Aviso legal
Contrato de encargado del tratamiento
Esto es un borrador que todavía no ha revisado un jurista
Este texto describe con la mayor precisión posible lo que Nermio hace realmente con los datos, para que un jurista tenga algo sobre lo que trabajar. No tiene valor jurídico y no está pensado para invocarse. Allí donde hay que tomar una decisión encontrarás un recuadro señalado con la pregunta, en lugar de una cláusula inventada.
Borrador del 4 de noviembre de 2026. Mientras tenga ese estado, la página aparece en el pie pero no en el mapa del sitio, y pide a los buscadores que la ignoren. Si necesitas un contrato de encargado del tratamiento ya ahora, pídenoslo en info@nermio.com.
El texto neerlandés es el que vale
Nermio es una empresa neerlandesa, el contrato se rige por el derecho neerlandés, y la versión neerlandesa es el texto que revisa un jurista. Esta versión en español es una traducción que ofrecemos por comodidad. Si las dos difieren, prevalece el texto neerlandés.
Si metes en Nermio datos de tus relaciones, tratamos datos personales por tu cuenta. Aquí abajo está lo que hacemos y lo que no hacemos con ellos, cómo están separados y lo que queda por acordar.
Partes y situación
Este contrato de encargado del tratamiento acompaña a las condiciones generales. Tú decides qué datos registras sobre tus relaciones y para qué; eres, por tanto, el responsable del tratamiento. Nermio solo trata esos datos para hacer funcionar el software y es por eso el encargado del tratamiento.
Con los datos de tu propia cuenta el reparto es otro: ahí es Nermio quien decide qué se hace con ellos. Esa parte está en la política de privacidad, no aquí.
Pendiente de un jurista
¿Qué persona jurídica es el encargado del tratamiento (denominación, forma jurídica, número en el registro mercantil neerlandés, domicilio), y cómo recibe y acepta un cliente este contrato?
Dos huecos que van juntos. La persona jurídica no está fijada en ninguna parte — el mismo hueco que en la política de privacidad y en el artículo 1 de las condiciones generales. Y no hay proceso: la portada dice que con tu cuenta viene un contrato de encargado del tratamiento, pero nadie lo recibe, ni lo acepta al registrarse, ni lo firma. Mientras siga así, esa promesa no está cumplida — y la existencia de esta página no la cumple.
Artículo 1. Objeto e instrucciones
Nermio trata datos personales exclusivamente por cuenta del cliente y para los fines del anexo 1. El tratamiento se realiza siguiendo las instrucciones del cliente; el uso del servicio, los ajustes que el cliente elige y este contrato valen conjuntamente como esa instrucción. Nermio no trata los datos del cliente para fines propios.
Concretamente, eso significa que no los vendemos, no los cedemos a terceros con fines publicitarios y no los usamos para entrenar modelos. Si Nermio considera que una instrucción parece contraria a la ley, se lo comunica al cliente antes de ejecutarla.
Para un lector español, la promesa de no tratarlos para fines propios tiene además una consecuencia legal y no solo moral. El artículo 33.2 de la Ley Orgánica 3/2018 (LOPDGDD) dispone que quien, en su propio nombre y sin que conste que actúa por cuenta de otro, establezca relaciones con los afectados tiene la consideración de responsable y no de encargado, aunque exista un contrato con el contenido del artículo 28.3 del RGPD; y lo mismo vale para quien, figurando como encargado, utilice los datos para sus propias finalidades. Si Nermio hiciera eso, no estaría incumpliendo una promesa comercial: habría cambiado de papel.
Artículo 2. Confidencialidad
Todo el que pueda acceder a datos de clientes en nombre de Nermio está obligado a la confidencialidad, y el acceso sigue limitado a lo que el trabajo necesita. Hoy Nermio es pequeño: en la práctica se trata de la persona que construye el producto. Eso es más honesto que una fórmula general sobre «personal autorizado».
