio separado.
• Demostración pública en solo lectura, con datos ficticios.
• Copias de seguridad de la base de datos, conservadas únicamente para restablecer el servicio tras un incidente.

Contacto

Para cualquier consulta sobre este Acuerdo: [email protected].