Acuerdo de tratamiento de datos (DPA)
Aviso
Esta plantilla de acuerdo de tratamiento de datos (DPA) se aplica entre el proveedor de PakPruvo y el inquilino respectivo (cliente) cuando el inquilino trata datos personales en el sentido del RGPD mediante PakPruvo.
Al registrarse y usar una cuenta de inquilino de pago o gratuita, el cliente acepta esta plantilla de DPA junto con los términos y condiciones cuando se traten datos personales. Para una versión individualizada o firmada, contacte con contact@pakpruvo.eu.
Versión: julio de 2026. Esta página puede imprimirse o archivarse.
1. Partes y objeto
Responsable (Cliente): el inquilino respectivo que usa PakPruvo, en la forma jurídica y en la dirección facilitadas en el registro.
Encargado (Contratista): dmv daten- und medienverarbeitung, propietaria Beate Zöllner, In der Esmecke 31, 59846 Sundern, Alemania. Correo: contact@pakpruvo.eu.
El objeto es el tratamiento de datos personales por el Encargado por cuenta del Responsable al usar el servicio SaaS PakPruvo en pakpruvo.eu. Los detalles figuran en el anexo 1.
2. Duración
Este DPA se aplica durante la vigencia del contrato principal (acuerdo de servicio/términos y condiciones) de PakPruvo. Si se contrata el alojamiento de enlaces QR, el tratamiento de datos personales continúa durante la vigencia del contrato de alojamiento de enlaces QR cuando sea necesario para la entrega en solo lectura.
Tras el fin del contrato, se aplican las reglas de eliminación y devolución de la sección 9.
3. Obligaciones del encargado
El Encargado trata datos personales solo siguiendo instrucciones documentadas del Responsable, salvo que el Derecho de la Unión o de los Estados miembros le obligue a ello.
El Encargado garantiza que las personas autorizadas a tratar datos están obligadas a la confidencialidad o a un deber legal de secreto adecuado.
El Encargado aplica medidas técnicas y organizativas adecuadas según el art. 32 del RGPD. Un resumen figura en el anexo 3.
El Encargado asiste al Responsable en los derechos de los interesados (sección 7), la notificación de violaciones (sección 8) y, cuando proceda, las evaluaciones de impacto y las consultas.
El Encargado informa al Responsable sin demora indebida si considera que una instrucción vulnera la normativa de protección de datos.
4. Obligaciones del responsable
El Responsable es el único responsable de garantizar que el tratamiento mediante PakPruvo tiene una base jurídica válida y que las instrucciones al Encargado son lícitas.
El Responsable garantiza que está autorizado a usar el servicio y vincula a sus usuarios en consecuencia. Informa al Encargado sin demora indebida de reclamaciones, solicitudes de autoridades o litigios que afecten al tratamiento conjunto.
El Responsable documenta, dentro de sus obligaciones organizativas, qué categorías de datos personales e interesados trata mediante PakPruvo.
5. Subencargados
El Responsable concede una autorización general por escrito para usar subencargados. El Encargado informa al Responsable de los cambios previstos y le da la oportunidad de oponerse en un plazo razonable.
Los subencargados actualmente contratados figuran en el anexo 2. Los subencargados están sujetos a las mismas obligaciones de protección de datos que este DPA.
6. Derechos de auditoría
El Encargado pone a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones del art. 28 del RGPD y permite auditorías cuando sea proporcionado.
El Responsable puede realizar auditorías en una medida razonable por sí mismo o mediante un apoderado, con aviso previo y preservando la confidencialidad de otros inquilinos y la seguridad operativa.
7. Asistencia en los derechos de los interesados
El Encargado asiste al Responsable con medidas técnicas y organizativas adecuadas en el cumplimiento de los derechos de acceso, rectificación, supresión, limitación, portabilidad y oposición cuando la solicitud se refiera a datos tratados mediante PakPruvo.
Las solicitudes de interesados enviadas directamente al Encargado se reenvían sin demora indebida al Responsable cuando pueda identificarse el inquilino responsable.
8. Notificación de violaciones de datos personales
El Encargado notifica al Responsable sin demora indebida tras tener conocimiento de una violación de datos personales. La notificación incluye, cuando esté disponible, la naturaleza de la violación, las categorías de interesados y datos afectados, las consecuencias probables y las medidas adoptadas o propuestas.
