Acord d’encàrrec del tractament de QR Code AI

ACORD D’ENCÀRREC DEL TRACTAMENT (DPA)

Darrera actualització: 2 de març de 2026

Aquest Acord d’encàrrec del tractament («DPA») forma part de les Condicions d’ús (l’«Acord») entre Supernovae, una empresa registrada a França a 27 Rue Wurtz, Juvisy-sur-Orge 91260, amb número d’IVA FR67948452891 (l’«Encarregat», «nosaltres», «ens»), i l’entitat que accepta aquest DPA (el «Responsable», «vós»), denominades conjuntament les «Parts».

Aquest DPA s’aplica quan tractem dades personals per compte vostre en relació amb els nostres serveis de QR Code AI, també a través de l’API.

1. DEFINICIONS

• «Dades personals» significa qualsevol informació relativa a una persona física identificada o identificable, tal com es defineix a l’article 4(1) de l’RGPD.
• «Tractament» significa qualsevol operació o conjunt d’operacions sobre Dades personals, tal com es defineix a l’article 4(2) de l’RGPD.
• «Persona interessada» significa la persona física identificada o identificable a la qual es refereixen les Dades personals.
• «Subencarregat» significa qualsevol tercer contractat per l’Encarregat per tractar Dades personals per compte del Responsable.
• «RGPD» significa el Reglament (UE) 2016/679 del Parlament Europeu i del Consell.
• «RGPD del Regne Unit» significa el Reglament general de protecció de dades del Regne Unit, tal com és aplicable en el dret britànic i interpretat conjuntament amb la Data Protection Act 2018.
• «SCC» significa les clàusules contractuals tipus aprovades per la Comissió Europea per a la transferència de Dades personals a tercers països.
• «Violació de la seguretat de les dades» significa una violació de la seguretat que comporti la destrucció, la pèrdua, l’alteració, la divulgació no autoritzada de Dades personals o l’accés no autoritzat a aquestes dades, de manera accidental o il·lícita.

2. ÀMBIT D’APLICACIÓ I FUNCIONS

2.1 Responsable i Encarregat

Als efectes d’aquest DPA:

• Vós (Responsable): Determineu les finalitats i els mitjans del tractament de Dades personals quan utilitzeu els nostres Serveis, especialment quan feu servir l’API per generar codis QR per als vostres propis clients o integreu els nostres Serveis als vostres productes.
• Nosaltres (Encarregat): Tractem Dades personals per compte vostre seguint les vostres instruccions, tal com es descriu en aquest DPA i en l’Acord.

2.2 Quan s’aplica aquest DPA

Aquest DPA s’aplica quan:

• Utilitzeu l’API de QR Code AI per generar codis QR que tracten dades dels vostres usuaris finals (per exemple, URL que contenen informació personal, dades vCard o dades de contacte codificades en codis QR).
• Utilitzeu les funcions de seguiment i analítica de QR Code AI que recullen dades d’escaneig dels vostres usuaris finals.
• Es dona qualsevol altra situació en què tractem Dades personals per compte vostre com a encarregat del tractament.

Quan utilitzeu QR Code AI com a usuari individual per a finalitats pròpies, actuem com a responsable independent del tractament i la nostra Política de privacitat regula el tractament de dades.

3. DETALLS DEL TRACTAMENT DE DADES

3.1 Objecte i durada

Tractem Dades personals durant la vigència de l’Acord per prestar els serveis de QR Code AI, incloses la generació de codis QR, el seguiment, l’analítica i les funcions relacionades.

3.2 Naturalesa i finalitat del tractament

• Generar codis QR a partir de les dades introduïdes pel Responsable
• Fer el seguiment dels escaneigs de codis QR i recollir dades d’analítica
• Emmagatzemar configuracions de codis QR i les metadades associades
• Tractar sol·licituds de codis QR artístics generats amb IA
• Proporcionar informes i taulers d’analítica

3.3 Tipus de Dades personals

Els tipus de Dades personals tractades poden incloure:

• Dades de contacte (noms, adreces electròniques, números de telèfon) codificades en codis QR
• URL i adreces web
• Dades d’ubicació procedents dels escaneigs de codis QR
• Informació dels dispositius i adreces IP procedents dels escaneigs de codis QR
• Indicacions de text i imatges proporcionades per generar codis QR amb IA
• Qualsevol altra dada que el Responsable decideixi codificar en codis QR

3.4 Categories de Persones interessades

• Usuaris finals que escanegen codis QR creats pel Responsable
• Persones les dades de contacte de les quals estan codificades en codis QR
• Usuaris dels productes o serveis del Responsable que interactuen amb codis QR

4. OBLIGACIONS DE L’ENCARREGAT

4.1 Instruccions de tractament

Tractarem les Dades personals únicament d’acord amb les vostres instruccions documentades, llevat que el dret de la UE o d’un estat membre al qual estiguem subjectes ens hi obligui. En aquest cas, us informarem d’aquesta exigència legal abans del tractament, tret que la llei prohibeixi facilitar aquesta informació per raons importants d’interès públic.

