Este Acuerdo de Procesamiento de Datos (DPA) complementa los Términos y Condiciones de Plazofy y se aplica cuando procesamos datos personales en nombre del cliente conforme al Reglamento General de Protección de Datos (RGPD) (UE) 2016/679.
Responsable del tratamiento (controlador): El cliente que utiliza Plazofy para gestionar notificaciones y documentos de sus propios clientes.
Encargado del tratamiento (procesador): [PENDIENTE — ej: Plazofy Software S.L.], con CIF [PENDIENTE — ej: B12345678], domicilio en [PENDIENTE — ej: Calle Larga 42, 1ºA], [PENDIENTE — ej: 11403] Jerez de la Frontera (Cádiz), España, inscrita en el [PENDIENTE — ej: Registro Mercantil de Cádiz, Tomo XXXX, Folio XX, Hoja CA-XXXXX], que opera bajo la marca comercial Plazofy y procesa datos personales en nombre del responsable.
Datos personales tratados: Nombres, NIF/CIF/NIE, direcciones, emails, teléfonos y datos fiscales/administrativos contenidos en las notificaciones y documentos subidos a la plataforma.
Ámbito de aplicación de este DPA
Este DPA regula exclusivamente el tratamiento de datos personales de terceros (clientes de las asesorías) que el usuario sube a la plataforma. En este contexto, la asesoría es el responsable del tratamiento y Plazofy actúa como encargado (Art. 28 RGPD).
Los datos propios del usuario de Plazofy (nombre, email, contraseña, datos de facturación) se tratan bajo la responsabilidad directa de Plazofy como responsable del tratamiento, y se rigen por la Política de Privacidad, no por este DPA.
Este DPA regula el tratamiento de datos personales que Plazofy realiza en nombre del cliente durante la vigencia del contrato de servicio. El tratamiento finalizará cuando el cliente cancele su suscripción y solicite la eliminación de sus datos.
Plazofy se compromete a:
Plazofy implementa las siguientes medidas técnicas y organizativas:
El responsable autoriza el uso de los siguientes sub-encargados:
| Sub-encargado | Finalidad | Ubicación |
|---|---|---|
| Supabase (Pty Ltd) | Base de datos y autenticación | UE (Frankfurt) |
| Vercel Inc. | Hosting y despliegue | UE |
| Anthropic PBC | Procesamiento IA de documentos | EE.UU. (con SCCs) |
| Resend Inc. | Envío de emails transaccionales | EE.UU. (con SCCs) |
| Stripe Inc. | Procesamiento de pagos | UE / EE.UU. (con SCCs) |
Plazofy notificará al responsable cualquier cambio en los sub-encargados con al menos 30 días de antelación.
Estado de los DPA con sub-encargados:
| Proveedor | DPA / Addendum | Estado |
|---|---|---|
| Supabase | DPA de Supabase | ✓ Aceptado |
| Vercel | DPA de Vercel | ✓ Aceptado |
| Anthropic | DPA de Anthropic (incl. SCCs Módulo 2 y 3) | ✓ Aceptado |
| Resend | DPA de Resend | ✓ Aceptado |
| Stripe | DPA de Stripe | ✓ Aceptado |
Nota: Los DPA de estos proveedores se incorporan automáticamente al aceptar sus términos de servicio comerciales. Todos incluyen Cláusulas Contractuales Tipo (SCCs) conforme a la Decisión de Ejecución (UE) 2021/914 para transferencias fuera del EEE.
Los datos personales procesados por Plazofy pueden transferirse fuera del Espacio Económico Europeo (EEE) cuando sea necesario para la prestación del servicio. Las transferencias se realizan conforme a los artículos 44 a 49 del RGPD, utilizando las siguientes salvaguardas:
Cláusulas Contractuales Tipo (SCCs)
Todas las transferencias a EE.UU. están cubiertas por SCCs aprobadas por la Comisión Europea (Decisión de Ejecución 2021/914 de 4 de junio de 2021), Módulo 2 (responsable → encargado) y/o Módulo 3 (encargado → sub-encargado), según corresponda.
Evaluación de Impacto de Transferencias (TIA)
Conforme a las recomendaciones del EDPB 01/2020 post-Schrems II, Plazofy ha evaluado las transferencias internacionales de datos. Resumen de la evaluación:
| Proveedor | Datos transferidos | Salvaguardas | Riesgo residual |
|---|---|---|---|
| Anthropic PBC | Contenido de documentos PDF (pueden incluir datos fiscales personales: NIF, nombres, direcciones, importes) | SCCs Módulo 2/3 · Cifrado TLS 1.3 en tránsito · Sin retención post-procesamiento · Sin uso para entrenamiento · SOC 2 Type II · ISO 27001 | Medio |
| Resend Inc. | Email del destinatario, asunto y contenido de alertas transaccionales | SCCs Módulo 2 · Cifrado TLS · Datos mínimos (solo metadatos de email) | Bajo |
| Stripe Inc. | Datos de facturación (nombre, email, datos de pago tokenizados) | SCCs · Procesamiento principal en UE (Irlanda) · PCI DSS Level 1 · EU Data Boundary disponible | Bajo |
La TIA completa está disponible bajo solicitud a privacidad@plazofy.com. Se revisa anualmente o cuando se produzcan cambios significativos en los proveedores o en la legislación aplicable.
Medidas suplementarias (Art. 46.2.c RGPD)
Plazofy notificará al responsable cualquier brecha de seguridad que afecte a datos personales sin dilación indebida y, en cualquier caso, en un plazo máximo de 48 horas desde que tenga conocimiento de la misma.
Los documentos procesados por inteligencia artificial (Anthropic Claude) se envían de forma segura y no se utilizan para entrenar modelos de IA. Anthropic opera bajo su política de uso de datos comerciales que garantiza que los datos enviados a través de su API no se emplean para el entrenamiento de modelos.
El responsable tiene derecho a:
Conforme al artículo 30 del RGPD, Plazofy mantiene un registro detallado de todas las actividades de tratamiento de datos personales. Este registro está disponible públicamente en nuestra página de Registro de Actividades de Tratamiento.
Para cuestiones relacionadas con este DPA o el tratamiento de datos personales:
Versión 1.0 — Última actualización: marzo 2026