1. Responsable del tratamiento
[RAZÓN SOCIAL] OÜ (sociedad estonia) · [DOMICILIO] · [EMAIL DE PRIVACIDAD]. Representante en la UE (art. 27 RGPD): [SI PROCEDE]. Delegado de Protección de Datos: [DPD, si aplica].
2. Qué tratamos, para qué y con qué base
| Tratamiento | Finalidad | Base legal | Conservación |
|---|---|---|---|
| Lista de espera | Avisarte del lanzamiento y priorizar zonas | Consentimiento (6.1.a) | Hasta el lanzamiento + 12 meses o tu baja |
| Founding Member (incl. pago) | Gestionar tu prepago y reembolso (pago vía Stripe; no guardamos tarjetas) | Contrato (6.1.b) | Duración de la relación + plazos fiscales |
| Uso del producto | Generar el contrato, el dossier probatorio y los depósitos | Contrato (6.1.b) y obligación legal (6.1.c) | 6 años (defensa/fiscal) [confirmar] |
| Documentos de la causa (salud) | Acreditar el motivo cuando es tratamiento médico | Consentimiento explícito (9.2.a) | Plazo específico [X años] |
| Prospección B2B | Contactar a gestores (datos profesionales de fuentes públicas) | Interés legítimo (6.1.f) | Hasta oposición (un clic en cada mensaje) |
3. Categorías especiales de datos
Si el motivo de la estancia es un tratamiento médico, los justificantes pueden contener datos de salud. Se tratan solo con consentimiento explícito del inquilino (art. 9.2.a), con cifrado reforzado, acceso restringido y un plazo de conservación específico.
4. Nuestro papel: responsable y encargado
Para los datos de la lista de espera, Founding Members y prospección somos responsables. Para los datos de los inquilinos que trata un gestor con nuestro producto, actuamos como encargado del tratamiento por cuenta del gestor, con un contrato de encargo bilateral (DPA).
5. Destinatarios
Los destinatarios previstos para el piloto cerrado son: hosting y base de datos en la UE, almacenamiento S3-compatible en la UE, Stripe (pagos), Signaturit u otro proveedor equivalente de firma electrónica, Didit u otro proveedor equivalente de verificación de identidad, proveedor de correo transaccional, antivirus/OCR si está activado, proveedor LLM solo si se activa extracción asistida, el despacho colaborador (revisión documental) y la correduría solo si pides seguro. No usamos Formspree/Tally en el lanzamiento; los formularios publican en un endpoint propio de Tempora.
6. Transferencias internacionales
Los datos se alojan en la UE. Si algún proveedor trata datos fuera del EEE, aplicamos cláusulas contractuales tipo u otro mecanismo del capítulo V del RGPD.
7. Plazos de conservación
Lista de espera: hasta el lanzamiento + 12 meses o hasta que retires el consentimiento. Dossieres contractuales: 6 años (defensa jurídica y obligaciones fiscales) [confirmar]. Datos de salud: plazo específico.
8. Tus derechos
Acceso, rectificación, supresión, oposición, limitación y portabilidad: [EMAIL DE PRIVACIDAD]. Autoridad de control: Agencia Española de Protección de Datos (AEPD, www.aepd.es) o la autoridad estonia, según corresponda.
9. Seguridad
Cifrado en tránsito y en reposo, control de acceso por roles, registro de auditoría y seudonimización donde es posible.
10. Lista de subencargados
La lista definitiva de subencargados, ubicación y garantías de transferencia vive en el DPA. El piloto no puede aceptar documentos reales hasta que esa lista esté completa y aprobada.