Este acuerdo de encargo del tratamiento (el «Acuerdo») regula, conforme al artículo 28 del RGPD, cómo trata Nubbo los datos personales que gestionas con el servicio cuando lo usas como empresa o profesional. Forma parte de los términos y condiciones, que lo enlazan y que aceptas al registrarte. Lo aceptas al usar Nubbo.
1. Partes y funciones
- Responsable del tratamiento: tú, como titular de la cuenta de Nubbo, en adelante «el usuario».
- Encargado del tratamiento: Gonzalo Vasco López, NIF ES34884272B, con domicilio en Rúa Farillon 10, 1ºE, 27890 San Ciprián, Lugo, España, titular de Nubbo, en adelante «Nubbo».
Este Acuerdo no se aplica a los datos de los que Nubbo es responsable: los de tu propia cuenta, los que trata para su propia seguridad y la prevención de abusos, los de su medición agregada sin cookies, los registros de entrega y la lista de supresión de los correos que envía en tu nombre y la identificación de los usuarios de Nubbo que visitan tus recursos con su sesión iniciada, descritos en la política de privacidad.
2. Objeto y duración
El objeto del Acuerdo es el tratamiento de datos personales necesario para prestarte el servicio Nubbo descrito en los términos y condiciones. Dura mientras mantengas tu cuenta y, después, hasta que los datos se eliminen como se indica en la sección 11.
3. Naturaleza y finalidad del tratamiento
Nubbo trata los datos solo para prestarte el servicio. El tratamiento consiste en: guardar el índice de tus archivos (nombres, rutas, tamaños y tipos); generar las URLs prefirmadas con las que los archivos viajan directamente entre el navegador y tu almacenamiento; publicar y servir tus enlaces compartidos, galerías, buzones y embeds; registrar las visitas, descargas, me gusta, comentarios y subidas de sus visitantes y mostrarte sus estadísticas; enviar en tu nombre invitaciones, entregas, recordatorios y contraseñas por correo; leer de forma efímera el contenido de los archivos para generar miniaturas, tamaños de galería y marcas de agua y ejecutar tus automatizaciones; y, solo si das tu consentimiento, enviar a Nubbo IA el contenido necesario para lo que le pidas.
4. Interesados y categorías de datos
Interesados: los visitantes de tus enlaces, galerías, buzones y embeds; las personas a las que invitas o envías algo; las personas cuyos datos aparecen en tus archivos, en sus nombres o en tus conversaciones con Nubbo IA; y cualquier otra persona cuyos datos decidas tratar con Nubbo.
Categorías de datos: datos identificativos y de contacto (nombre y correo); datos de uso de tus recursos (visitas, descargas, me gusta, comentarios, búsquedas y subidas); un identificador de visitante que cambia cada día, derivado de la dirección IP y del navegador, el país y el tipo de dispositivo; metadatos de archivos (nombres, rutas, tamaños y tipos); el contenido de los archivos, tratado de forma efímera; y los datos que incluyas en tus archivos y textos.
Categorías especiales: Nubbo no está pensado para tratar categorías especiales de datos (artículo 9 del RGPD). Si las guardas en Nubbo, debes asegurarte de que existe una base jurídica que lo permita. Para protegerlas, te recomendamos el cifrado zero-knowledge, con el que Nubbo no puede leer ni el contenido ni los nombres de tus archivos. Ten en cuenta que, si envías uno de esos archivos a Nubbo IA, su contenido sí se procesa para responderte (sección 9 de la política de privacidad).
5. Instrucciones documentadas
Nubbo trata los datos solo siguiendo tus instrucciones documentadas. El uso que haces del servicio y su configuración (lo que subes, compartes, publicas, envías, automatizas o pides a Nubbo IA) constituyen esas instrucciones. Nubbo no trata los datos para fines propios. Si una norma de la Unión Europea o de un Estado miembro le obligara a tratarlos de otro modo, te lo comunicará antes, salvo que esa norma lo prohíba. Si Nubbo considera que una instrucción infringe la normativa de protección de datos, te lo informará de inmediato.
6. Confidencialidad
Las personas autorizadas por Nubbo para tratar los datos están obligadas a mantener su confidencialidad, por compromiso expreso o por obligación legal.
7. Seguridad
Nubbo aplica las medidas técnicas y organizativas del artículo 32 del RGPD descritas en el Anexo I, y puede mejorarlas siempre que no reduzcan el nivel de protección.
8. Subencargados
- Das a Nubbo una autorización general para recurrir a los subencargados de la lista de subprocesadores. Esa lista incluye también proveedores que solo tratan datos de los que Nubbo es responsable, como Creem.
- Nubbo celebra con cada subencargado un contrato que le impone las mismas obligaciones de protección de datos que este Acuerdo, con garantías suficientes, conforme al artículo 28.4 del RGPD, y sigue siendo responsable ante ti de su cumplimiento.
- Antes de añadir o sustituir un subencargado, Nubbo actualizará la lista y lo avisará por correo o en la aplicación sin demora y con al menos 10 días de antelación.
