Este Anexo regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD), el tratamiento de datos personales que YDesign Systems LTD. («Nombrai», el «Encargado») realiza por cuenta del Cliente (el «Responsable») al prestar el servicio de creación, alojamiento y mantenimiento de su sitio web. Forma parte integrante de las Condiciones Generales de Contratación y se acepta junto con ellas.

1. Objeto y duración

El Encargado tratará los datos personales de los visitantes y clientes finales del sitio web del Responsable únicamente en la medida necesaria para prestar el Servicio: alojar y servir el sitio, recibir y entregar al Responsable los mensajes de sus formularios de contacto y solicitudes de reserva, y elaborar estadísticas de visitas. La duración del encargo coincide con la vigencia del contrato de servicio.

2. Naturaleza y tipos de datos

• Interesados: visitantes del sitio web del Responsable y sus clientes o clientes potenciales.
• Tipos de datos: datos identificativos y de contacto facilitados en los formularios (nombre, correo electrónico, teléfono, contenido del mensaje) y datos técnicos de navegación (dirección IP, agente de usuario) tratados de forma efímera para servir el sitio, protegerlo frente a abusos y contar visitas de forma agregada.
• Categorías especiales: el Servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD). El Responsable se obliga a no solicitar ni promover su envío a través de su sitio.

3. Obligaciones del Encargado

Nombrai, como Encargado:

• tratará los datos únicamente siguiendo las instrucciones documentadas del Responsable, que se materializan en la configuración del Servicio y en el propio contrato, y le informará si considera que alguna instrucción infringe el RGPD;
• garantiza que las personas autorizadas a tratar datos están sujetas a un deber de confidencialidad;
• aplica las medidas técnicas y organizativas apropiadas (art. 32 RGPD), entre ellas: cifrado del tráfico (TLS), aislamiento de los datos de cada cliente mediante controles de acceso a nivel de fila en la base de datos, control de acceso con privilegios mínimos, registro de cambios del sitio, copias e instantáneas que permiten restaurar versiones, y limitación y filtrado de las peticiones para prevenir abusos;
• asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento, en la atención de los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad) y en el cumplimiento de sus obligaciones de seguridad, notificación de violaciones y evaluaciones de impacto;
• notificará al Responsable sin dilación indebida las violaciones de seguridad de los datos personales de las que tenga conocimiento, facilitando la información disponible sobre su naturaleza, alcance y medidas adoptadas;
• pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Anexo y permitirá auditorías razonables, con un preaviso mínimo de 15 días, una vez al año como máximo y a costa del Responsable, siempre que no comprometan la seguridad ni la confidencialidad de datos de otros clientes.

4. Subencargados

El Responsable autoriza de forma general la contratación de los subencargados necesarios para prestar el Servicio. La lista vigente es la siguiente; informaremos por correo electrónico de cualquier adición o sustitución con al menos 15 días de antelación, plazo en el que el Responsable podrá oponerse por motivos razonables (la oposición podrá implicar la imposibilidad de seguir prestando el Servicio):

• Vercel Inc. (EE. UU.) — infraestructura de alojamiento y entrega del sitio (CDN).
• Supabase, Inc. (EE. UU.) — base de datos donde se almacenan el contenido del sitio y los mensajes recibidos.
• Resend, Inc. (EE. UU.) — envío por correo electrónico al Responsable de los mensajes recibidos en sus formularios.
• Functional Software, Inc. (Sentry) (EE. UU.) — monitorización técnica de errores de la plataforma.

Todos los subencargados están sujetos a obligaciones equivalentes a las de este Anexo. Cuando el tratamiento implique transferencias fuera del Espacio Económico Europeo, estas se amparan en la decisión de adecuación del EU-US Data Privacy Framework (los proveedores indicados están certificados) y, adicionalmente, en las Cláusulas Contractuales Tipo de la Comisión Europea.

5. Obligaciones del Responsable

El Responsable, como titular de su sitio web y de la relación con sus visitantes:

• garantiza que dispone de base jurídica para los tratamientos que realiza a través de su sitio y que facilita a los interesados la información exigida por los arts. 13 y 14 RGPD (el Servicio genera textos de privacidad y cookies como ayuda, pero su revisión y adecuación corresponden al Responsable);
• atenderá las solicitudes de derechos que reciba de sus visitantes;
• no usará el Servicio para tratar datos más allá de lo descrito en este Anexo.

6. Fin del encargo

Al terminar el contrato, el Responsable podrá exportar los datos (mensajes y contenido) durante los 30 días siguientes. Transcurridos 90 días desde la terminación, el Encargado suprimirá los datos personales tratados por cuenta del Responsable, salvo que una norma exija su conservación, en cuyo caso permanecerán bloqueados el tiempo legalmente exigido.

7. Contacto

Para cualquier cuestión sobre este Anexo: privacidad@nombrai.com.