Acuerdo de tratamiento de datos
Acuerdo conforme al art. 28 del Reglamento UE 2016/679 (RGPD) entre la cuenta que usa Preventivatoree, responsable del tratamiento, y Margherita Mariotti, con domicilio en Via Natale Tamburini 54, Lamporecchio (PT), Italia, partita IVA (número de IVA italiano) 07070020487, que presta Preventivatoree, encargada del tratamiento. Forma parte de los Términos del servicio y se aplica desde la apertura de la cuenta, prueba gratuita incluida.
Última actualización: 14 de octubre de 2026
1. Objeto y duración
La encargada trata datos personales por cuenta del responsable solo para prestar el servicio descrito en los Términos del servicio. El acuerdo dura mientras la encargada conserve datos de la cuenta, por lo tanto también después del fin del servicio y hasta la devolución o supresión (artículo 9).
2. Naturaleza y finalidad del tratamiento
Conservación, consulta, elaboración, publicación en los enlaces elegidos por el responsable y supresión de los datos introducidos en la cuenta, para escribir y enviar presupuestos, recoger la aceptación online, producir el PDF y medir la lectura de los presupuestos. El tratamiento se realiza solo siguiendo instrucciones documentadas del responsable: son instrucciones los Términos del servicio, este acuerdo y el uso que el responsable hace del servicio, incluido el de los asistentes de IA que conecta.
3. Categorías de datos y de interesados
Interesados: los clientes del responsable y las personas de contacto indicadas en sus fichas y en los presupuestos.
Categorías de datos personales tratados:
- nombre y apellidos, razón social, direcciones, email, teléfono y otros contactos;
- número de IVA (partita IVA), código fiscal (codice fiscale), código SDI, PEC y otros datos fiscales;
- contenido de los presupuestos, servicios e importes propuestos, y las notas que escribe el responsable;
- estadísticas de lectura descritas en la información para quien recibe un presupuesto: día, duración, acciones en la página, tipo de dispositivo, navegador, idioma y país, sitio de procedencia, sin dirección IP;
- el registro de la aceptación: nombre escrito, fecha y hora, elecciones, dirección IP, país, navegador y código de verificación.
El responsable no debe introducir categorías especiales de datos (artículo 9 del Reglamento) ni datos relativos a condenas penales, salvo que sean estrictamente necesarios y lo comunique a la encargada.
Los datos del usuario de la cuenta (email, nombre, sesiones, facturación) los trata el proveedor como responsable, según la Política de privacidad, y no son objeto de este acuerdo.
4. Obligaciones de la encargada
La encargada:
- trata los datos solo siguiendo instrucciones documentadas del responsable, y le avisa si considera que una instrucción infringe la normativa;
- garantiza que las personas autorizadas para el tratamiento estén sujetas a confidencialidad;
- adopta las medidas de seguridad del artículo 6;
- respeta las condiciones del artículo 5 para los subencargados;
- asiste al responsable según lo previsto en los artículos 7 y 8;
- no usa los datos para fines propios y no los vende ni los cede;
- pone a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones (artículo 10).
El responsable sigue siendo responsable de contar con una base jurídica para los datos que introduce, de informar a sus propios clientes y de usar el servicio de forma lícita. Preventivatoree muestra a los lectores de un presupuesto la información general indicada en el artículo 3; el responsable puede completarla.
5. Subencargados
El responsable da a la encargada una autorización escrita general para recurrir a los subencargados siguientes. Con cada uno, la encargada tiene un contrato que impone obligaciones de protección de datos equivalentes a estas.
| Subencargado | Actividad | Datos | Dónde y garantías |
|---|---|---|---|
| Cloudflare, Inc. | Alojamiento de la aplicación, base de datos D1, almacén R2 de imágenes | Todos los datos de la cuenta | Base de datos en Europa occidental. EU-U.S. Data Privacy Framework y cláusulas contractuales tipo |
| Google LLC (Google Ireland Limited) | Acceso del usuario con Google | Solo datos del usuario, no de los clientes del responsable | Irlanda y EE. UU. Data Privacy Framework y cláusulas contractuales tipo |
| Resend, Inc. | Envío de los emails de acceso y de servicio | Dirección de email del usuario y texto del mensaje, no datos de los clientes del responsable | Unión Europea (Irlanda); Resend es una sociedad estadounidense. Data Privacy Framework y cláusulas contractuales tipo |
| Stripe Payments Europe, Ltd. y Stripe, Inc. | Pagos y suscripción | Solo datos de pago y facturación del usuario | Irlanda y EE. UU. Data Privacy Framework y cláusulas contractuales tipo |
| TeamSystem (Fatture in Cloud) | Emisión y envío de las facturas del servicio | Solo datos de facturación del usuario | Italia |
Los tres últimos tratan únicamente datos del usuario y no de los clientes del responsable, y se indican por transparencia. Los asistentes de IA que el responsable conecta (Claude, ChatGPT, Gemini) no son subencargados nuestros: los elige y los instruye el responsable, que responde de la relación con ellos. La encargada les envía solo lo que piden a través de la conexión.