- Puedes oponerte al cambio por motivos razonables de protección de datos escribiendo a [email protected]. Si no encontramos una solución, puedes terminar el servicio eliminando tu cuenta antes de que el cambio se aplique, y te reembolsaremos la parte proporcional de lo que hayas pagado por adelantado y no hayas disfrutado.
9. Asistencia
- Derechos de los interesados: Nubbo te ayuda a atenderlos con las funciones del servicio (consultar, exportar, desactivar y borrar tus recursos; al borrar un recurso se borran los datos de sus visitantes) y, si no bastan, respondiendo a tus peticiones por correo. Si un interesado se dirige a Nubbo, Nubbo te trasladará la solicitud sin demora.
- Seguridad, brechas, evaluaciones de impacto y consultas previas: Nubbo te ayudará a cumplir los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga: con las medidas del Anexo I, con la notificación de brechas de la sección 10 y facilitándote la información que necesites para una evaluación de impacto o una consulta previa a la autoridad de control.
10. Brechas de seguridad
Si Nubbo sufre una brecha de seguridad que afecte a los datos que trata por tu cuenta, te la notificará sin dilación indebida y, en todo caso, en un plazo máximo de 48 horas desde que tenga conocimiento de ella, por correo a la dirección de tu cuenta. La notificación incluirá la información del artículo 33.3 del RGPD de que disponga en ese momento y Nubbo completará el resto en cuanto la tenga.
11. Fin del tratamiento
Antes de eliminar tu cuenta puedes descargar tus datos desde Configuración › Perfil. Al eliminar la cuenta, los datos se conservan durante el periodo de gracia de 30 días, salvo que elijas la eliminación inmediata, y después se borran. Pueden permanecer hasta 14 días en las copias de seguridad antes de borrarse. Los archivos de tu almacenamiento son tuyos y Nubbo no los borra, salvo las miniaturas y versiones que generó en él. Todo ello, salvo que una norma obligue a conservar algún dato.
Por minimización, la exportación entrega pseudonimizados los datos de visitantes y destinatarios (correos enmascarados, nombres reducidos a la inicial y alias en lugar de identificadores de sesión). Como responsable de esos datos, puedes verlos en la aplicación o pedirnos la versión completa en [email protected] y te la entregaremos en un plazo máximo de un mes.
12. Auditoría
Nubbo pone a tu disposición la información necesaria para demostrar el cumplimiento de este Acuerdo: este documento, la política de privacidad, la lista de subprocesadores y las respuestas a tus consultas razonables por escrito. Si una autoridad de control lo exige o esa información no basta para demostrar el cumplimiento, acordaremos contigo una auditoría razonable, que harás tú o un auditor que designes, a tu costa, con preaviso suficiente, con deber de confidencialidad y sin acceso a datos de otros usuarios.
13. Transferencias internacionales
Nubbo solo transfiere datos fuera del Espacio Económico Europeo a los subencargados de la lista y con las garantías del capítulo V del RGPD que se indican en ella: Cláusulas Contractuales Tipo aprobadas por la Comisión Europea y, en su caso, el EU-U.S. Data Privacy Framework.
14. Responsabilidad
La responsabilidad de cada parte se rige por la sección de limitación de responsabilidad de los términos y condiciones, sin perjuicio de la responsabilidad frente a los interesados que establece el artículo 82 del RGPD.
15. Prelación y ley aplicable
En materia de protección de datos, este Acuerdo prevalece sobre los términos y condiciones. En lo demás se aplican los términos y condiciones, incluidas su ley aplicable y su jurisdicción.
Anexo I. Medidas de seguridad
- Cifrado AES-256-GCM de las credenciales de tus buckets, los secretos de doble factor y las conversaciones con Nubbo IA, con la clave guardada fuera de la base de datos.
- Cifrado zero-knowledge opcional en tu navegador, con el que Nubbo no puede leer el contenido ni los nombres de los archivos cifrados, salvo que tú mismo envíes un archivo concreto a Nubbo IA (sección 9 de la política de privacidad).
- Contraseñas guardadas con hash bcrypt.
- Autenticación de dos factores (TOTP) opcional, con códigos de recuperación.
- Los archivos viajan directamente entre el navegador y tu almacenamiento mediante URLs prefirmadas; el servidor solo lee contenido de forma efímera, sin conservarlo.
- Comunicaciones cifradas con HTTPS (TLS 1.2 o superior) y servidores web accesibles solo a través de la red de protección de Cloudflare.
- Sesiones con caducidad automática, gestión de sesiones activas y aviso de inicio de sesión desde un dispositivo nuevo.
- Registro de actividad de la cuenta y de los accesos a lo compartido con personas.
- Limitación de peticiones por dirección IP y captcha en los formularios.
- Copias de seguridad de la base de datos (continua, diaria y nocturna), cifradas antes de salir del servidor y guardadas en la Unión Europea durante 14 días. La restauración se prueba cada semana.
- Servidores y base de datos en la Unión Europea, accesibles solo por red privada; acceso a producción restringido al titular y a las personas autorizadas, con el mínimo privilegio necesario.
Anexo II. Subencargados
La lista actualizada de subencargados, con su finalidad, los datos que tratan, su ubicación y sus garantías, está en la página de subprocesadores.
Contacto
Para cualquier consulta sobre este Acuerdo, escribe a [email protected].