DUBHCORE — Acuerdo de tratamiento de datos (DPA)

Acuerdo sobre el tratamiento de datos con arreglo al art. 28 RGPD

Versión 1.0 — Fecha: 30 de agosto de 2026 — Versión final Se aplica cuando el Estudio/Profesional es Responsable y DUBHCORE es Encargado de los datos de los clientes del Estudio tratados a través de la plataforma.

• Responsable del tratamiento: el Estudio/Profesional (datos identificativos en la cuenta).
• Encargado del tratamiento: DUBHCORE — Gelsi Andrea (empresario individual), NIF-IVA (P.IVA) 02826520211, domicilio social Via Auen 3, 39031 Brunico (BZ), Italia, info@dubhcore.com.

1. Objeto y duración

El Encargado trata los datos personales por cuenta del Responsable con el único fin de prestar el Servicio, durante la vigencia del contrato de servicio y hasta la restitución/supresión de los datos.

2. Naturaleza y finalidad del tratamiento

Alojamiento, almacenamiento, procesamiento y puesta a disposición de las funciones de gestión (solicitudes, citas, calendario, mensajería, documentos/firmas, pagos/anticipos, notificaciones) para la gestión de la actividad del Responsable.

3. Interesados y categorías de datos

• Interesados: los clientes del Estudio (incluidos menores y sus padres/tutores), colaboradores.
• Categorías: datos identificativos/contactos; solicitudes de tatuaje/piercing y posición en el cuerpo; imágenes; citas; mensajes; documentos/consentimientos/firmas; datos de pago/anticipo.
• Categorías especiales (art. 9): datos de salud en los flujos Tatuaje (campo «Cicatrices») y Piercing (alergias a los metales, irritaciones/infecciones de la zona, cicatrización, medicamentos/condiciones, embarazo/lactancia). La condición prevista en el art. 9 implementada es el consentimiento explícito — art. 9.2.a), identificado por el Responsable (no el art. 9.2.h); DUBHCORE no es un servicio sanitario). El PMU no prevé actualmente la recopilación de datos de salud estructurados.
• Datos de menores/tutores: tratados según el flujo de doble firma en el estudio; para los menores, el consentimiento a los datos de salud es prestado en el estudio por el padre/tutor y vinculado a la prestación específica (véase Política de Privacidad §4-bis).

4. Instrucciones documentadas

El Encargado trata los datos solo bajo instrucciones documentadas del Responsable (incluidas las impartidas mediante el uso de las funciones del Servicio y los presentes Términos/el presente DPA), sin perjuicio de las obligaciones legales.

5. Confidencialidad

El personal autorizado del Encargado está sujeto a confidencialidad.

6. Seguridad (art. 32)

El Encargado adopta las medidas técnicas/organizativas descritas en el Anexo B (medidas verificadas).

7. Control de acceso y aislamiento

Acceso basado en roles (RBAC) y aislamiento multiinquilino por estudio; las credenciales/secretos no se exponen en claro.

8. Subencargados

El Responsable autoriza el recurso a los subencargados enumerados en el Anexo C. El Encargado impone a los subencargados obligaciones de protección de datos equivalentes.

9. Cambios en los subencargados

El Encargado informa al Responsable de los cambios de subencargados con un preaviso razonable, permitiendo una eventual oposición motivada.

10. Transferencias internacionales

Las transferencias fuera de la UE se realizan con garantías adecuadas. Verificado: la infraestructura de la base de datos de producción, del almacenamiento y de las copias de seguridad está situada en los Estados Unidos; las transferencias están cubiertas por el DPA de Emergent Labs Inc., que incorpora las Cláusulas Contractuales Tipo (Decisión UE 2021/914) cuando resulte aplicable. Roles: el Cliente (DUBHCORE/Estudio) actúa como Responsable y Emergent como Encargado; cuando el Cliente actúa a su vez como Encargado para otro Responsable, Emergent actúa como Subencargado. El DPA de Emergent está destinado a cumplir los requisitos del art. 28 RGPD.

11. Asistencia al Responsable

El Encargado asiste al Responsable, en la medida de lo posible, en la respuesta a las solicitudes de los interesados (art. 15–22) y en las obligaciones con arreglo a los art. 32–36 (seguridad, violación de datos, EIPD, consulta previa).

12. Violación de datos

El Encargado notifica al Responsable las violaciones de datos sin dilación indebida tras haber tenido conocimiento de ellas, facilitando la información útil disponible.

13. EIPD

El Encargado coopera, cuando proceda, en la evaluación de impacto (EIPD) y en la consulta previa.

14. Cooperación con las autoridades

El Encargado coopera con la autoridad de control competente dentro de los límites de la ley.

