Acuerdo de Tratamiento de Datos (DPA) — Caravel Sites

Versión 1.0. Fecha de entrada en vigor: en revisión

Este acuerdo está en revisión. Los puntos marcados en revisión aún se están confirmando y pueden cambiar antes de que el acuerdo entre en vigor. Prevalece la versión portuguesa en revisión.

Este acuerdo sigue el artículo 28, apartado 3, del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, «RGPD») y toma como referencia las Cláusulas Contractuales Tipo entre responsables y encargados del tratamiento adoptadas por la Comisión Europea en la Decisión de Ejecución (UE) 2021/915, de 4 de junio de 2021 (DO L 199 de 7.6.2021, p. 18). Sigue la estructura del DPA de las apps Caravel (https://caravelsuite.com/es/legal/dpa/, versión 1.1 de 01/11/2026), adaptado al servicio Caravel Sites.

Fuentes oficiales:

• RGPD — EUR-Lex, CELEX 32016R0679: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32016R0679
• Decisión de Ejecución (UE) 2021/915 — CELEX 32021D0915: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32021D0915
• Decisión de Ejecución (UE) 2021/914 (cláusulas tipo para transferencias a terceros países) — CELEX 32021D0914: https://eur-lex.europa.eu/legal-content/ES/TXT/?uri=CELEX:32021D0914
• Ley portuguesa n.º 58/2019, de 8 de agosto (ejecución del RGPD): https://diariodarepublica.pt/dr/detalhe/lei/58-2019-123815982
• CEPD, Directrices 07/2020 sobre los conceptos de «responsable del tratamiento» y «encargado del tratamiento» en el RGPD (versión 2.0, 7 de julio de 2021): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-072020-concepts-controller-and-processor-gdpr_es

Partes

1. El Cliente — la persona física o jurídica que contrata el servicio Caravel Sites, identificada en su cuenta y en la factura («Responsable del tratamiento» o «Cliente»).
2. Jardim Idílico Unipessoal Lda, marca Caravel Suite, NIF PT518764532, con domicilio social en Rua da Póvoa, n.º 775, Fração L, Zona Industrial de Amorim, 4495-121 Póvoa de Varzim, Portugal, inscrita en el Registro Mercantil (Conservatória do Registo Comercial) con el n.º 518764532, contacto caravel@caravelsuite.com («Encargado del tratamiento» o «Caravel»).

Cláusula 1 — Objeto y ámbito

1. Este acuerdo regula el tratamiento de datos personales que Caravel realiza por cuenta del Cliente al prestar el servicio Caravel Sites: creación, alojamiento y mantenimiento del sitio web del Cliente y, en particular, la recepción, conservación y entrega al Cliente de los mensajes que los visitantes envían mediante los formularios de contacto y de solicitud de reserva del sitio, consultables en el panel Caravel Sites.
2. Conforme al artículo 4, puntos 7 y 8, y al artículo 28 del RGPD, el Cliente es el responsable del tratamiento de esos datos y Caravel su encargado.
3. No están cubiertos por este acuerdo — se rigen por la Política de Privacidad de caravelsuite.com (https://caravelsuite.com/es/legal/privacy/) — los datos que Caravel trata como responsable en su relación con el propio Cliente: cuenta, facturación, pagos de la suscripción (procesados por Stripe), soporte y correspondencia.
4. Este acuerdo forma parte de las condiciones de venta de Caravel Sites (Términos de uso, https://caravelsuite.com/es/legal/terms/). En caso de conflicto en materia de protección de datos, prevalece este acuerdo (cf. cláusula 4 del Anexo de la Decisión de Ejecución (UE) 2021/915).
5. Este acuerdo se celebra por vía electrónica, que el artículo 28, apartado 9, del RGPD admite como forma escrita.

Cláusula 2 — Duración

1. Este acuerdo surte efecto cuando el Cliente lo acepta (en la compra o al registrar la cuenta Caravel Sites) y permanece vigente mientras Caravel trate datos personales por cuenta del Cliente.
2. Se mantiene tras el fin de la suscripción hasta completar la supresión o devolución previstas en la cláusula 10.

