Encargo del tratamiento (art. 28 del RGPD)

En cuanto usted trata a través de KENJTEC datos de otras personas — los miembros de su área de acceso, las respuestas a sus formularios, los pedidos de su tienda, los destinatarios de sus facturas —, usted es el responsable del tratamiento en el sentido del RGPD y nosotros somos su encargado del tratamiento. Este contrato regula qué podemos hacer y qué le debemos. Se aplica de forma complementaria a las condiciones generales y pasa a formar parte del contrato con su aceptación de estas.

No afecta a los datos de su propia cuenta ni a sus datos de facturación. De esos somos nosotros mismos los responsables; lo que ocurre con ellos figura en la política de privacidad.

1. Objeto, duración, naturaleza y finalidad

El objeto es la prestación de los servicios de KENJTEC, en la medida en que usted introduzca datos personales de terceros o haga que se recojan. La finalidad es únicamente la prestación de esos servicios para usted — nosotros no perseguimos con ello finalidades propias.

Duración: el presente contrato rige mientras esté vigente su contrato sobre el servicio correspondiente y termina con él.

Naturaleza del tratamiento: recogida, conservación, visualización, envío, modificación y supresión — en la medida en que lo prevean las funciones que usted utilice.

2. Interesados y categorías de datos

Qué datos se generan lo decide usted con las funciones que utiliza. A día de hoy son estos:

• Miembros de su área de acceso: dirección de correo electrónico, nombre (voluntario), los grupos que usted asigne, el estado (solicitado/miembro/bloqueado) y los momentos del alta, la invitación, la confirmación y el último acceso.
• Personas que rellenan sus formularios: todos los campos que usted mismo haya creado, así como los archivos subidos y las firmas.
• Compradores de su tienda: nombre, dirección de correo electrónico, dirección de entrega y de facturación, estado del pedido y del pago. Los datos de pago en sí nunca llegan hasta nosotros — se tramitan directamente a través de su propia cuenta de pagos.
• Destinatarios de sus facturas y presupuestos: nombre, dirección postal, dirección de correo electrónico, datos del documento.
• Visitantes de sus páginas: dirección IP y datos técnicos, en la medida necesaria para la entrega.

Qué archivo va dónde. La biblioteca de medios (MediaStudio) está pensada para publicar: lo que contiene se entrega a través de una dirección pública — rápido, en caché y legible para los buscadores; la única protección es un nombre de archivo imposible de adivinar. Es intencionado, no una carencia. Por eso los documentos comerciales confidenciales pertenecen al almacenamiento de BusinessCloud, que está detrás de su inicio de sesión. Lo advertimos en la herramienta antes de cada subida.

3. Instrucciones

Tratamos los datos exclusivamente siguiendo sus instrucciones documentadas. Tienen esa consideración el presente contrato, las condiciones generales y los ajustes que usted realice en su cuenta — cada ajuste es una instrucción.

Si el Derecho de la Unión o el Derecho alemán nos obligan a un tratamiento, se lo comunicaremos previamente, salvo que la ley lo prohíba.

Si consideramos que una instrucción es contraria a Derecho, se lo diremos y podremos suspender su ejecución.

4. Confidencialidad

Todas las personas que tienen acceso a estos datos en nuestra organización están obligadas a la confidencialidad. KENJTEC se explota actualmente sin personal empleado; solo tienen acceso la dirección y los prestadores de servicios expresamente encargados, que a su vez están vinculados contractualmente.

5. Seguridad del tratamiento (art. 32)

Adoptamos las medidas siguientes. Se enumera lo que está realmente implantado — no lo que suena habitual:

• Transmisión solo cifrada. Todas las llamadas se realizan a través de TLS; las conexiones sin cifrar se redirigen.
• Las contraseñas no se almacenan nunca en texto claro, sino únicamente como valor de verificación de un procedimiento previsto para ello (bcrypt).
• Separación por cuentas. Cada consulta está vinculada a la cuenta a la que pertenecen los datos; los registros ajenos se comportan como si no existieran.
• Restricción de acceso. Las cuentas de administración requieren un segundo factor.
• Los enlaces de acceso al área de miembros son válidos durante una hora y las sesiones durante treinta días; ambos pueden revocarse en cualquier momento.
• Límites de volumen contra el uso indebido: como máximo 30 nuevos miembros por hora y 5.000 miembros por sitio web; si se alcanza el límite horario, el sistema pasa por sí mismo el alta a aprobación por parte de usted.
• Copia de seguridad y capacidad de restauración. La base de datos se copia a diario (14 versiones, almacenadas en varias regiones de la UE), con restauración a un momento dado durante siete días; la instancia funciona con un segundo nodo en otra zona.
• Los secretos (claves, credenciales) se guardan en una bóveda propia, nunca en el código fuente.

