Contrato de datos

Qué hacemos con los datos de tus clientes.

Cuando usas ProfBlu, guardamos datos de tus clientes por encargo tuyo. Este contrato dice qué podemos hacer con ellos y qué no. En la ley se llama «contrato de encargo del tratamiento».

Versión del 17 de octubre de 2026

Qué es este documento

Es el contrato que exige el artículo 28 del Reglamento General de Protección de Datos (RGPD) cuando alguien trata datos personales por cuenta de otro. Vale para todos los productos de ProfBlu que un negocio usa con datos de sus clientes, su equipo u otras personas. Lo que cambia de un producto a otro —qué datos y de quién— está en el anexo de ese producto, que forma parte de este contrato.

El negocio es el responsable de los datos que introduce en el producto: decide de quién guarda datos, cuáles, para qué y durante cuánto tiempo.
Nosotros somos el encargado: los guardamos, se los enseñamos a quien el negocio autoriza y no hacemos nada más con ellos.

De los datos de la cuenta de ProfBlu con la que cada persona entra —correo, nombre, contraseña, sesiones— y de los datos de facturación del negocio respondemos nosotros como responsables: eso lo explica la política de privacidad de la plataforma, no este documento.

Quién es cada parte

Responsable del tratamiento: el negocio que da de alta su organización en la plataforma, con el nombre y los datos de su alta. Actúa por él su propietario o quien éste designe en el panel.

Encargado del tratamiento:

Germán Ezequiel Laso Andino, libero professionista, que opera bajo el nombre comercial ProfBlu.
Partita IVA 04702090988 · codice fiscale LSNGMN88S04Z600M · sin inscripción en el Registro delle Imprese.
Domicilio de contacto: Via della Sega 1, 38080 Verdesina, Porte di Rendena (TN), Italia.
Correo para este contrato: legal@profblu.com. Para asuntos de datos: privacidad@profblu.com.

No hay delegado de protección de datos designado: la ley no lo exige para una actividad de este tamaño.

Cuándo se acepta y cuánto dura

Se acepta en el alta de la organización en un producto, con la casilla que hay antes de entrar, y queda guardado con su versión, su fecha, la cuenta que lo aceptó y la organización. Al contratar otro producto se suma su anexo.

Dura mientras la organización use algún producto, y después lo que dice «Qué pasa cuando esto termina».

Objeto y finalidad

Prestar al negocio el producto contratado y, para eso, tratar los datos personales que el negocio, su equipo y sus clientes introducen. Sólo las operaciones que hacen falta para que la herramienta funcione: recoger lo que se escribe, guardarlo, mostrarlo a quien el negocio autoriza, cambiarlo cuando ellos lo cambian, mandar los avisos que el negocio configura, hacer copias de seguridad y borrarlo cuando corresponde. Ninguna más.

Sólo hacemos lo que el negocio nos manda

Tratamos los datos únicamente siguiendo las instrucciones documentadas del negocio: este contrato, las condiciones del producto, su configuración y lo que su equipo hace en el panel. Por tanto:

No usamos los datos del negocio para nada propio. Ni publicidad, ni perfiles, ni entrenar modelos de inteligencia artificial, ni cederlos o venderlos.
Podemos sacar cifras de uso agregadas y sin datos de personas (cuántas organizaciones usan una pantalla, cuántas fichas se crean) para mantener y mejorar el producto.
No sacamos los datos del Espacio Económico Europeo salvo lo que dice la lista de subencargados, y siempre con las garantías del capítulo V del RGPD.
Si una ley nos obliga a tratarlos de otro modo, se lo decimos antes al negocio, salvo que esa misma ley lo prohíba.
Si una instrucción del negocio nos parece contraria al RGPD, se lo decimos.

Confidencialidad

Quien tiene acceso a estos datos está obligado a confidencialidad, también después de que termine el encargo. Hoy el acceso técnico a las bases de datos lo tiene una sola persona, el titular. Si hay más, firmarán confidencialidad antes y accederán sólo a lo que su trabajo exija.

Dentro del negocio, quién ve qué lo decide él con los papeles que reparte en el panel. Nosotros hacemos cumplir ese reparto.

Medidas de seguridad

Las que hay de verdad, comunes a todos los productos:

Todo el tráfico va cifrado (TLS).
Las organizaciones están aisladas entre sí: pedir con la sesión de una un dato de otra no lo devuelve.
El acceso depende del papel de cada persona en su organización.
Los servidores y las copias están en Alemania (Hetzner, Núremberg). Las copias de seguridad van cifradas y se guardan 35 días.
Se aplican las actualizaciones de seguridad de forma continua.