El artículo 5 de la LOPDGDD dice lo mismo con fuerza de ley para España: la obligación de confidencialidad alcanza a los responsables, a los encargados y a todas las personas que intervengan en cualquier fase del tratamiento; es complementaria de los deberes de secreto profesional según la normativa de cada profesión; y se mantiene aun cuando haya terminado la relación con el responsable o el encargado.
Pendiente de un jurista
¿Cómo formalizamos la confidencialidad para los futuros empleados y para la ayuda externa que contratemos?
Artículo 3. Seguridad
Nermio adopta medidas técnicas y organizativas apropiadas, descritas en el anexo 2. Esas medidas pueden adaptarse mientras el nivel de protección no baje por ello.
Pendiente de un jurista
¿Están los datos cifrados también en reposo, y a qué nivel?
El tráfico por una conexión cifrada lo podemos confirmar, y las claves de IA las ciframos nosotros mismos (AES-GCM, con un secreto fuera de la base de datos). El cifrado del almacenamiento de la base de datos es cosa del proveedor de base de datos; eso hay que comprobarlo con él antes de que figure en el anexo 2 como un compromiso.
Pendiente de un jurista
¿Quién puede entrar en el entorno de producción del proveedor de base de datos y del proveedor de alojamiento, y con qué seguridad?
Dentro del software el segundo factor es obligatorio y eso se puede comprobar. Quién puede entrar en el panel de Supabase o de Vercel no está en este código — es un ajuste en casa de esos proveedores y aquí tiene que constar como un hecho, no como una suposición.
Artículo 4. Subencargados
El cliente autoriza a los subencargados del anexo 3. Si Nermio quiere añadir o sustituir uno, lo comunica con al menos treinta días de antelación. El cliente puede oponerse; si las partes no llegan a un acuerdo, el cliente puede resolver la suscripción con efecto en la fecha en que el cambio entre en vigor. Nermio impone a un subencargado las mismas obligaciones que figuran en este contrato.
Artículo 5. Transferencias fuera del EEE
Una transferencia a un país fuera del Espacio Económico Europeo solo se produce con un fundamento válido: una decisión de adecuación o cláusulas contractuales tipo con las medidas adicionales necesarias.
Pendiente de un jurista
¿Qué mecanismo de transferencia se aplica a cada subencargado del anexo 3, y salen datos de clientes del EEE en alguno de ellos?
Tres de los cuatro proveedores son sociedades estadounidenses con regiones europeas. Para cada uno hay que establecer dónde están los datos, si su soporte puede acceder a ellos y con qué fundamento. Sin esa respuesta este contrato no se puede ofrecer; la misma pregunta está en la política de privacidad.
Artículo 6. Los proveedores de IA del cliente
Si el cliente conecta su propia clave de API de un proveedor de IA, ese proveedor no es subencargado de Nermio. El cliente tiene su propio contrato con él y le paga el uso directamente. Nermio solo envía datos a ese proveedor cuando un usuario lo pide en el software, envía entonces una selección fija de campos del expediente, y no conserva la respuesta.
Artículo 7. Ayuda con las solicitudes de los interesados
Si una de tus relaciones pide acceso, rectificación o supresión, lo resuelves tú; son tus datos en tu entorno, y puedes consultarlos, modificarlos, exportarlos y suprimirlos allí tú mismo. Si eso no sale con las pantallas que hay, Nermio te ayuda. Si una solicitud nos llega por error, te la reenviamos y no la contestamos nosotros.
Artículo 8. Brechas de datos personales
Si Nermio detecta que datos de tu entorno se han consultado o se han filtrado, te lo comunica sin dilación indebida, con lo que se sepa en ese momento: qué ha pasado, qué categorías de datos y cuántos interesados afecta aproximadamente, las consecuencias probables y las medidas adoptadas.
