Acuerdo de tratamiento de datos

En vigor desde el 14 de agosto de 2026. Entre la Organización («Responsable del Tratamiento» (Controller), nuestra clienta y titular del espacio de trabajo) y CommonLynk, operada por Common Ground Solutions (CGS), sociedad de responsabilidad limitada constituida conforme a la Ley egipcia n.º 159 de 1981 («Encargado del Tratamiento» (Processor)). El presente Acuerdo de Tratamiento de Datos (Data Processing Agreement, «DPA») forma parte de las Condiciones del Servicio y se rige por ellas. Está concebido para ajustarse a los principales marcos de protección de datos, incluido el artículo 28 del Reglamento General de Protección de Datos de la UE (RGPD), y a las leyes de protección de datos aplicables a las partes.

1. Funciones

La Organización es el Responsable del Tratamiento de los datos personales que introduce o carga sobre las personas, los hogares y los establecimientos que registra y atiende en la plataforma (cada uno de ellos, una «Persona Beneficiaria»), así como sobre su personal, sus contactos y sus operaciones (en conjunto, los «Datos de la Organización»). CommonLynk es el Encargado del Tratamiento y trata los Datos de la Organización únicamente para prestar la plataforma y exclusivamente conforme a las instrucciones documentadas del Responsable del Tratamiento (incluidas las que se deriven de la configuración y el uso de la plataforma). CommonLynk informará al Responsable del Tratamiento si, a su juicio, una instrucción infringe la legislación aplicable.

2. Objeto, duración, naturaleza y finalidad

• Objeto / naturaleza: alojamiento, almacenamiento, tratamiento y visualización de los Datos de la Organización para ofrecer las funcionalidades de la plataforma relativas a la gestión de personas beneficiarias, los programas, los formularios, los informes y otras funcionalidades conexas.
• Duración: durante la vigencia de la suscripción y los períodos de conservación establecidos en la Política de Conservación de Datos.
• Tipos de datos: los que determine el Responsable del Tratamiento; habitualmente, datos identificativos, datos de contacto, registros de programas y de asistencia, respuestas a formularios y cualesquiera datos de categorías especiales o datos relativos a niños y niñas que el Responsable del Tratamiento decida registrar. Incluye asimismo los datos de diagnóstico y de notificación de incidencias generados por el uso de la plataforma por parte del Responsable del Tratamiento (Sección 5A).
• Categorías de interesados: las Personas Beneficiarias, el personal y los contactos del Responsable del Tratamiento.

3. Obligaciones del Encargado del Tratamiento

CommonLynk:

1. Tratará los Datos de la Organización únicamente conforme a instrucciones documentadas, incluidas las relativas a transferencias, salvo que lo exija la ley (en cuyo caso informará al Responsable del Tratamiento de dicha exigencia, salvo que la ley lo prohíba).
2. Garantizará que las personas autorizadas para tratar los datos estén sujetas a obligaciones de confidencialidad.
3. Aplicará medidas de seguridad técnicas y organizativas apropiadas (Anexo A), incluidas las medidas de copia de seguridad, restauración y continuidad previstas en la Sección 4A.
4. Respetará las condiciones para recurrir a subencargados del tratamiento (Sección 5).
5. Asistirá al Responsable del Tratamiento, mediante medidas apropiadas —incluidas las funciones de exportación por registro y de todo el espacio de trabajo previstas en la Sección 4A—, en la atención de las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad, etc.).
6. Asistirá al Responsable del Tratamiento en materia de seguridad, notificación de violaciones de la seguridad, evaluaciones de impacto y consultas previas, teniendo en cuenta la información de que disponga CommonLynk.
7. A la terminación, suprimirá o devolverá los Datos de la Organización, a elección del Responsable del Tratamiento —las funciones de recuperación autónoma y de baja previstas en la Sección 4A hacen efectiva la «devolución»—, y suprimirá las copias existentes, salvo que la ley exija su conservación (véase la Política de Conservación).
8. Pondrá a disposición la información necesaria para demostrar el cumplimiento y permitirá y contribuirá a la realización de auditorías (Sección 7).