Con franqueza: los datos están cifrados en los soportes de datos de los proveedores, no adicionalmente a nivel de aplicación. Quien en nuestra organización accede legítimamente a la base de datos ve las direcciones en texto claro. Los accesos de la dirección a las listas de miembros no se registran actualmente de forma específica.

6. Subencargados del tratamiento

Usted consiente el recurso a los siguientes subencargados del tratamiento. Celebramos con ellos contratos que les imponen las mismas obligaciones que nosotros asumimos frente a usted, y le informamos de cualquier cambio con la antelación suficiente para que pueda oponerse.

• Google Cloud (Google Cloud EMEA Limited, Irlanda) — explotación y base de datos en la región europe-west1 (Bélgica), copias de seguridad en varias regiones de la UE. Todos los datos del presente contrato, salvo que a continuación se indique otra cosa. Además, la IA a través de Vertex AI (Gemini) en la multirregión de la UE: se transmite lo que usted entrega a la IA — pueden ser textos, imágenes y, para su análisis, respuestas de formularios.
• Cloudflare (Cloudflare, Inc., EE. UU.) — entrega y protección de todas las llamadas (red mundial), así como almacenamiento de los archivos multimedia bajo jurisdicción de la UE (R2). Trata las direcciones IP de los visitantes y los archivos almacenados.
• Anthropic (Anthropic Ireland, Limited, Irlanda; sociedad matriz Anthropic, PBC, EE. UU.) — las funciones de IA que no se ejecutan a través de Google (por ejemplo, generar un sitio web, un formulario o una tienda), y el respaldo cuando Google no responde. Se transmite lo que usted entrega a la IA; pueden ser contenidos de formularios e imágenes. Esta transmisión va a los Estados Unidos; el cálculo de las respuestas puede realizarse también en otros países.
• Mistral AI (Mistral AI SAS, Francia) — funciones de IA a través del acceso europeo, tratamiento en la UE. Se transmite lo que usted entrega a la IA; pueden ser contenidos de formularios e imágenes.
• OpenAI (OpenAI Ireland Limited, Irlanda) — funciones de IA. Se transmite lo que usted entrega a la IA; pueden ser contenidos de formularios e imágenes. Esta transmisión va a los Estados Unidos.
• Amazon Web Services (Amazon Web Services EMEA SARL, Luxemburgo), región eu-central-1 (Fráncfort) — revisión automática de imágenes en busca de contenidos abusivos a su entrada: en la biblioteca de medios (también archivos PDF, además de palabras clave para la búsqueda), en los formularios (también las imágenes y las firmas que suben sus visitantes), en los sitios web y como logotipo en facturas y presupuestos. Se transmite una copia reducida (como máximo 1.024 píxeles en el lado más largo), no el original. Según las condiciones de AWS, AWS puede almacenar dichas entradas y utilizarlas para mejorar sus servicios, también en otra región, mientras no se formule oposición a ello; la indicación de si esta oposición está configurada para nuestra cuenta se completará.
• Mailjet (Mailjet SAS, Francia) — envío de los correos del sistema y de notificación. Trata las direcciones de los destinatarios, es decir, también las de sus miembros, compradores y destinatarios de facturas.
• Stripe — facturación de su contrato con KENJTEC. Los pagos de su tienda se tramitan a través de su propia cuenta de Stripe y no a través de nosotros.
• Tucows (OpenSRS), Canadá — registro de dominios. Trata los datos del titular que usted indique para un dominio. Esta transmisión va a Canadá.
• Bunny Fonts (BunnyWay d.o.o., Eslovenia) — entrega de las tipografías. El navegador de sus visitantes se conecta para ello con fonts.bunny.net.

