# Contrato de encargo del tratamiento (DPA)

Programa de gestión para panaderías · versión 1.0 · fecha de efectos: 28 de septiembre de 2026

## Identificación y alcance del contrato

Versión del DPA: 1.0. Fecha de efectos: 28 de septiembre de 2026 o, para cada cliente, la fecha
en que lo acepta, si es posterior.

## 1. Partes y servicio contratado

**Responsable del tratamiento:** la persona física o jurídica titular de la cuenta que acepta
este contrato al contratar el servicio, identificada con la razón social o el nombre, el NIF o
la identificación fiscal y el domicilio que declara en su cuenta (Facturación → Configuración)
y representada por la persona usuaria que acepta en su nombre, en adelante, el Cliente.
Contacto de protección de datos del Cliente: el correo de la persona que acepta, salvo que el
Cliente indique otro. Delegado de protección de datos del Cliente, si procede: el que el
Cliente comunique. La plataforma conserva, junto a la aceptación, esos datos, la persona que
acepta, la fecha y hora y la versión aceptada.

**Encargado del tratamiento:** Arturo Blanco Erquicia, profesional autónomo, con NIF
38088480C, domicilio en la Calle de Cervelló, 2, 08760 Martorell (Barcelona, España), que
actúa en su propio nombre, proveedor de la aplicación «Programa de gestión para panaderías»
(https://app.arturoblancopan.com), en adelante, el Proveedor. Contacto de protección de datos
e incidentes: teléfono +34 652 222 410 (canal urgente) y, en segundo lugar, correo
arturo@arturoblancopan.com. Delegado de protección de datos: no designado (no concurren los
supuestos del artículo 37 del RGPD ni del artículo 34 de la LOPDGDD).

**Contrato principal de servicios:** las Condiciones del servicio publicadas en
https://app.arturoblancopan.com/legal/condiciones, en la versión aceptada por el Cliente.
**Cuenta o entidad cliente:** la panadería dada de alta en la plataforma, con su identificador
interno. Las partes se reconocen capacidad para asumir las obligaciones de este contrato.

## 2. Objeto y delimitación de funciones

El Cliente encarga al Proveedor el tratamiento de los datos personales necesario para prestar
los módulos SaaS descritos en el anexo I, incluidos el alojamiento, mantenimiento, copias de
seguridad y soporte autorizado. El Cliente determina los fines del tratamiento; el Proveedor
actúa por su cuenta y siguiendo sus instrucciones documentadas.

Este contrato no autoriza al Proveedor a explotar los datos del Cliente para publicidad propia,
venta de información, elaboración de perfiles para fines propios ni entrenamiento de modelos
generales de inteligencia artificial. Cualquier funcionalidad que requiera nuevos tratamientos
deberá definirse y documentarse antes de activarse.

Los datos que el Proveedor trate para gestionar y facturar su propia relación comercial con el
Cliente, o cumplir sus obligaciones legales propias, se regirán por la normativa aplicable y su
información de privacidad como responsable independiente. Esta delimitación no permite
reutilizar libremente los datos alojados por cuenta del Cliente.

## 3. Duración e instrucciones

El encargo comienza cuando se inicia el tratamiento para prestar el servicio y dura mientras
exista la prestación, incluidos los periodos de devolución y supresión del anexo I. La
confidencialidad y las obligaciones relativas a datos conservados subsistirán después de la
terminación.

Constituyen instrucciones documentadas este contrato, sus anexos, las configuraciones del
servicio y las solicitudes de administradores autorizados por los canales siguientes: las
acciones realizadas en la propia plataforma por usuarios con rol de gerencia (propietario o
administrador) y los correos enviados a arturo@arturoblancopan.com desde el correo de un
usuario de gerencia de la cuenta. El Proveedor informará inmediatamente si considera que una
instrucción infringe la normativa de protección de datos y suspenderá la operación afectada
hasta su aclaración o corrección.

