Acuerdo de encargo del tratamiento

Versión: 22 de septiembre de 2026

> Solo la versión alemana de este acuerdo es jurídicamente vinculante. Esta traducción se ofrece para facilitar la comprensión.

conforme al art. 28 del RGPD entre el Cliente (responsable del tratamiento) y roleALPHA GmbH, Aschergasse 34, 1130 Viena (encargado del tratamiento). Forma parte del contrato sobre GoodWorkshop Cloud y rige desde su celebración.

1. Objeto y duración

El encargado opera GoodWorkshop Cloud para el responsable. El presente acuerdo rige durante la vigencia del contrato principal.

2. Naturaleza y finalidad del tratamiento

Almacenar, mostrar, editar conjuntamente, compartir y exportar planificaciones de talleres, así como el envío de correos de acceso e invitación.

3. Tipos de datos y personas afectadas

• Datos: nombres y direcciones de correo electrónico, roles y derechos de acceso, contenidos de las planificaciones de talleres, datos técnicos de uso (p. ej. momentos de acceso)
• Personas afectadas: los miembros del Cliente, los invitados por él y las personas mencionadas en las planificaciones de talleres

4. Obligaciones del encargado

1. Trata los datos únicamente siguiendo instrucciones documentadas del responsable; el contrato principal y los ajustes realizados en el Servicio tienen valor de instrucción.
2. Obliga a la confidencialidad a todas las personas con acceso a los datos.
3. Aplica las medidas técnicas y organizativas del anexo 1.
4. Asiste al responsable en las solicitudes de las personas afectadas, en la notificación de violaciones de seguridad y en las evaluaciones de impacto.
5. Comunica al responsable cualquier violación de la seguridad de los datos personales sin demora, a más tardar en un plazo de 48 horas desde que tenga conocimiento de ella.
6. Pone a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones y permite auditorías previo aviso.

5. Subencargados

El responsable consiente el recurso a los siguientes subencargados:

• netcup GmbH, Alemania — alojamiento en centros de datos en la UE
• Microsoft Ireland Operations Ltd., Irlanda — envío de correo electrónico
• Odoo S.A., Bélgica — contabilidad y facturación
• Stripe Payments Europe Ltd., Irlanda — tramitación de pagos

Odoo y Stripe reciben únicamente lo que exigen una factura y su cobro: empresa, dirección de facturación, número de IVA, correo de facturación y las cantidades facturadas. No reciben contenidos de los talleres ni los nombres de los miembros del responsable.

El encargado informa de los cambios previstos con al menos 30 días de antelación; el responsable puede oponerse por causa justificada.

6. Fin del tratamiento

Tras la finalización del contrato, el responsable puede exportar sus datos. El encargado los elimina a más tardar 30 días después de finalizar el contrato, salvo que exista una obligación legal de conservación.

Anexo 1: medidas técnicas y organizativas

• Cifrado: transmisión exclusivamente por TLS; credenciales de servidores de correo almacenadas cifradas
• Separación de clientes: separación de los clientes en la base de datos mediante seguridad a nivel de fila forzada
• Control de acceso: acceso sin contraseña mediante passkeys o enlaces de un solo uso por correo; roles y derechos por taller y carpeta; roles de base de datos separados con privilegios mínimos
• Operación: centros de datos en la UE; imágenes de software firmadas y analizadas en busca de vulnerabilidades; actualizaciones de seguridad periódicas
• Disponibilidad: copia de seguridad al día. Los datos se copian una vez al día; en caso de restauración, el estado puede tener hasta 24 horas de antigüedad. Las copias se conservan cifradas y separadas del sistema productivo, y su restaurabilidad se comprueba periódicamente.
• Trazabilidad: registro de los eventos relevantes para la seguridad

Esta versión se facilita también en otros idiomas. Solo la versión alemana es determinante y jurídicamente vinculante; las traducciones sirven para la comprensión.