Notificar a la autoridad de control o comunicarlo a los interesados es tu decisión, porque tú eres el responsable del tratamiento; nosotros aportamos la información que necesitas para ello. Si estás establecido en España, esa autoridad es la Agencia Española de Protección de Datos (AEPD) — es la tuya, no la nuestra, y por eso la decisión es tuya. Las autoridades autonómicas de protección de datos existen, pero el artículo 57 de la LOPDGDD limita su competencia a tratamientos del sector público de su comunidad, así que para una empresa es la AEPD.
Dos cosas más, para que el cuadro esté completo. La autoridad principal de Nermio como empresa sigue siendo la autoridad neerlandesa (Autoriteit Persoonsgegevens) conforme al artículo 56 del RGPD, lo que no quita nada de lo anterior: eso es sobre nuestros propios tratamientos, no sobre los tuyos. Y un interesado puede presentar una reclamación ante la autoridad de control de su propio Estado miembro siempre que quiera, según el artículo 77 del RGPD, sin pedirnos permiso a ninguno de los dos.
En España no solo está regulado el plazo, también el camino. La AEPD lo dice así: dispone de un canal específico en su sede electrónica que debe ser utilizado para notificar una brecha de datos. Para entrar en ese formulario hace falta un certificado electrónico reconocido — el del DNIe, o uno de persona física o de representante expedido por la Fábrica Nacional de Moneda y Timbre — o bien Cl@ve permanente con PIN24H. Y el formulario está dirigido exclusivamente a responsables del tratamiento, a través de una persona física autorizada o que ostente la representación. Consíguelo antes de necesitarlo, no el día en que el reloj de las setenta y dos horas ya está corriendo.
La obligación de relacionarse electrónicamente no es una preferencia de la Agencia: el artículo 14.2 de la Ley 39/2015 la impone a las personas jurídicas para cualquier trámite administrativo. De la misma ley sale también la lengua: su artículo 15.1 establece que los procedimientos de la Administración General del Estado se tramitan en castellano, con la posibilidad de usar la lengua cooficial de la comunidad ante un órgano estatal con sede en ella. El inglés no está entre esas opciones, así que un resumen técnico en inglés puede acompañar, pero no es la notificación.
Pendiente de un jurista
¿En qué plazo comunicamos nosotros una brecha de datos personales, y qué debe contener como mínimo esa comunicación?
El juego de cláusulas de partida propone cuarenta y ocho horas desde el descubrimiento. Es lo habitual, y es el cliente quien está sujeto a las setenta y dos horas del artículo 33 del RGPD, así que tiene que quedarle margen. En España hay además una expectativa expresa de la autoridad: la AEPD indica en su guía de brechas que ese plazo del encargado debe concretarse en los procedimientos e incluso reflejarse en el contrato de encargo de tratamiento, fijarse en función del riesgo y no superar las setenta y dos horas. Que podamos cumplir cuarenta y ocho con un equipo de una persona es una valoración realista y no una formalidad — y un plazo que no se cumple es peor que uno más amplio que sí se cumple.
Pendiente de un jurista
FUERA DEL DERECHO NEERLANDÉS — ¿entregamos los hechos de una brecha en castellano y en una forma con la que el cliente pueda rellenar el formulario de la sede electrónica de la AEPD, y aceptamos que nos delegue la notificación?
Son dos compromisos distintos y ninguno está decidido. El primero: como la notificación va obligatoriamente por la sede electrónica y la lengua del procedimiento es el castellano, «aportar información» aquí es algo más concreto que en los Países Bajos, y hay que decir en qué plazo y en qué idioma. El segundo lo abre la AEPD misma, que prevé que el responsable delegue en el encargado la gestión de la brecha y también la notificación, documentándolo en la relación contractual, recordando que delegar funciones no es delegar responsabilidad — y el formulario solo admite a quien actúe por el responsable, con su certificado de representación. Asumir eso con un equipo de una persona cuesta de verdad. Por eso aquí hay una pregunta y no una cláusula.