Us informarem immediatament si, al nostre parer, una instrucció infringeix l’RGPD o altres disposicions de protecció de dades aplicables de la UE o dels estats membres.

4.2 Confidencialitat

Garantim que les persones autoritzades a tractar Dades personals s’han compromès a respectar-ne la confidencialitat o estan subjectes a una obligació legal de confidencialitat adequada.

4.3 Mesures de seguretat

Apliquem mesures tècniques i organitzatives adequades per garantir un nivell de seguretat ajustat al risc, incloses:

• Xifratge de les Dades personals en trànsit (TLS/HTTPS), amb xifratge en repòs de la informació sensible emmagatzemada
• Controls d’accés i autenticació basada en rols per als sistemes interns
• Avaluacions periòdiques de seguretat i exploracions de vulnerabilitats
• Infraestructura allotjada a Scaleway i DigitalOcean, amb mesures de seguretat i compliment normatiu que depenen del proveïdor i del servei d’allotjament
• Protecció contra atacs DDoS i tallafoc d’aplicacions web (Cloudflare)
• Còpies de seguretat periòdiques amb emmagatzematge xifrat
• Registre i supervisió dels accessos a les Dades personals

4.4 Subencarregats

Utilitzem els subencarregats que consten a la nostra pàgina de Subencarregats del tractament. Us notificarem directament per escrit qualsevol incorporació o substitució prevista d’un subencarregat, amb un termini de 30 dies a partir de la notificació perquè us hi pugueu oposar abans que el canvi tingui efecte. Podeu presentar l’oposició contactant amb nosaltres a [email protected] dins d’aquest termini. Si us hi oposeu i no podem atendre raonablement la vostra objecció, qualsevol de les parts pot posar fi a la part afectada dels Serveis.

Només contractarem un subencarregat perquè tracti Dades personals per compte vostre mitjançant un contracte escrit, incloses les condicions electròniques aplicables, que imposi les obligacions de protecció de dades exigides per l’article 28(4) de l’RGPD. Continuem sent responsables dels nostres subencarregats tal com exigeix aquest article.

4.5 Drets de les Persones interessades

Us ajudarem a respondre les sol·licituds de les Persones interessades que exerceixin els seus drets d’acord amb la legislació aplicable de protecció de dades (accés, rectificació, supressió, limitació, portabilitat i oposició). Si rebem una sol·licitud directament d’una Persona interessada, indicarem sense demora a aquesta persona que s’adreci a vós, llevat que rebem altres instruccions.

4.6 Assistència per al compliment normatiu

Us ajudarem a complir les vostres obligacions derivades dels articles 32 a 36 de l’RGPD, tenint en compte la naturalesa del tractament i la informació de què disposem.

5. NOTIFICACIÓ DE VIOLACIONS DE LA SEGURETAT DE LES DADES

5.1 Termini de notificació

Us notificarem qualsevol Violació de la seguretat de les dades sense dilació indeguda i, en tot cas, dins de les 72 hores següents a haver-ne tingut coneixement. La notificació s’enviarà a l’adreça electrònica associada al vostre compte.

5.2 Contingut de la notificació

La notificació inclourà, en la mesura que aquesta informació estigui disponible:

• Una descripció de la naturalesa de la Violació de la seguretat de les dades, incloses les categories i el nombre aproximat de Persones interessades i de registres afectats.
• El nom i les dades de contacte del nostre punt de contacte en matèria de protecció de dades.
• Una descripció de les conseqüències probables de la Violació de la seguretat de les dades.
• Una descripció de les mesures adoptades o proposades per fer front a la Violació de la seguretat de les dades, incloses les mesures per mitigar-ne els possibles efectes adversos.

5.3 Cooperació continuada

Cooperarem amb vós i us prestarem una assistència raonable per investigar, mitigar i resoldre qualsevol Violació de la seguretat de les dades, així com per efectuar les notificacions a les autoritats de control o a les Persones interessades que tingueu l’obligació de fer.