4. Medidas de seguridad (resumen del Anexo A)

Cifrado en tránsito (HTTPS/TLS); aislamiento de los datos por espacio de trabajo; control de acceso basado en roles; acceso autenticado a los archivos cargados, con verificación de titularidad; secretos almacenados de forma cifrada; copias de seguridad periódicas, cifradas y con gestión de la conservación para cada espacio de trabajo, con un proceso de restauración que se prueba periódicamente (Sección 4A); registro y supervisión; acceso administrativo con privilegios mínimos. Medidas vigentes completas: https://commonlynk.com/legal/security.

4A. Copia de seguridad, restauración, recuperación y continuidad

CommonLynk protege los Datos de la Organización frente a su pérdida y respalda las propias obligaciones de continuidad y de portabilidad de los datos del Responsable del Tratamiento mediante las siguientes medidas, además de las previstas en la Sección 4:

1. Cifrado de las copias de seguridad. Los paquetes de copia de seguridad generados para el Responsable del Tratamiento dentro de la plataforma se cifran en reposo con AES-256, con una clave dedicada al subsistema de copias de seguridad y distinta de la clave de cifrado de los datos en uso; las descargas del Responsable del Tratamiento están disponibles como archivos comprimidos cifrados con AES-256; todas las transferencias utilizan TLS. Las instantáneas de infraestructura a nivel de servidor de CommonLynk constituyen una capa independiente con un régimen distinto, descrito en la Política de Conservación de Datos.
2. Copias de seguridad programadas y a petición. El Responsable del Tratamiento puede configurar copias de seguridad automáticas (diarias / semanales / mensuales), ajustadas a su propia zona horaria y a su semana laboral, y también puede crear una copia de seguridad a petición, desde su espacio de trabajo.
3. Conservación gestionada. Las copias de seguridad se conservan según un esquema abuelo-padre-hijo (las copias diarias, semanales y mensuales más recientes) y posteriormente se depuran de forma automática; el número de copias conservadas se verifica automáticamente. Los plazos completos figuran en la Política de Conservación de Datos.
4. Recuperación autónoma (portabilidad). En cualquier momento mientras la suscripción esté activa, y durante los períodos de gracia y de inactividad posteriores a su vencimiento, el Responsable del Tratamiento puede descargar una copia completa de sus Datos de la Organización en formatos abiertos y legibles por máquina (hojas de cálculo y CSV), junto con los archivos originales cargados y una copia técnica de la base de datos, lo que respalda el ejercicio de la portabilidad prevista en el artículo 20 y el mantenimiento de sus propios registros por parte del Responsable del Tratamiento.
5. Exportación por interesado. La plataforma puede generar, a petición, el registro completo de una sola persona, para ayudar al Responsable del Tratamiento a atender las solicitudes de acceso y de portabilidad de los interesados (Sección 9).
6. Restauración a un momento determinado. El Responsable del Tratamiento puede restaurar su espacio de trabajo —o un solo módulo o registro— a partir de una copia de seguridad anterior. Toda restauración toma primero una instantánea de seguridad automática y puede revertirse dentro de un plazo definido. CommonLynk prueba de forma periódica y automática el proceso de restauración, en consonancia con la exigencia de verificar y evaluar periódicamente la eficacia de las medidas de seguridad (p. ej., el artículo 32, apartado 1, letra d), del RGPD).
7. La supresión se mantiene tras la restauración. Cuando el Responsable del Tratamiento suprime los registros de un interesado, dicha supresión queda registrada y se respeta en cualquier restauración posterior: una restauración no hace reaparecer registros suprimidos después de realizada la copia de seguridad.
8. Depósito de copias de seguridad opcional en poder del Responsable del Tratamiento. El Responsable del Tratamiento puede configurar el envío de sus copias de seguridad a un almacenamiento que sea de su propiedad y esté bajo su control, cifradas con una frase de contraseña que él mismo establece, de modo que conserve una copia independiente fuera de la infraestructura de CommonLynk. El almacenamiento así designado por el Responsable del Tratamiento es un medio propio del Responsable del Tratamiento, y no un subencargado del tratamiento de CommonLynk. Cuando el destino sea una cuenta en la nube que conecte el Responsable del Tratamiento (por ejemplo, Google Drive, Dropbox u OneDrive), CommonLynk utiliza únicamente un acceso limitado a la carpeta de la aplicación y puede acceder solo a los archivos de copia de seguridad que ella misma crea, nunca a ningún otro contenido de la cuenta del Responsable del Tratamiento.
9. Paquete de baja. Cuando vence una suscripción, CommonLynk genera un paquete de copia de seguridad final y completo al inicio del período de gracia y lo mantiene a disposición del Responsable del Tratamiento para su descarga durante los períodos de gracia y de inactividad (véase la Política de Conservación de Datos), antes de cualquier supresión programada. Con ello se hace efectiva la Sección 3(7).

