Acuerdo de encargo del tratamiento (DPA)

Versión 1.0 · En vigor desde: 2026-10-23

Esta es una traducción. Para los clientes empresariales, prevalece la versión en inglés. Para los consumidores con residencia habitual en un país en el que el español es lengua oficial, la presente versión es igualmente auténtica que la versión en inglés; si ambas versiones difieren, se aplica el sentido más favorable para el consumidor. Para los demás consumidores, prevalece la versión en inglés, salvo que la normativa imperativa de protección de los consumidores de su país disponga otra cosa.

El presente Acuerdo de encargo del tratamiento (el «DPA») forma parte del contrato entre el Cliente y el Proveedor relativo al servicio de Consentl que utiliza el Cliente (el «Contrato»):

• para Consentl para Shopify (la aplicación de Shopify): las Condiciones del servicio y el Apéndice 1;
• para Consentl para sitios web (el panel de control en app.consentl.com, la API en api.consentl.com y las integraciones para plataformas): las Condiciones del servicio para sitios web y el Apéndice 2.

El DPA se celebra por vía electrónica cuando el Cliente lo acepta en la forma descrita en el Apéndice aplicable. El Proveedor conserva un registro de la aceptación (documento, versión, fecha y hora, la cuenta o la tienda y la persona que lo aceptó). El Cliente que desee una copia firmada por ambas partes puede solicitarla en [email protected].

Partes

• Cliente: la empresa o persona que utiliza un servicio de Consentl para su tienda en línea o su sitio web y acepta este DPA, identificada por su tienda de Shopify (Apéndice 1) o por su cuenta de Consentl (Apéndice 2).
• Proveedor: STL EMBEDED CREATIONS SRL, Str. Kovari 75, 400217 Cluj-Napoca, Cluj, Rumanía; n.º de inscripción en el Registro Mercantil J2020001305120, código de identificación fiscal (CUI) 42512332 (no registrada a efectos del IVA; código de IVA intracomunitario RO46686340). Contacto para este DPA: [email protected].

1. Definiciones y ámbito de aplicación

1.1 Por «Legislación de Protección de Datos» se entienden las leyes aplicables al tratamiento realizado en virtud de este DPA, en particular el Reglamento (UE) 2016/679 (el «RGPD»), la Directiva 2002/58/CE en su transposición nacional, el UK GDPR y la Data Protection Act 2018, la Ley Federal suiza de Protección de Datos (la «FADP»), la California Consumer Privacy Act en su versión modificada por la CPRA (la «CCPA») y las demás leyes estatales de privacidad de EE. UU., la PIPEDA canadiense y la Loi sur la protection des renseignements personnels dans le secteur privé de Quebec (la «Ley 25 de Quebec»), y la LGPD brasileña, cada una de ellas en su versión vigente y en la medida en que sea aplicable.

1.2 Los términos como «responsable del tratamiento», «encargado del tratamiento», «datos personales», «tratamiento», «interesado», «violación de la seguridad de los datos personales» y «autoridad de control» tienen el significado que les atribuye el RGPD. Respecto de otras leyes, incluyen los términos equivalentes (por ejemplo, «business», «service provider», «consumer» y «personal information» conforme a la CCPA; «operador» conforme a la LGPD).

1.3 Por «Datos Personales del Cliente» se entienden los datos personales que el Proveedor trata por cuenta del Cliente al prestar el servicio, tal como se describen en el Anexo I. No incluyen los datos respecto de los cuales el Proveedor es responsable del tratamiento (por ejemplo, los datos de la cuenta y del personal del Cliente, los datos de facturación, la correspondencia de soporte y los registros de seguridad). Estos datos se describen en las políticas de privacidad del Proveedor.

1.4 Por «Dirección para notificaciones» se entiende la dirección de correo electrónico a la que el Proveedor envía las notificaciones previstas en este DPA (cláusula 15.4), según se establece en el Apéndice 1, S1.6 (Shopify), o en el Apéndice 2, S2.5 (sitios web).

1.5 Orden de prelación: si este DPA entra en conflicto con el Contrato, prevalece este DPA. Si entra en conflicto con las cláusulas contractuales tipo u otras cláusulas sobre transferencias incorporadas en virtud de la sección 9, prevalecen dichas cláusulas. Un Apéndice prevalece sobre el cuerpo de este DPA respecto del servicio que regula.

2. Funciones

2.1 El Cliente es el responsable del tratamiento de los Datos Personales del Cliente, o un encargado del tratamiento que actúa por cuenta de otro responsable. El Proveedor es un encargado del tratamiento, o un subencargado del tratamiento.

2.2 El Cliente decide si utiliza cada función (banner de consentimiento y registro de consentimientos, formulario de solicitudes sobre datos personales, función de desistimiento, acciones opcionales sobre datos de clientes, escaneo de cookies) y cómo configurarla. La configuración que elige el Cliente constituye una instrucción (sección 3).

2.3 Cliente que actúa como encargado del tratamiento. Cuando el Cliente trata los datos por cuenta de otro responsable del tratamiento (por ejemplo, una agencia que gestiona sitios web o tiendas para sus clientes), el Proveedor es su subencargado del tratamiento. El Cliente garantiza que su responsable del tratamiento ha autorizado el recurso al Proveedor y a los subencargados del tratamiento del Anexo III, transmite las instrucciones del responsable y reenvía a su responsable las notificaciones que recibe del Proveedor. El Proveedor puede basarse en las instrucciones dadas por el Cliente como si procedieran del responsable del tratamiento.

2.4 La plataforma en la que el Cliente gestiona su tienda o su sitio web (por ejemplo, Shopify, WordPress, Shopware, PrestaShop, Magento o un creador de sitios web) no es un subencargado del tratamiento del Proveedor. La plataforma trata los datos conforme a sus propios contratos con el Cliente.

3. Instrucciones (art. 28.3.a) del RGPD)

3.1 El Proveedor trata los Datos Personales del Cliente únicamente siguiendo instrucciones documentadas del Cliente, inclusive con respecto a las transferencias a terceros países, salvo que esté obligado a ello en virtud del Derecho de la Unión o de los Estados miembros que se aplique al Proveedor. En tal caso, el Proveedor informa al Cliente de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público.

3.2 Las instrucciones documentadas del Cliente son: este DPA y el Contrato; las configuraciones y acciones que el Cliente realiza en el servicio (por ejemplo, el plan y la conservación que se deriva de él, las exportaciones, las supresiones y las acciones de privacidad con un solo clic); y otras instrucciones escritas acordadas por las partes.

