Legal · Actualizado 21 de octubre de 2026
Contrato de encargado de tratamiento (DPA)
Este contrato de encargado de tratamiento (DPA) forma parte de los terminos y se aplica cuando Nebrisse trata datos personales de los clientes finales de un negocio (el "Responsable") para prestarle el Servicio, conforme al articulo 28 del RGPD.
1. Roles
El negocio es responsable del tratamiento y Nebrisse es encargado. Nebrisse es responsable independiente de los datos de la cuenta del propio negocio (ver politica de privacidad).
2. Objeto y datos tratados
Alojar y procesar los datos que el Responsable carga en el Servicio: nombre, contacto, historial de reservas y notas de sus clientes. Duracion: mientras exista la cuenta. No se tratan categorias especiales de datos salvo que el Responsable las introduzca bajo su responsabilidad.
3. Obligaciones de Nebrisse
- Tratar los datos solo segun las instrucciones documentadas del Responsable y para prestar el Servicio.
- Garantizar que el personal autorizado esta sujeto a confidencialidad.
- Aplicar medidas de seguridad adecuadas: cifrado en transito, aislamiento por negocio con reglas a nivel de fila, control de acceso por roles y copias de seguridad.
- Ayudar al Responsable a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad y evaluacion de impacto.
- Avisar al Responsable sin dilacion indebida, y en todo caso en un plazo razonable para que cumpla las 72 horas legales, tras conocer una brecha de seguridad que le afecte.
- Informarle si una instruccion infringe la normativa de proteccion de datos.
4. Subencargados
El Responsable autoriza con caracter general a Nebrisse a usar como subencargados a Supabase (base de datos y autenticacion), Cloudflare (alojamiento y red) y OpenRouter con los modelos de IA que enruta (solo si el Responsable usa funciones de IA). Nebrisse impondra a cada uno obligaciones equivalentes. Avisaremos de cualquier cambio con 30 dias de antelacion para que el Responsable pueda oponerse.
5. Transferencias internacionales
Si un subencargado trata datos fuera del Espacio Economico Europeo, se haran con garantias adecuadas, como las clausulas contractuales tipo de la Comision Europea.
6. Auditoria
Nebrisse pondra a disposicion del Responsable la informacion necesaria para demostrar el cumplimiento y permitira auditorias razonables, con aviso previo y sin afectar a otros clientes.
7. Fin del servicio
Al cerrar la cuenta, el Responsable puede exportar sus datos. Despues los eliminamos en un maximo de 30 dias, salvo obligacion legal de conservarlos.
8. Responsabilidad del Responsable
El Responsable debe tener base legal para tratar los datos de sus clientes, informarles y atender sus solicitudes.