Acuerdo de procesamiento de datos de QR Code AI

ACUERDO DE PROCESAMIENTO DE DATOS (DPA)

Última actualización: 2 de marzo de 2026

Este Acuerdo de procesamiento de datos («DPA») forma parte de los Términos de servicio («Contrato») entre Supernovae, una empresa registrada en Francia con domicilio en 27 Rue Wurtz, Juvisy-sur-Orge 91260 y número de IVA FR67948452891 («Encargado», «nosotros» o «nos»), y la entidad que acepta este DPA («Responsable» o «tú»), denominadas conjuntamente las «Partes».

Este DPA se aplica cuando tratamos datos personales por tu cuenta en relación con nuestros servicios QR Code AI, también a través de la API.

1. DEFINICIONES

• «Datos personales» significa toda información sobre una persona física identificada o identificable, según la definición del artículo 4(1) del RGPD.
• «Tratamiento» significa cualquier operación o conjunto de operaciones realizadas sobre Datos personales, según la definición del artículo 4(2) del RGPD.
• «Interesado» significa la persona física identificada o identificable a la que se refieren los Datos personales.
• «Subencargado» significa cualquier tercero contratado por el Encargado para tratar Datos personales por cuenta del Responsable.
• «RGPD» significa el Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo.
• «UK GDPR» significa el Reglamento General de Protección de Datos del Reino Unido, tal como se aplica en el Derecho británico y se interpreta junto con la Data Protection Act 2018.
• «CCT» significa las cláusulas contractuales tipo aprobadas por la Comisión Europea para la transferencia de Datos personales a terceros países.
• «Violación de la seguridad de los datos» significa una violación de la seguridad que provoque la destrucción, pérdida o alteración accidental o ilícita de Datos personales, o su comunicación o acceso no autorizados.

2. ÁMBITO DE APLICACIÓN Y FUNCIONES

2.1 Responsable y Encargado del tratamiento

A efectos de este DPA:

• Tú (Responsable): Determinas los fines y los medios del tratamiento de Datos personales cuando utilizas nuestros Servicios, en particular al usar nuestra API para generar códigos QR para tus propios clientes o al integrar nuestros Servicios en tus productos.
• Nosotros (Encargado): Tratamos Datos personales por tu cuenta y siguiendo tus instrucciones, según se describe en este DPA y en el Contrato.

2.2 Cuándo se aplica este DPA

Este DPA se aplica cuando:

• Utilizas la API de QR Code AI para generar códigos QR que tratan datos de tus usuarios finales (por ejemplo, URL que contienen información personal, datos vCard o datos de contacto codificados en códigos QR).
• Utilizas las funciones de seguimiento y analíticas de QR Code AI que recopilan datos de los escaneos de tus usuarios finales.
• Se da cualquier otro supuesto en el que tratamos Datos personales por tu cuenta como encargado del tratamiento.

Cuando utilizas QR Code AI como usuario individual para tus propios fines, actuamos como responsable del tratamiento independiente y nuestra Política de privacidad regula el tratamiento de los datos.

3. DETALLES DEL TRATAMIENTO DE DATOS

3.1 Objeto y duración

Tratamos Datos personales durante la vigencia del Contrato para prestar los servicios de QR Code AI, incluidas la generación de códigos QR, el seguimiento, las analíticas y las funciones relacionadas.

3.2 Naturaleza y finalidad del tratamiento

• Generar códigos QR a partir de los datos facilitados por el Responsable
• Realizar el seguimiento de los escaneos de códigos QR y recopilar datos de analíticas
• Almacenar las configuraciones de los códigos QR y los metadatos asociados
• Procesar solicitudes de códigos QR artísticos generados por IA
• Proporcionar informes y paneles de analíticas

3.3 Tipos de Datos personales

Los tipos de Datos personales tratados pueden incluir:

• Datos de contacto (nombres, direcciones de correo electrónico y números de teléfono) codificados en códigos QR
• URL y direcciones web
• Datos de ubicación de los escaneos de códigos QR
• Información de dispositivos y direcciones IP de los escaneos de códigos QR
• Instrucciones de texto e imágenes facilitadas para la generación de códigos QR mediante IA
• Cualquier otro dato que el Responsable decida codificar en códigos QR

3.4 Categorías de Interesados

• Usuarios finales que escanean códigos QR creados por el Responsable
• Personas cuyos datos de contacto están codificados en códigos QR
• Usuarios de los productos o servicios del Responsable que interactúan con códigos QR

4. OBLIGACIONES DEL ENCARGADO

4.1 Instrucciones de tratamiento

Solo trataremos los Datos personales siguiendo tus instrucciones documentadas, salvo que nos obligue a ello el Derecho de la Unión Europea o de un Estado miembro al que estemos sujetos. En tal caso, te informaremos de esa obligación legal antes del tratamiento, salvo que la ley prohíba comunicarlo por razones importantes de interés público.

