Encargo de tratamiento de datos

Partes y ficha del tratamiento

El encargado es Alejandro García Martínez, que opera como Vuelvy, NIF 49170885J, Calle Cronista Carlos Valcarcel, 8, 30120 Murcia, España. Privacidad: privacy@vuelvy.com; incidentes: seguridad@vuelvy.com. El responsable es el titular real del negocio identificado en su contrato: identidad fiscal, domicilio, representante y contacto de privacidad. Un nombre comercial o acceso con Google no acreditan por sí solos identidad ni representación. La ficha individual delimita canales, funciones, integraciones, categorías y contactos; lo no elegido queda fuera.

Objeto, personas, operaciones y duración

Vuelvy trata por cuenta del responsable los datos necesarios para las funciones contratadas durante la relación y las operaciones de cierre. El contrato, la ficha, las acciones y configuraciones de usuarios autorizados y las solicitudes verificadas documentan sus instrucciones.

• Wallet: identificadores y campos mínimos de titulares y pases, estado, puntos, beneficios, usos, preferencias, tokens técnicos y eventos; alta, emisión, consulta, alojamiento, actualización, canje, revocación y supresión.
• Audiencias y email: email, atributos necesarios, procedencia, base válida, bajas, contenido y resultados; importación, organización, segmentación y envíos expresamente ordenados. No se autoriza seguimiento adicional por este texto.
• Shopify: datos habilitados de clientes, pedidos y productos solo según funciones y permisos autorizados; la conexión no autoriza por sí sola escritura ni comunicaciones comerciales.
• Soporte: acceso limitado a datos imprescindibles para diagnosticar y resolver instrucciones verificadas; no introducir secretos ni datos innecesarios en las conversaciones.

Límites y responsabilidades

El responsable determina finalidades y base jurídica, informa a las personas, facilita datos mínimos, mantiene sus contactos y supervisa el servicio. Instalar un pase o importar un contacto no equivale a consentir publicidad. No se autorizan categorías especiales, datos penales ni programas dirigidos a menores sin evaluación y acuerdo específicos. La proximidad no autoriza vigilancia continua ni recogida de la posición del teléfono por Vuelvy. Vuelvy no vende los datos de titulares ni los reutiliza para publicidad o entrenamiento propios. Sus tratamientos propios de cuenta, facturación, seguridad y defensa de reclamaciones se rigen por su política de privacidad.

Instrucciones, confidencialidad y asistencia

Vuelvy sigue instrucciones documentadas, incluidas transferencias, y advierte inmediatamente si considera que infringen la normativa. Informará de un tratamiento exigido por ley antes de realizarlo salvo prohibición legal. El personal autorizado estará sujeto a confidencialidad y formación. Trasladará las solicitudes de derechos sin demoras evitables y ayudará a localizar, exportar, rectificar, limitar o suprimir; no responderá en nombre del responsable sin autorización. Prestará asistencia para evaluaciones de impacto, consultas previas y seguridad. Derechos e incidentes urgentes no esperan al SLA comercial.

Seguridad, brechas y auditoría

Las medidas incluyen TLS, autorización en servidor por negocio, roles, aislamiento PostgreSQL mediante RLS, cifrado aplicativo de secretos, almacenamiento privado acotado, validación de archivos, trazabilidad y copias con recuperación comprobada. Los recursos de marca publicados para pases pueden ser accesibles a sus proveedores y no deben contener información confidencial. Vuelvy revisará medidas proporcionales al riesgo; no promete cifrado integral en reposo ni certificaciones no acreditadas. Avisará de brechas sin demora indebida desde su conocimiento, comunicando progresivamente naturaleza, alcance, contacto, consecuencias y medidas; el plazo de 72 horas del responsable ante la autoridad no permite retrasar ese aviso. Facilitará evidencia y auditorías razonables protegiendo datos de terceros; acordar trabajos extraordinarios no impedirá obligaciones legales ni condicionará la atención de una brecha a otro pago.

Inventario de proveedores y funciones

La ficha individual identifica los subencargados realmente aplicables y los datos necesarios. Las ubicaciones siguientes no afirman residencia exclusiva en la UE de todas las operaciones o accesos.

