Anexo: contrato de encargo de tratamiento de datos

Descargar en PDF (155 KB) Condiciones generales

Este anexo forma parte de las condiciones generales de Dabbleam. Está publicado en /encargo-tratamiento para que lo puedas leer antes de contratar; lo aceptas al contratar, y la versión que aceptaste queda en tu área de cliente. Explica qué hacemos con los datos personales que guardas en los servicios que nos contratas y qué nos comprometemos a hacer con ellos, como pide el artículo 28 del Reglamento General de Protección de Datos (RGPD). Si lo quieres firmado, pídelo en dpd@dabbleam.com.

  1. 1

    Quién es quién.

    • Tú eres el responsable de los datos personales que guardas en tu web, tus bases de datos y tu correo: tú decides qué datos hay, para qué los usas y a quién se los pides.
    • Dabbleam SL es tu encargado del tratamiento: los tratamos solo por cuenta tuya, para darte el servicio. Dabbleam SL, NIF B42827717, Av. Andalucía 43, Bajo D, 11007 Cádiz. Contacto para protección de datos: dpd@dabbleam.com.
    • De los datos que nos das como cliente (tu nombre, tus facturas, tus tickets) somos responsables nosotros. Eso no va en este anexo, sino en nuestra política de privacidad.
  2. 2

    Qué hacemos con tus datos y durante cuánto tiempo.

    • Servicios a los que se aplica:
      • alojamiento web, con y sin gestión;
      • bases de datos;
      • correo;
      • copias de seguridad;
      • soporte técnico;
      • con Proactivo o con el Plan Tranquilidad, el mantenimiento de tu web;
      • con el diseño web, el trabajo con el contenido que nos das para hacerla.
    • Qué hacemos con ellos:
      • guardarlos en nuestros servidores;
      • servir tu web y entregar y guardar tu correo;
      • hacer y guardar copias de seguridad, y recuperarlas cuando haga falta;
      • revisar de forma automática archivos y correo en busca de virus, malware y spam, para proteger tu servicio y el de los demás;
      • guardar los registros técnicos del servidor (por ejemplo, las visitas a tu web con su dirección IP) unos 12 meses, y hasta 60 días más dentro de las copias de seguridad;
      • entrar en tu web, tu base de datos o tu correo solo cuando haga falta para el soporte o el mantenimiento que nos pides, y solo para eso.
    • Para qué: solo para darte el servicio que has contratado. Nunca los usamos para nada nuestro, ni los vendemos, ni se los damos a nadie, salvo lo que dicen los puntos 5 y 7.
    • Cuánto dura: mientras tengas el servicio y, después, los 30 días que tienes para descargar tu copia. Las copias de seguridad caducan solas como mucho 60 días después (punto 11 de las condiciones generales).
  3. 3

    Qué datos y de quién.

    • Tú decides qué datos guardas, así que no sabemos de antemano cuáles son. Lo normal es que sean datos de contacto e identificación, pedidos y facturación, mensajes de correo y lo que la gente escribe en tus formularios.
    • Son, sobre todo, datos de tus clientes, de los usuarios de tu web, de tus empleados, de tus proveedores y de las personas con las que te escribes.
    • Si vas a guardar datos especialmente protegidos (por ejemplo, de salud) o datos de menores, dínoslo antes, porque pueden hacer falta medidas de seguridad mayores.
  4. 4

    Lo que te toca a ti.

    • Tener una base legal para tratar los datos que guardas e informar a las personas a las que pertenecen.
    • Darnos instrucciones que cumplan la ley.
    • Configurar bien tu web y tus aplicaciones y guardar tus contraseñas. Con el alojamiento sin gestión, también mantener al día y seguro lo que instalas tú (punto 18 de las condiciones generales).
    • Avisar a la Agencia Española de Protección de Datos y a los afectados cuando haya una brecha que lo exija, y hacer la evaluación de impacto cuando la ley la pida. Nosotros te ayudamos (puntos 10 y 11).
  5. 5

    Solo seguimos tus instrucciones.