3.3 El Proveedor informa inmediatamente al Cliente si, en su opinión, una instrucción infringe la Legislación de Protección de Datos. El Proveedor no está obligado a realizar una comprobación jurídica de las instrucciones.

3.4 El Cliente es responsable de la licitud de sus instrucciones, de disponer de una base jurídica para el tratamiento, de informar a los interesados (en particular, en su propia política de privacidad y de cookies) y de configurar el servicio para su tienda o su sitio web, sus rastreadores y las leyes que le sean aplicables.

3.5 Solicitudes de autoridades públicas. Si una autoridad pública solicita Datos Personales del Cliente, el Proveedor la remite al Cliente, informa al Cliente sin demora salvo que la ley lo prohíba, impugna la solicitud que considere ilícita cuando tenga motivos razonables para ello y solo comunica aquello que esté legalmente obligado a comunicar.

4. Confidencialidad (art. 28.3.b) del RGPD)

4.1 El Proveedor garantiza que las personas autorizadas para tratar los Datos Personales del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza estatutaria. El acceso se limita a las personas designadas que lo necesitan para gestionar, mantener o proteger el servicio (Anexo II).

4.2 El personal del Proveedor puede utilizar herramientas de software, incluidos asistentes de programación con IA, para desarrollar y mantener el servicio. Estas herramientas trabajan sobre código fuente y datos de prueba. No se les da acceso a los Datos Personales del Cliente, a las bases de datos de producción ni a los registros de producción (Anexo II). Si el Proveedor decidiera alguna vez otra cosa, el proveedor de dicha herramienta pasaría a ser un subencargado del tratamiento y se aplicaría la sección 6 antes de su utilización.

5. Seguridad (art. 28.3.c) y art. 32 del RGPD)

5.1 El Proveedor aplica las medidas técnicas y organizativas descritas en el Anexo II. Pueden actualizarse a medida que evolucione la tecnología, siempre que no se reduzca el nivel general de protección.

5.2 El Cliente es responsable de la seguridad de sus propias cuentas (cuenta de Shopify, cuenta de Consentl y miembros del equipo, administración de la plataforma), del acceso de su personal, del código de su sitio y de las configuraciones que elija.

6. Subencargados del tratamiento (art. 28, apartados 2 y 4, y art. 28.3.d) del RGPD)

6.1 Autorización general. El Cliente otorga una autorización general por escrito para que el Proveedor recurra a subencargados del tratamiento. Los subencargados del tratamiento en la fecha de este DPA figuran en el Anexo III y en la lista de subencargados del tratamiento, que indica para cada uno de ellos el servicio para el que se utiliza.

6.2 Aviso de cambios. El Proveedor informa al Cliente de cualquier incorporación o sustitución prevista de un subencargado del tratamiento, o de una nueva finalidad o ubicación de uno existente, al menos 30 días antes del cambio, por correo electrónico a la Dirección para notificaciones y mediante una entrada en el registro de cambios de la lista de subencargados del tratamiento.

6.3 Oposición. El Cliente puede oponerse dentro de ese plazo por motivos razonables relacionados con la protección de datos, por correo electrónico a [email protected], indicando los motivos. El Proveedor responde en un plazo de 14 días y ofrece una alternativa razonable (por ejemplo, no utilizar el subencargado del tratamiento para el Cliente) o explica por qué no puede hacerlo. Si la oposición no se resuelve en un plazo de 30 días desde la oposición, el Cliente puede terminar el Contrato respecto del servicio afectado con efectos anteriores a la aplicación del cambio. El Cliente debe exportar antes sus datos (sección 11).

6.4 Reembolso. En caso de terminación conforme a la cláusula 6.3, el Proveedor reembolsa las cuotas pagadas por la parte no utilizada del período de facturación en curso, según lo establecido en el Apéndice aplicable.

6.5 Sustitución urgente. Si un subencargado del tratamiento debe sustituirse con urgencia (incidente de seguridad, insolvencia, terminación o incumplimiento por parte del subencargado), el Proveedor puede realizar el cambio con un preaviso más breve. Informa al Cliente lo antes posible. El Cliente puede seguir oponiéndose conforme a la cláusula 6.3; si termina el Contrato, el reembolso previsto en la cláusula 6.4 se calcula a partir de la fecha del cambio.

6.6 Traslado de obligaciones y responsabilidad. El Proveedor impone a cada subencargado del tratamiento, mediante contrato, obligaciones de protección de datos sustancialmente idénticas a las de este DPA, en particular la prestación de garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas. El Proveedor sigue siendo plenamente responsable ante el Cliente del cumplimiento de las obligaciones de sus subencargados del tratamiento, con sujeción a la sección 14.

7. Asistencia

7.1 Solicitudes de los interesados (art. 28.3.e) del RGPD). Teniendo en cuenta la naturaleza del tratamiento, el Proveedor asiste al Cliente, a través de medidas técnicas y organizativas apropiadas, para que pueda responder a las solicitudes que tengan por objeto el ejercicio de los derechos de los interesados establecidos en el capítulo III del RGPD y de los derechos equivalentes previstos en otras leyes. El servicio ofrece:

• el formulario de solicitudes sobre datos personales con verificación por correo electrónico y un registro de solicitudes con plazos;
• la exportación en CSV del registro de consentimientos; (Apéndice 1) exportaciones en CSV de las solicitudes sobre datos personales y de los desistimientos; (Apéndice 2) una exportación en JSON de todos los datos de la cuenta del Cliente, incluidas las solicitudes sobre datos personales y los desistimientos de cada sitio;
• el registro de desistimientos;
• (Apéndice 1, opcional) la exportación y la supresión de los datos de Shopify del cliente final.

Los registros de consentimiento están seudonimizados: un registro puede localizarse mediante el identificador de consentimiento que el interesado puede leer en la cookie consentl de su navegador, utilizando los filtros del registro de consentimientos y la exportación en CSV. Siguiendo instrucciones escritas del Cliente, el Proveedor suprime registros de consentimiento concretos u otros registros concretos en un plazo de 30 días, hasta que el servicio ofrezca esta posibilidad como función. Si el Proveedor recibe una solicitud directamente de un interesado, la reenvía al Cliente sin dilación indebida y no la responde por sí mismo salvo que el Cliente se lo indique.

