Anexo de encargo de tratamiento

1. Partes y posición en la cadena de tratamiento

Cliente: el establecimiento y su titular identificados en la solicitud, oferta o aceptación. Actúa como responsable respecto de los tratamientos cuyos fines determine o como encargado de otro responsable, cuando esté autorizado para recurrir a PudoManager.

Prestador: Oscar Sardà Garcia, NIF 46234636J, titular de PudoManager; contacto hola@pudomanager.com, con domicilio indicado en el aviso legal.

PudoManager actúa como encargado o subencargado respecto de los datos operativos tratados por cuenta del cliente. Si existe un responsable anterior, el cliente trasladará sus instrucciones y garantizará la autorización de subcontratación. No se presume ningún acuerdo con operadores de paquetería por la mera mención de sus marcas.

El servicio se comercializa únicamente a empresarios y profesionales en España; los clientes finales de los establecimientos se encuentran en España. Este ámbito no altera el régimen de transferencias internacionales del apartado 13.

2. Objeto, operaciones y duración

El objeto es tratar los datos operativos necesarios para almacenar y cifrar copias, restaurar información, prestar soporte, mantener y proteger el servicio y efectuar accesos remotos autorizados. Las operaciones pueden incluir acceso, consulta limitada, transmisión, almacenamiento, recuperación y supresión bajo instrucciones.

El encargo se aplica desde el primer tratamiento de datos reales durante la prueba, continúa durante el servicio y subsiste en lo necesario durante la devolución, supresión y cierre de copias. Las obligaciones de confidencialidad y seguridad subsisten mientras se conserven datos.

La aplicación opera principalmente en el equipo del cliente, con los tratamientos centrales descritos. Los tratamientos propios del prestador sobre contratación, facturación y seguridad se distinguen en la política de privacidad.

3. Finalidades

• prestar copias de seguridad y restauración;
• resolver incidencias y mantener el servicio;
• proteger seguridad e integridad;
• realizar accesos remotos autorizados y documentados;
• cumplir instrucciones legítimas del responsable.

4. Datos e interesados

Pueden tratarse nombres de destinatarios, observaciones introducidas por el establecimiento, identificadores y datos del personal u operadores, referencias y estados de paquetes, configuración, tarifas y registros técnicos vinculados a la operativa. Los interesados pueden ser destinatarios, personal y contactos de las entidades participantes.

No se prevé el tratamiento ordinario de categorías especiales. El cliente limitará los campos libres a la información necesaria y no remitirá datos adicionales a soporte si no son imprescindibles. Los datos de menores, si los hubiera legítimamente en la actividad, siguen las instrucciones y garantías del responsable competente.

Dictado: la App no trata voz ni implementa reconocimiento de voz. Cualquier dictado en un campo de texto lo realiza el sistema operativo del dispositivo del usuario, fuera de PudoManager y de sus servidores.

5. Instrucciones y finalidad

El prestador tratará los datos únicamente bajo instrucciones documentadas del responsable competente, incluidas las relativas a transferencias internacionales. Este anexo y las instrucciones adicionales válidas delimitan el encargo; no habilitan publicidad propia, venta de datos ni otros fines incompatibles.

Si una norma de la Unión o de un Estado miembro exige otro tratamiento, se informará al responsable antes de actuar, salvo prohibición legal por razones importantes de interés público. Si una instrucción parece infringir la normativa de protección de datos, se comunicará inmediatamente y no se ejecutará como si fuera una autorización válida.

La instrucción relativa a retirada local debe cumplir el apartado 17. La aceptación genérica del servicio no sustituye una instrucción suficientemente concreta sobre eliminación y devolución.

6. Confidencialidad

Las personas autorizadas estarán sujetas a deber de confidencialidad y accederán sólo cuando resulte necesario.

7. Medidas de seguridad

El prestador aplicará medidas técnicas y organizativas adecuadas al riesgo, considerando estado de la técnica, costes, naturaleza del tratamiento y posibles consecuencias. Entre las medidas descritas para el servicio se incluyen controles de acceso y mínimo privilegio, protección de credenciales, cifrado de comunicaciones y backups externos, segregación lógica, registros proporcionados, gestión de vulnerabilidades y procedimientos de copia, restauración e incidentes.

Las medidas concretas y su funcionamiento deben documentarse y evaluarse periódicamente. El cliente puede solicitar información suficiente para valorar las garantías, sin acceso a secretos que comprometan la seguridad o a datos de otros clientes. No se declara una certificación ni una disponibilidad absoluta.