    • Tus instrucciones son estas condiciones, lo que configuras en tu panel y lo que nos pides por escrito (ticket o correo) desde los contactos de tu área de cliente.
    • Si una ley de la Unión Europea o de España nos obligara a tratar tus datos de otra forma, te lo diremos antes, salvo que esa misma ley nos lo prohíba.
    • Si creemos que una instrucción tuya va contra la protección de datos, te avisamos en el momento y podemos no hacerla hasta que lo aclaremos.
    • Tus datos no salen del Espacio Económico Europeo. Si algún día hiciera falta, te lo pediríamos antes y solo con las garantías que exige el RGPD.
  6. 6

    Seguridad. Protegemos tus datos con medidas adecuadas al riesgo, como pide el artículo 32 del RGPD. Entre ellas:

    • los servidores están en un centro de datos en Francia, dentro de la Unión Europea;
    • hacemos una copia de seguridad diaria de tu web, tus bases de datos y tu correo y la guardamos entre 50 y 60 días con otro proveedor y en otro país, Finlandia, también en la Unión Europea;
    • tu web lleva certificado SSL;
    • nuestro acceso de administración de Plesk y nuestras herramientas internas piden doble factor de autenticación;
    • a los servidores solo se entra por SSH con llaves, nunca con contraseña;
    • el acceso de administración está limitado a nuestro equipo;
    • las actualizaciones del panel Plesk se instalan solas, y los parches de seguridad del sistema los instalamos nosotros después de revisarlos;
    • revisamos estas medidas al menos una vez al año y cuando cambia algo importante.

    Si nos lo pides, te damos una descripción más detallada de estas medidas.

  7. 7

    Proveedores que tratan tus datos (subencargados).

    • Al aceptar este anexo nos das una autorización general por escrito para trabajar con otros proveedores que traten tus datos. Hoy son dos, los dos empresas europeas:
      • un proveedor de servidores dedicados en Francia, donde están los servidores de tu web, tus bases de datos y tu correo;
      • un proveedor distinto para las copias de seguridad, en Finlandia.
    • La lista de subencargados, con su nombre, dirección y lo que hace cada uno, está en tu área de cliente y te la mandamos si la pides. Si cambia, te avisamos con 30 días de antelación y puedes oponerte.
    • No usamos redes de distribución de contenidos (CDN) ni servicios de envío de correo de terceros: tu correo sale por nuestro propio servidor.
    • Con los dos tenemos un contrato de encargo de tratamiento que les obliga a proteger tus datos como pide el RGPD, y respondemos de ellos ante ti como si fuéramos nosotros.
    • Si queremos añadir o cambiar alguno, te avisamos por correo al menos 30 días antes, con su nombre, dirección, país y lo que va a hacer, y actualizamos la lista.
    • Si no estás de acuerdo, dínoslo en ese plazo y explícanos por qué. Si no encontramos otra solución, puedes darte de baja de los servicios afectados antes de que se haga el cambio, sin penalización (también si estás en el primer año del Plan Tranquilidad), y te devolvemos lo que hayas pagado por adelantado y no hayas usado.
    • Solo en una urgencia, si un proveedor deja de prestar el servicio de golpe y hay que sustituirlo para que tu web y tu correo sigan funcionando, lo cambiamos y te avisamos en cuanto podamos, siempre por otro de la Unión Europea con las mismas garantías. Mantienes el mismo derecho a oponerte y a irte sin penalización.
  8. 8

    Confidencialidad.

    • Todas las personas de nuestro equipo y los colaboradores que puedan ver tus datos están obligados por escrito a guardar secreto, también después de dejar de trabajar con nosotros.
    • Solo acceden a tus datos quienes lo necesitan para darte el servicio, y solo a lo que necesitan.
  9. 9

    Te ayudamos con los derechos de las personas.

    • Si alguien nos pide a nosotros acceder a sus datos, corregirlos, borrarlos o cualquier otro derecho sobre datos que guardas tú, no le contestamos nosotros: te pasamos la petición en un máximo de 5 días laborables y te ayudamos a contestarla.
    • Te ayudamos con lo técnico que haga falta para atenderla (por ejemplo, buscar, exportar o borrar los datos de una persona en tu web o tu correo), en la medida en que podamos. Si la ayuda es algo puntual, no te cuesta nada. Si exige mucho trabajo, te decimos antes lo que cuesta a 50 €/h y esperamos a que digas que sí.
  10. 10

    Brechas de seguridad.