Artículo 9. Ayuda con otras obligaciones
Nermio ayuda al cliente, en la medida en que sea razonable y necesario, con una evaluación de impacto relativa a la protección de datos y con una eventual consulta previa a la autoridad de control, facilitando información sobre el tratamiento y sobre las medidas.
Artículo 10. Control
Nermio facilita al cliente, a petición suya, la información necesaria para valorar si se cumple este contrato. Si el cliente quiere más, puede encargar una auditoría a un experto independiente obligado a secreto, con un preaviso de cuatro semanas, como máximo una vez al año — salvo que haya un motivo concreto — y a su costa.
No hay certificación ISO 27001 ni SOC 2 y no hay informe de una prueba de intrusión externa; lo que sí hay está en la página de seguridad y en el anexo 2.
Artículo 11. Duración y fin
Este contrato dura mientras Nermio trate datos personales por cuenta del cliente. Si la suscripción termina, tiene que haber un momento claro en el que los datos del cliente se suprimen, y antes de eso la posibilidad de obtener una copia. Los datos que Nermio debe conservar por ley — facturas y pagos — se quedan, al margen de este contrato.
Así funciona hoy: la limpieza automática no toca los datos de clientes, así que después del final no desaparece nada por sí solo. En nuestra casa, suprimir es un acto con motivo obligatorio, que solo puede ejecutar un superadministrador y que queda anotado en el registro de seguridad. La exportación, en cambio, sigue funcionando treinta días después de que la organización se detenga, y eso está impuesto en la base de datos y no en la pantalla; una organización bloqueada no tiene esa ventana y recibe una copia a petición.
Pendiente de un jurista
¿Cuánto tiempo se quedan los datos después de que pase la ventana de recogida de treinta días, en qué forma se entrega una copia, y cuándo han desaparecido también de las copias de seguridad?
La ventana de treinta días está construida e impuesta en la base de datos (migraciones 0034 y 0053), así que esa mitad de la pregunta está contestada. Lo que queda es un hueco de verdad y no una formulación: no hay plazo de conservación después de esa ventana, porque la limpieza automática no toca los datos de clientes, de modo que se quedan hasta que alguien los suprima a mano. A eso se suma la pregunta de las copias de seguridad: ese ritmo es del proveedor de base de datos y determina cuándo algo ha desaparecido de verdad. Aquí el acuerdo y la técnica tienen que hacerse juntos; la misma pregunta está en la política de privacidad y en el artículo 8 de las condiciones generales.
Pendiente de un jurista
FUERA DEL DERECHO NEERLANDÉS — ¿necesita Nermio un estado de bloqueo de datos como el de los artículos 32 y 33.4 de la LOPDGDD, y quién decide entre suprimir, devolver o entregar a un nuevo encargado?
El derecho español conoce una figura que el neerlandés no tiene. El artículo 32 de la LOPDGDD obliga al responsable del tratamiento a bloquear los datos cuando los rectifica o los suprime: identificarlos y reservarlos con medidas que impidan cualquier tratamiento, incluida su visualización, salvo para ponerlos a disposición de jueces, tribunales, Ministerio Fiscal o administraciones competentes para exigir responsabilidades, y solo durante el plazo de prescripción; transcurrido ese plazo, destruirlos. Su apartado 4 admite, cuando el sistema no permita el bloqueo o adaptarlo exija un esfuerzo desproporcionado, un copiado seguro con evidencia de autenticidad, fecha y no manipulación. El artículo 33.4 permite al encargado conservar los datos debidamente bloqueados mientras puedan derivarse responsabilidades, y el 33.3 pone la elección entre destruir, devolver o entregar a un nuevo encargado en manos del responsable. En el CRM el responsable eres tú, así que ese deber es primero tuyo — y es lo que dice también la política de privacidad. Lo que queda por decidir es lo que este contrato tiene que prometer: si Nermio debe ofrecer un estado de bloqueo (hoy no existe: suprimir aquí suprime), si la copia segura del apartado 4 lo sustituye, y cómo se recoge en el contrato la elección del artículo 33.3. Mientras no se decida, prometerlo sería prometer algo que el código no hace.