Te informaremos inmediatamente si, a nuestro juicio, una instrucción infringe el RGPD u otras disposiciones aplicables de la Unión Europea o de los Estados miembros en materia de protección de datos.

4.2 Confidencialidad

Garantizamos que las personas autorizadas para tratar Datos personales se hayan comprometido a respetar su confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada.

4.3 Medidas de seguridad

Aplicamos medidas técnicas y organizativas adecuadas para garantizar un nivel de seguridad acorde con el riesgo, entre ellas:

• Cifrado de los Datos personales en tránsito (TLS/HTTPS) y cifrado en reposo de la información sensible almacenada
• Controles de acceso y autenticación basada en funciones para los sistemas internos
• Evaluaciones periódicas de seguridad y análisis de vulnerabilidades
• Infraestructura alojada por Scaleway y DigitalOcean, con medidas de seguridad y cumplimiento que dependen del proveedor y del servicio de alojamiento
• Protección contra DDoS y cortafuegos de aplicaciones web (Cloudflare)
• Copias de seguridad periódicas almacenadas de forma cifrada
• Registro y supervisión del acceso a los Datos personales

4.4 Subencargados

Utilizamos los subencargados incluidos en nuestra página de Subencargados de tratamiento. Te notificaremos directamente por escrito cualquier incorporación o sustitución prevista de un subencargado, concediéndote 30 días desde esa notificación para oponerte antes de que el cambio entre en vigor. Puedes oponerte escribiéndonos a [email protected] dentro de ese plazo. Si te opones y no podemos atender razonablemente tu oposición, cualquiera de las partes podrá poner fin a la parte de los Servicios afectada.

Solo contrataremos a un subencargado para tratar Datos personales por tu cuenta mediante un contrato escrito, incluidas las condiciones electrónicas aplicables, que imponga las obligaciones de protección de datos exigidas por el artículo 28(4) del RGPD. Seguimos siendo responsables de nuestros subencargados conforme a lo exigido por ese artículo.

4.5 Derechos de los Interesados

Te ayudaremos a responder a las solicitudes de los Interesados que ejerzan sus derechos conforme a la legislación aplicable de protección de datos (acceso, rectificación, supresión, limitación, portabilidad y oposición). Si recibimos una solicitud directamente de un Interesado, le indicaremos sin demora que se dirija a ti, salvo que nos hayas dado otras instrucciones.

4.6 Asistencia para el cumplimiento

Te ayudaremos a garantizar el cumplimiento de tus obligaciones en virtud de los artículos 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información de la que dispongamos.

5. NOTIFICACIÓN DE VIOLACIONES DE LA SEGURIDAD DE LOS DATOS

5.1 Plazo de notificación

Te notificaremos cualquier Violación de la seguridad de los datos sin dilación indebida y, en todo caso, en un plazo máximo de 72 horas desde que tengamos conocimiento de ella. La notificación se enviará a la dirección de correo electrónico asociada a tu cuenta.

5.2 Contenido de la notificación

La notificación incluirá, en la medida en que se disponga de la información:

• Una descripción de la naturaleza de la Violación de la seguridad de los datos, incluidas las categorías y el número aproximado de Interesados y registros afectados.
• El nombre y los datos de contacto de nuestro punto de contacto en materia de protección de datos.
• Una descripción de las posibles consecuencias de la Violación de la seguridad de los datos.
• Una descripción de las medidas adoptadas o propuestas para hacer frente a la Violación de la seguridad de los datos, incluidas las medidas para mitigar sus posibles efectos adversos.

5.3 Cooperación continuada

Cooperaremos contigo y te prestaremos asistencia razonable para investigar, mitigar y subsanar cualquier Violación de la seguridad de los datos, así como para realizar las notificaciones a las autoridades de control o a los Interesados que estés obligado a efectuar.

