Addendum de Procesamiento de Datos (DPA)
Addendum GDPR Art. 28 firmado junto al contrato principal. Obligatorio para cualquier cliente que procese datos personales a través de la plataforma.
Versión template: 2026.05
Cómo solicitar el DPA firmado
Escribe a privacy@yourbrandontime.com indicando:
• Razón social del cliente y domicilio fiscal.
• Nombre y cargo del firmante del controller.
• Descripción breve de la actividad de procesamiento (caso de uso).
• Requisitos sectoriales si aplican (p.ej. sanidad, sector público).
Devolvemos el PDF firmado en 3 días hábiles. Si tu equipo de procurement prefiere liderar, envíanos vuestro template y devolvemos redline en 5 días hábiles.
Partes y roles
Encargado: Your Brand On Time SL (NIF B26690933), Barcelona, España.
Responsable: la entidad cliente firmante.
Subencargados: ver /trust §2 (actualizado).
El DPA refleja la distribución estándar de responsabilidades bajo GDPR Art. 28. El encargado procesa siguiendo instrucciones documentadas del responsable.
Qué cubre el DPA
1. Objeto, duración, naturaleza y finalidad del procesamiento.
2. Categorías de datos personales y de interesados.
3. Confidencialidad del personal.
4. Medidas técnicas y organizativas (TOMs) — anexadas, espejando el whitepaper /security.
5. Lista de subencargados y aviso previo de cambios (30 días).
6. Asistencia al responsable con derechos de los interesados y DPIAs.
7. Plazos de notificación de brecha (72 horas).
8. Devolución o supresión de datos al final del procesamiento.
9. Derechos de auditoría — auditoría anual del cliente o auditoría de tercero aceptable.
10. Transferencias internacionales — ninguna en config por defecto. SCCs anexadas para casos límite.
Cláusulas Contractuales Tipo (SCC)
En la configuración por defecto no se producen transferencias internacionales. Las SCCs (UE 2021/914) están anexadas y solo aplican si el cliente activa un escenario que no podemos servir desde la UE (poco común).
Anexo TOMs
El anexo de medidas técnicas y organizativas espeja el whitepaper /security:
• Hosting Scaleway UE (París / Ámsterdam).
• Cifrado en reposo (AES-256) y en tránsito (TLS 1.2+).
• SSO federado (Google, Microsoft Entra ID); MFA controlado por el cliente.
• RBAC por organización.
• Audit logging con retención 90d hot / 13m cold.
• Backups cifrados diarios, retención 10 días, pruebas de restauración trimestrales.
• Gestión de vulnerabilidades con SLAs de parche por severidad.
• On-call 24/7 con healthchecks sintéticos.
• Notificación de brecha 72h.
Contacto
privacy@yourbrandontime.com — DPO y ejecución del DPA.