Artículo 12. Responsabilidad
Para la responsabilidad derivada de este contrato vale lo que dice el artículo 11 de las condiciones generales. Allí ese artículo es todavía una propuesta con una pregunta abierta; mientras siga así, esa incertidumbre vale también aquí.
Pendiente de un jurista
FUERA DEL DERECHO NEERLANDÉS — artículos 8.1, 10 y 3 de la Ley 7/1998: ¿se sostiene frente a un cliente empresarial español la limitación de responsabilidad del artículo 11 de las condiciones generales?
El control español no se parece al belga ni al francés. Entre empresas no hay lista de cláusulas abusivas: el artículo 8.2 de la Ley 7/1998 sobre condiciones generales de la contratación reserva esa nulidad a los contratos celebrados con un consumidor. Lo que queda para un cliente profesional es el artículo 8.1 — son nulas de pleno derecho las condiciones generales que contradigan en perjuicio del adherente esa ley o cualquier otra norma imperativa o prohibitiva — y el artículo 10, según el cual la nulidad no deja sin efecto todo el contrato si puede subsistir sin la cláusula y la parte afectada se integra con arreglo al artículo 1258 del Código Civil: la cláusula no se tiene por no escrita, el hueco se rellena. Y hay un paso antes de todo eso: el artículo 3 aplica esa misma ley a contratos sometidos a legislación extranjera cuando el adherente ha emitido su declaración en territorio español y tiene aquí su residencia habitual, de modo que la elección del derecho neerlandés no basta para dejarla fuera. Lo que no se puede determinar aquí es qué norma imperativa se daría por contradicha, y si ese control juega efectivamente a pesar de la elección de ley. La pregunta sigue entera de todas formas, porque el artículo 11 de las condiciones generales es allí todavía una propuesta; esta es la misma pregunta que está en esa página, y tiene una sola respuesta para las dos.
Artículo 13. Secreto profesional
Este artículo existe porque Nermio se dirige también a asesorías, y porque un despacho tiene una obligación que el RGPD no sustituye. El artículo 199.1 del Código Penal castiga a quien revelare secretos ajenos de los que tenga conocimiento por razón de su oficio o sus relaciones laborales, y su apartado 2 castiga, con pena mayor e inhabilitación, al profesional que incumple su deber de sigilo o reserva. El artículo 200 extiende el capítulo a los datos reservados de personas jurídicas.
A diferencia de Alemania, donde el § 203 del Código Penal nombra al prestador informático y lo hace punible él mismo, el texto español no nombra a nadie en particular: habla de quien conoce el secreto por razón de su oficio o sus relaciones laborales. No es una exención y tampoco una condena; es una redacción general cuya aplicación a un encargado del tratamiento la decide la jurisprudencia, no esta página.
Lo que sí está escrito con claridad es de quién es el deber de trasladarlo. El artículo 22.4 del Estatuto General de la Abogacía Española obliga al profesional de la Abogacía a hacer respetar el secreto profesional a sus colaboradores y asociados, al personal correspondiente y a las demás personas que cooperen con él en su actividad profesional, y su apartado 5 añade que ese deber permanece sin límite temporal después de dejar de prestar los servicios. El artículo 16 de la Ley Orgánica 5/2024 del Derecho de Defensa protege además la inviolabilidad y el secreto de los documentos y comunicaciones del profesional de la Abogacía.
Y una cosa está fuera de duda: un contrato de encargado del tratamiento al amparo del artículo 28 del RGPD no libera al cliente de su secreto profesional. El artículo 5.2 de la LOPDGDD lo dice al revés y por eso vale de prueba: la obligación de confidencialidad es complementaria de los deberes de secreto profesional conforme a su normativa aplicable. El RGPD es derecho administrativo, el secreto profesional es derecho penal y deontológico, y no se sustituyen. El artículo 28.2.a) de la LOPDGDD cuenta además la pérdida de confidencialidad de datos sujetos al secreto profesional entre los riesgos que responsable y encargado tienen que valorar expresamente.