6. TRANSFERENCIAS INTERNACIONALES DE DATOS

6.1 Ubicación de los datos

Los Datos personales se almacenan y tratan principalmente en la Unión Europea:

• Francia (UE) a través de Scaleway
• Países Bajos (UE) a través de DigitalOcean

6.2 Transferencias fuera de la UE o del EEE

Algunos de nuestros subencargados se encuentran fuera de la UE o del EEE, principalmente en Estados Unidos. Para estas transferencias, nos basamos en:

• Marco de Privacidad de Datos UE-EE. UU.: Cuando resulte aplicable, para transferencias a proveedores establecidos en Estados Unidos que estén certificados conforme a dicho marco.
• Cláusulas contractuales tipo (CCT): Incorporamos las CCT aprobadas por la Comisión Europea (Decisión de Ejecución (UE) 2021/914 de la Comisión) a nuestros acuerdos con subencargados situados fuera de la UE o del EEE cuando no se aplique el Marco de Privacidad de Datos.

6.3 Evaluación del impacto de las transferencias

Realizamos evaluaciones del impacto de las transferencias a terceros países y aplicamos medidas complementarias cuando es necesario para garantizar un nivel adecuado de protección de datos.

7. AUDITORÍAS E INSPECCIONES

7.1 Derecho de auditoría

Tienes derecho a auditar nuestro cumplimiento de este DPA. Pondremos a tu disposición toda la información necesaria para demostrar dicho cumplimiento y permitiremos y contribuiremos a la realización de auditorías, incluidas inspecciones, por tu parte o por un auditor designado por ti.

7.2 Procedimiento de auditoría

Las siguientes condiciones se aplican a las auditorías únicamente en la medida en que no restrinjan derechos u obligaciones establecidos por la legislación aplicable de protección de datos:

• Debes avisar por escrito con al menos 30 días de antelación antes de realizar una auditoría.
• Las auditorías pueden realizarse como máximo una vez al año, salvo que las exija una autoridad de control o se realicen tras una Violación de la seguridad de los datos.
• Las auditorías deben llevarse a cabo durante el horario laboral habitual y no deben interferir de forma irrazonable con nuestras operaciones.
• Eres responsable de los costos de las auditorías, salvo que una auditoría revele un incumplimiento sustancial de este DPA.
• Durante la auditoría no debe quedar expuesta información confidencial de otros clientes nuestros.

8. CONSERVACIÓN Y SUPRESIÓN DE DATOS

8.1 Durante la vigencia del Contrato

Conservamos los Datos personales durante la vigencia del Contrato en la medida necesaria para prestar los Servicios.

8.2 Al finalizar el Contrato

Al finalizar el Contrato o previa solicitud tuya por escrito:

• Según tu elección, suprimiremos los Datos personales o te los devolveremos y eliminaremos las copias restantes de nuestros sistemas activos en un plazo de 30 días.
• Los Datos personales de los archivos de copia de seguridad se eliminarán en un plazo de 6 meses y, hasta entonces, permanecerán protegidos y no se utilizarán para otros fines, salvo que la legislación aplicable exija lo contrario.
• Podemos conservar los Datos personales en la medida exigida por la legislación aplicable (por ejemplo, por obligaciones fiscales o contables); en tal caso, aislaremos y protegeremos esos datos y limitaremos cualquier tratamiento posterior a lo exigido por la ley.

8.3 Certificación

A petición tuya, te proporcionaremos una confirmación escrita de que los Datos personales se han suprimido conforme a esta sección.

9. RESPONSABILIDAD

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones de responsabilidad establecidas en el Contrato. Ninguna disposición de este DPA limita la responsabilidad de cualquiera de las partes frente a los Interesados o las autoridades de control conforme a la legislación aplicable de protección de datos.

10. LEGISLACIÓN APLICABLE

Este DPA se rige por las leyes de Francia. El RGPD y el UK GDPR se aplican en la medida en que el tratamiento entre dentro de sus respectivos ámbitos legales de aplicación. Los litigios derivados de este DPA se resolverán conforme a las disposiciones sobre resolución de litigios del Contrato.

11. CÓMO FORMALIZAR ESTE DPA

Este DPA se incorpora a los Términos de servicio y forma parte de ellos. Al utilizar los Servicios de QR Code AI, aceptas este DPA.

Si necesitas una copia de este DPA firmada por separado para tus archivos, escríbenos a [email protected] y te la facilitaremos en un plazo de 10 días hábiles.

12. CONTACTO

Para consultas sobre este DPA o nuestras prácticas de tratamiento de datos:

Supernovae 27 Rue Wurtz Juvisy-sur-Orge, Ile-de-France 91260 France [email protected]