Transferencias a terceros países: a Anthropic (EE. UU.), sobre la base de las cláusulas contractuales tipo de la Comisión Europea que contiene el contrato de encargo del tratamiento de Anthropic; a OpenAI (EE. UU.), sobre la base de las cláusulas contractuales tipo que contiene el contrato de encargo del tratamiento de OpenAI; a Tucows (Canadá), sobre la base de la decisión de adecuación para Canadá; en la medida en que Google, Cloudflare y Amazon Web Services transmitan datos a EE. UU., sobre la base del EU-US Data Privacy Framework y, subsidiariamente, de las cláusulas contractuales tipo. Una parte de las tareas de IA se ejecuta a través de Google en la UE; las demás tareas y el respaldo se ejecutan a través de Anthropic (almacenamiento en EE. UU.) — las funciones de IA no pueden limitarse actualmente a la UE. Se ejecutan exclusivamente a petición suya: sin un clic por su parte, ningún contenido llega a un servicio de IA — no hay tratamiento en segundo plano ni al subir archivos. Lo único que se ejecuta por sí solo al subir archivos es la revisión de imágenes en Amazon Web Services en Fráncfort.

7. Asistencia en los derechos de los interesados

Si un interesado se dirige a nosotros en lugar de a usted, le remitimos a usted y no respondemos nosotros mismos.

Para el acceso, la rectificación y la supresión dispone de las funciones de su cuenta: puede modificar y eliminar miembros uno a uno, descargar la lista completa como tabla, exportar las respuestas de los formularios como tabla y eliminarlas una a una. Si las funciones no bastan, le asistimos previa solicitud.

Los miembros pueden darse de baja por sí mismos de su lista mediante el enlace que figura en cada correo de acceso. Esa supresión surte efecto de inmediato.

8. Asistencia en caso de incidentes y en la evaluación de impacto

Si tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a sus datos, se lo comunicaremos sin demora y le facilitaremos la información que necesite para su notificación conforme al art. 33 del RGPD. La notificación a la autoridad de control y, en su caso, a los interesados le corresponde a usted.

En una evaluación de impacto relativa a la protección de datos y en una consulta previa le asistimos con la información de la que disponemos.

9. Supresión y devolución

Una vez finalizado el tratamiento, suprimimos los datos o se los devolvemos — usted elige.

Devolución: la lista de miembros de un sitio web puede descargarla en cualquier momento como tabla; las respuestas de los formularios, igualmente. El documento de su sitio web, junto con las imágenes, se lo lleva con «Llevarse la página».

Supresión: si elimina un sitio web, su lista de miembros desaparece con él. El fin de un plan no suprime nada. Si hace eliminar su cuenta, desaparecen con ella sus sitios web junto con las listas de miembros, sus medios, tiendas e instalaciones de WordPress, como pronto 30 días después del fin del periodo contratado.

Mientras usted no suprima, conservamos los datos por tiempo indefinido, también después del fin de un plan — no hay supresión automática al vencer un plazo. Las obligaciones legales de conservación (en particular para los justificantes de facturación) permanecen inalteradas; esos justificantes los conservamos también tras una cancelación durante el plazo legal.

Con franqueza: al eliminar su cuenta no damos actualmente instrucción de supresión por nosotros mismos a nuestros subencargados del tratamiento. Los datos que hayan llegado a Mailjet (envío de correo) o a Stripe (facturación) están allí sujetos a los plazos propios de estos. Si desea la supresión también allí, escríbanos — nosotros la iniciamos.

10. Acreditación y verificaciones

Le ponemos a disposición, previa solicitud, la información necesaria para demostrar el cumplimiento de estas obligaciones y permitimos verificaciones. Las verificaciones se anuncian con un plazo razonable; no pueden perturbar indebidamente la explotación ni afectar a los datos de otros clientes.

11. Disposiciones finales

Se aplica el Derecho alemán. Si alguna disposición fuera inválida, el resto seguirá siendo válido.

Le comunicaremos las modificaciones; si no se opone en el plazo de cuatro semanas, se considerarán aceptadas. En la comunicación advertiremos expresamente de esta consecuencia.