15. Restitución/supresión

Al término del contrato, a elección del Responsable, el Encargado restituye o suprime los datos, sin perjuicio de las obligaciones legales de conservación. Los documentos firmados se conservan como instantáneas inmutables según el Servicio.

16. Auditoría e información

El Encargado pone a disposición del Responsable la información necesaria para demostrar el cumplimiento del art. 28 y permite auditorías razonables, con modalidades y preaviso acordados.

17. Obligaciones del Responsable

El Responsable garantiza la licitud del tratamiento (para los datos de salud, la condición prevista en el art. 9 implementada es el consentimiento explícito con arreglo al art. 9.2.a), recabado a través de la función de la plataforma antes de los datos de salud estructurados), facilita los avisos y recaba los consentimientos hacia sus clientes (incl. la gestión de los menores con consentimiento prestado en el estudio por el tutor), imparte instrucciones lícitas y configura correctamente los accesos de su personal.

18. Responsabilidad

Cada parte responde con arreglo al RGPD y a la ley aplicable, dentro de los límites de sus respectivos roles.

19. Contacto

DUBHCORE — info@dubhcore.com.

ANEXO A — Descripción del tratamiento

• Finalidades: gestión operativa de la actividad del Estudio a través del Servicio.
• Tipos de tratamiento: recopilación, registro, organización, almacenamiento, consulta, uso, comunicación a los destinatarios/subencargados, supresión.
• Interesados: clientes (incl. menores), padres/tutores, colaboradores del Estudio.
• Categorías de datos: véase §3 (incl. datos de salud para el piercing y datos de menores/tutores).
• Duración: vigencia del contrato; conservación según el Data Retention Schedule V1 de DUBHCORE.

ANEXO B — Medidas técnicas y organizativas (VERIFICADAS en el código)

• Contraseñas con bcrypt; autenticación con JWT.
• RBAC (control de roles) y aislamiento multiinquilino por estudio.
• Mínimo privilegio sobre los datos de salud (art. 9) — del lado del servidor: las respuestas de salud estructuradas de la prestación son devueltas por la API solo al titular/manager, al profesional asignado y al cliente interesado; redactadas (no transmitidas) a recepción, profesionales no asignados, otros estudios y otros clientes. El resumen operativo del Piercing se mantiene separado de las respuestas de salud.
• Cifrado (Fernet) de los tokens de Google y de los datos de pago.
• Object Storage privado con control de acceso (ninguna URL pública; ningún path expuesto).
• Rate limiting en los endpoints públicos (clave por IP real).
• Registro de auditoría de las acciones (autor/acción/objeto/marca de tiempo).
• Instantáneas inmutables de los documentos firmados.
• Normalización del correo en el inicio de sesión/registro.
• Copias de seguridad de infraestructura (gestionadas por Emergent — verificado): base de datos de producción con copias de seguridad automáticas rotatorias (horarias 7 días, diarias 7 días, semanales 4 semanas, mensuales 12 meses, anuales 1 año) y point-in-time recovery continuo de los últimos 7 días; almacenamiento en los Estados Unidos.
• Regiones (verificado): base de datos de producción, almacenamiento y copias de seguridad en los Estados Unidos.

ANEXO C — Subencargados (solo servicios realmente utilizados)

Nota: Expo/EAS se utiliza exclusivamente para build/distribución de la app móvil y no trata los datos personales de los usuarios finales durante el uso normal: no se enumera como subencargado en tiempo de ejecución. Apple Calendar es en el dispositivo (no es subencargado). Los DPA se perfeccionan mediante aceptación en línea (sin firma manuscrita separada). Duración de los registros de infraestructura: no comunicada ni confirmada por el proveedor (gestionada por Emergent en el marco de su propia infraestructura; no se indica ningún periodo numérico no verificado).

Revisión Anexo C (auditoría verificada): los servicios actuales son Stripe, Google, Emergent (cadena infra: MongoDB Atlas, AWS/Amazon SES en los EE. UU. y Cloudflare (edge/distribuido, región no verificada) vía Emergent — DPA Emergent + CCT UE 2021/914). Stripe puede actuar como Responsable autónomo para determinados tratamientos de pago/cumplimiento/antifraude (no un simple subencargado); Google está limitado a OAuth + Calendar. Los DPA se perfeccionan mediante aceptación en línea (sin firma manuscrita separada). Expo/EAS = herramienta de build/distribución, no subencargado en tiempo de ejecución de los datos de clientes. Apple Calendar es en el dispositivo (no es subencargado). Google Fonts y Unsplash NO están incluidos (recursos localizados). Duración de los registros de infraestructura: no comunicada ni confirmada por el proveedor (no se indica ningún periodo numérico no verificado).