7.2 Otras obligaciones (art. 28.3.f) del RGPD). Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, el Proveedor ayuda al Cliente a garantizar el cumplimiento de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones y comunicación a los interesados, evaluaciones de impacto relativas a la protección de datos, consulta previa) y de las obligaciones equivalentes previstas en otra Legislación de Protección de Datos (por ejemplo, las evaluaciones de impacto relativas a la privacidad previstas en la Ley 25 de Quebec antes de comunicar datos fuera de Quebec), en particular facilitando la información de los Anexos I a III.

7.3 La asistencia que exceda de las funciones del servicio y de un soporte razonable por correo electrónico podrá facturarse a un coste razonable si es sustancial y no se debe a un incumplimiento del Proveedor.

8. Violaciones de la seguridad de los datos personales (art. 33.2 del RGPD)

8.1 El Proveedor notifica al Cliente sin dilación indebida, y si es posible en un plazo de 48 horas, tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente, incluida una violación en un subencargado del tratamiento que este haya notificado al Proveedor. El Proveedor reenvía la información que recibe de un subencargado del tratamiento dentro del mismo plazo. La notificación se envía por correo electrónico a la Dirección para notificaciones.

8.2 La notificación incluye, en la medida en que se disponga de ello (y de forma gradual cuando sea necesario): la naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y de registros afectados; el punto de contacto para obtener más información; las posibles consecuencias; y las medidas adoptadas o propuestas, incluidas las medidas para mitigar los posibles efectos negativos (art. 33.3 del RGPD).

8.3 El Proveedor adopta medidas razonables para contener y remediar la violación, mantiene un registro de las violaciones y coopera en la notificación del Cliente a las autoridades de control y, cuando sea necesario, en su comunicación a los interesados (art. 34 del RGPD).

8.4 En el caso de la información personal sujeta al Derecho de Quebec, el Proveedor notifica también al Cliente sin demora cualquier intento de vulneración de la confidencialidad de esa información del que tenga conocimiento.

8.5 La notificación no constituye un reconocimiento de culpa. Las notificaciones que el Proveedor deba realizar a una plataforma conforme a las condiciones de esta (Apéndice 1) no retrasan la notificación al Cliente.

9. Transferencias internacionales

9.1 El Proveedor almacena los Datos Personales del Cliente en la Unión Europea (DigitalOcean, Fráncfort, Alemania). Algunos subencargados del tratamiento están establecidos fuera del EEE o pueden acceder a los datos desde fuera de él (Anexo III).

9.2 Transferencias a subencargados del tratamiento. Las transferencias a subencargados del tratamiento situados fuera del EEE, de Suiza y del Reino Unido que no estén amparadas por una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. [EU-US Data Privacy Framework] para los destinatarios certificados) se realizan en virtud de las cláusulas contractuales tipo de la UE (Decisión de Ejecución (UE) 2021/914 de la Comisión), módulo tres (transferencia de encargado a encargado), celebradas por el Proveedor con sus subencargados directos y por cada subencargado con sus propios subencargados.

9.3 Clientes en terceros países (módulo cuatro). En la medida en que la comunicación por el Proveedor de Datos Personales del Cliente a un Cliente establecido en un tercer país sin decisión de adecuación (por ejemplo, mediante una exportación, una notificación por correo electrónico o la visualización de datos en el panel de control) constituya una transferencia conforme al capítulo V del RGPD, las partes incorporan por remisión el módulo cuatro (transferencia de encargado a responsable) de las cláusulas contractuales tipo, con las siguientes opciones: cláusula 7 (cláusula de incorporación) incluida; la redacción opcional de la cláusula 11 no se utiliza; cláusula 17: el Derecho de Rumanía; cláusula 18: los tribunales de Cluj-Napoca (Rumanía). Los Anexos I a III de este DPA completan los anexos de las cláusulas contractuales tipo. Cuando el Cliente sea un encargado del tratamiento (cláusula 2.3), se aplica en su lugar el módulo tres, con las mismas opciones. Si la Comisión Europea adopta cláusulas contractuales tipo para los importadores cuyo tratamiento esté sujeto al RGPD en virtud de su art. 3.2, dichas cláusulas se aplicarán en su lugar a esos Clientes.

9.4 Reino Unido. En la medida en que una transferencia por el Proveedor de datos personales sujetos al UK GDPR sea una transferencia restringida no amparada por la normativa de adecuación del Reino Unido, se aplica a las cláusulas incorporadas conforme a la cláusula 9.3 la International Data Transfer Addendum to the EU Standard Contractual Clauses emitida por el Information Commissioner del Reino Unido (versión B1.0) (la «Adenda del Reino Unido» [UK Addendum]), con la Tabla 1 completada con los datos de las partes indicados más arriba, la Tabla 2 con el módulo y las opciones seleccionados en la cláusula 9.3, la Tabla 3 con los Anexos I a III, y la Tabla 4 permitiendo a cualquiera de las partes poner fin a la Adenda en los términos que esta prevé.

9.5 Suiza. Para las transferencias sujetas a la FADP, las cláusulas contractuales tipo se aplican con las siguientes adaptaciones: las referencias al RGPD se entienden hechas a la FADP; el Comisionado Federal de Protección de Datos e Información suizo es una autoridad de control competente; y el término «Estado miembro» incluye a Suiza, de modo que los interesados puedan demandar en su lugar de residencia habitual.

9.6 Brasil. Cuando la LGPD se aplique a una transferencia de datos personales del Cliente al Proveedor y no la ampare ninguna decisión de adecuación de la autoridad brasileña (ANPD), se incorporan las cláusulas contractuales tipo aprobadas por la Resolución CD/ANPD n.º 19/2024, con el Cliente como exportador (controlador) y el Proveedor como importador (operador).

9.7 El Cliente puede solicitar en [email protected] una copia de las garantías en que se basan las transferencias.

10. Leyes estatales de privacidad de EE. UU. (cláusulas de proveedor de servicios de la CCPA/CPRA)

10.1 Respecto de la información personal sujeta a la CCPA, el Cliente es una «business» (empresa) y el Proveedor es un «service provider» (proveedor de servicios) (Cal. Civ. Code §1798.140(ag)). El Cliente comunica información personal al Proveedor únicamente para los siguientes fines empresariales (business purposes) limitados y especificados: registrar y acreditar el consentimiento y las opciones de exclusión de los consumidores (incluidas las señales de preferencia de exclusión, como Global Privacy Control); recibir, verificar, hacer el seguimiento y documentar las solicitudes de los consumidores sobre privacidad y las solicitudes de desistimiento; enviar los correos electrónicos transaccionales relacionados; escanear la tienda o el sitio web del Cliente en busca de cookies y rastreadores; y la seguridad, la integridad y la depuración del servicio (§1798.140(e)(2), (e)(3) y (e)(5)).