Cláusula 3 — Naturaleza, finalidad, categorías de datos y de interesados

La descripción completa figura en el Anexo I. En resumen:

• Naturaleza: recogida mediante los formularios del sitio, registro, conservación, consulta por el Cliente en el panel, aviso al Cliente por correo electrónico, copia de seguridad, supresión.
• Finalidad: permitir al Cliente recibir y responder a los contactos y gestionar las solicitudes de reserva de los visitantes de su sitio.
• Interesados: visitantes del sitio del Cliente que envían un formulario (potenciales clientes, huéspedes, comensales).
• Datos: nombre, correo electrónico, teléfono, fecha, hora, número de personas, texto del mensaje; datos técnicos del envío (fecha y hora; en revisión).
• Categorías especiales (art. 9 RGPD): el servicio no las solicita. El campo de mensaje es libre y un visitante puede escribir en él, por iniciativa propia, información de salud (por ejemplo, alergias o movilidad reducida). El Cliente no debe configurar campos que pidan esos datos sin base jurídica propia conforme al artículo 9, apartado 2.

Cláusula 4 — Instrucciones documentadas

1. Caravel trata los datos únicamente siguiendo instrucciones documentadas del Cliente, incluso con respecto a las transferencias a terceros países, salvo que esté obligada a ello por el Derecho de la Unión o de Portugal; en tal caso informa al Cliente previamente, salvo que la ley lo prohíba (art. 28.3.a) RGPD; cláusula 7.1 del Anexo de la Decisión 2021/915).
2. Son instrucciones documentadas: este acuerdo; la configuración que el Cliente realiza en el panel (campos de los formularios, correo de aviso, plazo de conservación); y las solicitudes que el Cliente envía por correo electrónico desde la dirección asociada a la cuenta.
3. Caravel informa inmediatamente al Cliente si, en su opinión, una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos (art. 28.3, último párrafo, RGPD).
4. Caravel no utiliza los datos para fines propios — en particular publicidad, elaboración de perfiles, venta o entrenamiento de modelos de inteligencia artificial — ni los combina con datos de otros clientes. Si lo hiciera, sería considerada responsable de ese tratamiento (art. 28.10 RGPD).

Cláusula 5 — Confidencialidad

1. Caravel garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación de confidencialidad de naturaleza legal (art. 28.3.b) RGPD).
2. El acceso se limita a lo estrictamente necesario para prestar, mantener y dar soporte al servicio. en revisión

Cláusula 6 — Seguridad del tratamiento (art. 32 RGPD)

1. Caravel aplica las medidas técnicas y organizativas descritas en el Anexo II, apropiadas al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento (art. 28.3.c) y art. 32 RGPD).
2. Caravel puede actualizar esas medidas siempre que no disminuya el nivel de seguridad.
3. Caravel no declara certificaciones (como ISO/IEC 27001) que no tenga.
4. Corresponde al Cliente proteger las credenciales de acceso al panel y al correo de aviso, y no pedir en los formularios más datos de los necesarios (art. 5.1.c) RGPD).

Cláusula 7 — Subencargados del tratamiento

1. El Cliente otorga a Caravel autorización general para recurrir a los subencargados indicados en el Anexo III (art. 28.2 RGPD; cláusula 7.7, opción 2, del Anexo de la Decisión 2021/915).
2. Caravel avisa al Cliente por correo electrónico, con al menos 30 días de antelación en revisión, de cualquier incorporación o sustitución de subencargados, y mantiene la lista actualizada en su sitio web.
3. El Cliente puede oponerse por escrito, con fundamento razonable en materia de protección de datos, dentro de ese plazo. Si la oposición no se resuelve, el Cliente puede resolver la suscripción antes de que el cambio surta efecto, sin penalización, con reembolso de la parte pagada y no utilizada del periodo en curso en revisión.
4. Caravel impone a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este acuerdo, en particular garantías suficientes de seguridad, y sigue siendo plenamente responsable ante el Cliente de su cumplimiento (art. 28.4 RGPD).
5. En caso de urgencia de seguridad o cese repentino de un proveedor, Caravel puede realizar la sustitución con un aviso más corto, informando al Cliente lo antes posible y manteniendo el derecho de oposición.

Cláusula 8 — Asistencia al Cliente

1. Derechos de los interesados (arts. 12 a 22 RGPD): teniendo en cuenta la naturaleza del tratamiento, Caravel asiste al Cliente, mediante medidas técnicas y organizativas apropiadas, para responder a las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición (art. 28.3.e) RGPD; cláusula 8 del Anexo de la Decisión 2021/915). En el panel, el Cliente puede consultar, exportar y suprimir mensajes en revisión. Si Caravel recibe una solicitud directamente de un interesado, la remite al Cliente sin demora y no la responde, salvo instrucción del Cliente.
2. Otras obligaciones: Caravel facilita al Cliente la información razonablemente necesaria para cumplir los artículos 32 a 36 del RGPD (seguridad, violaciones, evaluación de impacto y consulta previa), teniendo en cuenta la naturaleza del tratamiento y la información disponible (art. 28.3.f) RGPD).
3. Caravel lleva el registro de las actividades de tratamiento efectuadas por cuenta de sus clientes (art. 30.2 RGPD).

Cláusula 9 — Violaciones de la seguridad de los datos personales

1. Caravel notifica al Cliente sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Cliente (art. 33.2 RGPD) y, en todo caso, en un plazo máximo de 24 horas, por correo electrónico a la dirección de la cuenta (mismo plazo que el DPA de las apps Caravel).
2. La notificación incluye, en la medida de lo posible y pudiendo facilitarse por fases: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto (art. 33.3 RGPD; cláusula 9.2 del Anexo de la Decisión 2021/915).
3. La notificación a la autoridad de control (en Portugal, la CNPD; en España, la AEPD) en el plazo de 72 horas y la comunicación a los interesados (arts. 33 y 34 RGPD) corresponden al Cliente. Caravel le asiste con la información de que disponga.
4. Referencia: CEPD, Directrices 9/2022 sobre la notificación de las violaciones de la seguridad de los datos personales en el marco del RGPD (versión 2.0, 28 de marzo de 2023): https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-92022-personal-data-breach-notification-under_es

Cláusula 10 — Conservación, supresión y devolución

1. Durante la suscripción: los mensajes de los formularios se suprimen automáticamente al alcanzar el plazo de conservación configurado por el Cliente en el panel, 180 días por defecto en revisión. El Cliente puede suprimirlos antes.
2. Al finalizar la suscripción (cancelación o impago, conforme a las condiciones de venta: suspensión 15 días después del vencimiento y supresión 60 días después, con aviso previo), Caravel, a elección del Cliente, devuelve los datos (exportación en un formato de uso común, como CSV en revisión) y suprime el resto, salvo que el Derecho de la Unión o de Portugal exija su conservación (art. 28.3.g) RGPD; cláusula 10.d) del Anexo de la Decisión 2021/915). Si el Cliente no solicita nada, los datos se suprimen al final del plazo indicado en las condiciones de venta.
3. Los datos suprimidos desaparecen de las copias de seguridad cifradas al final del ciclo de conservación de las copias, hasta en revisión semanas. Hasta entonces, las copias solo se usan para restauración en caso de incidente.
4. Caravel confirma la supresión por escrito, a solicitud del Cliente.

Cláusula 11 — Demostración del cumplimiento y auditorías

1. Caravel pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD (art. 28.3.h) RGPD; cláusula 7.6 del Anexo de la Decisión 2021/915), en primer lugar por escrito (respuestas a cuestionarios y descripción actualizada de las medidas del Anexo II).
2. Si esa información no basta, o si una autoridad de control lo exige, el Cliente puede realizar o encargar una auditoría, incluida una inspección, por un auditor independiente sujeto a confidencialidad, como máximo una vez al año y con 30 días de preaviso, salvo violación de datos u orden de una autoridad. Cada parte asume sus propios costes en revisión.
3. La auditoría no puede dar acceso a datos de otros clientes ni comprometer la seguridad del servicio.

Cláusula 12 — Transferencias internacionales

1. Los datos de los formularios se alojan en servidores en la Unión Europea (en revisión, véase Anexo III).
2. Caravel no transfiere los datos fuera del Espacio Económico Europeo, salvo cuando lo haga un subencargado indicado en el Anexo III. En ese caso, la transferencia solo se realiza sobre la base de una decisión de adecuación (art. 45 RGPD — por ejemplo, para Estados Unidos, el Marco de Privacidad de Datos UE-EE. UU., Decisión de Ejecución (UE) 2023/1795, para entidades certificadas) o de garantías adecuadas, en particular las cláusulas contractuales tipo de la Comisión adoptadas por la Decisión de Ejecución (UE) 2021/914 (art. 46.2.c) RGPD).
3. Caravel avisa al Cliente, conforme a la cláusula 7, antes de introducir cualquier nueva transferencia.

Cláusula 13 — Responsabilidad, prevalencia, ley aplicable y jurisdicción

1. Cada parte responde conforme al artículo 82 del RGPD. Entre las partes, se aplica la limitación de responsabilidad de los Términos de uso (importe pagado en los 12 meses anteriores, salvo dolo o culpa grave), en la medida en que la ley lo permita y sin perjuicio de los derechos de los interesados en revisión.
2. En caso de conflicto entre este acuerdo y otros términos acordados entre las partes, prevalece este acuerdo en materia de protección de datos.
3. Ley aplicable: ley portuguesa, incluidos el RGPD y la Ley n.º 58/2019. Jurisdicción: tribunales de la comarca de Oporto, sin perjuicio de normas imperativas.
4. Caravel puede actualizar este acuerdo para adaptarlo a cambios legales o del servicio, avisando al Cliente por correo electrónico con 30 días de antelación; los cambios que reduzcan la protección de los datos requieren el acuerdo del Cliente.

Anexo I — Descripción del tratamiento

Anexo II — Medidas técnicas y organizativas (art. 32 RGPD)

Solo se indican medidas existentes. Las marcadas en revisión deben verificarse en el servidor de Caravel Sites antes de la publicación.

1. Cifrado en tránsito: todos los sitios y el panel se sirven solo por HTTPS (TLS), con certificado para el dominio del Cliente; HTTP redirige a HTTPS.
2. Aislamiento por cliente: los datos de cada Cliente están separados de los de otros clientes en revisión; cada cuenta del panel solo ve los mensajes de su sitio.
3. Copias de seguridad cifradas: copias automáticas en revisión.
4. Conservación configurable y supresión automática: el panel suprime los mensajes al alcanzar el plazo fijado por el Cliente (180 días por defecto).
5. Minimización: los formularios piden solo los campos necesarios; los campos son configurables; los sitios no usan cookies de terceros ni rastreadores en revisión.
6. Control de acceso: acceso administrativo al servidor solo con clave SSH en revisión; cortafuegos; base de datos no expuesta a Internet en revisión; acceso al panel con contraseña individual en revisión.
7. Protección de los formularios contra abusos: en revisión.
8. Registros: los registros del servidor no guardan el contenido de los mensajes en revisión; plazo de los registros en revisión.
9. Personas: acceso limitado a quien lo necesita; compromiso de confidencialidad (cláusula 5).
10. Respuesta a incidentes: procedimiento de análisis, contención y notificación al Cliente en 24 horas (cláusula 9).
11. Actualizaciones: sistema y dependencias actualizados periódicamente en revisión.

Anexo III — Subencargados autorizados

No son subencargados en virtud de este acuerdo:

• Stripe — procesa los pagos de la suscripción del Cliente a Caravel. No recibe datos de los visitantes de los sitios. Se rige por la Política de Privacidad de caravelsuite.com.
• El registrador del dominio y el proveedor de correo propio del Cliente — contratados por el Cliente (el dominio está registrado a nombre del Cliente).