Pendiente de un jurista
FUERA DEL DERECHO NEERLANDÉS — ¿queda un encargado del tratamiento que trabaja para un abogado, un médico o una asesoría alcanzado por el secreto profesional español, y qué forma tiene que tener entonces nuestro compromiso de confidencialidad?
El artículo 199.1 del Código Penal está redactado en general y alcanza a quien conoce el secreto por razón de su oficio o de sus relaciones laborales; no nombra al prestador informático como hace el § 203 alemán, pero tampoco lo excluye, y si cae dentro es una cuestión de interpretación que resuelve un jurista. Lo que está claro es de quién es el deber de trasladarlo: el artículo 22.4 del Estatuto General de la Abogacía Española obliga al profesional a hacer respetar el secreto a quienes cooperen con él. De ahí salen las preguntas que hay que contestar: si basta un anexo a este contrato o hace falta un documento propio; qué contenido exige el colegio profesional correspondiente; si el compromiso debe alcanzar también a los subencargados del anexo 3 y cómo se consigue eso de Supabase y de Vercel; y si vale una casilla al registrarse o hace falta una firma. No se ha establecido en la fuente que exista una norma española que obligue al proveedor informático por sí mismo, como sí ocurre en Alemania, así que aquí no se afirma. Hasta que esto esté resuelto, lo honesto es decirle al lector lo que tiene que PEDIR a su proveedor, y no lo que Nermio promete.
Anexo 1. El tratamiento
| Asunto | Lo que se ha acordado |
|---|---|
| Finalidad | La prestación de un CRM: gestión de relaciones, un embudo de ventas, tareas y seguimiento, y la asistencia al cliente en todo ello. |
| Naturaleza del tratamiento | Conservar, ordenar, mostrar, modificar, exportar y suprimir. A petición de un usuario: envío de una selección de campos al proveedor de IA del cliente (artículo 6), y recepción de un correo que el propio usuario ha enviado a la dirección en copia oculta de su organización. |
| Interesados | Las personas de contacto en las relaciones del cliente, y los usuarios que el propio cliente invita. |
| Datos sobre las relaciones | Nombre de la empresa, localidad, país, sector, tamaño, sitio web, NIF, número de cliente y plazo de pago; por persona de contacto, el nombre, el cargo, la dirección de correo y el teléfono; oportunidades con un título, un importe y una fase; tareas con una fecha; actividades como una llamada o un correo; notas libres; y — si el cliente usa la dirección en copia oculta de su organización — de un mensaje así el asunto, las dos primeras frases, las direcciones implicadas y la hora. |
| Datos sobre los usuarios | Nombre, dirección de correo, rol y estado, más el registro de sus acciones en el registro de auditoría, con dirección IP e información del navegador. Si alguien envía un mensaje a la dirección en copia oculta del cliente desde una dirección que no pertenece a ella, solo se conserva esa dirección con una hora (90 días), para que el cliente pueda ver por qué el mensaje no llegó. |
| Categorías especiales de datos | No hay ningún campo para categorías especiales de datos ni para datos penales, y el servicio no está pensado para eso. Los campos de notas son texto libre, así que técnicamente el cliente puede escribir ahí cualquier cosa; no debe hacerlo y eso cae bajo su propia responsabilidad del artículo 8 de las condiciones generales. |
| Duración | Mientras dure la suscripción. Lo que vale después es la pregunta abierta del artículo 11. |
Anexo 2. Medidas de seguridad
Esta es la parte que está construida hoy y que puedes comprobar. La descripción extensa está en la página de seguridad.