Si el Derecho de la Unión o de un Estado miembro obliga a realizar otro tratamiento, el
Proveedor informará previamente al Cliente de esa exigencia, salvo prohibición legal por
razones importantes de interés público.

## 4. Obligaciones del Cliente

Corresponde al Cliente disponer de una base jurídica válida, informar a los interesados,
garantizar la legitimidad de los datos e instrucciones y limitar la información a la
necesaria. Determinará los plazos de conservación y autorizará únicamente a los usuarios que
necesiten acceso, gestionando sus permisos y bajas.

El Cliente tiene derecho a impartir instrucciones lícitas, recibir asistencia e información de
cumplimiento, verificar las garantías del Proveedor y decidir sobre la devolución o supresión
de sus datos. Evaluará los riesgos y, cuando proceda, realizará las evaluaciones de impacto y
consultas previas con la asistencia del Proveedor.

## 5. Obligaciones del Proveedor y confidencialidad

El Proveedor tratará los datos únicamente para el encargo y no los comunicará salvo por
instrucciones del Cliente, subcontratación autorizada o exigencia legal aplicable. Limitará el
acceso a personas autorizadas sujetas a compromisos de confidencialidad o a un deber legal
equivalente, y les facilitará formación e instrucciones adecuadas.

Mantendrá los registros de actividades exigibles, cooperará con la autoridad de control y
designará delegado de protección de datos o representante en la Unión cuando legalmente
corresponda. Facilitará sus datos de contacto al Cliente. No trasladará al Cliente las
obligaciones que legalmente le correspondan como encargado.

## 6. Medidas técnicas y organizativas

El Proveedor implantará y mantendrá medidas apropiadas al riesgo conforme al artículo 32 del
RGPD y al anexo II, considerando la naturaleza, alcance, contexto y fines del tratamiento, el
estado de la técnica y los costes de aplicación. Las medidas cubrirán la confidencialidad,
integridad, disponibilidad y resiliencia, la restauración tras incidentes y la verificación
periódica de su eficacia.

El Proveedor revisará las medidas ante cambios y riesgos relevantes. Podrá actualizarlas sin
reducir el nivel de protección acordado, dejando constancia de las modificaciones y
comunicando al Cliente las que le afecten materialmente. El acceso de soporte a datos reales
quedará limitado a lo necesario, autorizado y registrado según el anexo II.

## 7. Atención de derechos y asistencia

El Proveedor asistirá al Cliente, mediante medidas técnicas y organizativas apropiadas y en la
medida de lo posible, para atender los derechos de acceso, rectificación, supresión,
oposición, limitación, portabilidad y los relativos a decisiones automatizadas. Remitirá las
solicitudes recibidas directamente sin dilación indebida y, como máximo contractual, en 2 días
laborables. No responderá sobre el fondo salvo autorización del Cliente o exigencia legal.

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, asistirá al
Cliente en el cumplimiento de los artículos 32 a 36 del RGPD, incluidas la seguridad, gestión
de brechas, evaluaciones de impacto y consultas previas. Los mecanismos y contactos se
concretan en los anexos. Cualquier coste extraordinario se acordará previamente y no impedirá
cumplir las obligaciones legales ni atender urgencias.

## 8. Violaciones de seguridad de datos personales

El Proveedor notificará al Cliente sin dilación indebida las violaciones de seguridad de datos
personales de las que tenga conocimiento, mediante el contacto de incidentes del anexo I. No
esperará a completar la investigación para efectuar el primer aviso.

El aviso incluirá, en cuanto esté disponible, la naturaleza del incidente; las categorías y
número aproximado de personas y registros afectados; el contacto para ampliar información; las
consecuencias probables; y las medidas adoptadas o propuestas para contenerlo y reducir sus
efectos. Si faltan datos, los comunicará progresivamente sin dilación indebida.

El Proveedor documentará el incidente, preservará evidencias pertinentes, colaborará en su
investigación y corrección y facilitará al Cliente la información necesaria para decidir las
comunicaciones a autoridades e interesados. El Cliente efectuará dichas comunicaciones cuando
procedan, salvo encargo documentado al Proveedor u obligación legal de este. El plazo legal de
72 horas aplicable en determinados casos al responsable no constituye un plazo de espera
concedido al Proveedor.

