Acuerdo de Encargo de Tratamiento (DPA)

Encargado del tratamiento: Domingo García Sánchez, empresario individual (autónomo), que opera comercialmente bajo la denominación Nounexe. NIF 53120971X. Sant Pere 3, 08500, Vic, Barcelona, España. Contacto: privacy@nounexe.com.

Responsable del tratamiento: el cliente que contrata el servicio y que determina los fines y medios del tratamiento de los datos que introduce en la plataforma.

Objeto: el tratamiento de datos personales por cuenta del responsable necesario para prestar los servicios de la plataforma NouNexe (gestión de encargos, catálogo, producción, clientes y colaboradores).

Duración: mientras esté vigente el contrato de servicio, más los periodos de recuperación y conservación previstos en las condiciones y en la política de privacidad.

Naturaleza: alojamiento, almacenamiento, consulta, organización, modificación, comunicación interna entre usuarios autorizados y supresión de los datos introducidos por el responsable.

Finalidad: prestación del servicio contratado, soporte técnico, seguridad, continuidad y mantenimiento de la plataforma.

Interesados: usuarios del cliente, clientes finales del cliente, colaboradores y proveedores registrados por el cliente.

Datos: identificativos y de contacto, datos profesionales, contenido de proyectos y archivos, comunicaciones asociadas a encargos, datos de facturación y registros técnicos de acceso.

No está previsto el tratamiento de categorías especiales de datos. Si el responsable introdujera datos de esta naturaleza, deberá comunicarlo previamente: [PENDIENTE COMPLETAR].

El encargado tratará los datos únicamente siguiendo las instrucciones documentadas del responsable, incluidas las derivadas del uso de la plataforma y de este acuerdo.

El encargado informará al responsable si, a su juicio, una instrucción infringe la normativa de protección de datos aplicable.

No se transferirán datos a un tercer país salvo obligación legal, en cuyo caso se informará previamente salvo prohibición legal.

El encargado garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal equivalente.

El acceso interno se limita al personal estrictamente necesario para la prestación y el soporte del servicio.

Medidas técnicas y organizativas aplicadas actualmente: cifrado en tránsito (HTTPS), control de acceso por roles y reglas de seguridad a nivel de fila en la base de datos, autenticación gestionada, segregación de datos por organización, copias de seguridad gestionadas por el proveedor de base de datos y registro de accesos.

Detalle formal de políticas de continuidad, pruebas de recuperación y periodicidad de revisión: [PENDIENTE COMPLETAR].

El responsable autoriza de forma general el recurso a subencargados, con obligación del encargado de informar de altas o sustituciones y de imponerles obligaciones equivalentes a las de este acuerdo.

Subencargados actuales previstos: Lovable (desarrollo y alojamiento de la aplicación), Supabase (base de datos, autenticación y almacenamiento), servicio de correo transaccional gestionado por Lovable Emails / Mailgun, Porkbun (registro del dominio) y Stripe (pagos, integración preparada pero no activa).

Regiones de tratamiento, entidades contratantes concretas y garantías aplicables por cada subencargado: [PENDIENTE CONFIRMAR]. No debe entenderse que la lista, sus regiones o sus transferencias estén cerradas.

No se confirma la existencia ni la ausencia de transferencias internacionales hasta verificar la región de tratamiento de cada proveedor: [PENDIENTE CONFIRMAR].

Si finalmente existieran, se documentarán las garantías aplicadas (por ejemplo, cláusulas contractuales tipo y medidas complementarias) y se publicarán en la política de privacidad.

El encargado asistirá al responsable, en la medida de lo posible, para atender las solicitudes de ejercicio de derechos de los interesados, mediante las funciones de la plataforma y el soporte disponible.

El encargado notificará al responsable cualquier violación de seguridad de los datos personales sin dilación indebida desde que tenga conocimiento, aportando la información disponible. Plazo máximo de notificación propuesto: 48 horas. [PROPUESTA — PENDIENTE DE VALIDACIÓN LEGAL FINAL].

El encargado asistirá también en las evaluaciones de impacto y consultas previas cuando resulten necesarias, teniendo en cuenta la naturaleza del tratamiento y la información disponible.

Finalizada la prestación, el responsable dispone de 30 días naturales para exportar o recuperar los datos. [PROPUESTA — PENDIENTE DE VALIDACIÓN LEGAL FINAL].

Transcurrido ese plazo, el encargado suprimirá o anonimizará los datos y las copias existentes, salvo que deba conservarlos por obligación legal, indicando en tal caso la base y el plazo de bloqueo.

El encargado pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD.

Se permitirán auditorías o inspecciones razonables, con preaviso, alcance acordado y sin comprometer la seguridad ni la confidencialidad de otros clientes. Periodicidad, coste y procedimiento concreto: [PENDIENTE COMPLETAR].

Este borrador está preparado para revisión profesional. No se presenta como documento definitivo, firmado ni como asesoramiento jurídico.

Firma, anexos técnicos y versión contractual final: [PENDIENTE COMPLETAR].