DPPora — Anexo de encargo del tratamiento y salida del servicio
Versión: 17 de octubre de 2026. Este anexo forma parte de los términos empresariales de DPPora cuando trata datos personales por cuenta del cliente. Versión inglesa: /legal/data-processing-en.txt. Prevalece la normativa imperativa. Los clientes existentes deben recibir aviso de los cambios sustanciales antes de su entrada en vigor.

1. Partes y funciones
La organización cliente es responsable de los datos personales cuyo tratamiento encarga en su espacio de trabajo y pasaportes. Christopher Alan Peachey, bajo el nombre comercial Faro Digital Media, NIF Y0270240G, Paseo de la Dirección 161, Madrid 28039, España, es el encargado. Contacto: admin@farodigitalmedia.com. DPPora actúa separadamente como responsable para administración de cuentas, facturación, seguridad y soporte, conforme a la Política de privacidad.

2. Objeto, duración, naturaleza y fines
El tratamiento comprende recogida, alojamiento, organización, conservación, consulta, traducción solicitada, versionado, publicación de campos seleccionados, exportación y supresión de registros y evidencias aportados por el cliente. Dura mientras se presten estos servicios, incluida la conservación privada instruida para continuidad después del alojamiento público, hasta la devolución o supresión del apartado 10. Se limita al servicio contratado y las instrucciones documentadas lícitas.

3. Datos e interesados
Pueden incluirse nombres profesionales, contactos, identificadores y datos personales en registros, imágenes y documentos del cliente. Los interesados pueden ser personal, representantes, proveedores y contactos. El cliente minimizará los datos y no aportará categorías especiales ni información penal sin acuerdo escrito separado y garantías adecuadas. No deben incorporarse datos personales de clientes a un pasaporte regulado sin el consentimiento explícito exigido por la normativa aplicable.

4. Instrucciones y confidencialidad
El uso del servicio documentado, su configuración y las solicitudes escritas constituyen instrucciones, incluida la publicación y traducción elegidas. DPPora tratará los datos solo conforme a ellas, incluidas transferencias, salvo exigencia del Derecho de la UE o de un Estado miembro; en ese caso informará previamente al cliente salvo prohibición legal. Informará inmediatamente si una instrucción infringe la normativa de protección de datos. El personal autorizado estará sujeto a confidencialidad. DPPora no venderá los datos personales del cliente ni los utilizará para fines ajenos.

5. Seguridad
DPPora aplicará y mantendrá medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, proporcionadas al riesgo: autenticación y roles de organización; acceso administrativo restringido; cifrado en tránsito; protecciones de almacenamiento del proveedor; supervisión de accesos; copias de seguridad y recuperación; y respuesta a incidentes. El cliente controla campos públicos y autorizaciones. DPPora facilitará información de seguridad pertinente a petición y revisará las medidas cuando cambien los riesgos. Una exclusión general de responsabilidad no sustituye estas obligaciones.

6. Subencargados
El cliente autoriza de forma general por escrito, según su uso efectivo, estas categorías y proveedores: Cloudflare (entrega, alojamiento, seguridad y tratamiento solicitado mediante Workers AI), Supabase (base de datos, autenticación y almacenamiento), Microsoft Azure (traducción solicitada) y Resend (entrega de mensajes del servicio). DPPora mantendrá una lista actualizada de entidades jurídicas, ubicaciones y funciones, disponible en admin@farodigitalmedia.com. Stripe, Apple, Google y Google Analytics pueden actuar como responsables separados según el servicio; esta autorización no convierte a todos los proveedores en encargados.
DPPora notificará por escrito con al menos 30 días de antelación un nuevo subencargado o sustitución para permitir objeciones razonables de protección de datos. Las partes buscarán una alternativa adecuada; si no se resuelve, el cliente podrá terminar el tratamiento afectado y obtener una exportación. DPPora impondrá obligaciones equivalentes al artículo 28 y seguirá respondiendo de su cumplimiento.

7. Transferencias internacionales
DPPora no realizará transferencias restringidas sin un mecanismo válido del capítulo V del RGPD. Cuando corresponda, incluirá cláusulas contractuales tipo aplicables, evaluación de la transferencia y medidas complementarias, o una decisión de adecuación válida dentro de su ámbito. Alojar la base de datos en la UE no acredita que todo el tratamiento permanezca en el EEE. DPPora identificará destinatarios, países y garantías efectivos y facilitará copia o acceso a las garantías a petición, protegiendo la confidencialidad necesaria. No se declara ninguna certificación no verificada ni cumplimiento universal.