## 9. Subencargados del tratamiento

El Cliente autoriza con carácter general la contratación de subencargados para las actividades
descritas en este contrato. Los inicialmente previstos figuran identificados en el anexo III.
La autorización no permite omitir las garantías exigibles ni sustituye los requisitos sobre
transferencias internacionales.

El Proveedor comunicará por escrito cualquier incorporación o sustitución con al menos 30 días
naturales de antelación, indicando identidad, actividad, localizaciones y garantías. El Cliente
dispondrá de 15 días naturales desde la comunicación para formular una objeción motivada en la
protección de datos.

Ante una objeción, las partes buscarán una alternativa que garantice el cumplimiento. El nuevo
subencargado no tratará los datos afectados mientras la objeción permanezca sin resolver. Si no
existe alternativa viable, el Cliente podrá terminar la parte afectada del servicio sin
penalización por esa terminación y recuperar sus datos conforme a la cláusula 12.

El Proveedor impondrá por escrito al subencargado obligaciones de protección equivalentes a las
asumidas en este contrato, comprobará sus garantías y seguirá siendo plenamente responsable
frente al Cliente del cumplimiento de las obligaciones del subencargado. Facilitará
información y evidencia contractual pertinentes, protegiendo únicamente secretos o datos
ajenos que no sean necesarios para la verificación.

## 10. Localización y transferencias internacionales

El anexo III identificará los países desde los que se almacenan o tratan los datos, incluidos
soporte y acceso remoto. El Proveedor no efectuará transferencias fuera del Espacio Económico
Europeo sin instrucciones documentadas y sin cumplir el capítulo V del RGPD.

Cuando exista una transferencia, documentará el mecanismo aplicable y su alcance, las
evaluaciones necesarias y las medidas complementarias que procedan. Este DPA no sustituye las
cláusulas contractuales tipo u otras garantías para transferencias internacionales. Si una
garantía deja de ser válida, se suspenderá la transferencia afectada hasta disponer de una
solución lícita y se informará al Cliente.

## 11. Información y auditorías

El Proveedor pondrá a disposición del Cliente la información necesaria para demostrar el
cumplimiento de este encargo y permitirá y contribuirá a auditorías e inspecciones realizadas
por el Cliente o por un auditor autorizado por él.

Las partes acordarán un alcance y calendario proporcionados al riesgo y medidas de
confidencialidad para proteger a otros clientes. Podrán utilizarse informes independientes y
evidencias documentales cuando sean suficientes, sin excluir inspecciones necesarias. El
preaviso ordinario será de 10 días laborables, salvo incidentes, indicios fundados de
incumplimiento, requerimientos de autoridad o urgencias que justifiquen un plazo menor. No se
exigirá revelar datos ajenos innecesarios.

## 12. Devolución y supresión

Al concluir el servicio, el Proveedor, a elección del Cliente, devolverá los datos en el
formato y por el canal del anexo I o los suprimirá. Tras la devolución eliminará las copias
existentes, salvo conservación exigida por el Derecho de la Unión o de los Estados miembros.
Solicitará instrucciones antes del vencimiento y aplicará, si no recibe respuesta, la opción
por defecto expresamente acordada en el anexo I.

Los datos conservados por obligación legal quedarán limitados a los estrictamente exigidos,
protegidos y sin otros usos; se identificarán la norma y el plazo aplicables. El Proveedor no
asumirá automáticamente la conservación fiscal de los documentos del Cliente por el mero hecho
de haberlos alojado.

Las copias de seguridad se retirarán dentro del ciclo máximo del anexo I, permanecerán
aisladas de usos ordinarios y, si deben restaurarse para recuperación, se reaplicarán las
supresiones antes de volver al uso normal. El Proveedor confirmará por escrito la devolución o
supresión e informará de las retenciones pendientes y su fecha prevista de eliminación.