5. Subencargados del tratamiento

El Responsable del Tratamiento otorga una autorización general para que CommonLynk recurra a subencargados del tratamiento (p. ej., envío de correo electrónico, procesamiento de pagos, alojamiento en la nube / copias de seguridad) enumerados en el Anexo B (Lista de subencargados del tratamiento) al final del presente DPA. CommonLynk (a) impondrá a cada subencargado del tratamiento obligaciones de protección de datos que ofrezcan al menos el mismo nivel de protección que el presente DPA, (b) seguirá siendo plenamente responsable de sus subencargados del tratamiento, y (c) notificará al Responsable del Tratamiento con una antelación mínima de 30 días cualquier incorporación o sustitución prevista, lo que permitirá al Responsable del Tratamiento oponerse por motivos razonables de protección de datos. Para evitar cualquier duda, el almacenamiento que el Responsable del Tratamiento designe para el depósito de copias de seguridad conforme a la Sección 4A(8) no es un subencargado del tratamiento de CommonLynk.

5A. Datos de diagnóstico y notificaciones de incidencias

CommonLynk gestiona dentro de la plataforma una función de notificación de incidencias y de soporte. Cuando la plataforma encuentra un error, o una persona usuaria del espacio de trabajo del Responsable del Tratamiento notifica un problema, CommonLynk registra datos de diagnóstico: los detalles técnicos del error, la dirección y la vista de la página, el navegador y el sistema operativo, el idioma de la interfaz, las marcas de tiempo, la persona usuaria y el espacio de trabajo implicados, y un historial de las acciones de la persona usuaria inmediatamente anteriores, limitado al tipo de acción y al nombre del control utilizado, nunca a los valores de los campos, al texto introducido ni al contenido de los registros. Además, la persona usuaria puede optar por adjuntar una captura de pantalla o un archivo.

Las notificaciones son clasificadas, diagnosticadas y respondidas por personal de CommonLynk. Se aplican los siguientes compromisos, además de los previstos en las Secciones 3 y 5:

1. Las capturas de pantalla y los archivos cargados permanecen en un almacenamiento con control de acceso. Solo los trata personal autorizado de CommonLynk, no son accesibles desde la web pública y nunca se transmiten fuera de la plataforma, tampoco como archivo adjunto de ningún correo electrónico interno o externo.
2. El acceso a las capturas de pantalla queda registrado. Cada ocasión en que el personal de CommonLynk abre una captura de pantalla adjunta a una notificación se registra en un registro de auditoría de solo anexión, que se pone a disposición del Responsable del Tratamiento a petición de este conforme a la Sección 7.
3. Revisión humana diaria. El personal de CommonLynk recibe un resumen interno diario de las nuevas notificaciones para su triaje. Dicho resumen se transmite a través del subencargado del tratamiento de correo electrónico de CommonLynk indicado en el Anexo B y no contiene capturas de pantalla ni archivos cargados: incluye enlaces que abren la notificación dentro de la plataforma, donde cada acceso queda registrado conforme a la cláusula 2.
4. Ausencia de decisiones basadas únicamente en el tratamiento automatizado. Ningún resultado de una notificación se determina por medios automatizados, y ningún proceso automatizado introduce cambios en los Datos de la Organización ni produce efectos jurídicos o efectos similares significativos para ningún interesado.
5. Conservación. Los datos de diagnóstico, las capturas de pantalla y las notificaciones se conservan y suprimen de conformidad con la Política de Conservación de Datos.

