1. Partes e incorporación
Este anexo forma parte de las condiciones de contratación. El responsable es la iglesia o entidad identificada como cliente en el alta; el encargado es José Fabio Calderón Fallas, NIE Y8099460R, con domicilio profesional en Plaza Ernest Lluch 21, 46530 Puzol, Valencia, España, bajo el nombre IglePOS. Se aplica al tratamiento por cuenta del cliente, sin alterar la condición de responsable independiente de IglePOS para sus datos de contratación y facturación.
2. Objeto, finalidad y duración
El encargo consiste en alojar, organizar, consultar, conservar, respaldar, recuperar y suprimir los datos necesarios para prestar las funciones de gestión contratadas y su soporte técnico. Dura mientras se presta el servicio y durante el periodo de devolución y supresión. Los datos se utilizan exclusivamente para esas finalidades y las instrucciones documentadas del responsable, incluidas las previstas en el contrato. Si una norma obliga a otro tratamiento, se informará previamente, salvo prohibición legal.
3. Datos e interesados
Los interesados son los usuarios del equipo del cliente. Se tratan nombre e identificación profesional, correo, credenciales protegidas, rol, permisos y actividad operativa asociada al uso de la aplicación. No se autoriza la incorporación de datos personales de compradores, categorías especiales, creencias religiosas o datos de menores. El responsable debe evitar introducirlos incluso en campos de texto libre.
4. Instrucciones y confidencialidad
El encargado no utilizará los datos para fines propios, publicidad ni venta. Si estima que una instrucción infringe el RGPD u otras normas de protección de datos, informará inmediatamente al responsable. El titular y las personas que pudieran autorizarse para acceder estarán sujetas a confidencialidad y accederán solo en la medida necesaria para su función. Las instrucciones adicionales se comunican a info@iglepos.com y se documentan por escrito.
5. Medidas de seguridad
Se aplican las medidas del artículo 32 del RGPD proporcionadas al riesgo. El servicio emplea HTTPS, autenticación, contraseñas protegidas mediante hash, permisos por rol, separación de datos de los entornos y copias con acceso restringido fuera de las carpetas públicas. La administración y el acceso técnico están a cargo del titular. Las copias gestionadas por IglePOS permanecen en el VPS; no se ofrece una copia externa geográficamente independiente. Las medidas se revisan ante cambios o incidentes y no se reducirán de forma que se comprometa el nivel de protección. El responsable debe gestionar los permisos de su equipo y conservar las exportaciones que necesite para sus propias obligaciones.
6. Subencargados y transferencias
El responsable autoriza el alojamiento y correo con HostGator.com, LLC, en Estados Unidos, bajo las condiciones y acuerdo de tratamiento del grupo Newfold aplicables al servicio. El acuerdo del proveedor incorpora cláusulas contractuales tipo de la Comisión Europea para las transferencias que lo requieran. IglePOS exigirá a sus subencargados obligaciones de protección de datos sustancialmente equivalentes a las aplicables al encargo y seguirá siendo responsable frente al cliente en los términos del artículo 28.4 del RGPD. La información contractual del alojamiento puede consultarse en las condiciones de HostGator y en el acuerdo de tratamiento de Newfold. La cadena de proveedores se publica en Newfold.
7. Cambios de subencargados
Se informará al responsable de las incorporaciones o sustituciones previstas antes de que accedan a sus datos, con la antelación disponible y, cuando dependa directamente de IglePOS, al menos 30 días. Para cambios en la cadena del alojamiento se trasladará la notificación del proveedor; su acuerdo prevé un plazo de 10 días. El responsable podrá formular oposición motivada por protección de datos durante el plazo comunicado. Se buscará una alternativa razonable; si no es viable, podrá finalizarse el servicio afectado sin penalización por esa causa, con devolución de la parte prepagada no prestada. Las actuaciones urgentes exigidas legalmente se comunicarán en cuanto sea posible.
8. Asistencia y derechos
El encargado ayudará al responsable a atender los derechos de los interesados, las evaluaciones de impacto y consultas previas que correspondan, teniendo en cuenta la naturaleza del tratamiento y la información disponible. Si recibe directamente una solicitud sobre datos del cliente, la trasladará sin demora al responsable y no decidirá por su cuenta sobre ella, salvo obligación legal.
9. Violaciones de seguridad
El encargado notificará al responsable, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad de los datos objeto del encargo. Facilitará la naturaleza del incidente, datos e interesados afectados cuando se conozcan, consecuencias probables, contacto y medidas adoptadas o propuestas. La información podrá completarse progresivamente. Cooperará en la contención, investigación y documentación para que el responsable cumpla sus obligaciones, incluido el plazo de 72 horas ante la autoridad cuando proceda.
10. Información y auditoría
El encargado pondrá a disposición del responsable la información necesaria para demostrar el cumplimiento de este anexo y permitirá y contribuirá a las auditorías o inspecciones del responsable o de su auditor autorizado. Se coordinarán de forma razonable para proteger otros clientes, la seguridad y la confidencialidad, sin impedir las facultades legales del responsable ni de la autoridad de control.
11. Devolución y supresión
El responsable puede solicitar la entrega o recuperación de sus datos durante los 30 días siguientes al fin definitivo del acceso. Transcurrido ese plazo, se suprimen los datos operativos y las copias controladas por IglePOS se purgan en los 30 días siguientes. La ejecución se gestiona por el titular y se documenta; puede solicitarse confirmación. Se cursarán las instrucciones de supresión necesarias al alojamiento. Solo se conservarán los datos exigidos por la ley o necesarios para responsabilidades, separados y con acceso restringido. Si se restaura una copia durante el periodo de purga, se vuelven a aplicar las supresiones que procedan antes de reanudar el uso ordinario.
12. Obligaciones del responsable
El responsable garantiza que el tratamiento que instruye es lícito, informa a sus usuarios, mantiene los datos adecuados y mínimos y controla los permisos. Facilita un contacto válido para incidentes e instrucciones. Ninguna cláusula limita los derechos de los interesados ni las obligaciones que el RGPD atribuye a cada parte.