## 13. Incumplimiento y responsabilidad

Si el Proveedor no puede cumplir este contrato, lo comunicará inmediatamente. El Cliente podrá
suspender el tratamiento afectado y resolver el encargo y, si resulta necesario, el servicio
relacionado cuando el incumplimiento sea grave o no se subsane dentro del plazo razonable que
señale. Se mantendrán las obligaciones de protección y devolución o supresión.

Cada parte responderá conforme al RGPD y a la legislación aplicable. Ninguna estipulación del
contrato principal limitará los derechos de los interesados, las facultades de las autoridades
ni las responsabilidades que legalmente no puedan excluirse.

## 14. Integración y aceptación

Este DPA y sus anexos forman parte del contrato principal. En materia de tratamiento de datos
por cuenta del Cliente, prevalecerán frente a condiciones incompatibles, sin perjuicio de la
primacía de normas imperativas y de las garantías aplicables a transferencias internacionales.
Los cambios sustanciales se documentarán y acordarán; las variaciones de subencargados seguirán
la cláusula 9.

El contrato se rige por el RGPD y por la legislación española que resulte aplicable. La
resolución de controversias seguirá el contrato principal en cuanto sea compatible con las
normas imperativas y los derechos de los interesados.

Aceptación mediante contratación electrónica con constancia verificable de partes, fecha y
versión, incluidos anexos. **Por el Cliente:** la persona usuaria que marca la casilla de
aceptación al darse de alta o al aceptar una versión nueva; la plataforma guarda su nombre y
correo, los datos identificativos del Cliente declarados en ese momento, la fecha y hora y la
versión aceptada, y el Cliente puede consultarlo y descargar el texto aceptado desde su cuenta.
**Por el Proveedor:** Arturo Blanco Erquicia, titular, mediante la publicación de esta versión
en https://app.arturoblancopan.com/legal/dpa y su puesta a disposición del Cliente antes de
contratar.

# Anexo I. Descripción del tratamiento

## Servicio y operaciones

**Módulos incluidos:** todos los que componen el servicio, que se contratan siempre juntos:
catálogo (productos, clientes, proveedores y precios), pedidos y albaranes, facturación,
producción (planificación, stock y compras), horarios del personal, mermas, APPCC
(autocontrol higiénico), analítica con asistente de datos y recetario; además, la gestión de
usuarios, equipo y suscripción. **Finalidad:** gestionar las operaciones del Cliente mediante
esos módulos y prestar su mantenimiento y soporte.

**Operaciones autorizadas:** recogida, registro, organización, estructuración,
almacenamiento, consulta, modificación, cálculo, exportación, comunicación por instrucción del
Cliente (por ejemplo, el envío por correo de un documento a un destinatario que el Cliente
indica), copias de seguridad y supresión. **Frecuencia:** continuada mientras dure el servicio.
**Volumen y escala aproximados:** según el plan contratado, de 1 a más de 50 personas
trabajadoras de la panadería; habitualmente, hasta unos cientos de clientes y proveedores y
miles de registros de pedidos, albaranes, facturas y autocontrol al año.

## Personas y datos

**Categorías de interesados:** usuarios de la plataforma (gerencia y personal del Cliente);
personas trabajadoras del Cliente incluidas en los cuadrantes de horarios; clientes del
Cliente que sean personas físicas o personas de contacto de clientes empresa; proveedores
personas físicas o personas de contacto de proveedores.

**Tipos de datos:** nombre y apellidos; NIF o identificación fiscal; dirección postal;
teléfono; correo electrónico; datos de pedidos, albaranes, facturas y cobros de su relación
comercial con el Cliente (sin datos de tarjeta ni cuentas bancarias de terceros); cuadrantes,
horas, turnos y ausencias del personal, sin su motivo cuando pudiera revelar datos de salud;
nombre con el que una persona firma un registro (albaranes, autocontrol); fotografías que el
Cliente adjunta a registros de autocontrol (limpieza, documentos), que no deben mostrar
personas; identificadores de usuario, sesiones y registro de actividad en la plataforma.