10.2 El Proveedor no podrá (§1798.100(d); 11 CCR §7051(a)):

• vender ni compartir (sell / share) la información personal;
• conservarla, utilizarla ni comunicarla para ningún fin (incluido cualquier fin comercial) distinto de los fines empresariales especificados en la cláusula 10.1, o de lo permitido de otro modo por la CCPA y su reglamento;
• conservarla, utilizarla ni comunicarla fuera de la relación comercial directa con el Cliente;
• combinarla con información personal recibida de otra persona o por cuenta de ella, o recopilada en la propia interacción del Proveedor con el consumidor, salvo en la medida permitida por el reglamento de la CCPA (11 CCR §7050).

10.3 El Proveedor cumple las obligaciones que le impone la CCPA y su reglamento, ofrece el mismo nivel de protección de la privacidad que la CCPA exige a las empresas («businesses») y aplica procedimientos y prácticas de seguridad razonables (Cal. Civ. Code §1798.81.5). Notifica al Cliente sin dilación indebida, y en cualquier caso en un plazo de cinco días hábiles, si determina que ya no puede cumplir estas obligaciones.

10.4 El Cliente puede adoptar medidas razonables y adecuadas para garantizar que el Proveedor utilice la información personal de forma coherente con las obligaciones del Cliente conforme a la CCPA, incluidos los derechos de información y de auditoría de la sección 12 (una auditoría en cada período de 12 meses y auditorías adicionales en los casos previstos en la cláusula 12.2), y, previa notificación, para detener y remediar el uso no autorizado de la información personal, incluso pidiendo al Proveedor que confirme su supresión.

10.5 El Cliente informa al Proveedor de cualquier solicitud de un consumidor conforme a la CCPA que el Proveedor deba atender y le facilita la información que necesite para atenderla. El Proveedor asiste al Cliente en la respuesta a las solicitudes verificables de los consumidores (cláusula 7.1).

10.6 El Proveedor pone a disposición del Cliente la información que razonablemente necesite para sus evaluaciones de riesgos y sus auditorías de ciberseguridad conforme al reglamento de la CCPA, y coopera en ellas.

10.7 El Proveedor contrata a cualquier subcontratista que trate la información personal en virtud de un contrato escrito que contenga las mismas restricciones (sección 6), y certifica que comprende las restricciones de esta sección 10 y que las cumplirá.

10.8 Respecto de las demás leyes estatales de privacidad de EE. UU. (por ejemplo, las de Virginia, Colorado, Connecticut, Utah, Texas, Oregón y los demás estados contemplados en las configuraciones predefinidas por región del servicio), el Proveedor es un «processor» (encargado del tratamiento). Las secciones 3 a 8, 11 y 12 recogen las cláusulas de encargado del tratamiento que exigen dichas leyes: instrucciones, confidencialidad, supresión o devolución, información, cooperación en las evaluaciones, auditorías (o, cuando la ley lo permita, un informe de auditoría independiente) y traslado de obligaciones a los subcontratistas con la posibilidad de oponerse (sección 6).

10.9 El Proveedor no vende ni comparte información personal y no utiliza información personal sensible para ningún fin.

11. Supresión o devolución (art. 28.3.g) del RGPD)

11.1 Devolución. Las funciones de exportación del servicio (exportaciones en CSV enumeradas en los Apéndices) son el medio por el que el Cliente obtiene sus datos. El Cliente opta por la devolución exportando los datos antes de su supresión.

11.2 Conservación durante el Contrato. Los Datos Personales del Cliente se conservan y suprimen según lo indicado en el Anexo I. La prueba del consentimiento se conserva al menos mientras se utilice el consentimiento que documenta (duración del consentimiento + 30 días); un cambio de plan que acorte la conservación mantiene el plazo anterior durante 30 días. Las solicitudes sobre datos personales y los desistimientos cerrados se conservan por defecto durante 2 años para que el Cliente pueda cumplir sus obligaciones de conservación de registros (por ejemplo, 11 CCR §7101) y se suprimen automáticamente 3 años después de su cierre. El Cliente puede ordenar una supresión anterior: en el servicio, cuando exista una función de supresión, o, en otro caso, mediante instrucción escrita, que el Proveedor ejecuta en un plazo de 30 días.

11.3 Tras la finalización del Contrato, el Proveedor suprime todos los Datos Personales del Cliente según lo indicado en el Apéndice aplicable. Las copias contenidas en las copias de seguridad cifradas de la base de datos se sobrescriben dentro del plazo de conservación de las copias de seguridad de la base de datos gestionada (copias de seguridad diarias y recuperación a un momento dado, conservadas durante 7 días) y no se restauran salvo para la recuperación ante desastres; si se restaura una copia de seguridad, se vuelven a aplicar las supresiones realizadas desde dicha copia. El Proveedor no almacena ni exporta registros de peticiones: los registros de la aplicación solo existen como salida de ejecución de la aplicación en funcionamiento en DigitalOcean, que se borra cuando se despliega una nueva versión (no contienen direcciones IP de visitantes ni cuerpos de peticiones, Anexo II). Los datos de las peticiones en la red perimetral (edge) del proveedor de alojamiento y los registros de correo electrónico transaccional de Brevo se suprimen dentro de los plazos de conservación de esos subencargados del tratamiento y no se utilizan para ningún otro fin. Pendiente de confirmar: DigitalOcean está confirmando el plazo de conservación de su red perimetral.

11.4 La supresión no se aplica cuando el Derecho de la Unión o de los Estados miembros obligue al Proveedor a conservar los datos; en tal caso, el Proveedor los protege y los trata únicamente para ese fin.

11.5 Cambio de proveedor (Reglamento (UE) 2023/2854, Reglamento de Datos). Cuando sea aplicable el Reglamento de Datos, el Cliente puede cambiar a otro proveedor o a sus propios sistemas según lo establecido en el Contrato: los datos exportables son el registro de consentimientos, las solicitudes sobre datos personales, los desistimientos, la declaración de cookies y la configuración del banner; el Cliente dispone de un período de recuperación de al menos 30 días; el Proveedor no cobra ningún gasto por el cambio y suprime los datos una vez transcurrido el período de recuperación.

