01. Partes, objeto y duración
El titular del negocio es el responsable de los datos personales que introduce en FAENA. Othmane Abdellouli Atti, con los datos del Aviso legal, es el encargado: aloja y gestiona esos datos por cuenta del negocio. Los datos de la cuenta, el soporte y la facturación que trata para sus propios fines se describen en Privacidad.
El encargo dura mientras se presta el servicio y durante la devolución o supresión acordada al finalizar. Comprende registro, conservación, consulta, modificación, publicación por instrucción del negocio y supresión de los datos de su equipo, perfiles y contenido. Gestionar una carta no requiere datos de salud ni categorías especiales de clientes; no deben incorporarse.
02. Instrucciones y confidencialidad
Las acciones autorizadas en el panel y las solicitudes de soporte documentan las instrucciones del responsable. El encargado no utilizará el contenido para otros fines, avisará de instrucciones que considere contrarias al RGPD y limitará el acceso a personas autorizadas sujetas a confidencialidad. El negocio debe contar con una base legítima e informar a las personas afectadas de cómo utiliza sus datos.
03. Seguridad y asistencia
Medidas aplicadas:
- Conexión cifrada (HTTPS) en toda la web.
- Acceso con cuenta y contraseña gestionadas por el proveedor de autenticación, o con Google y Apple.
- Separación de negocios en la base de datos mediante reglas de acceso por fila.
- Permisos por persona del equipo.
- Archivos originales en almacenamiento privado, con enlaces firmados y temporales.
- Registro de las acciones de soporte y operaciones.
- Copias de seguridad del proveedor de base de datos.
El encargado asistirá al responsable con las solicitudes de derechos, evaluaciones y consultas de seguridad que correspondan, y le remitirá las peticiones que reciba sin resolverlas por su cuenta.
Ante una brecha que afecte a los datos encomendados, avisará al responsable sin dilación indebida y, si es posible, en 48 horas, con la información disponible, y la actualizará para que pueda cumplir sus obligaciones.
04. Subencargados y transferencias
El responsable autoriza a estos subencargados:
- Supabase: base de datos, inicio de sesión y almacenamiento de archivos. Servidores en Fráncfort (UE).
- Vercel: alojamiento y ejecución de la web. Red global; las funciones se ejecutan en EE. UU.
- Resend: envío de correos del servicio (invitaciones y avisos). EE. UU.
- OpenRouter y los modelos de IA que enruta (Google Gemini, DeepSeek): lectura de fotos o PDF de la carta y traducciones. Solo reciben el contenido de la carta, sin datos de la cuenta. EE. UU. y otros países, sin retención de datos para entrenamiento cuando el proveedor lo permite.
- Stripe: cobro de las suscripciones Pro. Los datos de la tarjeta los trata Stripe; FAENA no los recibe. UE y EE. UU.
Los cambios de subencargado se avisarán por correo con 15 días de antelación. En ese plazo el responsable puede oponerse y, si no hay alternativa, darse de baja sin penalización. Las transferencias fuera del Espacio Económico Europeo se amparan en las cláusulas contractuales tipo de la Comisión Europea o en el Marco de Privacidad de Datos UE-EE. UU., según el proveedor.
05. Fin del servicio y verificación
Al terminar, y a elección del responsable, se devolverán los datos (carta y contenido en un formato legible, a petición a soporte, en un plazo de 30 días) o se suprimirán en un máximo de 30 días, también en los subencargados, salvo conservación legal obligatoria. Las copias técnicas se eliminan según el ciclo del proveedor. El encargado facilitará la información necesaria para acreditar estas obligaciones.
06. Aceptación electrónica
Al crear el negocio, su representante acepta expresamente este encargo y las condiciones. FAENA guarda el negocio, el usuario firmante, la versión de ambos documentos y la fecha del servidor. Esa aceptación no activa una suscripción de pago ni autoriza publicidad.
Referencias: artículo 28 del RGPD y directrices de la AEPD para contratos de encargo.