Quedan excluidos los datos de los artículos 9 y 10 del RGPD. En particular, la plataforma no
registra el motivo médico de una ausencia (la ausencia se anota como «ausencia justificada» u
otro motivo no sanitario) y el Cliente no debe escribir datos de salud en los campos de texto
libre. Las alergias o intolerancias vinculadas a una persona pueden revelar datos de salud: no
se introducirán sin una ampliación documentada que especifique base jurídica, garantías y
controles adecuados. La información de alérgenos de productos y recetas no está vinculada a
personas y no constituye un dato de salud.

## Conservación y salida

**Duración durante el servicio e instrucciones de conservación:** los datos se conservan
mientras la cuenta esté activa; el Cliente puede modificar o eliminar sus registros desde la
plataforma dentro de lo que permiten sus obligaciones legales (por ejemplo, una factura emitida
no se borra: se rectifica). **Procedimiento para ejecutar las instrucciones del Cliente:** las
funciones de la propia plataforma y, para lo que no esté en ellas, una solicitud por correo de
un usuario de gerencia, que el Proveedor atiende en el plazo de la cláusula 7.

**Devolución:** formato JSON estándar con todos los datos de la cuenta, que el Cliente
descarga en cualquier momento desde la propia plataforma (Configuración → Exportar todos los
datos), también con la cuenta suspendida; los documentos y fotos adjuntos se entregan, si el
Cliente lo pide, en un archivo comprimido por un enlace de descarga temporal. **Plazo de
disponibilidad tras la baja:** 30 días naturales desde el fin de la suscripción, durante los
cuales la cuenta sigue accesible para exportar. **Supresión de sistemas activos:** al terminar
ese plazo, en un máximo de 7 días. **Ciclo máximo de eliminación de copias de seguridad:** 30
días desde la supresión de los sistemas activos.

**Opción por defecto** si el Cliente no comunica otra instrucción antes de que terminen los 30
días desde la baja: supresión, tras haber tenido los datos disponibles para su devolución
durante ese plazo. **Aviso previo al cierre de acceso:** por correo a los usuarios de gerencia al
producirse la baja y 7 días antes de la supresión. **Retenciones legales específicas:** ninguna
sobre los datos del Cliente; el Proveedor conserva, como responsable independiente, las
facturas que él mismo emite al Cliente por el servicio (legislación fiscal y mercantil, plazos
de prescripción aplicables).

## Contactos y asistencia

**Administradores del Cliente autorizados para impartir instrucciones:** los usuarios con rol
de propietario o administrador (gerencia) de la cuenta. **Contacto del Cliente para derechos e
incidentes:** el correo de esos usuarios de gerencia, salvo que el Cliente indique otro.
**Contacto operativo del Proveedor:** Arturo Blanco Erquicia, arturo@arturoblancopan.com,
+34 652 222 410; para incidentes, primero el teléfono y después el correo.

**Funciones para exportar, rectificar, limitar acceso y suprimir:** exportación íntegra en
JSON; edición y desactivación de registros en cada módulo; gestión del equipo (invitar, cambiar
el rol, limitar módulos por perfil y quitar a una persona, lo que cierra sus sesiones);
cancelación de la suscripción desde la propia plataforma. **Procedimiento para solicitudes que
requieren soporte y asistencia en evaluaciones de impacto:** correo a
arturo@arturoblancopan.com desde un usuario de gerencia; respuesta en un día laborable.

# Anexo II. Medidas de seguridad

Fecha y versión de estas medidas: 1.0, 28 de septiembre de 2026.

