Acuerdo de Tratamiento de Datos

Este DPA se aplica cuando subes contenido con datos personales de terceros al Servicio Pablito (por ejemplo, fotografías de personas identificables). En ese contexto, tú actúas como Responsable del Tratamiento y Pablito actúa como Encargada del Tratamiento. La Encargada tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, con la única finalidad de prestar el Servicio Pablito según se describe en los Términos del Servicio.

La Encargada se compromete a:

• Tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, salvo cuando lo exija el Derecho de la UE o el español
• Garantizar que las personas autorizadas a tratar los datos personales se comprometen a respetar la confidencialidad
• Aplicar medidas técnicas y organizativas de seguridad adecuadas, según se describe en nuestra Política de Seguridad
• No contratar otro encargado sin la autorización previa por escrito del Responsable (lista actual en la página de Subencargados)
• Asistir al Responsable en la respuesta a las solicitudes de derechos de las personas interesadas
• Asistir al Responsable en el cumplimiento de las obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de brechas, evaluaciones de impacto)
• Eliminar o devolver todos los datos personales al finalizar el Servicio, salvo cuando la conservación venga exigida por ley
• Poner a disposición del Responsable toda la información necesaria para acreditar el cumplimiento y permitir auditorías

El Responsable autoriza a la Encargada a contratar a los subencargados listados en /legal/subprocessors. La Encargada notificará al Responsable con al menos 14 días de antelación antes de añadir nuevos subencargados. El Responsable puede oponerse a nuevos subencargados durante ese plazo. Todos los subencargados están sujetos a acuerdos de tratamiento de datos que ofrecen al menos el mismo nivel de protección que este DPA.

La Encargada asistirá al Responsable en la atención de las solicitudes de las personas interesadas (acceso, rectificación, supresión, portabilidad, limitación, oposición) facilitando las medidas técnicas y organizativas adecuadas. La Encargada notificará sin demora al Responsable cualquier solicitud de personas interesadas recibida directamente.

La Encargada aplica medidas de seguridad adecuadas al riesgo, incluidas: cifrado de datos en tránsito (TLS 1.3), hashing seguro de contraseñas (bcrypt), controles de acceso y autenticación, copias de seguridad automatizadas periódicas e infraestructura cloud segura. Encontrarás todos los detalles en nuestra Política de Seguridad en /legal/security.

La Encargada notificará al Responsable sin dilación indebida (y en cualquier caso en un plazo de 48 horas) tras tener conocimiento de una brecha de datos personales. La notificación incluirá: la naturaleza de la brecha, las categorías y el número aproximado de personas afectadas, las consecuencias probables y las medidas tomadas o propuestas para mitigarla.

Cuando los datos personales se transfieran fuera del EEE, la Encargada garantiza las salvaguardas adecuadas mediante Cláusulas Contractuales Tipo (CCT) aprobadas por la Comisión Europea o decisiones de adecuación. Consulta la página de Subencargados para conocer la ubicación de cada uno.

Al finalizar el Servicio o este DPA, la Encargada, a elección del Responsable, devolverá o eliminará todos los datos personales tratados por cuenta del Responsable en un plazo de 90 días, salvo cuando la conservación venga exigida por la ley aplicable. El Responsable puede solicitar la exportación de los datos en formato legible por máquina (JSON/CSV) antes de la resolución.

La responsabilidad de cada parte bajo este DPA está sujeta a las limitaciones recogidas en los Términos del Servicio. La Encargada responde por los daños causados por un tratamiento que infrinja el RGPD o este DPA. La Encargada no responde por los daños causados por un tratamiento realizado conforme a las instrucciones del Responsable.

Para preguntas sobre este Acuerdo de Tratamiento de Datos: legal@pablito.app Marie du Mesnil du Buisson, Llull 200, Barcelona 08005, España