Para evitar cualquier duda, los datos de diagnóstico que contengan datos personales de los interesados del Responsable del Tratamiento son Datos de la Organización y se rigen íntegramente por el presente DPA.

Nota de revisión. Esta Sección se revisó y se acotó el 18 de agosto de 2026. Los compromisos anteriores son más restrictivos que los que sustituyen, y no se ha añadido ningún tratamiento no descrito previamente.

6. Violaciones de la seguridad de los datos personales

CommonLynk notificará al Responsable del Tratamiento, sin dilación indebida tras tener conocimiento de ella, toda violación de la seguridad de los datos personales que afecte a los Datos de la Organización, junto con la información que el Responsable del Tratamiento necesite razonablemente para cumplir sus propias obligaciones de notificación (que, conforme a algunas legislaciones, pueden ser de tan solo 72 horas ante una autoridad de control). CommonLynk no notificará a los interesados ni a las autoridades de control del Responsable del Tratamiento en nombre de este, salvo que reciba instrucciones en tal sentido.

7. Auditorías

CommonLynk pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento del presente DPA y permitirá auditorías o inspecciones por parte del Responsable del Tratamiento o del auditor que este designe, con un preaviso razonable, en horario laboral, con sujeción a la confidencialidad y sin perturbar de forma irrazonable las operaciones. CommonLynk podrá atender las solicitudes de auditoría mediante certificaciones o informes de terceros actualizados, cuando estén disponibles.

8. Transferencias internacionales

Cuando CommonLynk trate o transfiera Datos de la Organización a través de fronteras, aplicará las garantías exigidas por la legislación aplicable, que podrán incluir autorizaciones de la autoridad de control, las Cláusulas Contractuales Tipo de 2021 de la Comisión Europea (Módulo Dos para las transferencias de responsable a encargado y Módulo Tres para las transferencias de encargado a encargado) u otras garantías contractuales equivalentes, y/o el alojamiento en la región cuando así lo exija una jurisdicción. Las partes cooperarán para establecer el mecanismo apropiado para los interesados del Responsable del Tratamiento.

9. Solicitudes de los interesados

Si CommonLynk recibe una solicitud de un interesado relativa a los Datos de la Organización, no responderá directamente (salvo para confirmar que la solicitud debe dirigirse al Responsable del Tratamiento), la remitirá sin demora al Responsable del Tratamiento y le prestará asistencia en los términos indicados anteriormente. Las funciones de exportación por registro y de recuperación de todo el espacio de trabajo de la plataforma (Sección 4A(4)–(5)) están a disposición del Responsable del Tratamiento para ayudarle a atender las solicitudes de acceso y de portabilidad.

10. Responsabilidad, vigencia y prelación

La responsabilidad derivada del presente DPA está sujeta a las limitaciones establecidas en las Condiciones del Servicio. El presente DPA surte efecto cuando el Responsable del Tratamiento acepta las Condiciones y permanece vigente mientras CommonLynk trate Datos de la Organización. En caso de contradicción entre el presente DPA y las Condiciones en materia de protección de datos, prevalecerá el presente DPA.

Anexo B — Lista de subencargados del tratamiento

Qué es esta página

Un subencargado del tratamiento es una empresa tercera que trata datos personales por cuenta de CommonLynk para prestar el servicio. Esta página enumera a todos ellos e indica qué trata cada uno y dónde, de modo que una Organización que utilice CommonLynk pueda cumplir sus propias obligaciones de responsabilidad proactiva y de diligencia debida ante los donantes.