## Acceso y separación de clientes

Cada persona accede con su propio usuario, con verificación de correo y contraseña de al menos
12 caracteres; la plataforma ofrece doble factor (TOTP) y llaves de acceso (passkeys) a todos
los usuarios. Permisos por rol (propietario, administrador, miembro) y por perfil de trabajo,
que limita los módulos que cada persona abre; la comprobación se hace en el servidor en cada
página y en cada acción, no solo en la pantalla. Al quitar a una persona del equipo se cierran
sus sesiones. Cada cliente opera en un espacio aislado con doble barrera: filtro por cliente en
cada consulta y seguridad a nivel de fila forzada en la base de datos (todas las tablas con
datos de cliente), con la aplicación conectada con un rol que no puede saltarse esa seguridad.
El aislamiento se comprueba con tests automáticos en cada cambio y con una sonda que ataca la
plataforma desplegada con datos de otros clientes.

## Cifrado y secretos

Comunicaciones cifradas (HTTPS/TLS) entre el navegador y la plataforma y entre la plataforma y
la base de datos (TLS con verificación del certificado). Datos almacenados cifrados en reposo
por el proveedor de base de datos y de almacenamiento de fotos. Copias de seguridad fuera del
proveedor de base de datos cifradas con clave pública antes de salir del sistema de origen; la
clave privada la custodia exclusivamente el Proveedor. Las credenciales se guardan como
variables cifradas del alojamiento, nunca en el código; las marcadas como sensibles no se
pueden leer después de guardarlas. Se registra la fecha de caducidad de cada credencial y se
avisa antes de que caduque. Las contraseñas de usuario se guardan con hash; la plataforma
nunca ve ni guarda tarjetas de pago (las gestiona Stripe).

## Registros y soporte

Toda acción de escritura en la plataforma deja un asiento en un registro de actividad de solo
añadir (quién, qué, cuándo, sobre qué registro, antes y después), que se conserva mientras la
cuenta esté activa y se suprime con ella. El alojamiento guarda registros técnicos de
retención limitada. Todo acceso del Proveedor a datos reales de un Cliente fuera de la
aplicación (acceso directo a la base de datos para soporte o mantenimiento) se hace con una
herramienta que lo registra antes de conceder el acceso: fecha y hora, persona, motivo y
cuenta afectada; el Cliente puede consultar los accesos a su cuenta desde la propia plataforma
. Las solicitudes de soporte se atienden por correo y no se piden datos personales que no
sean necesarios para resolverlas.

## Disponibilidad y recuperación

Copia diaria de la base de datos de producción en dos ubicaciones independientes (el sistema
de integración continua del Proveedor y el equipo del Proveedor, con copia en su nube
personal cifrada de extremo a extremo), además del historial de recuperación del propio
proveedor de base de datos y de una rama de respaldo antes de cada cambio de estructura.
Simulacros periódicos de restauración que comprueban que la copia restaura entera. Entorno de
desarrollo y pruebas separado de producción, sin datos reales. No se pactan objetivos de
recuperación garantizados; como referencia, la pérdida máxima de datos es de 24 horas.

## Desarrollo y vulnerabilidades

Todo cambio pasa por revisión y por una batería de pruebas automáticas (tipos, estilo, tests
de base de datos, aislamiento entre clientes y pruebas de extremo a extremo en navegador) antes
de llegar a producción; un cambio con cualquier prueba en rojo no se despliega. Los cambios de
estructura de la base de datos siguen un procedimiento con ensayo previo, respaldo y cotejo.
Dependencias actualizadas; producción y pruebas separadas; en desarrollo se usan datos
ficticios o de cuentas de prueba.

## Organización y proveedores

El Proveedor es un profesional autónomo que presta el servicio personalmente y es el único con
acceso a los sistemas; está sujeto al deber de confidencialidad de este contrato. No hay otro
personal con acceso. Los subencargados se eligen entre proveedores con garantías del artículo
28 del RGPD y contrato de encargo propio (anexo III). La protección física de los servidores la
aportan los centros de datos de los subencargados.

