Privacidad y contrato de encargo de tratamiento
Versión 1.0.1. Vigencia: 9 de septiembre de 2026.
Parte A. Política de privacidad
INDIGENAS DIGITALES, S.L., NIF B72848054, domicilio Calle Selleters, 25, 07300 Inca, es responsable de web, solicitudes, usuarios, contratación, cobros propios, soporte, seguridad y comunicaciones. Contacto: support@gestuu.es. No se ha designado DPO al no identificarse actualmente obligación del artículo 37 RGPD.
Se tratan identidad, contacto, compañía, permisos, contrato, plan, consumos, facturación, token de pago, soporte, IP, dispositivo, registros de seguridad, aceptaciones, cookies, analítica consentida y datos de evaluación de encaje.
| Finalidad | Base | Conservación |
|---|---|---|
| Alta y servicio | medidas precontractuales/contrato | relación y bloqueo por responsabilidades |
| Facturación y contabilidad | contrato/obligación legal | plazos mercantiles y fiscales |
| Seguridad y defensa | interés legítimo/obligación legal | plazo proporcional o duración del incidente |
| Soporte operativo | contrato | relación y responsabilidades |
| Evaluación e invitaciones | medidas precontractuales/interés legítimo | resolución y prueba de la decisión |
| GA4 | consentimiento | retirada y máximos de la Política de Cookies |
Pueden acceder proveedores de hosting, backups, correo —Mailgun—, pagos —Redsys—, soporte/monitorización y Google solo con consentimiento analítico, además de autoridades por obligación legal. Fuera del EEE se usarán decisiones de adecuación, cláusulas tipo u otra garantía del capítulo V RGPD.
Los derechos de acceso, rectificación, supresión, oposición, limitación, portabilidad y retirada del consentimiento se ejercen en support@gestuu.es. Solo se pedirá verificación adicional proporcionada cuando sea necesaria. Puede reclamarse ante la AEPD. La evaluación fiscal automática no produce por sí sola efectos jurídicos y permite revisión humana.
Parte B. DPA — artículo 28 RGPD
1. Partes, objeto y duración
La empresa titular es responsable y INDIGENAS DIGITALES, S.L. encargado. El encargo dura durante el servicio y los periodos técnicos de devolución, bloqueo y supresión.
2. Tratamientos, datos e interesados
El encargo comprende recogida por cuenta del responsable, alojamiento, organización, consulta autorizada, generación y envío documental, conservación, backup, soporte, exportación y supresión. Afecta a clientes, contactos, usuarios, proveedores, representantes y pagadores, y a datos identificativos, fiscales, económicos, facturas, presupuestos, IBAN/SEPA, documentos, comunicaciones, certificados y trazas. No deben cargarse categorías especiales salvo acuerdo y medidas específicas.
3. Obligaciones del encargado
Gestuu:
- trata solo conforme a instrucciones documentadas y avisa si considera que infringen la normativa;
- limita accesos, exige confidencialidad y retira permisos;
- aplica controles de acceso, aislamiento por compañía, cifrado en tránsito, protección de secretos, backups, monitorización, gestión de vulnerabilidades, desarrollo seguro y respuesta a incidentes;
- asiste con derechos, evaluaciones de impacto, consultas y obligaciones de seguridad;
- pone a disposición evidencia razonable y admite una auditoría proporcionada por año, salvo incidente o requerimiento, con preaviso, confidencialidad y sin comprometer a otros clientes;
- no usa los datos para fines propios incompatibles.
4. Subencargados y transferencias
El responsable concede autorización general. Gestuu mantendrá una lista actualizada y comunicará nuevos subencargados con al menos 15 días, permitiendo una objeción motivada por protección de datos. Impondrá obligaciones equivalentes y seguirá respondiendo. Las transferencias internacionales requerirán una garantía válida del capítulo V RGPD.
5. Brechas
Gestuu notificará al responsable sin dilación indebida y, como máximo, dentro de 48 horas desde que tenga constancia. Comunicará progresivamente naturaleza, categorías y volumen, contacto, consecuencias y medidas. Mantendrá registro y cooperará. El responsable decide y ejecuta, cuando proceda, la notificación a la AEPD en 72 horas y la comunicación a interesados.
6. Finalización
El responsable dispone de 30 días para usar las exportaciones disponibles. A su elección documentada, Gestuu devolverá o suprimirá datos; los datos activos se eliminan o anonimizan en un máximo de 60 días, salvo obligación de bloqueo, y los backups rotan en un máximo de 90 días. El DPA prevalece sobre cláusulas generales contradictorias en esta materia.