1. Partes y objeto
- Responsable del tratamiento: el Cliente, autónomo o empresa que contrata KreoWeb.
- Encargada del tratamiento: Lucía Romero Robles, con el nombre comercial KreoWeb (NIF 47430763W; dirección postal: Calle Albahaca 2, 18006 Granada; soporte@kreoweb.io).
KreoWeb trata datos personales por cuenta del Cliente solo para crear, alojar y mantener su web y atender sus cambios por WhatsApp. Este Anexo no cubre los datos que KreoWeb trata como responsable (los del propio Cliente para el contrato, la facturación y KreoConfianza), que explica la Política de Privacidad.
2. Qué datos y de quién
| Personas | Datos | Para qué |
|---|---|---|
| Personas que salen en los contenidos que envía el Cliente (su equipo, sus clientes) | Nombre, imagen y lo que diga el texto | Publicarlos en la web del Cliente |
| Visitantes de la web del Cliente | Dirección IP y datos técnicos de la visita | Servir la web y mantenerla segura |
| Personas cuyos datos de contacto publica el Cliente | Nombre, teléfono, correo, dirección del negocio | Mostrarlos en la web |
Las webs de los clientes no ponen cookies ni herramientas de analítica o publicidad, y no tienen formularios.
3. Duración
Mientras dure el contrato. Al terminar se aplica el punto 9.
4. Obligaciones de KreoWeb
- Tratar los datos solo para lo descrito en el punto 1 y según las instrucciones del Cliente, que son estos Términos y lo que pida por WhatsApp o por correo. Si una instrucción le parece contraria a la ley, KreoWeb avisa al Cliente antes de cumplirla.
- No usar los datos para nada más ni cederlos a nadie, salvo a los subencargados del punto 5 o por obligación legal.
- Que todas las personas que acceden a los datos tengan un deber de confidencialidad.
- Aplicar medidas de seguridad adecuadas (punto 6).
- Ayudar al Cliente a atender los derechos de las personas (punto 7), avisarle de las brechas de seguridad (punto 8) y, si lo necesita, ayudarle con las evaluaciones de impacto y las consultas a la Agencia Española de Protección de Datos.
- Poner a su disposición la información necesaria para demostrar que cumple este Anexo y permitir revisiones razonables, con aviso previo.
5. Subencargados
El Cliente autoriza a KreoWeb a usar estos proveedores, que tratan datos solo para prestar el servicio:
| Proveedor | Para qué | Dónde |
|---|---|---|
| Clouding.io (Cloudi NextGen, S.L.) | Servidores donde se alojan las webs y los datos | España |
| Arsys Internet, S.L.U. | Copias de seguridad cifradas. Los datos se cifran en nuestros servidores antes de enviarse, y Arsys no puede leerlos | España |
| Meta (WhatsApp) | El canal por el que el Cliente envía textos, fotos y audios | Unión Europea y EE. UU. |
| Anthropic | Inteligencia artificial que entiende los mensajes y prepara textos | EE. UU. |
| OpenAI Ireland Ltd. | Pasar a texto los audios, clasificar los mensajes y, solo si falla el asistente principal, preparar la respuesta | Irlanda (UE), con envíos a EE. UU. con cláusulas contractuales tipo |
| DonDominio | Direcciones web y DNS | España |
KreoWeb avisa al Cliente en cuanto un proveedor le comunique un cambio de subencargado y, siempre que sea posible, antes de que se aplique. El Cliente puede oponerse y cancelar sin coste. Cada subencargado tiene con KreoWeb un contrato con las mismas obligaciones de este Anexo, salvo WhatsApp: se usa con sus condiciones generales de servicio y no hay un contrato de encargo específico con Meta.
Las transferencias fuera del Espacio Económico Europeo se hacen con las garantías del RGPD (Marco de Privacidad de Datos UE-EE. UU. o cláusulas contractuales tipo).
6. Seguridad
- Conexiones cifradas (HTTPS) en todas las webs.
- Acceso a los servidores solo con claves personales y restringido a quien lo necesita.
- Copias de seguridad cifradas. Se hacen cada día y cada copia se guarda 7 días; después se borra sola.
- Los registros de visitas (IP) se borran a los 14 días.
- Antes de cada cambio en una web se guarda una copia, para poder deshacerlo.
7. Derechos de las personas
Si una persona pide a KreoWeb acceder, corregir o borrar sus datos en la web de un Cliente, KreoWeb se lo pasa al Cliente sin demora y le ayuda a atenderlo (por ejemplo, quitando una foto o un texto). Si es el Cliente quien lo pide, KreoWeb lo aplica como un cambio más.
8. Brechas de seguridad
KreoWeb avisa al Cliente sin dilación indebida, y como máximo en 48 horas desde que la conozca, de cualquier brecha que afecte a datos de su web, con lo que se sepa en ese momento, y le ayuda a cumplir sus obligaciones de aviso.
9. Al terminar el contrato
- Durante los 30 días siguientes a la desactivación de la web, el Cliente elige: pedir una copia de su web y de sus contenidos (punto 10 de los Términos) o que se borre todo antes.
- Pasado ese plazo, KreoWeb borra la web, su copia y el resto de datos tratados por cuenta del Cliente. Las copias de seguridad diarias, cifradas, que pudieran contener esos datos desaparecen solas en un máximo de 7 días más, y las copias de trabajo que se hacen antes de cada cambio en el servidor, en un máximo de 30 días.
- KreoWeb solo guarda lo que una ley le obligue a conservar, bloqueado y durante el plazo legal.
10. Obligaciones del Cliente
- Tener una base legal para que KreoWeb trate los datos que le envía y, si en las fotos o textos salen personas, su permiso para publicarlos.
- Informar a esas personas de que sus datos están en su web.
- Avisar a KreoWeb si algo de lo que hay en su web debe retirarse.
Fuentes
- Reglamento (UE) 2016/679 (RGPD), artículos 28 (encargado del tratamiento), 32 (seguridad) y 33 (brechas).
- Ley Orgánica 3/2018 (LOPDGDD), artículo 33 (encargado del tratamiento).