Este acordo de encargo do tratamento (o «Acordo») regula, conforme ao artigo 28 do RXPD, como trata Nubbo os datos persoais que xestionas co servizo cando o usas como empresa ou profesional. Forma parte dos termos e condicións, que o ligan e que aceptas ao rexistrarte. Acéptalo ao usar Nubbo.
1. Partes e funcións
- Responsable do tratamento: ti, como titular da conta de Nubbo, en diante «o usuario».
- Encargado do tratamento: Gonzalo Vasco López, NIF ES34884272B, con domicilio en Rúa Farillon 10, 1ºE, 27890 San Ciprián, Lugo, España, titular de Nubbo, en diante «Nubbo».
Este Acordo non se aplica aos datos dos que Nubbo é responsable: os da túa propia conta, os que trata para a súa propia seguridade e a prevención de abusos, os da súa medición agregada sen cookies, os rexistros de entrega e a lista de supresión dos correos que envía no teu nome e a identificación dos usuarios de Nubbo que visitan os teus recursos coa súa sesión iniciada, descritos na política de privacidade.
2. Obxecto e duración
O obxecto do Acordo é o tratamento de datos persoais necesario para prestarche o servizo Nubbo descrito nos termos e condicións. Dura mentres manteñas a túa conta e, despois, ata que os datos se eliminen como se indica na sección 11.
3. Natureza e finalidade do tratamento
Nubbo trata os datos só para prestarche o servizo. O tratamento consiste en: gardar o índice dos teus ficheiros (nomes, rutas, tamaños e tipos); xerar os URL preasinados cos que os ficheiros viaxan directamente entre o navegador e o teu almacenamento; publicar e servir as túas ligazóns compartidas, galerías, buzóns e embeds; rexistrar as visitas, descargas, gústames, comentarios e subidas dos seus visitantes e amosarche as súas estatísticas; enviar no teu nome invitacións, entregas, recordatorios e contrasinais por correo; ler de forma efémera o contido dos ficheiros para xerar miniaturas, tamaños de galería e marcas de auga e executar as túas automatizacións; e, só se dás o teu consentimento, enviar a Nubbo AI o contido necesario para o que lle pidas.
4. Interesados e categorías de datos
Interesados: os visitantes das túas ligazóns, galerías, buzóns e embeds; as persoas ás que invitas ou envías algo; as persoas cuxos datos aparecen nos teus ficheiros, nos seus nomes ou nas túas conversas con Nubbo AI; e calquera outra persoa cuxos datos decidas tratar con Nubbo.
Categorías de datos: datos identificativos e de contacto (nome e correo); datos de uso dos teus recursos (visitas, descargas, gústames, comentarios, buscas e subidas); un identificador de visitante que cambia cada día, derivado do enderezo IP e do navegador, o país e o tipo de dispositivo; metadatos de ficheiros (nomes, rutas, tamaños e tipos); o contido dos ficheiros, tratado de forma efémera; e os datos que inclúas nos teus ficheiros e textos.
Categorías especiais: Nubbo non está pensado para tratar categorías especiais de datos (artigo 9 do RXPD). Se as gardas en Nubbo, debes asegurarte de que existe unha base xurídica que o permita. Para protexelas, recomendámosche o cifrado zero-knowledge, co que Nubbo non pode ler nin o contido nin os nomes dos teus ficheiros. Ten en conta que, se envías un deses ficheiros a Nubbo AI, o seu contido si se procesa para responderche (sección 9 da política de privacidade).
5. Instrucións documentadas
Nubbo trata os datos só seguindo as túas instrucións documentadas. O uso que fas do servizo e a súa configuración (o que subes, compartes, publicas, envías, automatizas ou pides a Nubbo AI) constitúen esas instrucións. Nubbo non trata os datos para fins propios. Se unha norma da Unión Europea ou dun Estado membro o obrigase a tratalos doutro modo, comunicaracho antes, agás que esa norma o prohiba. Se Nubbo considera que unha instrución infrinxe a normativa de protección de datos, informarate inmediatamente.
6. Confidencialidade
As persoas autorizadas por Nubbo para tratar os datos están obrigadas a manter a súa confidencialidade, por compromiso expreso ou por obriga legal.
7. Seguridade
Nubbo aplica as medidas técnicas e organizativas do artigo 32 do RXPD descritas no Anexo I, e pode melloralas sempre que non reduzan o nivel de protección.
8. Subencargados
- Dás a Nubbo unha autorización xeral para recorrer aos subencargados da lista de subprocesadores. Esa lista inclúe tamén provedores que só tratan datos dos que Nubbo é responsable, como Creem.
- Nubbo celebra con cada subencargado un contrato que lle impón as mesmas obrigas de protección de datos que este Acordo, con garantías suficientes, conforme ao artigo 28.4 do RXPD, e segue a ser responsable ante ti do seu cumprimento.
- Antes de engadir ou substituír un subencargado, Nubbo actualizará a lista e avisarao por correo ou na aplicación sen demora e con polo menos 10 días de antelación.
- Podes opoñerte ao cambio por motivos razoables de protección de datos escribindo a [email protected]. Se non atopamos unha solución, podes rematar o servizo eliminando a túa conta antes de que o cambio se aplique, e reembolsarémosche a parte proporcional do que pagases por adiantado e non desfrutases.
