Anexo de Tratamiento de Datos (DPA)
- Objeto y partes
- Funciones de las partes
- Instrucciones del Responsable
- Obligaciones del Encargado
- Confidencialidad del personal
- Medidas de seguridad
- Subencargados
- Asistencia en los derechos de los interesados
- Violaciones de seguridad
- Evaluaciones de impacto y consultas previas
- Transferencias internacionales
- Auditoría y acreditación
- Supresión o devolución al finalizar
- Responsabilidad
- Vigencia y modificaciones
- Anexo I — Detalles del tratamiento
- Anexo II — Medidas técnicas y organizativas
- Anexo III — Subencargados autorizados
1. Objeto y partes
El presente Anexo (el «DPA») regula el tratamiento de datos personales que EUROPEAN DIGITAL STORES, S.L., NIF B-70983770, con domicilio en Calle José Echegaray, 8, Edificio Alvia 3, oficinas 7 y 8, 28232 Las Rozas (Madrid), España («EDS» o el «Encargado»), realiza por cuenta del Cliente («el Responsable») como consecuencia de la prestación del servicio ULOX Business.
Este DPA forma parte integrante de las Condiciones del Servicio ULOX Business y se entiende suscrito con su aceptación. En caso de contradicción entre ambos documentos en materia de protección de datos, prevalece este DPA.
2. Funciones de las partes
El Responsable determina los fines y medios del tratamiento de los datos personales que él y sus Usuarios Autorizados incorporan al Servicio. El Encargado los trata únicamente por cuenta del Responsable y conforme a sus instrucciones.
Particularidad esencial: ULOX Business opera bajo un modelo de servidor ciego. El contenido que el Responsable incorpora al Servicio se cifra en el dispositivo del usuario antes de salir de él y el Encargado no dispone de las claves de descifrado. En consecuencia, respecto de ese contenido el Encargado presta un servicio de almacenamiento y transmisión de material cifrado ininteligible, sin capacidad técnica de acceso, lectura, indexación, copia legible ni extracción.
El Encargado actúa como responsable autónomo únicamente respecto de los datos de administración de la relación contractual (facturación, soporte y cumplimiento normativo), conforme a la Política de Privacidad Business.
3. Instrucciones del Responsable
El Encargado tratará los datos personales exclusivamente siguiendo las instrucciones documentadas del Responsable, que se entienden incorporadas en las Condiciones del Servicio, en este DPA y en la configuración que el Responsable realice del Servicio.
El Encargado informará al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos, pudiendo suspender su ejecución hasta que se aclare.
Cuando el Encargado esté obligado por el Derecho de la Unión o de un Estado miembro a un tratamiento distinto, informará al Responsable antes de llevarlo a cabo, salvo que dicho Derecho lo prohíba por razones de interés público.
4. Obligaciones del Encargado
El Encargado se obliga a:
- Tratar los datos únicamente para prestar el Servicio y conforme a las instrucciones del Responsable.
- No utilizar los datos para fines propios, ni para elaborar perfiles, entrenar modelos, publicidad o cesión a terceros.
- Mantener un registro de las categorías de actividades de tratamiento efectuadas por cuenta del Responsable (art. 30.2 RGPD).
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 RGPD.
- Cooperar con las autoridades de control en el ejercicio de sus funciones.
- Designar, cuando proceda, un delegado de protección de datos y comunicar su contacto.
5. Confidencialidad del personal
El Encargado garantiza que las personas autorizadas para tratar datos personales se han comprometido expresamente y por escrito a respetar la confidencialidad, o están sujetas a una obligación de confidencialidad de naturaleza estatutaria, y han recibido la formación necesaria. Este compromiso subsiste tras el fin de la relación.
El acceso del personal del Encargado se limita al mínimo imprescindible para operar la infraestructura y, por diseño, nunca alcanza al contenido cifrado del Responsable.
6. Medidas de seguridad
El Encargado aplica las medidas técnicas y organizativas apropiadas del art. 32 RGPD, descritas en el Anexo II, atendiendo al estado de la técnica, los costes de aplicación y la naturaleza, alcance, contexto y fines del tratamiento, así como a los riesgos para los derechos y libertades de las personas.
El Encargado podrá actualizar dichas medidas siempre que el nivel de seguridad resultante no sea inferior al descrito.
7. Subencargados
El Responsable otorga al Encargado autorización general para recurrir a los subencargados relacionados en el Anexo III.
