§1. Partes y celebración
Este contrato se celebra entre el Propietario de un Taller en Velunta (el «Responsable») y Bajeczne Balony Oleh Serhiienko, NIP (número fiscal) 6832090873, ul. Ciesielskiego 6, 31-589 Kraków, Polska (el «Encargado»).
El contrato forma parte de las Condiciones de uso y se celebra al aceptarlas. Está vigente mientras se use Velunta.
§2. Objeto, naturaleza y finalidad
El Responsable encarga al Encargado el tratamiento de los datos personales introducidos en el Taller exclusivamente para prestar los servicios de Velunta descritos en las Condiciones.
El tratamiento comprende: registrar, conservar, organizar, mostrar, poner a disposición de los miembros del equipo del Taller, exportar y suprimir datos.
§3. Categorías de personas y de datos
- Personas: clientes del Responsable, personas de contacto de proveedores y contrapartes, miembros del equipo del Taller y otras personas cuyos datos introduzca el Responsable.
- Datos: nombre y apellidos o razón social, teléfono, correo electrónico, direcciones de entrega, detalles de pedidos y pagos, notas, fotos y documentos adjuntos (pueden mostrar la imagen de una persona).
El Responsable no debe introducir categorías especiales de datos (art. 9 RGPD) ni datos sobre condenas penales (art. 10 RGPD).
§4. Obligaciones del Encargado
El Encargado:
- trata los datos solo siguiendo instrucciones documentadas del Responsable — el uso de las funciones de Velunta constituye la instrucción; si una instrucción infringe la ley, lo comunica al Responsable,
- garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad,
- aplica las medidas de seguridad exigidas por el art. 32 RGPD (§7),
- ayuda al Responsable a atender los derechos de los interesados — entre otras cosas, mediante las funciones de edición, exportación y supresión de la aplicación,
- ayuda al Responsable a cumplir las obligaciones de los arts. 32 a 36 RGPD,
- notifica al Responsable las violaciones de la seguridad de los datos sin dilación indebida y como máximo en 48 horas desde que tenga conocimiento,
- facilita la información necesaria para demostrar el cumplimiento del art. 28 RGPD y permite auditorías — en primer lugar mediante explicaciones por escrito y, si es necesario, inspecciones acordadas con al menos 14 días de antelación.
§5. Subencargados
El Responsable autoriza de forma general la subcontratación del tratamiento a las siguientes entidades:
- Empresa
- Supabase · Supabase, Inc. (USA)
- Finalidad
- Base de datos, inicio de sesión (cuentas y contraseñas), almacenamiento de adjuntos (fotos, PDF), correos de confirmación de cuenta, funciones de servidor (p. ej., eliminación de cuenta)
- Ubicación de los datos
- Datos almacenados en la UE: Fráncfort, Alemania (AWS eu-central-1)
- Garantías de transferencia
- Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo (SCC)
- Empresa
- Vercel · Vercel Inc. (USA)
- Finalidad
- Alojamiento de la aplicación web, entrega de páginas, registros técnicos del servidor, estadísticas anónimas de visitas (Vercel Web Analytics, sin cookies)
- Ubicación de los datos
- Red global de servidores (CDN), también fuera del EEE
- Garantías de transferencia
- Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo (SCC)
- Empresa
- Sentry · Functional Software, Inc. (USA)
- Finalidad
- Informes de errores de la aplicación: mensaje y lugar del error, navegador y sistema, identificadores técnicos de usuario y taller — sin nombres, correos, datos de clientes ni contenido de pedidos
- Ubicación de los datos
- Datos almacenados en la UE: Fráncfort, Alemania (región UE de Sentry)
- Garantías de transferencia
- Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo (SCC)
El Encargado impone a los subencargados obligaciones de protección de datos no menos estrictas que las de este contrato. Anuncia cualquier cambio o incorporación de un subencargado con al menos 14 días de antelación (en la aplicación o por correo). El Responsable puede oponerse; si no se atiende su oposición, puede resolver el contrato eliminando el Taller o la cuenta.
§6. Transferencias fuera del EEE
Los datos de la base de datos y los adjuntos se guardan en la UE (Fráncfort). Cuando los subencargados transfieran datos fuera del Espacio Económico Europeo, se hará sobre la base de una decisión de adecuación (Marco de Privacidad de Datos UE-EE. UU.) o de cláusulas contractuales tipo.
§7. Medidas de seguridad
- conexiones cifradas (HTTPS/TLS) y cifrado de los datos almacenados en el proveedor,
- separación de los datos de cada Taller y control de acceso a nivel de base de datos (Row Level Security) según roles y sucursales,
- almacenamiento privado de archivos accesible solo a los miembros del Taller,
- claves de administración usadas solo en el servidor, nunca en el navegador,
- contraseñas almacenadas como hashes criptográficos,
- acceso del Encargado a los datos limitado a lo necesario (p. ej., atender una solicitud a petición del Responsable).
§8. Fin del tratamiento
Tras eliminar un Taller o una cuenta, el Encargado suprime los datos de inmediato, y las copias de seguridad y registros de los proveedores se sobrescriben en un ciclo de 30 días como máximo, salvo que la ley exija conservarlos. Antes de la eliminación, el Responsable puede descargar los datos con «Exportar datos».
§9. Responsabilidad y disposiciones finales
La responsabilidad por daños derivados de infracciones de la normativa de protección de datos se rige por el art. 82 RGPD; en lo demás se aplican las Condiciones de uso.
En lo no previsto se aplican el RGPD, la ley polaca y las Condiciones. La versión polaca de este contrato es la vinculante.