11.6 Previa solicitud, el Proveedor confirma la supresión por escrito.

12. Información y auditorías (art. 28.3.h) del RGPD)

12.1 El Proveedor pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del art. 28 del RGPD, en particular este DPA y sus Anexos y, previa solicitud, las certificaciones o los informes de seguridad de sus principales subencargados del tratamiento (por ejemplo, el informe SOC 2 Type II y el certificado ISO/IEC 27001 de DigitalOcean), cuando sus condiciones permitan compartirlos.

12.2 El Proveedor permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del Cliente o de un auditor autorizado por él, en las siguientes condiciones:

• preaviso por escrito de al menos 30 días;
• no más de una auditoría en cada período de 12 meses, salvo que lo exija una autoridad de control, tras una violación de la seguridad de los datos personales o cuando el Cliente tenga indicios razonables de incumplimiento de este DPA;
• en primer lugar, una auditoría mediante cuestionario escrito y documentos; una inspección presencial o remota solo si las respuestas no son suficientes;
• en horario laboral, sin acceso a datos de otros clientes ni a secretos comerciales del Proveedor más allá de lo necesario;
• el auditor está sujeto a confidencialidad y no es competidor del Proveedor;
• cada parte asume sus propios costes, salvo que la auditoría revele un incumplimiento sustancial por parte del Proveedor.

13. Obligaciones del Cliente

El Cliente:

• utiliza el servicio de conformidad con la Legislación de Protección de Datos y solo da instrucciones lícitas;
• informa a los interesados sobre el tratamiento, incluido el uso de Consentl, en su propia política de privacidad y de cookies, utilizando la información del Anexo I;
• configura correctamente el servicio (regiones, categorías, bloqueo de rastreadores, textos) y comprueba el resultado; el Proveedor no garantiza que ninguna configuración haga que la tienda o el sitio web cumplan la normativa (véase el Contrato);
• no pide a los interesados que envíen categorías especiales de datos (art. 9 del RGPD) a través de los formularios;
• responde a las solicitudes sobre datos personales y de desistimiento dentro de los plazos legales;
• solo facilita al Proveedor credenciales de acceso (Apéndice 2: credenciales de autenticación básica HTTP para los escaneos) para sitios cuyo escaneo esté facultado para encargar;
• mantiene actualizada su Dirección para notificaciones.

14. Responsabilidad

14.1 La responsabilidad total de cada parte derivada de este DPA o relacionada con él se limita al mayor de los siguientes importes: (a) tres veces las cuotas pagadas por el Cliente por el servicio afectado en los 12 meses anteriores al primer hecho que dé lugar a la responsabilidad, y (b) 5.000 EUR.

14.2 El límite de la cláusula 14.1 no se aplica a: la responsabilidad por dolo o culpa grave; la responsabilidad frente a los interesados conforme al art. 82 del RGPD y a la cláusula 12 de las cláusulas contractuales tipo (que no puede limitarse); ni la responsabilidad que la ley no permita limitar. Cuando el Cliente sea un consumidor, la cláusula 14.1 solo se aplica en la medida en que lo permita la normativa imperativa de protección de los consumidores que le sea aplicable.

14.3 Para las reclamaciones derivadas de este DPA, el límite de la cláusula 14.1 sustituye a la limitación de responsabilidad del Contrato. Cuando ambas partes sean responsables frente a un interesado por el mismo daño, cada parte puede reclamar a la otra la parte de la indemnización correspondiente a la parte de responsabilidad de esta (art. 82.5 del RGPD), dentro del límite de la cláusula 14.1.

14.4 Las multas impuestas a una parte por una autoridad de control corren a cargo de esa parte, salvo en la medida en que se deriven del incumplimiento de este DPA por la otra parte, en cuyo caso podrán reclamarse dentro del límite de la cláusula 14.1.

15. Duración, modificaciones, notificaciones y legislación aplicable

15.1 Este DPA se aplica mientras el Proveedor trate Datos Personales del Cliente y se extingue automáticamente después. Las secciones 8, 11, 14 y 15 siguen vigentes tras su extinción.

15.2 Modificaciones. El Proveedor puede actualizar este DPA para reflejar cambios en la legislación, en el servicio o en los subencargados del tratamiento. Notifica con al menos 30 días de antelación, por correo electrónico a la Dirección para notificaciones, las modificaciones que reduzcan la protección del Cliente; en tal caso, el Cliente puede oponerse y terminar el Contrato conforme a las cláusulas 6.3 y 6.4. Las modificaciones exigidas por la ley, o que solo mejoren la protección del Cliente, pueden aplicarse antes. Cuando una modificación afecte a una cláusula que el Cliente aceptó expresamente (cláusula 15.6), el Proveedor solicita una nueva aceptación expresa; hasta que se otorgue, se aplica la versión anterior de dicha cláusula. Las versiones anteriores de este DPA siguen disponibles previa solicitud.

15.3 Prueba. Los registros electrónicos de aceptaciones, notificaciones e instrucciones que conserva el Proveedor constituyen prueba de su contenido y de su fecha entre las partes (Ley rumana 214/2024 sobre el uso de la firma electrónica).

15.4 Notificaciones. El Proveedor envía las notificaciones previstas en este DPA (cambios de subencargados del tratamiento, violaciones de seguridad, modificaciones del DPA) por correo electrónico a la Dirección para notificaciones definida en el Apéndice aplicable. El Cliente la mantiene actualizada. El Cliente envía sus notificaciones a [email protected].

15.5 Legislación aplicable y tribunales. Este DPA se rige por el Derecho rumano. Los tribunales competentes de Cluj-Napoca (Rumanía) tienen competencia exclusiva, salvo que las cláusulas contractuales tipo o la normativa imperativa (incluidas las normas de protección de los consumidores) dispongan otra cosa.

15.6 Aceptación expresa (art. 1203 del Código Civil rumano). El Cliente acepta expresamente las siguientes cláusulas de este DPA: 6.3 a 6.5 (mecanismo de oposición, terminación y reembolso), 14 (limitación de responsabilidad), 15.2 (modificaciones) y 15.5 (legislación aplicable y competencia exclusiva). Los clientes empresariales las aceptan mediante una casilla independiente al aceptar el Contrato.

Apéndice 1 — Consentl para Shopify

S1.1 Servicio y Contrato. El servicio es la aplicación Consentl para Shopify (la «Aplicación»). El Cliente es el comerciante que la instala en su tienda de Shopify. El Contrato son las Condiciones del servicio.