El cliente gestiona los permisos de sus usuarios, protege su equipo y red y colabora en actualizaciones necesarias. Esa colaboración no sustituye las obligaciones propias del prestador.

8. Violaciones de seguridad

El prestador notificará al responsable o, en una cadena de encargo, al cliente autorizado sin dilación indebida desde que tenga conocimiento de una violación de datos personales que afecte al encargo. La información incluirá, en la medida disponible, naturaleza, categorías y volumen aproximado de afectados o registros, consecuencias, medidas adoptadas o propuestas y contacto para seguimiento.

La información podrá completarse progresivamente sin retrasar injustificadamente la notificación inicial. El prestador colaborará en la contención y documentación y en las notificaciones que correspondan al responsable. No se atribuye al encargado un plazo automático de espera de setenta y dos horas.

9. Derechos de interesados

El encargado asistirá razonablemente al responsable en solicitudes de derechos. Cuando reciba una solicitud sobre datos gestionados por un cliente, la trasladará al responsable salvo prohibición legal.

10. Asistencia y cumplimiento

El prestador asistirá al responsable mediante medidas apropiadas, teniendo en cuenta el tratamiento y la información disponible, en atención de derechos, seguridad, gestión de brechas, evaluaciones de impacto y consultas previas. Facilitará la información necesaria para acreditar el cumplimiento de este encargo.

Si el cliente actúa como encargado, trasladará la asistencia al responsable que corresponda. Las actuaciones adicionales se coordinarán de forma proporcionada; su organización o coste no podrán vaciar las obligaciones legales de asistencia.

11. Información, auditorías e inspecciones

El prestador pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento y permitirá y contribuirá a auditorías e inspecciones realizadas por este o por un auditor autorizado, conforme al artículo 28 del RGPD.

Las revisiones ordinarias se coordinarán con preaviso razonable, alcance proporcionado, confidencialidad y protección de datos de otros clientes, procurando evitar duplicidades. Estas reglas no imponen un máximo anual absoluto ni impiden actuaciones adicionales justificadas por incidentes, dudas fundadas o requerimientos de autoridad.

Los costes y la forma de realizar la revisión se acordarán razonablemente sin convertirlos en un obstáculo al ejercicio efectivo de las facultades legales.

12. Subencargados

La autorización general de subencargo comprende únicamente los proveedores y tratamientos suficientemente identificados en la relación de proveedores aplicable a la aceptación. Los proveedores para fines propios del prestador no se convierten por ello en subencargados de datos operativos.

Antes de incorporar o sustituir un subencargado se informará por escrito, con identidad, función y datos pertinentes y con antelación suficiente para valorar y formular oposición fundada. Se buscará una solución antes del cambio; si no es viable, se organizará la terminación de la parte afectada y la devolución o supresión conforme al contrato y a la ley.

Se impondrán por contrato obligaciones de protección equivalentes a las aplicables a la actividad subcontratada. El prestador seguirá respondiendo frente al responsable del cumplimiento de su subencargado en los términos del RGPD. Una referencia genérica a un proveedor no subsana la falta de contrato o de garantía de transferencia aplicable.

Las ubicaciones de las cuentas y los servicios indicados proceden de los hechos comunicados por el titular. El contraste de contratos públicos se realizó el 25 de septiembre de 2026. DPA significa acuerdo de tratamiento de datos; CCT, cláusulas contractuales tipo; DPF, Marco de Privacidad de Datos. Se mantienen separados los tratamientos propios de PudoManager y los realizados por cuenta de tiendas.

Brevo — configuración de correo transaccional, 25-09-2026: seguimiento de aperturas y clics en modo anónimo, sin asociación a contactos específicos; registros de envío conservados durante un mes y eliminados automáticamente; no se guardan vistas previas del contenido de los nuevos correos transaccionales. Estas opciones no equivalen a desactivar el seguimiento ni a eliminar todos los datos personales tratados para enviar un correo.

Brevo — reglas del proveedor: el §8.1 del DPA establece el plazo de cien días tras el fin del contrato con Brevo para destruir o anonimizar los datos, con las salvedades de sus §§8.2–8.3. El §5.3 establece la notificación de brechas al cliente en un máximo de setenta y dos horas desde que Brevo tenga conocimiento. Son reglas del contrato con Brevo; no modifican los plazos, obligaciones ni retirada local de PudoManager.