    • Si sabemos de un fallo de seguridad que afecte a tus datos (una pérdida, un acceso sin permiso, un borrado por error), te avisamos sin dilación indebida y, como mucho, en 48 horas desde que lo sepamos, por correo y por teléfono a los contactos de tu área de cliente.
    • Te contamos lo que sepamos en ese momento, y el resto en cuanto lo tengamos:
      • qué ha pasado;
      • qué datos y cuántas personas pueden estar afectadas, aproximadamente;
      • qué consecuencias puede tener;
      • qué hemos hecho y qué proponemos hacer para arreglarlo y limitar el daño;
      • con quién de nuestro equipo puedes hablar.
    • Así puedes avisar a la Agencia en las 72 horas que te da la ley, si hace falta. Avisar a la Agencia y a los afectados te toca a ti; lo hacemos nosotros solo si nos lo pides por escrito.
    • Guardamos un registro de todas las brechas que afecten a tus datos, con lo que pasó y lo que hicimos.
  11. 11

    Te ayudamos con la seguridad y las evaluaciones de impacto. Te damos la información que tengamos sobre nuestro servicio y sus medidas de seguridad, y te ayudamos, en lo que dependa de nosotros, con:

    • tus propias medidas de seguridad;
    • las evaluaciones de impacto que tengas que hacer;
    • las consultas previas a la Agencia que tengas que hacer.
  12. 12

    Cuando acaba el servicio.

    • Puedes llevarte tus datos siempre. Con el alojamiento gestionado o el Plan Tranquilidad y el servicio activo, descargas la copia desde tu área de cliente (como mucho una vez cada 24 horas); con el alojamiento sin gestión, la haces y la descargas tú en Plesk. Con el servicio suspendido por impago o después de la baja, sea cual sea tu alojamiento, la descargas desde el área de cliente, también con facturas pendientes, hasta 30 días después de la baja. Si nos lo pides, te dejamos la copia lista o se la entregamos directamente a tu nuevo proveedor (punto 14 de las condiciones generales).
    • Pasados esos 30 días borramos tus datos de nuestros servidores. Las copias de seguridad que los contienen caducan solas como mucho 60 días después. Si quieres que lo borremos antes de nuestros servidores, pídelo.
    • Si nos lo pides, te confirmamos por escrito cuándo lo hemos borrado.
    • Solo guardamos algo después si una ley nos obliga. En ese caso lo guardamos bloqueado, solo para eso y solo el tiempo que diga la ley.
  13. 13

    Información y auditorías.

    • Te damos la información que necesites para comprobar que cumplimos este anexo: esta misma descripción, la de las medidas de seguridad y las certificaciones o informes de auditoría de nuestros proveedores.
    • Puedes auditarnos tú o un auditor independiente que elijas, obligado a guardar secreto:
      • una vez al año, y además cuando lo exija la Agencia u otra autoridad, o después de una brecha que haya afectado a tus datos;
      • avisándonos con 30 días de antelación y en horario laborable, salvo que la autoridad pida un plazo más corto;
      • los gastos de la auditoría los pagas tú; nuestro tiempo para atenderla no te lo cobramos.
    • La auditoría no puede dar acceso a datos de otros clientes ni poner en riesgo la seguridad de los servidores. Los centros de datos de nuestros proveedores, que tienen la certificación ISO/IEC 27001, no se pueden visitar: para ellos te damos sus certificados e informes de auditoría.
    • Colaboramos con la Agencia Española de Protección de Datos cuando nos lo pida, y llevamos el registro de las actividades que tratamos como encargados.
  14. 14

    Responsabilidad.

    • Respondemos de lo que hagamos mal con tus datos, y también de lo que hagan mal los proveedores del punto 7.
    • Si contratas como empresa o autónomo para tu actividad, se aplica el mismo tope del punto 19 de las condiciones generales: como mucho, lo que nos hayas pagado por el servicio afectado en los 12 meses anteriores al hecho que causa el daño. Se aplica también a las brechas de seguridad y a cualquier incumplimiento de este anexo. No se aplica si hay dolo o culpa grave por nuestra parte.
    • Si eres consumidor, respondemos como dice la ley, sin topes.
    • Nada de esto recorta lo que las personas afectadas puedan reclamarnos directamente según el artículo 82 del RGPD.
  15. 15

    Duración y cambios.

    • Este anexo dura mientras tratemos tus datos. La obligación de secreto sigue también después.
    • Si lo cambiamos, te avisamos como dice el punto 20 de las condiciones generales: con 30 días de antelación y con derecho a darte de baja sin penalización si no estás de acuerdo.
    • Si usáramos tus datos para algo distinto de lo que dice este anexo, pasaríamos a ser responsables de ese tratamiento, con todas sus consecuencias.
    • Lo que no diga este anexo se rige por las condiciones generales.

Versión del 02-11-2026.