• OVH Hispano S.L.: PostgreSQL y copias en Milán, Italia, Unión Europea. Su cadena contractual puede incluir accesos desde Canadá y Reino Unido, con las garantías aplicables; no se afirma que cada entidad haya accedido a los datos.
• Vuelvy opera directamente Wallet, email, conectores y almacenamiento de objetos Versity en su Mac mini en España, Unión Europea. Compatibilidad S3 no significa almacenamiento en Amazon Web Services.
• Vercel Inc.: web, funciones y datos necesarios de cuenta y servicio; funciones de producción en iad1, Estados Unidos, y red y otros tratamientos globales. DPA incorporado al acuerdo Pro con SCC aplicables.
• Cloudflare Inc.: DNS, red y seguridad según la función habilitada; procesamiento global y DPA con SCC. DNS no acredita que todo el tráfico pase por su proxy.
• Resend (Plus Five Five, Inc.): destinatarios, contenido y eventos de email cuando corresponda; metadatos, logs y registros de cuenta/API en Estados Unidos aunque se elija región europea de envío. El correo propio de cuenta y soporte es un tratamiento separado de Vuelvy.
• Apple/APNs, Google Wallet y Shopify: datos mínimos de las integraciones elegidas. Apple y Google actúan como responsables independientes para su plataforma; el rol y las garantías de cada operación deben constar en la ficha. Klaviyo, Cal.com y herramientas publicitarias no se añaden al encargo por su mero uso comercial por Vuelvy.

Autorización y cambios de subencargados

La formalización autoriza solo los subencargados y operaciones identificados en la ficha. Vuelvy impondrá obligaciones equivalentes por escrito y responderá de su cumplimiento. Comunicará incorporaciones o sustituciones que decida con al menos treinta días naturales, indicando entidad, función, ubicación y datos. Los cambios en la cadena de un proveedor existente se comunicarán sin demora y con el preaviso disponible, sin prometer plazos fuera del control de Vuelvy. El responsable puede oponerse por motivos fundados de protección de datos. Se buscará alternativa; sin solución, se desactivará o terminará solo la función afectada sin penalización por esa causa, con salida ordenada. Sin autorización y garantías válidas no se inicia el nuevo flujo. Cambios urgentes de seguridad o legales se justificarán y comunicarán sin demora.

Transferencias internacionales

Antes de transferir fuera del EEE se documentará la garantía válida para la entidad y el flujo: adecuación aplicable o cláusulas contractuales tipo, evaluación y medidas complementarias cuando procedan. Para Vercel, Resend y Cloudflare se documentan sus SCC, especialmente módulo 3 en la cadena encargado-subencargado; no se presume certificación DPF. Se minimizan los datos y se usan TLS y acceso acotado, sin afirmar que el contenido necesario quede oculto al proveedor. Ante garantía inválida, requerimiento incompatible o riesgo no mitigable se suspenderá el flujo afectado y se buscará alternativa. Almacenar en Europa no excluye accesos desde terceros países.

Devolución, supresión y copias

El responsable elegirá devolución en formato utilizable con posterior supresión, o supresión con constancia. El cierre integral se tramita manualmente bajo instrucciones verificadas: devolución o borrado principal ordinario dentro de treinta días naturales desde la terminación efectiva o instrucción válida, y eliminación de la última copia afectada como máximo a los noventa días. No se demoran los plazos legales de derechos. Las copias propias tienen máximos de catorce días para diarias, cuarenta y dos para semanales y sesenta para mensuales; las pendientes de purga quedan fuera del uso ordinario y se reaplican supresiones antes de reanudar una restauración. Las tareas parciales de mantenimiento no sustituyen el cierre completo ni la instrucción a terceros. El impago no es por sí solo una orden de supresión. No se promete borrar remotamente un pase que el dispositivo o proveedor conserve; se revoca o actualiza cuando sea posible y se informa del alcance real.

Conservación legal mínima

Solo se separa la evidencia imprescindible para obligaciones o reclamaciones, con finalidad, acceso restringido, inicio de cómputo y vencimiento documentados: en general, cuatro años fiscales desde su inicio legal, seis años mercantiles desde el último asiento y cinco para acciones personales desde que la obligación sea exigible, salvo regla especial o interrupción acreditada. No se conserva por ello toda la base de contactos, pases, campañas ni logs. El bloqueo legal del artículo 32 LOPDGDD tiene sus restricciones específicas y se distingue del archivo jurídico limitado. Al finalizar la causa se suprime la evidencia, sin reiniciar el plazo por copiarla. Un QR estable no obliga a conservar datos personales indefinidamente.

Formalización y versión aplicable

Este texto se completa en el Anexo II del generador de contratos con identidad y representación de ambas partes, negocio, ficha real, contacto, canales, inventario y elección de salida. Se conservará el PDF inmutable con su referencia, versión, fecha y firma o aceptación expresa del representante. Generar el PDF, acceder a esta página, recibir un aviso o haber aceptado condiciones generales no registra aceptación del anexo. No modifica retroactivamente aceptaciones anteriores. Ambas partes colaborarán con la autoridad y revisarán el encargo si cambia el tratamiento. Para completarlo o solicitar instrucciones de cierre: privacy@vuelvy.com.