9. Asistencia
- Dereitos dos interesados: Nubbo axúdache a atendelos coas funcións do servizo (consultar, exportar, desactivar e borrar os teus recursos; ao borrar un recurso bórranse os datos dos seus visitantes) e, se non abondan, respondendo ás túas peticións por correo. Se un interesado se dirixe a Nubbo, Nubbo trasladarache a solicitude sen demora.
- Seguridade, fendas, avaliacións de impacto e consultas previas: Nubbo axudarache a cumprir os artigos 32 a 36 do RXPD, tendo en conta a natureza do tratamento e a información de que dispoña: coas medidas do Anexo I, coa notificación de fendas da sección 10 e facilitándoche a información que necesites para unha avaliación de impacto ou unha consulta previa á autoridade de control.
10. Fendas de seguridade
Se Nubbo sofre unha fenda de seguridade que afecte aos datos que trata por conta túa, notificaracha sen dilación indebida e, en todo caso, nun prazo máximo de 48 horas desde que teña coñecemento dela, por correo ao enderezo da túa conta. A notificación incluirá a información do artigo 33.3 do RXPD de que dispoña nese momento e Nubbo completará o resto en canto a teña.
11. Fin do tratamento
Antes de eliminar a túa conta podes descargar os teus datos desde Configuración › Perfil. Ao eliminar a conta, os datos consérvanse durante o período de graza de 30 días, agás que elixas a eliminación inmediata, e despois bórranse. Poden permanecer ata 14 días nas copias de seguranza antes de borrarse. Os ficheiros do teu almacenamento son teus e Nubbo non os borra, agás as miniaturas e versións que xerou nel. Todo iso, agás que unha norma obrigue a conservar algún dato.
Por minimización, a exportación entrega pseudonimizados os datos de visitantes e destinatarios (correos enmascarados, nomes reducidos á inicial e alcumes en lugar de identificadores de sesión). Como responsable deses datos, podes velos na aplicación ou pedirnos a versión completa en [email protected] e entregarémoscha nun prazo máximo dun mes.
12. Auditoría
Nubbo pon á túa disposición a información necesaria para demostrar o cumprimento deste Acordo: este documento, a política de privacidade, a lista de subprocesadores e as respostas ás túas consultas razoables por escrito. Se unha autoridade de control o esixe ou esa información non abonda para demostrar o cumprimento, acordaremos contigo unha auditoría razoable, que farás ti ou un auditor que designes, ao teu cargo, con preaviso suficiente, con deber de confidencialidade e sen acceso a datos doutros usuarios.
13. Transferencias internacionais
Nubbo só transfire datos fóra do Espazo Económico Europeo aos subencargados da lista e coas garantías do capítulo V do RXPD que se indican nela: Cláusulas Contractuais Tipo aprobadas pola Comisión Europea e, de ser o caso, o EU-U.S. Data Privacy Framework.
14. Responsabilidade
A responsabilidade de cada parte réxese pola sección de limitación de responsabilidade dos termos e condicións, sen prexuízo da responsabilidade fronte aos interesados que establece o artigo 82 do RXPD.
15. Prelación e lei aplicable
En materia de protección de datos, este Acordo prevalece sobre os termos e condicións. No demais aplícanse os termos e condicións, incluídas a súa lei aplicable e a súa xurisdición.
Anexo I. Medidas de seguridade
- Cifrado AES-256-GCM das credenciais dos teus buckets, os segredos de dobre factor e as conversas con Nubbo AI, coa clave gardada fóra da base de datos.
- Cifrado zero-knowledge opcional no teu navegador, co que Nubbo non pode ler o contido nin os nomes dos ficheiros cifrados, agás que ti mesmo envíes un ficheiro concreto a Nubbo AI (sección 9 da política de privacidade).
- Contrasinais gardados con hash bcrypt.
- Autenticación de dous factores (TOTP) opcional, con códigos de recuperación.
- Os ficheiros viaxan directamente entre o navegador e o teu almacenamento mediante URL preasinados; o servidor só le contido de forma efémera, sen conservalo.
- Comunicacións cifradas con HTTPS (TLS 1.2 ou superior) e servidores web accesibles só a través da rede de protección de Cloudflare.
- Sesións con caducidade automática, xestión de sesións activas e aviso de inicio de sesión desde un dispositivo novo.
- Rexistro de actividade da conta e dos accesos ao compartido con persoas.
- Limitación de peticións por enderezo IP e captcha nos formularios.
- Copias de seguridade da base de datos (continua, diaria e nocturna), cifradas antes de saír do servidor e gardadas na Unión Europea durante 14 días. A restauración próbase cada semana.
- Servidores e base de datos na Unión Europea, accesibles só por rede privada; acceso a produción restrinxido ao titular e ás persoas autorizadas, co mínimo privilexio necesario.
Anexo II. Subencargados
A lista actualizada de subencargados, coa súa finalidade, os datos que tratan, a súa localización e as súas garantías, está na páxina de subprocesadores.
Contacto
Para calquera consulta sobre este Acordo, escribe a [email protected].