9. Eliminación y devolución
En caso de terminación inmediata (opción A según los términos y condiciones): El Encargado elimina todos los datos personales tratados por cuenta del Responsable sin demora indebida, a más tardar en 14 días hábiles, salvo que obligaciones legales de conservación impidan la eliminación.
En caso de alojamiento de enlaces QR (opción B según los términos y condiciones): El Responsable instruye al Encargado a poner a disposición solo para consulta el contenido de producto publicado y las declaraciones de conformidad relacionadas. Los datos personales de usuarios de administración, datos de borrador y contenido no publicado se eliminan cuando no sean necesarios para la entrega en solo lectura. Los datos personales contenidos en el contenido publicado (p. ej. personas de contacto, firmas) permanecen hasta que termine el alojamiento de enlaces QR; el Responsable es responsable del tratamiento lícito en modo solo lectura.
En caso de impago según los términos y condiciones: Durante el periodo de gracia del contrato principal, el contenido publicado puede seguir facilitándose para su consulta. En caso de impago del alojamiento de enlaces QR, los enlaces se desactivan tras el periodo de gracia; si no hay reactivación, se aplican las reglas de eliminación de la terminación inmediata.
Las copias de seguridad pueden sobrescribirse en ciclos técnicamente habituales.
10. Disposiciones finales
Las modificaciones de este DPA requieren forma textual. El Encargado puede actualizar esta plantilla cuando cambien los requisitos legales o técnicos; los cambios materiales se comunican al Responsable con un preaviso razonable.
Se aplica el Derecho alemán. El lugar de jurisdicción para comerciantes, personas jurídicas de Derecho público y patrimonios especiales de Derecho público es el domicilio social del Encargado, salvo que el Derecho imperativo disponga otra cosa.
Si alguna disposición es inválida, las restantes siguen siendo efectivas.
Anexo 1: Descripción del tratamiento
Objeto: prestación y operación de PakPruvo como servicio SaaS multiinquilino para gestionar información de envases, productos y cuentas de usuario, publicación mediante códigos QR, comprobaciones automatizadas y generación de documentos.
Duración: vigencia del acuerdo de servicio según los términos y condiciones; si se contrata el alojamiento de enlaces QR, además su vigencia contractual.
Naturaleza y finalidad: almacenamiento, organización, recuperación, transmisión, eliminación y otro tratamiento de datos personales para prestar el servicio contratado. Para el alojamiento de enlaces QR: puesta a disposición de páginas de producto publicadas y declaraciones de conformidad solo para consulta (solo lectura); sin edición, sin analítica, sin perfiles.
Categorías de interesados: usuarios del área de administración del inquilino; personas de contacto nombradas por el inquilino; personas nombradas en el contenido cargado o en campos de texto libre cuando proceda.
Tipos de datos personales: nombre, correo, nombre para mostrar, cargo, datos de autenticación y de registro, gráficos de firma cuando proceda, datos de contacto del perfil de la empresa; otros datos personales introducidos por el inquilino.
Categorías especiales: no está previsto el tratamiento por el inquilino. El inquilino se abstiene de introducir categorías especiales salvo acuerdo expreso.
Anexo 2: Subencargados
Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen, Alemania: alojamiento, operación de la aplicación y entrega de correo (SMTP) en servidores en Alemania.
Stripe Payments Europe, Ltd., 1 Grand Canal Street Lower, Dublín 2, Irlanda: procesamiento de pagos y gestión de suscripciones para planes de pago; posible tratamiento en terceros países con garantías adecuadas (cláusulas contractuales tipo de la UE).
Otros subencargados para funciones asistidas por IA se nombran en la política de privacidad o mediante aviso separado antes de la puesta en marcha.
Anexo 3: Medidas técnicas y organizativas (TOM)
Control de acceso: separación de inquilinos, permisos basados en roles, autenticación por contraseña y token, cifrado TLS en tránsito.
Control de admisión y acceso: acceso restringido a servidores, entornos separados, registro de eventos relevantes para la seguridad.
Control de divulgación: sin divulgación no autorizada a terceros salvo los subencargados listados en el anexo 2.
Control de entrada: trazabilidad de los cambios de administración mediante registros de auditoría.
Disponibilidad y resiliencia: copias de seguridad periódicas, ventanas de mantenimiento, protección frente a carga excesiva.
Procedimientos de revisión: medidas adaptadas al progreso técnico y al riesgo; para el alojamiento de Hetzner, además sus TOM certificadas según el DPA de Hetzner.