S1.2 Celebración. El DPA se acepta en el paso de aceptación de la Aplicación (incorporación inicial y, de nuevo, en caso de una nueva versión que lo requiera), junto con las Condiciones.

S1.3 Shopify. Shopify no es un subencargado del tratamiento del Proveedor. Siguiendo las instrucciones del Cliente, el Proveedor comunica datos a Shopify como plataforma propia del Cliente: la dirección de correo electrónico de un comprador que se excluye de la venta o del intercambio, o que envía una señal Global Privacy Control con la sesión iniciada, para que Shopify registre la exclusión en el cliente (dataSaleOptOut); las solicitudes de supresión reenviadas mediante las acciones opcionales con un solo clic; y la configuración publicada del banner, almacenada como metacampos de la tienda.

S1.4 Webhooks de cumplimiento de Shopify. La Aplicación trata las notificaciones obligatorias de Shopify customers/data_request, customers/redact y shop/redact tal como se describe en el Anexo I-A.

S1.5 Ámbitos opcionales. Los ámbitos (scopes) read_customers, write_customers y read_orders solo se solicitan cuando el Cliente activa las acciones de privacidad con un solo clic o la vinculación de los desistimientos con los pedidos, y el Cliente los concede de forma explícita.

S1.6 Dirección para notificaciones. El contacto de privacidad y seguridad que el Cliente designe en la configuración de la Aplicación. Hasta que se designe uno, la dirección de correo electrónico de la cuenta del propietario de la tienda de Shopify que devuelva Shopify y, si Shopify no devuelve ninguna, la dirección de correo electrónico de contacto de la tienda.

S1.7 Reembolsos. Los reembolsos previstos en la cláusula 6.4 se efectúan a través de Shopify, como reembolso o como saldo de la aplicación, a elección del Proveedor.

S1.8 Finalización del Contrato y supresión. Cuando se desinstala la Aplicación, el Proveedor suprime de inmediato el token de acceso, y todos los demás Datos Personales del Cliente cuando Shopify envía la notificación shop/redact (48 horas después de la desinstalación) y, en cualquier caso, a más tardar 30 días después de la desinstalación. Antes de desinstalarla, el Cliente puede pasar al plan Free y mantener la Aplicación instalada durante el tiempo que necesite para exportar sus datos (este es también el período de recuperación para el cambio de proveedor conforme a la cláusula 11.5); las exportaciones están disponibles en todos los planes. Cuando se desinstala la Aplicación, el Proveedor envía al Cliente por correo electrónico un aviso con el número de registros.

S1.9 Notificaciones a la plataforma. Cuando las condiciones de Shopify obliguen al Proveedor a informar a Shopify de un incidente de seguridad que afecte a datos de comerciantes o de clientes, el Proveedor lo hace además de lo previsto en la sección 8.

S1.10 Anexos. El Anexo I-A describe el tratamiento en la Aplicación.

Apéndice 2 — Consentl para sitios web y las integraciones para plataformas

S2.1 Servicio y Contrato. El servicio es Consentl para sitios web: el panel de control en app.consentl.com, la API pública en api.consentl.com (cargador [loader], banner, balizas de consentimiento, formularios de solicitudes sobre datos personales y de desistimiento, declaración de cookies alojada y páginas de accesibilidad) y el escáner de cookies (el «Servicio»), utilizados directamente o a través de las integraciones que publica el Proveedor (fragmento de código para sitios web, plantilla de Google Tag Manager, plugins para WordPress/WooCommerce, Shopware, PrestaShop y Magento, y guías para otros creadores de sitios web). El Contrato son las Condiciones del servicio para sitios web.

S2.2 Celebración. Los clientes empresariales aceptan el DPA mediante una casilla al crear su cuenta y, de nuevo, en caso de una nueva versión que lo requiera; a una cuenta que no haya aceptado la versión vigente se le pide que lo haga antes de poder seguir utilizando el panel de control. Para los clientes que utilizan el Servicio como consumidores, el DPA forma parte de las Condiciones del servicio para sitios web que aceptan al crear su cuenta.

S2.3 Integraciones. Las integraciones se ejecutan en el servidor o en la plataforma propios del Cliente. No almacenan allí datos personales de los visitantes. Sus llamadas del lado del servidor a api.consentl.com (comprobación de la clave del sitio, obtención del cargador para insertarlo en la página) solo transmiten la clave del sitio, el idioma y el nombre de host del sitio. El Proveedor solo trata Datos Personales del Cliente cuando los navegadores de los visitantes llaman a api.consentl.com. El Proveedor no es encargado del tratamiento respecto de la plataforma o del sistema de tienda del Cliente.

S2.4 Flujos de datos. El Anexo I-B enumera los datos: registros de consentimiento (incluidos los registros enviados sin un origen de navegador verificable, que se aceptan con límites más estrictos), contadores del banner, solicitudes sobre datos personales y desistimientos enviados a través de los formularios, correos electrónicos a los visitantes, escaneos de cookies de los sitios del Cliente y, en el plan Enterprise, las credenciales de autenticación básica HTTP que el Cliente facilita para escanear sitios protegidos.

S2.5 Dirección para notificaciones. La dirección para notificaciones que el Cliente indique en la página «Cuenta», una vez confirmada (mediante el enlace de confirmación, o por ser la dirección verificada de un miembro de la cuenta). Hasta que se confirme una, las direcciones de correo electrónico verificadas de los propietarios y administradores de la cuenta.

S2.6 Reembolsos. Los reembolsos previstos en la cláusula 6.4 se efectúan a través de Stripe en el medio de pago original, de forma proporcional a la parte no utilizada del período pagado.

S2.7 Finalización del Contrato y supresión.

• El Cliente puede exportar, en cualquier momento y en todos los planes, el registro de consentimientos de un sitio en formato CSV y todos los datos de su cuenta («Descargar mis datos (JSON)») en formato JSON, incluidos la configuración, la lista de cookies, las solicitudes sobre datos personales, los desistimientos y el registro de consentimientos de cada sitio.
• La eliminación de un sitio suprime sus datos de inmediato (en cascada); el panel de control pide confirmación y recomienda realizar antes una exportación. La eliminación de un sitio constituye la instrucción del Cliente de suprimir los datos de ese sitio.
• Cuando finaliza una suscripción de pago, el sitio pasa al plan Free y sus datos siguen disponibles para su exportación (este es también el período de recuperación para el cambio de proveedor conforme a la cláusula 11.5).
• Eliminación de la cuenta: el propietario de la cuenta elimina la cuenta en el panel de control (tras cancelar las suscripciones de pago) o lo solicita en [email protected]. La cuenta sigue disponible durante 30 días (período de recuperación: exportación o cancelación de la eliminación; los banners siguen funcionando); después se suprimen la cuenta, sus sitios y todos los Datos Personales del Cliente de esos sitios.
• Copias de seguridad y registros de los subencargados del tratamiento: cláusula 11.3.