6. TRANSFERÈNCIES INTERNACIONALS DE DADES

6.1 Ubicació de les dades

Les Dades personals s’emmagatzemen i es tracten principalment a la Unió Europea:

• França (UE) a través de Scaleway
• Països Baixos (UE) a través de DigitalOcean

6.2 Transferències fora de la UE/EEE

Alguns dels nostres subencarregats es troben fora de la UE/EEE, principalment als Estats Units. Per a aquestes transferències, ens basem en:

• Marc de privacitat de dades UE-EUA: Quan sigui aplicable, per a transferències a proveïdors dels EUA certificats en aquest marc.
• Clàusules contractuals tipus (SCC): Incorporem les SCC aprovades per la Comissió Europea (Decisió d’execució (UE) 2021/914 de la Comissió) als nostres acords amb subencarregats situats fora de la UE/EEE quan el Marc de privacitat de dades no sigui aplicable.

6.3 Avaluació de l’impacte de les transferències

Duem a terme avaluacions de l’impacte de les transferències a tercers països i apliquem mesures complementàries quan cal per garantir un nivell adequat de protecció de dades.

7. AUDITORIES I INSPECCIONS

7.1 Drets d’auditoria

Teniu dret a auditar el nostre compliment d’aquest DPA. Posarem a la vostra disposició tota la informació necessària per demostrar-ne el compliment i permetrem i facilitarem les auditories, incloses les inspeccions, que feu vós o un auditor que hàgiu designat.

7.2 Procediment d’auditoria

Les disposicions següents només s’apliquen a les auditories en la mesura que no restringeixin drets o obligacions derivats de la legislació aplicable de protecció de dades:

• Heu de notificar qualsevol auditoria per escrit amb almenys 30 dies d’antelació.
• No es pot fer més d’una auditoria a l’any, llevat que ho exigeixi una autoritat de control o després d’una Violació de la seguretat de les dades.
• Les auditories s’han de fer durant l’horari laboral habitual i no han d’interferir de manera desproporcionada en les nostres operacions.
• Us corresponen els costos de l’auditoria, llevat que aquesta reveli un incompliment substancial d’aquest DPA.
• Durant l’auditoria no es pot exposar informació confidencial dels nostres altres clients.

8. CONSERVACIÓ I SUPRESSIÓ DE DADES

8.1 Durant la vigència de l’Acord

Conservem les Dades personals durant la vigència de l’Acord en la mesura necessària per prestar els Serveis.

8.2 En finalitzar l’Acord

Quan finalitzi l’Acord o quan ho sol·liciteu per escrit:

• A elecció vostra, suprimirem les Dades personals o us les retornarem i suprimirem les còpies restants dels nostres sistemes actius en un termini de 30 dies.
• Les Dades personals dels arxius de còpies de seguretat s’eliminaran en un termini de 6 mesos i, fins aleshores, continuaran protegides i no s’utilitzaran per a altres finalitats, llevat que la legislació aplicable exigeixi una altra cosa.
• Podem conservar Dades personals en la mesura que ho exigeixi la legislació aplicable (per exemple, per obligacions fiscals o comptables). En aquest cas, aïllarem i protegirem aquestes dades i limitarem qualsevol tractament posterior al que exigeixi la llei.

8.3 Certificació

Si ens ho demaneu, us proporcionarem una confirmació escrita que les Dades personals s’han suprimit d’acord amb aquest article.

9. RESPONSABILITAT

La responsabilitat de cada part derivada d’aquest DPA està subjecta a les limitacions de responsabilitat establertes a l’Acord. Res en aquest DPA limita la responsabilitat de cap de les parts envers les Persones interessades o les autoritats de control d’acord amb la legislació aplicable de protecció de dades.

10. LEGISLACIÓ APLICABLE

Aquest DPA es regeix per la legislació francesa. L’RGPD i l’RGPD del Regne Unit s’apliquen en la mesura que el tractament entri dins dels seus àmbits legals respectius. Qualsevol controvèrsia derivada d’aquest DPA es resoldrà d’acord amb les disposicions de resolució de conflictes de l’Acord.

11. COM FORMALITZAR AQUEST DPA

Aquest DPA s’incorpora a les Condicions d’ús i en forma part. En utilitzar els Serveis de QR Code AI, accepteu aquest DPA.

Si necessiteu una còpia d’aquest DPA signada per separat per a la vostra documentació, contacteu amb nosaltres a [email protected] i us la proporcionarem en un termini de 10 dies laborables.

12. CONTACTE

Per a consultes sobre aquest DPA o les nostres pràctiques de tractament de dades:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 França [email protected]