El Encargado informará al Responsable de cualquier alta o sustitución de subencargado con una antelación mínima de treinta (30) días naturales, mediante comunicación al correo de contacto del Administrador o publicación en esta página. El Responsable podrá oponerse por motivos razonables y fundados en materia de protección de datos dentro de dicho plazo; de mantenerse la discrepancia, podrá resolver el contrato sin penalización respecto de los servicios afectados.
El Encargado impondrá a cada subencargado, mediante contrato, las mismas obligaciones de protección de datos que asume en este DPA, y responderá frente al Responsable del incumplimiento de aquel.
8. Asistencia en los derechos de los interesados
El Encargado asistirá al Responsable, en la medida de lo posible y mediante medidas técnicas y organizativas apropiadas, para atender las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, limitación, portabilidad y oposición).
El Responsable reconoce que, al no disponer el Encargado de las claves de descifrado, el ejercicio de los derechos sobre el contenido cifrado solo puede materializarlo el propio Responsable desde su panel de administración y con las credenciales de su organización. El Encargado no puede localizar, extraer, rectificar ni exportar información legible del contenido, y su asistencia se limitará a la supresión del material cifrado, a la información sobre metadatos técnicos y al apoyo en el uso de las herramientas del Servicio.
Si el Encargado recibe directamente una solicitud de un interesado relativa a datos tratados por cuenta del Responsable, la remitirá a este sin dilación indebida y se abstendrá de responder al fondo.
9. Violaciones de seguridad
El Encargado notificará al Responsable, sin dilación indebida y en todo caso dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento de ella, cualquier violación de la seguridad de los datos personales tratados por su cuenta, facilitando la información de que disponga: naturaleza del incidente, categorías y número aproximado de interesados y de registros afectados, consecuencias probables y medidas adoptadas o propuestas.
Corresponde al Responsable valorar la notificación a la autoridad de control y, en su caso, a los interesados. El Encargado prestará la asistencia razonable que se le solicite.
10. Evaluaciones de impacto y consultas previas
El Encargado prestará al Responsable la asistencia razonable para la realización de evaluaciones de impacto relativas a la protección de datos y para las consultas previas a la autoridad de control, en lo relativo a la información sobre el tratamiento que aquel realiza y las medidas de seguridad aplicadas.
11. Transferencias internacionales
El tratamiento se realiza íntegramente en servidores ubicados en la Unión Europea. El Encargado no transferirá datos personales fuera del Espacio Económico Europeo sin instrucción del Responsable, salvo en lo estrictamente necesario para los subencargados identificados en el Anexo III y siempre amparado en un mecanismo válido de transferencia (decisión de adecuación o Cláusulas Contractuales Tipo con medidas complementarias).
Cuando la transferencia afecte únicamente a material cifrado del que el destinatario no posee las claves, el cifrado de extremo a extremo actúa como medida complementaria eficaz.
12. Auditoría y acreditación
El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este DPA y permitirá auditorías, incluidas inspecciones, realizadas por el Responsable o por un auditor autorizado por él.
Las auditorías se realizarán con un preaviso mínimo de treinta (30) días naturales, en horario laboral, sin afectar a la operativa, con una periodicidad máxima anual —salvo requerimiento de una autoridad de control o incidente de seguridad acreditado—, previa firma de acuerdo de confidencialidad y a costa del Responsable. El Encargado podrá satisfacer esta obligación mediante la entrega de informes o certificaciones de terceros independientes, cuando resulten suficientes.
13. Supresión o devolución al finalizar
A la terminación de la prestación, el Encargado, a elección del Responsable, suprimirá o devolverá los datos personales tratados por su cuenta, y suprimirá las copias existentes, salvo que el Derecho aplicable exija su conservación.
El Responsable dispondrá del plazo de exportación previsto en las Condiciones del Servicio. La devolución solo puede materializarse mediante la exportación que realice el propio Responsable con sus credenciales, dado que el Encargado no puede producir una copia legible. Transcurrido dicho plazo, el Encargado suprimirá el material cifrado, incluido el existente en las copias de continuidad, conforme a sus ciclos de rotación, en un plazo máximo de noventa (90) días naturales.
