Subencargados y destinatarios

Para qué sirve esta página

Aquí se encuentran dos obligaciones. El artículo 13.1.e del RGPD nos obliga a decirte quién recibe datos personales. El artículo 28.2 nos obliga a avisar a nuestros clientes antes de dejar que un nuevo subencargado se acerque a los datos que nos confían. Un registro publicado cumple las dos, y significa que ni tú ni un equipo de compras tenéis que pedirnos una lista.

Esta página es el anexo 3 del acuerdo de tratamiento de datos. Es el mismo registro, generado desde la misma fuente.

Cómo leer los dos roles

Encargado — actúa solo siguiendo nuestras instrucciones documentadas, con un contrato escrito que traslada todas las obligaciones que tenemos contigo, incluidas las medidas de seguridad y las garantías de transferencia. Seguimos siendo plenamente responsables de lo que hace. Son subencargados en el sentido del artículo 28.4.

Responsable independiente — recibe datos personales pero decide sus propias finalidades para al menos parte de lo que hace, por lo que no es subencargado nuestro y no podemos instruirlo. Tpay es el caso que importa: para ejecutar y liquidar un pago, y para cumplir sus propios deberes en materia de servicios de pago, prevención del blanqueo, contabilidad y normas de los esquemas de tarjetas, Tpay decide por sí misma. Publica su propia información de privacidad y tienes frente a ella todos los derechos del RGPD directamente, además de los que tienes frente a nosotros. Describir a Tpay como nuestro encargado sería cómodo e incorrecto.

Las reglas a las que nos sujetamos

• Mantenemos corta la lista. Cada proveedor es un sitio más por donde algo puede salir mal, así que uno nuevo tiene que ganarse su puesto. El registro entero se lee en un minuto; es deliberado.
• 30 días de aviso antes de un cambio. Antes de añadir o sustituir un subencargado, se avisa a los clientes con al menos 30 días de antelación, por correo o en el producto.
• Puedes oponerte. Por motivos razonables de protección de datos, dentro de esos 30 días. Si no encontramos una alternativa que funcione, puedes terminar la suscripción afectada sin penalización y recuperar el periodo prepagado no consumido. Oponerse no es un incumplimiento y no lo trataremos como tal.
• Las mismas obligaciones, hacia abajo. Cada contrato impone las obligaciones del acuerdo de tratamiento, incluidas las medidas de seguridad del anexo 2 y las cláusulas contractuales tipo cuando una transferencia las necesita.
• Nada de entrenar con tus datos. El proveedor de IA tiene contractualmente prohibido usar tus entradas o salidas para entrenar sus modelos.
• Publicamos lo que está en uso, no lo que podríamos usar. Un proveedor configurado pero desactivado no aparece aquí; cuando lo activemos, aparecerá, con aviso previo.

Transferencias fuera del EEE

Las filas marcadas con asterisco implican una transferencia a un tercer país o un acceso desde él. El instrumento de transferencia son las cláusulas contractuales tipo de la Comisión Europea — artículo 46.2.c del RGPD, suscritas con cada proveedor como parte de su acuerdo de tratamiento, respaldadas por una evaluación de impacto de la transferencia y por el cifrado, el control de acceso y la minimización del anexo 2. Cuando un proveedor tiene además certificación en el Marco de Privacidad de Datos UE–EE. UU., se aplica de forma complementaria; no nos apoyamos solo en ella.

Pídenos las cláusulas de un proveedor concreto y te las enviamos: [email protected].

Quién más puede ver datos personales, fuera de este registro

No todo destinatario es un proveedor tecnológico, así que para completar: nuestro asesor contable y fiscal, nuestro banco y —cuando necesitemos formular o defender una reclamación— abogados, auditores o aseguradoras. Las autoridades públicas reciben datos solo cuando una norma nos obliga a entregarlos, y comprobamos la base antes de responder en lugar de tratar una petición informal como una orden. La política de privacidad lo cubre todo.

El registro

Vigente a la fecha indicada al inicio de esta página.