Modificaciones: la encargada avisa al responsable por email al menos 30 días antes de añadir o sustituir un subencargado. El responsable puede oponerse por motivos relacionados con la protección de datos escribiendo dentro de ese plazo; si no se encuentra una solución, puede cerrar la cuenta.
6. Medidas de seguridad
La encargada aplica las medidas siguientes, que hoy están presentes en el servicio:
- los enlaces públicos de los presupuestos usan códigos aleatorios de 192 bits, que no se pueden adivinar ni enumerar; las páginas de los presupuestos no son indexadas por los motores de búsqueda;
- conexiones solo en HTTPS, con HSTS;
- política de seguridad de contenidos (CSP) restrictiva: scripts solo del propio sitio, nunca en línea, ningún servicio de terceros en las páginas, ninguna incrustación en otros sitios;
- acceso con Google o con enlace de un solo uso por email válido 15 minutos, sin contraseña que custodiar; sesiones en cookies protegidas, no legibles por los scripts de la página;
- conexión de los asistentes de IA con OAuth 2.1, con revocación en cualquier momento;
- aislamiento entre cuentas: cada operación sobre los datos se limita a la cuenta que la solicita y está cubierta por pruebas automáticas;
- los presupuestos aceptados no se pueden modificar: lo impone la propia base de datos;
- cifrado en reposo de los datos de la base de datos, gestionado por Cloudflare;
- estadísticas de lectura sin dirección IP, con un código anónimo calculado con una clave diaria que se borra al día siguiente, y supresión automática tras 13 meses;
- acceso del personal a los datos de la cuenta solo cuando es necesario para prestar asistencia o resolver un problema.
7. Asistencia al responsable para las solicitudes de los interesados
La encargada remite sin demora al responsable las solicitudes recibidas directamente de los interesados y no responde salvo por instrucción del responsable. El responsable puede ejercer por sí mismo gran parte de los derechos desde la página de gestión (consultar, corregir, suprimir fichas y presupuestos, excluidos los registros de aceptación inmodificables). Para el resto, la encargada asiste al responsable con medidas técnicas y organizativas adecuadas, en plazos compatibles con los del Reglamento. El responsable puede pedir que se supriman las estadísticas de lectura de un presupuesto.
8. Violación de datos personales
La encargada avisa al responsable por email, sin dilación indebida y en todo caso en un plazo de 48 horas desde que tenga conocimiento, de cualquier violación de datos personales que afecte a los datos de la cuenta. El aviso describe, en la medida en que se conozca, la naturaleza de la violación, las categorías y el número aproximado de interesados y de datos afectados, las consecuencias probables y las medidas adoptadas o propuestas, de modo que el responsable pueda notificar al Garante (la autoridad italiana de protección de datos) en 72 horas, si procede, e informar a los interesados.
9. Devolución o supresión al final del contrato
Al final del contrato, a solicitud escrita del responsable (email a hello@preventivator.ee), la encargada devuelve los datos personales en un formato de uso común o los suprime, a elección del responsable, y elimina las copias existentes, salvo que la ley imponga su conservación. Sin solicitud, los datos se suprimen al final del periodo de conservación indicado en los Términos del servicio (12 meses). La devolución o la supresión la gestiona a mano la encargada, no una función del servicio.
10. Auditorías
La encargada responde a las solicitudes del responsable de información necesaria para demostrar el cumplimiento de este acuerdo. Si no bastan, permite auditorías, incluidas inspecciones, realizadas por el responsable o por un auditor encargado por él, con un preaviso de al menos 30 días, en horario laboral, sin obstaculizar el servicio, y sujetando a quien audita a confidencialidad. Las auditorías no pueden afectar a los datos de otras cuentas. Los costes corren a cargo del responsable, salvo que se detecten infracciones graves.
11. Ley aplicable
Rigen la ley italiana y el foro indicados en los Términos del servicio.