14. Responsabilidad
Cada parte responderá de los daños causados por su propio incumplimiento de la normativa de protección de datos, en los términos del art. 82 RGPD. La responsabilidad del Encargado frente al Responsable derivada de este DPA queda sujeta a los límites de la cláusula de limitación de responsabilidad de las Condiciones del Servicio, salvo en lo que la ley imperativa no permita limitar.
15. Vigencia y modificaciones
Este DPA estará vigente mientras dure la prestación del Servicio y subsistirán tras su terminación las obligaciones de confidencialidad, supresión y colaboración que por su naturaleza deban perdurar. El Encargado podrá modificarlo para adecuarlo a cambios normativos o de sus subencargados, comunicándolo conforme al apartado 7.
16. Anexo I — Detalles del tratamiento
| Objeto | Prestación del servicio ULOX Business: espacio de trabajo corporativo cifrado de extremo a extremo (comunicación, archivos, bóveda de credenciales, documentos y gestión de usuarios). |
|---|---|
| Duración | La de la relación contractual, más los plazos de exportación y supresión previstos. |
| Naturaleza y finalidad | Alojamiento, transmisión, sincronización y conservación de material cifrado; gestión de identidades corporativas y de la capacidad contratada; envío de comunicaciones transaccionales. |
| Tipo de datos personales | Contenido: exclusivamente en forma cifrada e ininteligible para el Encargado (puede contener cualquier categoría que el Responsable decida incorporar). Datos de servicio: índice cegado del correo corporativo, pseudónimos criptográficos opacos, marcas de tiempo de conexión, rol y estado de la credencial, y datos técnicos mínimos de operación. |
| Categorías de interesados | Usuarios Autorizados del Responsable (empleados, colaboradores) y terceros invitados por este. |
| Categorías especiales | El Responsable puede incorporarlas bajo su exclusiva decisión y responsabilidad. Al viajar cifradas de extremo a extremo, el Encargado no puede identificarlas ni tratarlas. |
17. Anexo II — Medidas técnicas y organizativas
- Cifrado de extremo a extremo: el contenido se cifra en el dispositivo del usuario antes de la transmisión. El Encargado no posee ni puede derivar las claves.
- Autenticación sin conocimiento de la contraseña: el acceso emplea un protocolo de acuerdo de clave autenticado por contraseña (aPAKE/OPAQUE), de modo que la contraseña nunca viaja ni se almacena, ni siquiera cifrada o resumida de forma reversible.
- Identificadores opacos: las identidades dentro de un espacio son pseudónimos criptográficos que no permiten al servidor correlacionarlos con la identidad personal del usuario.
- Minimización: el correo corporativo se almacena únicamente como índice cegado por organización; el correo en claro se elimina tras el envío de la invitación.
- Cifrado en tránsito: TLS con certificados válidos en todas las conexiones.
- Segundo factor: disponible para las credenciales corporativas (TOTP y claves de seguridad WebAuthn), con posibilidad de exigirlo a los administradores.
- Control de acceso interno: acceso a la infraestructura limitado por clave, restringido al personal imprescindible y registrado.
- Ubicación: servidores en la Unión Europea.
- Continuidad: réplica periódica y copias de la infraestructura sobre material cifrado, con supervisión automatizada y alertas. No constituyen un servicio de archivo del Responsable (véase la cláusula 10 de las Condiciones).
- Registro de actividad de gobierno: las acciones de administración del espacio quedan registradas en un log de auditoría accesible al Responsable.
- Gestión de vulnerabilidades: actualización de dependencias y revisión periódica de la superficie expuesta.
- Segregación: cada organización opera con material criptográfico propio, sin claves compartidas entre clientes.
18. Anexo III — Subencargados autorizados
| Subencargado | Servicio | Ubicación |
|---|---|---|
| IONOS SE / IONOS Cloud | Infraestructura de servidores y almacenamiento | Unión Europea |
| SMTP2GO | Entrega de correo transaccional (invitaciones y códigos de verificación). No accede a contenido cifrado. | UE / EE. UU. con garantías adecuadas |
| Stripe Payments Europe, Ltd. | Procesamiento de pagos y facturación del Servicio | Unión Europea |
| Apple Inc. · Google LLC | Entrega de notificaciones push a dispositivos móviles. Las notificaciones no incluyen contenido de mensajes. | EE. UU. con garantías adecuadas |
La relación vigente de subencargados es la publicada en esta página. El Responsable puede solicitar su comunicación por escrito en legal@ulox.org.