Contrato de encargo del tratamiento (art. 28 del RGPD)

1. Partes y objeto

1.1 El responsable del tratamiento es el usuario (en adelante, el «Cliente»); el encargado del tratamiento es iBeekeeper UG (haftungsbeschränkt), Lessingstraße 4, 15345 Altlandsberg, Alemania (en adelante, «iBeekeeper»).

1.2 iBeekeeper trata datos personales por cuenta del Cliente en la medida en que este los almacene en el Servicio en el marco del contrato de uso (CGC). Duración: vigencia del contrato de uso más los plazos conforme a la cláusula 9.

2. Naturaleza, finalidad y alcance

3. Instrucciones

iBeekeeper trata los datos únicamente siguiendo instrucciones documentadas del Cliente. Las instrucciones quedan establecidas de forma exhaustiva en el contrato de uso y en los ajustes y funciones del Servicio que utiliza el Cliente. El Cliente imparte otras instrucciones en forma de texto a service@ibeekeeper.de. Si iBeekeeper considera que una instrucción es ilícita, iBeekeeper lo advertirá al Cliente sin demora (art. 28, apartado 3, párrafo segundo, RGPD).

4. Confidencialidad

iBeekeeper solo recurre a personas que se hayan comprometido a respetar la confidencialidad o que estén sujetas a una obligación legal de secreto.

5. Medidas técnicas y organizativas

iBeekeeper adopta las medidas conforme al art. 32 RGPD que se describen en el anexo 1 y las adapta al estado de la técnica sin reducir el nivel de protección.

6. Subencargados del tratamiento

6.1 El Cliente autoriza a los subencargados del tratamiento indicados en el anexo 2.

6.2 iBeekeeper informa al Cliente en forma de texto, al menos 30 días antes, de cualquier incorporación o sustitución prevista. El Cliente puede oponerse dentro de dicho plazo por un motivo importante relacionado con la protección de datos. Si las partes no llegan a un acuerdo, el Cliente puede cancelar el contrato de uso con efecto en el momento de la modificación.

6.3 iBeekeeper impone contractualmente a cada subencargado del tratamiento las mismas obligaciones de protección de datos.

7. Asistencia al Cliente

iBeekeeper asiste al Cliente con medidas adecuadas en la respuesta a las solicitudes de los interesados (arts. 12 a 22 RGPD), en particular mediante las funciones de exportación, modificación y eliminación del Servicio, así como en el cumplimiento de las obligaciones de los arts. 32 a 36 RGPD. Si un interesado se dirige directamente a iBeekeeper, iBeekeeper remite la solicitud al Cliente.

8. Violaciones de la seguridad de los datos personales

iBeekeeper notifica al Cliente sin demora una violación de la seguridad de los datos objeto del encargo, a ser posible en un plazo de 48 horas desde que tenga conocimiento de ella, con la información del art. 33.3 RGPD, en la medida en que se conozca.

9. Supresión y devolución

El Cliente puede exportar y eliminar por sí mismo los datos en cualquier momento. Tras la finalización del contrato de uso o tras la eliminación de la cuenta, iBeekeeper elimina los datos objeto del encargo según los plazos de las CGC (cláusula 9.7), salvo que exista una obligación legal de conservación. Las copias de seguridad diarias se eliminan al cabo de 30 días, y una copia por mes natural, al cabo de 12 meses. Las copias de seguridad están cifradas y solo se utilizan para la restauración; tras una restauración, los datos eliminados entretanto se vuelven a eliminar.

10. Pruebas y controles

iBeekeeper pone a disposición del Cliente, previa solicitud, la información necesaria para demostrar el cumplimiento de estas obligaciones y permite la realización de inspecciones por parte del Cliente o de un auditor designado por él y sujeto a confidencialidad, previo aviso con una antelación razonable y durante el horario comercial. La prueba se aporta prioritariamente mediante documentación e información.

11. Responsabilidad y disposiciones finales

En materia de responsabilidad se aplica el art. 82 RGPD; por lo demás, se aplican las CGC. En caso de contradicción, el presente contrato prevalece sobre las CGC en lo que respecta a la protección de los datos personales.

Anexo 1: Medidas técnicas y organizativas

• Acceso físico y seguridad física: servidores exclusivamente en centros de datos de OVHcloud, parte contratante OVH GmbH, Köln; control del acceso físico por OVHcloud conforme a su contrato de encargo del tratamiento (versión del 17/10/2025).
• Acceso a los sistemas: inicio de sesión con contraseña, contraseñas almacenadas únicamente como hash; acceso de administrador a los servidores solo mediante clave SSH.
• Acceso a los datos: permisos en el Servicio por cuenta, accesos compartidos solo por parte del usuario; los accesos administrativos se registran (app de administración, registro de las acciones relativas a clientes).
• Transmisión: cifrado de transporte TLS para todas las conexiones; fotos sin metadatos.
• Control de introducción: registro de modificaciones para el libro de caja y las facturas emitidas, archivo inalterable con suma de verificación.
• Disponibilidad: copia de seguridad diaria de la base de datos y de los archivos multimedia en un almacenamiento separado (almacenamiento de objetos de OVHcloud en Alemania); las copias de seguridad diarias se eliminan al cabo de 30 días, y una copia por mes natural, al cabo de 12 meses; las copias de seguridad están cifradas y solo se utilizan para la restauración; la restauración se ensaya al menos una vez al año y se documenta el resultado.
• Separación: almacenamiento de datos multicliente, consultas por cuenta.
• Revisión: actualizaciones de seguridad de los servidores y de las dependencias, revisión anual de las medidas.

Anexo 2: Subencargados del tratamiento

Por su parte, OVH GmbH recurre a sociedades del grupo OVHcloud, y para asistencia y mantenimiento también a OVH Hébergement Inc. (Canadá) y a OVH Limited (Reino Unido); la lista actual figura en https://contract.eu.ovhapis.com/1.0/pdf/OVH_Sub_processors-de.pdf.

No son subencargados del tratamiento: Mollie, Apple y Google (pago o entrega en su propia relación con el usuario, sin datos objeto del encargo).