Este Anexo regula, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD), el tratamiento de datos personales que Stackslides S.L. («wiweb», el «Encargado») realiza por cuenta del Cliente (el «Responsable») al prestar el servicio de creación, alojamiento y mantenimiento de su página web. Forma parte integrante de las Condiciones Generales de Contratación, se aplica en todos los planes, incluido el plan Free, y se acepta junto con ellas.

1. Objeto y duración

El Encargado tratará los datos personales de los visitantes de la página del Responsable únicamente en la medida necesaria para prestar el Servicio: alojar y servir la página; recibir los mensajes de su formulario de contacto, guardarlos en la bandeja «Mensajes» del panel y reenviarlos por correo electrónico a la dirección que el Responsable indique; y elaborar estadísticas de visitas agregadas. La duración del encargo coincide con la vigencia de la cuenta del Responsable.

2. Naturaleza y tipos de datos

• Interesados: visitantes de la página del Responsable y sus clientes o clientes potenciales.
• Datos del formulario: los que el visitante escribe —por defecto nombre, teléfono y mensaje, y cualquier campo adicional que el Responsable haya añadido a su formulario—, junto con la página desde la que se envió y su aceptación de la política de privacidad, que el formulario exige. No se guarda la dirección IP ni el navegador del visitante.
• Datos de navegación: la dirección IP y el agente de usuario se tratan de forma efímera para servir la página y protegerla frente a abusos. Para contar visitantes únicos se calcula un resumen cifrado (hash) de IP, navegador, página y día, que cambia cada día y no permite reidentificar a nadie ni seguirlo entre días o entre páginas; se conservan además totales por día, ruta, origen, país y tipo de dispositivo. No se instala ninguna cookie ni identificador en el dispositivo del visitante.
• Categorías especiales: el Servicio no está diseñado para tratar categorías especiales de datos (art. 9 RGPD). El Responsable se obliga a no solicitar ni promover su envío a través de su página.

3. Obligaciones del Encargado

wiweb, como Encargado:

• tratará los datos únicamente siguiendo las instrucciones documentadas del Responsable, que se materializan en la configuración de la página (qué campos tiene el formulario, a qué correo se reenvían los mensajes) y en el propio contrato, y le informará si considera que alguna instrucción infringe el RGPD;
• no utilizará los datos de los visitantes para ninguna finalidad propia: no se envían a los proveedores de inteligencia artificial, no se usan para publicidad ni para mejorar el Servicio;
• garantiza que las personas autorizadas a tratar datos están sujetas a un deber de confidencialidad;
• aplica las medidas técnicas y organizativas apropiadas (art. 32 RGPD), entre ellas: cifrado del tráfico (TLS) con certificado propio para cada página; aislamiento de los datos de cada cliente mediante controles de acceso a nivel de fila en la base de datos; control de acceso con privilegios mínimos; historial de cambios y copias de cada página que permiten restaurar versiones; limitación y filtrado de las peticiones y del formulario para prevenir abusos; y suspensión inmediata de páginas comprometidas;
• asistirá al Responsable, teniendo en cuenta la naturaleza del tratamiento, en la atención de los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad) —por ejemplo, suprimiendo un mensaje concreto a petición del Responsable— y en el cumplimiento de sus obligaciones de seguridad, notificación de violaciones y evaluaciones de impacto;
• notificará al Responsable sin dilación indebida las violaciones de seguridad de los datos personales de las que tenga conocimiento, facilitando la información disponible sobre su naturaleza, alcance y medidas adoptadas;
• pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de este Anexo y permitirá auditorías razonables, con un preaviso mínimo de 15 días, una vez al año como máximo y a costa del Responsable, siempre que no comprometan la seguridad ni la confidencialidad de datos de otros clientes.

4. Subencargados

El Responsable autoriza de forma general la contratación de los subencargados necesarios para prestar el Servicio. La lista vigente es la siguiente; informaremos por correo electrónico de cualquier adición o sustitución con al menos 15 días de antelación, plazo en el que el Responsable podrá oponerse por motivos razonables (la oposición podrá implicar la imposibilidad de seguir prestando el Servicio):

• Vercel Inc. (EE. UU.) — infraestructura de alojamiento y entrega de la página. Certificado en el EU-US Data Privacy Framework (DPF).
• Supabase, Inc. (EE. UU.) — base de datos donde se almacenan el contenido de la página, los mensajes recibidos y las estadísticas de visitas, y almacenamiento de las fotos. Los datos residen en la Unión Europea (Irlanda, región eu-west-1); el acceso remoto del proveedor desde EE. UU. se ampara en Cláusulas Contractuales Tipo de la Comisión Europea.
• Resend, Inc. (EE. UU.) — envío por correo electrónico al Responsable de los mensajes recibidos en su formulario. DPF.
• Functional Software, Inc. (Sentry) (EE. UU.) — monitorización técnica de errores de la plataforma. DPF.

Todos los subencargados están sujetos a obligaciones equivalentes a las de este Anexo. Cuando el tratamiento implique transferencias fuera del Espacio Económico Europeo, estas se amparan en la decisión de adecuación del EU-US Data Privacy Framework para los proveedores certificados y, para Supabase —cuyos servidores están en la Unión Europea—, en las Cláusulas Contractuales Tipo de la Comisión Europea con su evaluación de impacto de la transferencia, que cubren el acceso remoto desde EE. UU.

Terceros que reciben datos por decisión del visitante o del Responsable, y que no son subencargados de wiweb: Google (tipografías, sólo si el visitante las acepta en el aviso de cookies; miniaturas y reproductor de YouTube, si la página lleva un widget de vídeo) y, si el Responsable conecta su propio Google Analytics o Tag Manager, Google como encargado del propio Responsable bajo las condiciones que este tenga contratadas con Google.

5. Obligaciones del Responsable

El Responsable, como titular de su página y de la relación con sus visitantes:

• garantiza que dispone de base jurídica para los tratamientos que realiza a través de su página y que facilita a los interesados la información exigida por los arts. 13 y 14 RGPD. El Servicio genera la política de privacidad y la de cookies de la página a partir de lo que esta hace de verdad, y publica en su pie los datos identificativos que el Responsable introduce; la revisión y adecuación de esos textos, y la veracidad de esos datos, corresponden al Responsable;
• mantendrá una dirección de correo válida para el aviso de privacidad de su página y para recibir los mensajes de su formulario;
• atenderá las solicitudes de derechos que reciba de sus visitantes;
• no usará el Servicio para tratar datos más allá de lo descrito en este Anexo, y no añadirá a su formulario campos que soliciten categorías especiales de datos, datos bancarios o documentos de identidad.

6. Fin del encargo

Pasar a un plan inferior, incluido el plan Free, no pone fin al encargo: la página, sus mensajes y sus visitas se conservan. El encargo termina cuando el Responsable borra su página o su cuenta, o cuando wiweb resuelve el contrato. Desde ese momento la página deja de servirse y los datos quedan bloqueados durante 90 días, en los que el Responsable puede solicitar su recuperación o una exportación de los mensajes recibidos en un formato estructurado de uso común. Transcurridos los 90 días, el Encargado suprimirá los datos personales tratados por cuenta del Responsable, salvo que una norma exija su conservación, en cuyo caso permanecerán bloqueados el tiempo legalmente exigido. Los identificadores diarios de visitantes se borran, en todo caso, a los 400 días.

7. Contacto

Para cualquier cuestión sobre este Anexo: privacidad@wiweb.io.