S2.8 Supresión automática. El Servicio suprime automáticamente: los registros de consentimiento, una vez transcurrido el plazo de conservación del sitio (Anexo I-B); las solicitudes sobre datos personales cuya dirección de correo electrónico nunca se confirmó, 30 días después de su envío; las demás solicitudes sobre datos personales y todos los desistimientos, 3 años después de su última modificación, cualquiera que sea su estado; los contadores diarios y A/B, a los 2 años; los resultados de escaneo distintos del último escaneo de un sitio, 400 días después del escaneo. Supresión anterior por instrucción del Cliente: cláusula 11.2.

S2.9 Anexos. El Anexo I-B describe el tratamiento en el Servicio.

Anexo I — Descripción del tratamiento

A. Lista de partes

Autoridad de control competente: la autoridad competente respecto del Cliente (exportador de datos) conforme a la cláusula 13 de las cláusulas contractuales tipo; respecto del Proveedor: la ANSPDCP rumana (www.dataprotection.ro (sitio externo)).

Común a ambos servicios

• Categorías de interesados: visitantes de la tienda o del sitio web del Cliente (registros de consentimiento, visualizaciones del banner); personas que envían una solicitud sobre datos personales o un desistimiento a través de la tienda o del sitio web; (Shopify, opcional) clientes cuyo perfil y cuyos pedidos de Shopify se leen o suprimen mediante las acciones de privacidad con un solo clic.
• Categorías especiales de datos: no se prevé ninguna. El Cliente no debe solicitarlas. Los campos de texto libre podrían contenerlas si un solicitante las introduce; se protegen como todos los demás datos.
• Naturaleza del tratamiento: recogida a través del script y los formularios de la tienda o del sitio web, conservación, consulta y presentación al Cliente, exportación, transmisión por correo electrónico, supresión automatizada.
• Finalidades: los fines empresariales de la cláusula 10.1.
• Frecuencia: continua, durante la vigencia del Contrato.
• Subencargados del tratamiento: Anexo III.

B. Consentl para Shopify (Anexo I-A)

Categorías de datos personales

Conservación

C. Consentl para sitios web (Anexo I-B)

Categorías de datos personales

Conservación

Anexo II — Medidas técnicas y organizativas

Medidas aplicadas en la fecha de este DPA, para ambos servicios salvo que se indique un producto. Las medidas descritas como previstas aún no se aplican. Algunas medidas remiten a la política interna de seguridad e incidentes del Proveedor, a su registro de accesos a producción y a su registro de las actividades de tratamiento; estos documentos son internos, y el Cliente puede recibir una copia previa solicitud conforme a la cláusula 12.1.

Seudonimización y minimización

• Las direcciones IP se abrevian en el momento de su recepción a IPv4 /24 o IPv6 /48 antes de su almacenamiento; la dirección IP completa nunca se escribe en la base de datos ni en los registros de la aplicación (solo se conserva en memoria, Anexo I).
• Los registros de consentimiento utilizan un identificador aleatorio generado en el navegador y no están vinculados a las cuentas de clientes; las URL de las páginas se reducen a la ruta; los agentes de usuario se truncan a 400 caracteres.
• Las visualizaciones del banner solo se almacenan como contadores diarios; el script no envía nada antes de una decisión, y una visualización se contabiliza junto con la primera decisión del visitante (sin petición de visualización separada).
• Shopify: los registros de clientes y de pedidos se leen de Shopify cuando se necesitan y no se copian, salvo los identificadores necesarios para vincular una solicitud o un desistimiento con el cliente o el pedido. Los ámbitos (scopes) opcionales de Shopify para datos de clientes solo se solicitan cuando el Cliente activa las funciones que los necesitan.

Cifrado

• Todo el tráfico se sirve a través de HTTPS (TLS). Los webhooks y las llamadas a la API de Shopify y las llamadas a las API de Stripe y de Brevo utilizan TLS.
• Las bases de datos PostgreSQL gestionadas y sus copias de seguridad están cifradas en reposo por DigitalOcean.
• Las contraseñas de las tiendas de Shopify y las credenciales de escaneo de sitios web se cifran con AES-256-GCM; las claves solo se conservan en las variables de entorno cifradas de la plataforma de alojamiento.
• Los tokens de verificación del correo electrónico y del panel de control solo se almacenan como hashes SHA-256; los tokens de un solo uso se eliminan o se marcan como utilizados tras su uso.