- Separación por organización en la propia base de datos. No en las pantallas, sino en Postgres con seguridad a nivel de fila en cada tabla: la base decide en cada consulta qué filas puede ver una cuenta conectada. Un error en la aplicación no puede, por tanto, entregar datos de otra organización, y hay una batería de pruebas que demuestra ese aislamiento.
- Roles y permisos por usuario, del acceso completo a solo mirar, impuestos también en la base de datos.
- Un registro de auditoría que solo crece. Modificar o borrar una línea se ha hecho imposible, también para nuestro rol de administración más alto, con exactamente una excepción nombrada para la limpieza automática.
- Acceso de soporte con motivo y límite de tiempo. Quince, treinta o sesenta minutos y nunca más, siempre con un motivo indicado, de solo lectura por defecto, nunca con la posibilidad de suprimir, y consultable por el propietario de la organización.
- Verificación en dos pasos para todo el mundo. No solo para nuestro portal de administración, sino para cada usuario del CRM, sin excepciones. Además, el software cierra la sesión tras ocho horas sin actividad.
- Conexiones cifradas con HSTS, y una política de seguridad de contenido con un nonce por petición.
- Contraseñas que nosotros no podemos leer — están con hash en el servicio de autenticación — con una política de doce caracteres como mínimo y una comprobación contra contraseñas conocidas por haberse filtrado. Las claves de API de los proveedores de IA están cifradas (AES-GCM), con el secreto fuera de la base de datos.
- Un freno a los intentos de inicio de sesión que se cierra si falla él mismo, un registro de seguridad con una alerta ante intentos fallidos repetidos, y la posibilidad de bloquear una dirección IP.
Pendiente de un jurista
¿Con qué frecuencia hace copias de seguridad el proveedor de base de datos, cuánto tiempo se conservan, y puede el cliente invocarlas?
Sin ese dato el anexo 2 está incompleto y el artículo 11 no se puede contestar. El ritmo es del proveedor de base de datos; nosotros no lo ajustamos.
Pendiente de un jurista
¿Mantenemos este anexo al día en cuanto cambie la técnica, y cómo evitamos que envejezca?
Un anexo de medidas es contractualmente vinculante. Si cambia algo en el software, esta lista tiene que seguirlo — si no, pronto prometeremos algo que ya no funciona así, o nos callaremos algo que ha mejorado.
Anexo 3. Subencargados
Nermio no funciona en servidores propios. Estos proveedores tratan datos de clientes porque sin ellos el servicio no funciona.
| Proveedor | Servicio | Qué pasa con los datos de clientes |
|---|---|---|
| Supabase | Base de datos y autenticación | La base Postgres en la que están todos los datos de clientes, y el inicio de sesión de los usuarios. |
| Vercel | Alojamiento | La ejecución de la aplicación; los datos de clientes pasan por ella en cada petición y no se almacenan ahí por separado. |
| Resend | Correo transaccional | Invitaciones y restablecimiento de contraseña: la dirección de correo y el nombre de un usuario. Ningún dato de las relaciones del cliente. |
| Cloudflare | Control de abuso en los formularios | La dirección IP y características del navegador de quien envía un formulario. Ningún contenido del CRM. |
Pendiente de un jurista
¿Cuál es, para cada proveedor, la persona jurídica, el país de establecimiento, la región donde están los datos y el mecanismo de transferencia?
La región de la base de datos es conocida: Supabase está en eu-central-1 (Fráncfort), confirmado por el propietario que creó el proyecto allí. Queda abierta la persona jurídica de cada proveedor, dónde corre el entorno de Vercel y qué mecanismo de transferencia se aplica. Este es el anexo que un cliente empresarial mira primero, así que aquí no deben figurar suposiciones. Si se añade un proveedor de pagos, tiene que entrar también.
Relación con las condiciones generales
Si este contrato y las condiciones generales se contradicen en un punto que afecta a datos personales, prevalece este contrato. Cómo se recoge la aceptación es la pregunta abierta del principio de esta página.