Aviso de cambios. Notificamos a las Organizaciones con una antelación mínima de 30 días antes de incorporar o sustituir a un subencargado del tratamiento. Una Organización puede oponerse por motivos razonables de protección de datos; el procedimiento figura en la Sección 5 del DPA. Para recibir los avisos de cambios, póngase en contacto con nuestra Delegada de Protección de Datos, Yasmine Ossama: dpo@commonlynk.com.

Última revisión: 18 de agosto de 2026.

Subencargados del tratamiento actuales

Brevo

• Finalidad: Correo electrónico transaccional saliente: mensajes relativos a la cuenta, la facturación, el soporte y las notificaciones
• Datos personales tratados: Nombre y dirección de correo electrónico de la persona destinataria, asunto y cuerpo del mensaje, metadatos de entrega
• Lugar del tratamiento: UE
• Estado: Activo

Paymob

• Finalidad: Procesamiento de pagos con tarjeta
• Datos personales tratados: Nombre de facturación, datos de contacto, identificadores de pago. CommonLynk nunca recibe ni almacena números de tarjeta: estos se introducen en la página alojada por el propio proveedor
• Lugar del tratamiento: Egipto
• Estado: Configurado; todavía no trata datos reales de titulares de tarjetas; se activa cuando se cobra el primer pago real

Contabo GmbH

• Finalidad: Alojamiento de la infraestructura de servidores (VPS en el que se ejecutan la plataforma y sus bases de datos, incluido el primer espacio de trabajo) y almacenamiento externo de copias de seguridad con control de acceso
• Datos personales tratados: Todos los datos de la plataforma: en reposo, en tratamiento y dentro de las copias de seguridad completas
• Lugar del tratamiento: Alemania (UE)
• Estado: Activo

Ampliación del alojamiento. A medida que CommonLynk crezca, es posible que otros espacios de trabajo se alojen con otros proveedores o en otros países. Cada uno de esos proveedores figurará en esta lista y se notificará con antelación a las Organizaciones antes de su incorporación, conforme a la Sección 5 del DPA.

Entidades que no son subencargados del tratamiento

Se enumeran para dejar constancia de que su ausencia es deliberada y no un descuido; las personas que realizan revisiones de diligencia debida preguntan por ellas:

GeoNames

• Por qué no es un subencargado del tratamiento: CommonLynk obtiene de este servicio datos públicos de referencia sobre divisiones administrativas. No se envía ningún dato personal.

Fuente pública de tipos de cambio

• Por qué no es un subencargado del tratamiento: Se obtienen los tipos de cambio; no se envía nada.

Consulta de país a partir de la dirección IP (base de datos local)

• Por qué no es un subencargado del tratamiento: El país de la persona visitante (para la moneda y el idioma) se lee de una base de datos local; no se envía ninguna dirección IP a terceros.

Mantenimiento del propio hardware de Contabo GmbH

• Por qué no es un subencargado del tratamiento: Está cubierto por el contrato de alojamiento indicado anteriormente y no constituye una contratación independiente.

Almacenamiento para el depósito de copias de seguridad conectado por el Responsable del Tratamiento (Google Drive / Dropbox / OneDrive / S3)

• Por qué no es un subencargado del tratamiento: Cuando una Organización conecta su propio almacenamiento para recibir copias de seguridad, esa cuenta es un medio propio de la Organización y no un subencargado del tratamiento de CommonLynk. CommonLynk utiliza un acceso limitado a la carpeta de la aplicación y solo puede acceder a los archivos de copia de seguridad que ella misma crea. Véase la Sección 4A(8) del DPA.

Qué exigimos a cada subencargado del tratamiento

Conforme a la Sección 5 del DPA, cada subencargado del tratamiento está vinculado por un contrato escrito que le impone obligaciones de protección de datos que ofrecen al menos el mismo nivel de protección que las que CommonLynk tiene con sus Organizaciones, y CommonLynk sigue siendo plenamente responsable de su cumplimiento.