Confidencialidad y control de acceso

• Shopify: el acceso de administración requiere un token de sesión de Shopify verificado en cada petición (App Bridge, intercambio de tokens); los datos siempre se limitan a la tienda autenticada. Los webhooks solo se aceptan con una firma HMAC válida.
• Sitios web: contraseñas almacenadas como hash con scrypt; tokens de sesión almacenados como hashes SHA-256, con una vigencia de 30 días y caducidad por inactividad a los 7 días; protección CSRF en todos los formularios del panel de control; las acciones sensibles requieren una confirmación reciente de la contraseña; panel de control y API pública en hosts separados; cada página de un sitio comprueba la pertenencia del usuario; las firmas de los webhooks de Stripe se verifican.
• Los puntos de acceso públicos solo aceptan una clave pública válida y un host o dominio de tienda coincidente; las balizas de consentimiento se validan conforme a un esquema, tienen un tamaño limitado (4 KB) y una frecuencia limitada por dirección IP y por tienda o sitio (los límites se aplican por instancia de servidor).
• Los secretos (claves de API, secretos de aplicaciones, claves de correo electrónico y de pago) se almacenan como variables de entorno cifradas de la plataforma de alojamiento y como secretos de GitHub Actions, nunca en el código fuente.
• El acceso a producción (DigitalOcean, bases de datos, registros) se limita a las personas designadas que figuran en el registro de accesos a producción del Proveedor, en el que consta también si la autenticación en dos pasos está activada en las cuentas que dan acceso a los sistemas de producción y a los buzones (DigitalOcean, GitHub, Stripe, Brevo, Proton, que aloja los buzones [email protected] y [email protected], el registrador del dominio y, para la aplicación de Shopify, el Shopify Partner/Dev Dashboard). El registro se revisa al menos una vez al año y cada vez que una persona se incorpora o se marcha.
• Las bases de datos de producción solo aceptan conexiones de las propias aplicaciones del Proveedor; los equipos locales y la integración continua no pueden conectarse.
• El área de administración interna del Proveedor (listas de clientes, instalaciones, estadísticas de uso) es de solo lectura, solo está disponible para cuentas de operador designadas con autenticación en dos pasos y una reautenticación reciente, no muestra el contenido de los registros de consentimiento ni datos de compradores o visitantes, lee la base de datos de Shopify mediante un rol de solo lectura limitado a las columnas que no contienen datos de visitantes, y registra cada acceso (quién, cuándo, qué) en un registro de auditoría de solo adición.
• Los asistentes de programación con IA y otras herramientas de desarrollo trabajan sobre código fuente, sistemas de preproducción y datos de prueba. Nunca acceden a las bases de datos de producción, a los registros de producción ni a los Datos Personales del Cliente: no leen registros de producción, no ejecutan consultas ni tareas puntuales sobre las bases de datos de producción y no copian datos de producción. Pueden realizar cambios de infraestructura (especificaciones de aplicaciones, variables de entorno, secretos escritos sin leerlos). Si alguna vez se modifica esta regla, el proveedor de la herramienta (por ejemplo, Anthropic PBC para Claude) se incluirá previamente en el Anexo III (sección 6).
• No se incluyen datos personales de producción en el repositorio de código fuente, las incidencias, los registros de integración continua, los datos de prueba ni las capturas de pantalla.
• Datos de clientes protegidos de Shopify: las medidas declaradas en el Shopify Partner Dashboard son las descritas en este Anexo; se conserva una copia de la declaración junto con los registros del DPA. El acceso a través del área de administración se registra; otros accesos del personal a datos personales de clientes (por ejemplo, una tarea en la base de datos durante un incidente) aún no se registran de forma individual (previsto).

Separación

• La preproducción y la producción funcionan como aplicaciones separadas con bases de datos separadas; los datos de Shopify y los de sitios web están en bases de datos separadas.
• El Servicio para sitios web utiliza usuarios de base de datos específicos sin derechos de administrador (el escáner tiene su propio usuario, limitado a las tablas de escaneo). La Aplicación de Shopify se conecta actualmente con el usuario administrador del clúster de bases de datos; está previsto un usuario específico.
• El proceso del escáner de cookies está aislado de las aplicaciones web (contenedor separado, un entorno de navegador sin credenciales de base de datos ni secretos, tráfico saliente limitado a direcciones públicas en los puertos 80/443, un tiempo máximo por escaneo). Da servicio a varios entornos y conserva sus credenciales de base de datos; en la base de datos del Servicio para sitios web utiliza el rol restringido del escáner.

Integridad

• Los registros de consentimiento son de solo adición en la aplicación (sin función de edición).
• Las migraciones de la base de datos están versionadas y se aplican automáticamente antes de cada despliegue.
• Los cambios se desarrollan en ramas y se comprueban mediante verificación automática de tipos, análisis estático (linting), pruebas y compilaciones en la integración continua en cada envío. La producción solo se despliega desde la rama de producción, y una fusión en esa rama requiere la aprobación explícita del propietario; la integración continua debe superarse antes de desplegar en producción. Estas reglas forman parte de la política de seguridad e incidentes del Proveedor.

Disponibilidad y resiliencia

• Alojamiento gestionado con comprobaciones de estado y reinicios automáticos; bases de datos gestionadas con copias de seguridad diarias automáticas y recuperación a un momento dado, conservadas durante 7 días.
• Los despliegues anteriores pueden revertirse.

Conservación y supresión

• Tareas automáticas de depuración conforme al Anexo I (cada 6 horas: registros de consentimiento, estadísticas, solicitudes sobre datos personales, desistimientos, escaneos y, para los sitios web, cuentas cuyo período de eliminación haya finalizado). Shopify: webhooks de cumplimiento obligatorios.

Correo electrónico

• Los correos electrónicos transaccionales se envían a través de la API de Brevo desde el dominio consentl.com (SPF, DKIM, DMARC). El seguimiento de aperturas y clics de Brevo está anonimizado (sin datos de interacción vinculados al destinatario), y el Proveedor no utiliza datos de interacción.
• En producción, la clave de la API de correo electrónico siempre está configurada; sin ella (solo en desarrollo), los correos electrónicos se escriben en el registro de la aplicación en lugar de enviarse. Está previsto un control en el código que impida registrar el contenido de los mensajes en producción.

Registros

• Los registros de la aplicación contienen datos operativos (dominios de tiendas o identificadores de sitios, resultados de tareas, mensajes de error) y ninguna dirección IP de visitantes ni cuerpos de peticiones. Registros de peticiones: Anexo I. El Proveedor no almacena ni reenvía registros: los registros de ejecución solo existen en DigitalOcean mientras la aplicación se ejecuta y se borran cuando se despliega una nueva versión; los registros de compilación y de despliegue, que no contienen datos personales de visitantes, los conserva DigitalOcean durante 90 días. Datos de las peticiones en la red perimetral (edge): cláusula 11.3.

Ubicación

• Servidores de aplicaciones y bases de datos en Fráncfort, Alemania (región de DigitalOcean fra/fra1).

Medidas organizativas

• Compromiso de confidencialidad de todas las personas con acceso (sección 4); compromisos de confidencialidad por escrito para el personal o los contratistas.
• La respuesta a incidentes sigue la política escrita de seguridad e incidentes del Proveedor: detectar, contener, evaluar en un plazo de 24 horas, notificar al Cliente conforme a la sección 8 (y, como responsable del tratamiento, a la autoridad de control en un plazo de 72 horas), recuperar y anotar cada violación en un registro de violaciones de seguridad. En el registro de accesos a producción figura un responsable de incidentes (y, una vez designado, un contacto suplente).
• Se mantiene un registro de las actividades de tratamiento como encargado del tratamiento (art. 30.2 del RGPD), que se revisa al menos una vez al año.
• Protección de datos desde el diseño: revisión de la privacidad de las nuevas funciones antes de su lanzamiento.

Anexo III — Subencargados del tratamiento

Los subencargados del tratamiento autorizados en la fecha de este DPA. Los detalles, las ubicaciones, las garantías y el registro de cambios figuran en la lista de subencargados del tratamiento.

Fuente: docs/legal/es/DPA.md en el repositorio de Consentl.