Backblaze — medida documentada: las capturas muestran el bucket privado con cifrado habilitado y archivos .tar.gz.enc con sus archivos .sha256. El cifrado en origen y el control exclusivo de la clave son hechos declarados por el titular. Se toma como referencia el caso de uso 1 del anexo 2, §84, de las Recomendaciones 01/2020 del CEPD, versión 2.0 de 18-06-2021. El cifrado complementa la protección; no sustituye por sí solo el encaje contractual de la cadena de subencargo.

Backblaze — configuración comunicada: rotación de siete copias diarias, tres semanales y dos mensuales; regla de ciclo de vida aplicada el 19-09-2026 para eliminar las versiones dadas de baja a los siete días. Se mantiene el plazo máximo de ocho días publicado en soporte y actualizaciones, sin modificar las reglas de retirada local.

El detalle y los avisos de esta lista coinciden con la relación de proveedores. Las entidades dedicadas a tratamientos propios solo intervienen en el encargo de las tiendas si realizan efectivamente ese tratamiento.

13. Transferencias internacionales

No se realizarán transferencias fuera del EEE al margen de instrucciones documentadas y de un mecanismo válido, salvo obligación legal en los términos del apartado 5. Se verificará la correspondencia entre entidades, países, operaciones y garantías, incluida la cadena de subencargo y, cuando proceda, evaluaciones y medidas complementarias.

El prestador conservará evidencia de las garantías aplicables y facilitará información y acceso a una copia cuando se solicite, respetando la seguridad y los derechos de terceros. No se presume que una certificación o un contrato público del proveedor cubra automáticamente el servicio o la cuenta concreta.

14. Devolución y supresión al finalizar

Una vez finalicen los servicios de tratamiento, a elección del responsable se devolverán los datos personales disponibles o se suprimirán, y se eliminarán las copias existentes salvo conservación legal obligatoria. La solicitud puede dirigirse a hola@pudomanager.com; se verificará la identidad y se coordinará una entrega segura o la supresión.

La falta de licencia operativa no impedirá una vía efectiva de tramitar esta elección. Se documentarán alcance, formato disponible, plazo y finalización. Los backups residuales quedarán fuera de uso ordinario hasta su supresión dentro del ciclo técnico identificado y comunicado; si se restauran por continuidad, se reaplicarán las supresiones e instrucciones vigentes.

Los datos conservados por obligación legal estarán separados o bloqueados frente a usos incompatibles. Las copias exportadas al cliente fuera del ámbito administrado por PudoManager quedan bajo el control e instrucciones del responsable, sin que este anexo habilite su destrucción remota.

Las copias externas se conservan en rotación de 7 diarias, 3 semanales y 2 mensuales, cifradas; las que salen de la rotación se eliminan de forma definitiva en un plazo máximo de 8 días.

15. Responsabilidad

Cada parte responde de sus obligaciones según su papel y la normativa aplicable. Ninguna limitación comercial restringe los derechos de los interesados, la responsabilidad inderogable del RGPD o las facultades de las autoridades. La responsabilidad del prestador por sus subencargados se mantiene en los términos del artículo 28.

16. Vigencia y modificaciones

El anexo entra en vigor con la aceptación aplicable y, en todo caso, debe estar formalizado antes del primer tratamiento por cuenta del cliente. La prueba con datos reales queda plenamente cubierta.

Los cambios sustanciales se comunicarán y, cuando proceda, se obtendrá la aceptación o instrucción necesaria antes de aplicarlos. Se conservarán las versiones correspondientes. Publicar un nuevo texto no sustituye las instrucciones ya existentes ni permite aplicar retroactivamente una política destructiva.

17. Instrucción específica de retirada local

La retirada local prevista a los cien días completos y su posible repetición cada siete días no sustituyen la elección del responsable prevista en el apartado 14. Solo podrán ejecutarse si concurren íntegramente las condiciones del apartado 25 de las condiciones del servicio.

La instrucción documentada deberá delimitar los datos, copias y ámbito controlado, expresar la posible irreversibilidad y permitir ejercer efectivamente la devolución o supresión. Puede documentarse al contratar, sin necesidad de repetir una autorización idéntica para cada actuación comprendida en ella, siempre que siga siendo válida y no concurra una instrucción posterior incompatible.

Si el cliente actúa por cuenta de un transportista u otro tercero, la instrucción debe estar autorizada por el responsable competente. No basta que el establecimiento acepte una condición que exceda sus facultades.

Sin instrucción aplicable, con devolución pendiente o cuando no pueda acreditarse el cumplimiento de los requisitos, la cláusula no habilita una retirada automática. No afecta a archivos ajenos ni copias exportadas fuera del ámbito controlado. No se aplicará a contratos anteriores por la mera publicación de este documento.