Acuerdo de tratamiento de datos
Última actualización: 4 de octubre de 2026
Este acuerdo, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD), forma parte de los términos del servicio. El emisor es el responsable del tratamiento y Transformación Digital Europea, S.L. (CIF B06950323) es el encargado. Los emisores que necesiten una versión firmada pueden pedirla en info@postalprivado.com.
1. Objeto del tratamiento
| Finalidad | Entregar por email (y, si el receptor lo activa, avisar por SMS) los mensajes del emisor, gestionar las respuestas y conservar la constancia de entrega. |
| Interesados | Receptores de los mensajes del emisor. |
| Datos | Email, teléfono (opcional), nombre (opcional), referencias internas que facilite el emisor, contenido de los mensajes y respuestas, y metadatos de entrega, apertura y lectura. |
| Duración | Mientras dure la relación con el emisor, más el plazo de devolución o borrado del apartado 8. |
El emisor no debe enviar categorías especiales de datos (salud, por ejemplo) salvo que tenga base legal para ello y lo haya acordado por escrito con nosotros.
2. Obligaciones del encargado
- Tratar los datos solo siguiendo las instrucciones documentadas del emisor, que son las que da a través de la API, el panel y estos términos.
- Garantizar que el personal con acceso está sujeto a confidencialidad.
- Aplicar las medidas de seguridad del apartado 3.
- Ayudar al emisor a atender los derechos de los interesados y a cumplir sus obligaciones de seguridad, evaluación de impacto y consulta previa.
- Poner a disposición del emisor la información necesaria para demostrar el cumplimiento y permitir auditorías razonables, con aviso previo de 30 días.
3. Medidas de seguridad
- Cifrado del contenido de los mensajes en reposo (AES-256-GCM) con clave derivada por receptor.
- Cifrado en tránsito (TLS) en todas las conexiones.
- Base de datos sin acceso público: solo el servicio accede con credenciales de servidor.
- Claves de API almacenadas solo como hash; webhooks firmados con HMAC-SHA256.
- Registro de los accesos de descifrado del contenido.
- Verificación de emisores, límites de envío y suspensión automática ante abuso.
4. Subencargados
El emisor autoriza de forma general el uso de los siguientes subencargados. Avisaremos de cualquier alta o sustitución con 30 días de antelación; el emisor podrá oponerse por motivos razonables y, si no se encuentra solución, resolver el contrato.
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Supabase Inc. | Base de datos y autenticación | UE (Irlanda) |
| Vercel Inc. | Alojamiento de la aplicación y la API | EE. UU. / UE |
| Resend (Plus Five Five Inc.) | Envío y recepción de email | EE. UU. |
| LabsMobile (Lleida Networks) | Envío de avisos SMS | España |
| Google Cloud (Google Ireland Ltd.) | Tareas programadas y monitorización | UE (Bélgica) |
| Cloudflare Inc. | Protección anti-bots (Turnstile) y DNS | EE. UU. / global |
5. Transferencias internacionales
Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea.
6. Brechas de seguridad
Notificaremos al emisor sin dilación indebida, y en todo caso en un plazo de 48 horas desde que tengamos conocimiento, cualquier brecha que afecte a sus datos, con la información disponible para que pueda cumplir sus propias obligaciones de notificación.
7. Derechos de los interesados
Si un receptor se dirige directamente a nosotros, trasladaremos la solicitud al emisor y le ayudaremos a atenderla. El receptor puede, en cualquier caso, bloquear a un emisor desde el enlace de preferencias de cada mensaje.
8. Fin del tratamiento
Al terminar el servicio, y a elección del emisor, devolveremos o borraremos los datos en un plazo de 30 días, salvo que la ley obligue a conservarlos.