Contractar TheFork

Els deu punts que una escola o un ajuntament ha de poder respondre abans d’adoptar aquesta eina, amb el precepte que fa rellevant cadascun i el que en sabem. Serveix per preparar l’expedient; no és un dictamen jurídic ni substitueix l’avaluació d’impacte.

Resum de la fitxa de contractació de TheFork
Servei	TheFork
Empresa	TheFork (La Fourchette)
Grup	Tripadvisor
Jurisdicció declarada	França (La Fourchette SAS, grup Tripadvisor)
Puntuació global	43
Confiança de l’anàlisi	89
Punts d’atenció	3 d’atenció, 4 a comprovar, 1 sense comprovar

Els punts, un per un

Categories especials de dades Atenció

La fitxa documenta recollida de Dades de salut.

Què cal fer: Cal avaluació d’impacte abans de desplegar-ho, i identificar la base jurídica de l’art. 9.2 que empara el tractament. El consentiment de l’alumnat no serveix, perquè en una relació d’autoritat no és lliure.

Fonament: Arts. 9 i 35.3.b del RGPD; Llista de l’AEPD de tractaments subjectes a avaluació d’impacte

Publicitat personalitzada i perfils Atenció

Publicitat personalitzada: sí. Elaboració de perfils: sí.

Què cal fer: El Reglament de serveis digitals prohibeix la publicitat basada en perfils a persones menors d’edat. Si l’eina s’adreça a alumnat, cal justificar per escrit com s’hi impedeix, o descartar-la.

Fonament: Considerant 38 i art. 22 del RGPD; art. 28.2 del Reglament (UE) 2022/2065 de serveis digitals

Entrenament de models amb el contingut Atenció

La fitxa documenta que el contingut s’utilitza per entrenar models.

Què cal fer: Cal pactar per contracte l’exclusió del contingut de l’entitat, o descartar l’eina, perquè el proveïdor no pot fer un tractament que l’entitat no ha decidit.

Fonament: Arts. 5.1.b i 6 del RGPD (limitació de la finalitat)

Transferències fora de l’Espai Econòmic Europeu A comprovar

La fitxa documenta transferències internacionals amb mecanisme declarat: sccs.

Què cal fer: L’expedient ha de recollir el mecanisme (decisió d’adequació, clàusules tipus o norma corporativa vinculant) i, si són clàusules tipus, l’avaluació de l’impacte de la transferència.

Fonament: Arts. 44 a 49 del RGPD

Cessió a tercers A comprovar

Cessió a tercers: sí. Venda a intermediaris de dades: no documentat.

Què cal fer: El contracte d’encarregat ha de llistar els subencarregats i el procediment per oposar-se a un de nou. Sense aquesta llista, l’entitat no pot saber on van les dades de les quals respon.

Fonament: Art. 28 del RGPD (encarregat del tractament) i art. 44 del RGPD

Patrons enganyosos documentats A comprovar

1 patró documentat a la fitxa.

Què cal fer: Si l’eina demana consentiments a les famílies amb aquests patrons, el consentiment obtingut és discutible i l’entitat no s’hi pot emparar.

Fonament: Art. 25 del Reglament (UE) 2022/2065 i art. 7.4 del RGPD

Incidents i sancions documentats A comprovar

2 incidents documentats associats a aquesta fitxa o a la seva empresa.

Què cal fer: L’art. 28.1 del RGPD exigeix triar un encarregat que ofereixi garanties suficients. Un historial de sancions no ho impedeix, però obliga a raonar-ho a l’expedient.

Fonament: Art. 71 de la Llei 9/2017 de contractes del sector públic (prohibicions de contractar) i art. 28.1 del RGPD (garanties suficients)

Mesures de seguretat No comprovat

Xifratge en trànsit: sí. Verificació en dos passos: no documentat. Auditories independents: no documentat.

Què cal fer: Per a una entitat del sector públic cal declarar la categoria del sistema segons l’Esquema Nacional de Seguretat i comprovar que el proveïdor acredita les mesures del nivell corresponent.

Fonament: Art. 32 del RGPD i Reial decret 311/2022, de l’Esquema Nacional de Seguretat

Sortida i portabilitat Sense alerta

Exportació de dades: parcialment. Dificultat declarada d’eliminar el compte: desconeguda.

Què cal fer: El contracte ha de fixar el format i el termini de retorn de les dades en acabar, i la supressió posterior amb certificat. Sense aquestes condicions, l’entitat queda lligada al proveïdor.

Fonament: Art. 20 del RGPD i art. 28.3.g (retorn o supressió en acabar el servei)

Disponibilitat en català Sense alerta

La botiga declara el català entre els idiomes d’interfície.

Què cal fer: Les administracions catalanes han d’emprar el català en les seves actuacions. Si l’eina no hi és disponible, cal justificar-ho o incloure la disponibilitat en català com a criteri o com a condició especial d’execució.

Fonament: Arts. 9 i 30 de la Llei 1/1998 de política lingüística i art. 50.1 de l’Estatut d’autonomia

D’on surt tot això

Aquesta fitxa es genera sencera de la fitxa del directori, aplicant les mateixes regles a totes les aplicacions. No hi ha cap text escrit a mà per a cap empresa concreta, de manera que no es pot ser més dur amb una que amb una altra. Les dades es poden descarregar a dades obertes i el criteri de cada xifra és a la metodologia.