Lo que no hay, para que nadie lo dé por supuesto: no ciframos campo a campo dentro de la base de datos y no hay una certificación externa de seguridad. Las medidas propias de cada producto están en su anexo.

Subencargados

El negocio nos autoriza de forma general a servirnos de las empresas de la lista de subencargados, que es parte de este contrato y dice, de cada una, qué hace, en qué país y con qué garantía si está fuera del Espacio Económico Europeo.

Con cada una mantenemos las mismas obligaciones de protección de datos que este contrato nos impone, y respondemos ante el negocio de lo que hagan.
Si vamos a sumar o cambiar uno, lo avisamos al propietario de la organización, por correo y en el panel, con al menos 30 días de antelación. En ese plazo puede oponerse por escrito con un motivo de protección de datos. Si se opone y no hay otra manera razonable de prestarle el servicio, puede terminar el contrato sin coste y le devolvemos la parte pagada que no use.

Ayuda con los derechos de las personas

Las personas ejercen sus derechos —acceso, rectificación, supresión, oposición, limitación, portabilidad— ante el negocio. Nuestro trabajo es que pueda atenderlos: desde el panel puede consultar, corregir y borrar fichas; lo que el panel de un producto todavía no permita (lo dice su anexo) se nos pide a privacidad@profblu.com desde el correo del propietario y lo hacemos en el plazo que el negocio necesite para cumplir el suyo.

Si una petición nos llega a nosotros, no la contestamos por el negocio: se la pasamos sin dilación indebida.

Si hay una brecha de seguridad

Si detectamos una violación de seguridad que afecte a datos del negocio, se lo decimos sin dilación indebida, y en todo caso en 48 horas desde que la conozcamos, al correo del propietario, con lo que sepamos: qué pasó, qué datos y cuánta gente, qué consecuencias prevemos y qué estamos haciendo. Así el negocio puede notificar a su autoridad en las 72 horas que le pide la ley.

Otras ayudas al negocio

Le damos la información que tengamos para hacer una evaluación de impacto o consultar a su autoridad cuando el tratamiento lo pida.

Información y comprobación

El negocio puede pedirnos por escrito lo que necesite para comprobar que cumplimos este contrato, y se lo damos en un mes. Puede pedir una auditoría: se acuerda con antelación razonable, no más de una vez al año salvo incidente, sin poner en riesgo los datos de otras organizaciones y a su cargo.

Qué pasa cuando esto termina

Cuando la organización se da de baja o deja de pagar:

La cuenta queda en sólo lectura el tiempo que dicen las condiciones de contratación, para que el negocio exporte sus datos en un formato legible por máquina. Si el panel no lo permite, se los mandamos a pedido.
Después, borramos sus datos del producto, avisando antes por correo. Las copias de seguridad desaparecen solas en su ciclo de 35 días.
Conservamos sólo lo que la ley nos obligue a guardar (por ejemplo, las facturas), y lo bloqueamos para cualquier otro uso.

Antes de ese plazo, el negocio puede pedir el borrado inmediato a privacidad@profblu.com.

Lo que le toca al negocio

Como responsable, el negocio se compromete a:

tener una base legal para cada dato que introduce, y poder demostrarla;
informar a las personas de qué guarda de ellas, para qué y con quién (nos puede nombrar como su proveedor tecnológico);
pedir el consentimiento explícito cuando trate datos de salud u otras categorías especiales, si su anexo las permite; y no introducirlas si su anexo no las prevé;
no cargar datos de menores de 14 años sin el permiso de quien responde por ellos, si el producto los admite;
introducir sólo lo necesario y mantenerlo al día;
cuidar los accesos de su equipo;
no usar con datos reales un entorno de demostración (las direcciones con demo).

Responsabilidad

Cada parte responde de lo suyo frente a la otra: el negocio, de lo que decide tratar y de sus instrucciones; nosotros, de cumplir este contrato y de lo que hagan nuestros subencargados. Frente a las personas afectadas se aplica el artículo 82 del RGPD.

Cambios

Si cambiamos este documento, sus anexos o la lista de subencargados, cambiamos su versión y lo avisamos con antelación, en el panel o por correo. La versión aceptada queda guardada.

Ley aplicable

Se aplica el RGPD y, en lo que él no regula, la legislación italiana, la del domicilio del titular. Son competentes los tribunales de Trento (Italia). Si el negocio está en otro país con su propia ley de datos, responde él de cumplirla en lo que le toca como responsable.

Anexos por producto

Cada producto trata datos distintos. Lee el anexo del que usas: