Acuerdo de tratamiento de datos (DPA)

Esta es una traducción ofrecida para tu comodidad. En caso de discrepancia, prevalece la versión en inglés.

Versión del 2026-10-20.

1. Partes y ámbito de aplicación

Este acuerdo se celebra entre el cliente del alojamiento (el responsable del tratamiento) y Casapu Cristian-Costinel Întreprindere Individuală, que opera con el nombre MediaLab Works, n.º de registro mercantil F16/641/2020, número de identificación fiscal (CUI) 43060600, con domicilio social en Ciupercenii Vechi, mun. Calafat, jud. Dolj, Rumanía (el encargado del tratamiento, «nosotros»). Se aplica a los datos personales que el cliente, o los visitantes y usuarios de los servicios del cliente, almacenan o tratan en una cuenta de alojamiento: sitios web, aplicaciones, bases de datos, buzones, archivos y copias de seguridad («datos alojados»). Forma parte de los Términos y se acepta al contratar el alojamiento.

Los datos que tratamos como responsables para nuestros propios fines (tu cuenta de cliente, la facturación, el soporte, la seguridad de nuestros sistemas) se describen en la Política de privacidad, no aquí.

2. Detalles del tratamiento

• Objeto y naturaleza: almacenamiento, alojamiento, puesta a disposición en internet, transmisión (web y correo), copia de seguridad y restauración de los datos alojados, y las operaciones técnicas necesarias para ello (registros, monitorización, seguridad).
• Finalidad: prestar el servicio de alojamiento contratado por el cliente.
• Duración: mientras exista la cuenta de alojamiento, más los plazos de eliminación de la sección 9.
• Categorías de interesados: las que decida el cliente, normalmente los visitantes, usuarios, clientes, empleados y corresponsales de los sitios web y buzones del cliente.
• Categorías de datos personales: las que decida el cliente, normalmente datos de identificación y de contacto, datos de cuenta, el contenido de mensajes y archivos, y datos técnicos (direcciones IP y detalles de las peticiones en los registros del servidor web). Las categorías especiales de datos (art. 9 del RGPD) y los datos relativos a condenas penales solo se tratan si el cliente decide almacenarlos; el cliente es responsable de contar con una base jurídica y con las garantías adicionales que procedan.

3. Instrucciones

Tratamos los datos alojados únicamente siguiendo las instrucciones documentadas del cliente, que son: los Términos, este acuerdo y las acciones que el cliente realiza en su cuenta y en el software alojado. No accedemos al contenido de los datos alojados, salvo cuando sea necesario para prestar el servicio, para el soporte solicitado por el cliente, para restaurar una copia de seguridad a petición del cliente, para proteger la seguridad del servidor o para cumplir la ley o una orden de una autoridad (en ese caso informamos al cliente, salvo que la ley lo prohíba). No usamos los datos alojados para nuestros propios fines, no los vendemos ni los analizamos con fines publicitarios. Si consideramos que una instrucción infringe el RGPD, se lo comunicamos al cliente.

4. Confidencialidad

Solo las personas que operan el servicio tienen acceso al servidor, y están obligadas a guardar confidencialidad. MediaLab Works es una empresa individual: hoy esa persona es su titular.

5. Medidas de seguridad (art. 32 del RGPD)

• Ubicación: los datos alojados, sus copias de seguridad y los buzones se almacenan en nuestros propios servidores en Rumanía, en la UE.
• Aislamiento: un usuario Linux por cliente, con límites de recursos; sitios web en contenedores sin privilegios de root (rootless), sin acceso a otras cuentas ni a la red local; bases de datos con un usuario independiente por cliente, no accesibles desde internet.
• Acceso: autenticación en dos factores para nuestro panel de administración, el agente root del servidor limitado a una lista fija de operaciones; acceso del cliente por SFTP / SSH (con claves desde el plan Standard).
• Cifrado en tránsito: HTTPS con certificados gratuitos para cada sitio, SFTP / SSH y TLS para el correo.
• Copias de seguridad: diarias, cifradas (restic), en un disco separado del mismo servidor, conservadas según el plan. No se almacenan en una segunda ubicación.
• Monitorización y actualizaciones: monitorización de la disponibilidad, actualizaciones del sistema operativo y de las imágenes de contenedor, registros de las operaciones administrativas sin secretos; los registros del servidor web se conservan 14 días.
• Contraseñas mostradas al cliente una sola vez y almacenadas por nosotros solo como hash, o no almacenadas en absoluto.

El cliente es responsable de la seguridad de lo que instala y configura (aplicaciones, plugins, contraseñas, accesos concedidos a otras personas).

6. Subencargados del tratamiento

El cliente otorga una autorización general para los subencargados indicados a continuación. Informamos al cliente por correo al menos 30 días antes de añadir o sustituir un subencargado; el cliente puede oponerse por un motivo razonable y, si no podemos atender la objeción, puede cancelar el alojamiento con el reembolso del período prepagado no utilizado.

Stripe (Stripe Payments Europe, Ltd.) procesa los pagos del alojamiento como responsable independiente de los datos de pago; no recibe los datos alojados. Consulta la Política de privacidad.

7. Asistencia al cliente

Teniendo en cuenta la naturaleza del tratamiento, ayudamos al cliente a:

• responder a las solicitudes de los interesados (acceso, rectificación, supresión, portabilidad…): el cliente puede buscar, exportar, modificar o eliminar por sí mismo los datos alojados, desde la cuenta, por SFTP / SSH y en las bases de datos; si un interesado se dirige directamente a nosotros, trasladamos la solicitud al cliente sin dilación indebida;
• cumplir sus obligaciones en materia de seguridad, notificación de violaciones, evaluaciones de impacto relativas a la protección de datos y consulta previa (art. 32–36 del RGPD), con la información de que dispongamos.

8. Violaciones de la seguridad de los datos personales

Notificamos al cliente sin dilación indebida y, en cualquier caso, en un plazo de 72 horas desde que tengamos conocimiento de una violación de la seguridad de los datos personales que afecte a los datos alojados, por correo a la dirección de la cuenta. La notificación describe, en la medida en que se conozcan: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información que aún no tengamos se envía en cuanto dispongamos de ella. El cliente, como responsable, decide si notifica a la autoridad de control y a los interesados.

9. Devolución y eliminación al final

• Mientras la cuenta esté activa, el cliente puede descargar todos los datos alojados en cualquier momento (SFTP / SSH, exportaciones de bases de datos, IMAP para los buzones).
• Tras el fin de la suscripción, la cuenta se suspende y se elimina 30 días más tarde, junto con los sitios web, las bases de datos, los buzones y las zonas DNS. La copia de seguridad final se conserva durante esos 30 días y después se elimina. Las copias diarias anteriores se eliminan junto con la cuenta.
• Tras una devolución o una resolución por incumplimiento se aplican los mismos plazos, salvo que el cliente solicite una eliminación anterior.
• Solo conservamos una copia cuando la ley lo exige.

10. Información y auditorías

Ponemos a disposición del cliente la información necesaria para demostrar el cumplimiento del art. 28 del RGPD (este acuerdo, la descripción de las medidas, respuestas a preguntas razonables). Se permiten auditorías, incluidas inspecciones, por parte del cliente o de un auditor sujeto a confidencialidad una vez al año o tras una violación de seguridad, con un preaviso de al menos 30 días, en horario laboral, sin acceso a los datos de otros clientes y a cargo del cliente.

11. Responsabilidad y prelación

La responsabilidad se rige por los Términos y por el art. 82 del RGPD. En caso de conflicto sobre el tratamiento de los datos alojados, este acuerdo prevalece sobre los Términos. Se aplica la ley rumana.