8. Asistencia e incidentes
Según el tratamiento y la información disponible, DPPora ayudará con derechos de los interesados, seguridad, notificación de brechas, evaluaciones de impacto y consultas a autoridades conforme a los artículos 32–36. Notificará al cliente sin dilación indebida las brechas de datos personales de las que tenga conocimiento, con los detalles disponibles sobre naturaleza, datos y personas afectadas, consecuencias probables y mitigación, y aportará actualizaciones. Remitirá solicitudes relativas a datos controlados por el cliente sin divulgación innecesaria y no responderá en su nombre salvo instrucciones u obligación legal.

9. Información y auditorías
DPPora pondrá a disposición información necesaria para demostrar el cumplimiento del artículo 28 y permitirá y contribuirá a auditorías e inspecciones del cliente o un auditor designado. La programación y confidencialidad no obstaculizarán la supervisión exigible ni investigaciones urgentes. Mantendrá los registros de tratamiento e instrucciones legalmente exigidos.

10. Cuenta personal y registros de la organización
Eliminar la cuenta de un usuario elimina su cuenta y acceso, no la organización, productos, pasaportes ni historial. Si se marcha el último propietario, se cancela la renovación y se respeta el alojamiento durante el periodo pagado. Si queda otro propietario, continúa el control normal. Después, los registros sin propietario permanecen privados para continuidad y recuperación autorizadas, sin alojamiento público automático. Registrarse no acredita autoridad sobre una organización existente.
Un representante autorizado puede solicitar devolución o eliminación permanente por separado a admin@farodigitalmedia.com. Se verificará la autoridad de forma proporcionada, protegiendo a miembros e interesados. Al terminar el encargo, a elección del cliente, DPPora devolverá o suprimirá los datos personales y eliminará las copias, salvo conservación exigida por Derecho de la UE o de un Estado miembro. La conservación privada para continuidad no autoriza guardar indefinidamente datos personales innecesarios. Los derechos individuales siguen disponibles de forma independiente; las verificaciones no serán excesivas ni impedirán ejercerlos.
Los registros necesarios por ley o reclamaciones se separarán y tendrán acceso restringido durante el plazo aplicable. Se explicará la eliminación en copias de seguridad y cualquier demora justificada; una restauración no devolverá datos suprimidos al uso activo. DPPora confirmará la finalización o explicará una excepción lícita.

11. Cambio de proveedor y exportación
Cuando sea aplicable el Reglamento de Datos de la UE, este apartado añade condiciones de salida y prevalecen los derechos legales. El cliente puede solicitar cambio a otro proveedor, un sistema local o supresión en admin@farodigitalmedia.com. No se exige preaviso contractual para iniciar el cambio. La transición ordinaria no excederá de 30 días naturales desde la solicitud, salvo excepciones legales; el cliente podrá ampliarla una vez. Si resulta técnicamente inviable, DPPora lo explicará y justificará en 14 días laborables e indicará un plazo alternativo que no exceda del máximo legal de siete meses.
DPPora prestará asistencia razonable, mantendrá continuidad y seguridad, cooperará de buena fe y facilitará todos los datos y activos digitales exportables en formato estructurado, común y legible por máquina: registros de producto, campos e historial de pasaportes, archivos aportados, datos de organización y metadatos pertinentes. Solo se excluyen software interno protegido e información confidencial de infraestructura en la medida permitida por ley, sin obstaculizar el cambio. Las limitaciones de formato se comunicarán antes de contratar.
Tras la transición habrá al menos 30 días naturales para recuperar datos antes de suprimirlos. El contrato termina al completar el cambio o, si se elige supresión, al finalizar el preaviso aplicable. No se cobra por cambio de proveedor ni salida de datos. Las cuotas ordinarias hasta la terminación son distintas; cualquier penalización propuesta por terminación anticipada deberá ser lícita y comunicarse expresamente antes de contratar. Eliminar un acceso individual no equivale a instruir la supresión de la organización ni iniciar una migración.

12. Continuidad de pasaportes
Una suscripción no garantiza alojamiento normativo permanente. El operador económico responsable debe organizar continuidad o migración antes de que termine el alojamiento. Los pasaportes de baterías regulados exigen, entre otros requisitos, interoperabilidad, acceso gratuito según funciones y disponibilidad después del cese del operador responsable. Una copia descargada no satisface necesariamente el deber de disponibilidad. DPPora debe acordar y verificar el servicio de continuidad adicional antes de que el cliente dependa de él para cumplir obligaciones normativas.

Métodos, estructuras, formatos y limitaciones de exportación: https://dppora.com/legal/export-formats-es.txt