## Incidentes y eliminación

Vigilancia automática diaria de la plataforma (disponibilidad, copias, integridad del
esquema, caducidad de credenciales) con aviso al Proveedor. Ante un incidente: contención,
conservación de evidencias (registro de actividad y registros técnicos), aviso al Cliente
según la cláusula 8 y registro del incidente. La supresión de una cuenta se hace con una
herramienta que borra todos sus datos de todas las tablas, incluida su identidad en el sistema
de acceso, en una sola operación; las copias de seguridad desaparecen al cumplirse su ciclo.
El Proveedor confirma la supresión por escrito al Cliente.

## Revisión y evidencia

Revisión automática diaria (vigilancia) y semanal (chequeos de salud y cuadre de datos) y
revisión de seguridad completa antes de cada cambio relevante. El Cliente puede pedir las
evidencias de estas revisiones que le afecten. No hay certificaciones propias; las
certificaciones de seguridad de los subencargados están en su documentación pública.

**Responsable de la validación de estas medidas por el Proveedor:** Arturo Blanco Erquicia,
titular. **Obligaciones de configuración del Cliente:** activar el doble factor para los
usuarios de gerencia (recomendado), dar a cada persona solo los módulos que necesita y quitar
del equipo a quien deje de trabajar con él.

# Anexo III. Subencargados y localizaciones

Todos los subencargados con sede en Estados Unidos están adheridos al Marco de Privacidad de
Datos UE-EE. UU. (Data Privacy Framework, decisión de adecuación de la Comisión Europea de 10
de julio de 2023), que es el mecanismo que ampara las transferencias. Fecha de autorización de
todos ellos: 28 de septiembre de 2026.

| Subencargado | Servicio | Datos | Almacenamiento | Soporte / acceso | Transferencia fuera del EEE |
|---|---|---|---|---|---|
| Vercel Inc. (EE. UU.) | Alojamiento y ejecución de la aplicación | Todos los que circulan por la aplicación | Ejecución en Fráncfort (Alemania) | EE. UU. | Sí, posible por soporte; DPF |
| Neon, Inc. (EE. UU.), sobre Amazon Web Services | Base de datos y almacén de fotos y documentos | Todos los datos de la cuenta | Fráncfort (Alemania), también sus copias | EE. UU. | Sí, posible por soporte; DPF |
| Stripe Payments Europe, Ltd. (Irlanda) | Cobro de la suscripción | Datos de facturación del Cliente | UE y EE. UU. | UE y EE. UU. | Sí; DPF |
| Anthropic, PBC (EE. UU.) | Inteligencia artificial: asistente de datos y lectura de documentos por foto | El contenido de la consulta o documento que el usuario envía | EE. UU. | EE. UU. | Sí; DPF. No entrena modelos con esos datos |
| Resend (EE. UU.) | Correo transaccional (invitaciones, avisos, envío de documentos) | Nombre y correo del destinatario y contenido del correo | EE. UU. | EE. UU. | Sí; DPF |
| GitHub, Inc. (EE. UU.) | Integración continua y una de las dos copias diarias de seguridad | Copia de la base de datos, cifrada antes de salir | EE. UU. | EE. UU. | Sí; DPF. Solo recibe datos cifrados con clave que no tiene |
| Apple Distribution International Ltd. (Irlanda) | Nube del equipo del Proveedor (iCloud) donde se guarda la segunda copia | Copia de la base de datos, cifrada antes de subir y con protección de datos avanzada (cifrado de extremo a extremo) | UE y EE. UU. | — | Solo datos cifrados con claves que Apple no tiene |

**Tratamiento directo por el Proveedor:** desde España, donde el Proveedor administra la
plataforma y accede a los datos para soporte y mantenimiento con el registro del anexo II.

**Actualizaciones y documentación:** siete subencargados. La lista actualizada se publica en
https://app.arturoblancopan.com/legal/dpa. Los cambios se avisan individualmente por correo a
los usuarios de gerencia de cada Cliente, con la antelación de la cláusula 9, y la plataforma
pide aceptar la versión nueva. Se conservan las versiones históricas.

Aprobación de los anexos I a III: con la aceptación del contrato, en la versión 1.0.