Última actualización 18 de octubre de 2026

Adenda de tratamiento de datos

Esta traducción se ofrece por comodidad. Si difiere de la versión en inglés, prevalece la versión en inglés.

Borrador para revisión. Este anexo es una plantilla para quien gestiona este sitio. Pide a un abogado que lo revise y completa los datos resaltados antes de usarlo.

Partes y alcance

Este anexo de tratamiento de datos («DPA») forma parte del acuerdo entre ScanMosaic, United Kingdom («nosotros», el encargado del tratamiento) y el cliente empresarial que usa ScanMosaic («tú», el responsable del tratamiento), compuesto por nuestras condiciones del servicio y este DPA. Se aplica cuando tratamos datos personales por tu cuenta como encargado del tratamiento según el RGPD del Reino Unido, el RGPD de la UE o leyes similares. No se aplica a los datos que tratamos como responsable para nuestros propios fines, descritos en nuestra política de privacidad, como los datos de tu cuenta y de facturación.

Aceptas este DPA al usar un plan de pago con fines empresariales o al pedirnos una copia firmada en [email protected].

Objeto, duración, naturaleza y finalidad

Alojamos tus códigos QR, enlaces cortos, páginas alojadas y archivos, redirigimos a quienes los escanean o hacen clic, contamos esas visitas y ofrecemos el panel, los informes y la API. Tratamos datos personales solo mientras uses el servicio y durante los plazos de eliminación indicados abajo.

Datos personales e interesados

Personas que escanean tus códigos o hacen clic en tus enlaces: hora, país y ciudad (según la red, no por GPS), tipo de dispositivo, sistema operativo, navegador, idioma, sitio de origen y una clave de visitante que cambia cada día. No guardamos direcciones IP ni usamos cookies.
Personas que rellenan tus formularios o páginas de opiniones alojados: lo que pida tu formulario.
Personas mencionadas en tu contenido: por ejemplo, datos de contacto en una tarjeta de visita digital o en archivos que subas.
Tu equipo: correos y roles de los miembros del espacio de trabajo, y el registro de actividad de sus cambios.

No debes usar el servicio para recoger datos de categorías especiales (como datos de salud) mediante formularios alojados, salvo que tengas una base legal y nos lo hayas comunicado por escrito.

Nuestras obligaciones

Tratamos los datos personales únicamente según tus instrucciones documentadas: estos términos, tu configuración y tu uso del servicio. Te avisamos si creemos que una instrucción infringe la ley de protección de datos.
Todas las personas con acceso a tus datos personales están sujetas a confidencialidad.
Te ayudamos a responder a las solicitudes de personas que ejercen sus derechos. La mayoría se pueden gestionar desde el panel: exportar, editar y eliminar códigos, enlaces, respuestas de formularios y registros de escaneos.
Te ayudamos con las evaluaciones de impacto sobre la protección de datos y las consultas a las autoridades de control cuando afecten a nuestro servicio.

Medidas de seguridad

Todo el tráfico usa HTTPS (TLS). Los datos se almacenan con nuestro proveedor de alojamiento, que los cifra en reposo.
No se guardan direcciones IP con los registros de escaneos; los límites de uso y los recuentos de visitantes únicos usan hashes unidireccionales con clave que no se pueden revertir.
Inicio de sesión sin contraseña con códigos de un solo uso; las sesiones se guardan como hashes unidireccionales y se pueden cerrar en todos los dispositivos.
Acceso por roles en cada espacio de trabajo (propietario, admin, editor, lector), comprobado en el servidor en cada solicitud. Las claves de API son específicas de cada espacio de trabajo y se guardan con hash.
Los secretos de terceros que nos das, como los secretos de API de integraciones, se cifran y no se vuelven a mostrar.
Los destinos se comprueban con Google Web Risk; las páginas que muestran contenido de tus usuarios usan una política de seguridad de contenido estricta.
El acceso a los sistemas de producción está limitado a las personas que operan el servicio.

Subencargados del tratamiento

Nos autorizas a usar los subencargados que figuran en nuestra página de subencargados. Vinculamos a cada uno por contrato a obligaciones de protección de datos al menos tan protectoras como este DPA, y seguimos siendo responsables de ellos. Avisamos de un nuevo subencargado con al menos 30 días de antelación por correo al propietario del espacio de trabajo. Si te opones por motivos razonables de protección de datos y no podemos resolverlo, puedes poner fin al servicio afectado y te reembolsamos las cuotas prepagadas del periodo restante.

Transferencias internacionales

Algunos subencargados tratan datos fuera del Reino Unido y del EEE. En ese caso nos basamos en una decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU. y su extensión para el Reino Unido cuando el destinatario está certificado), o en las cláusulas contractuales tipo de la UE con el Anexo de Transferencia Internacional de Datos del Reino Unido, junto con medidas complementarias cuando sea necesario.

Brechas de datos personales

Te avisamos sin demora indebida, y en cualquier caso en un plazo de 48 horas, desde que tengamos conocimiento de una violación de la seguridad de los datos personales que afecte a tus datos. Te explicamos qué ocurrió, los datos y las personas probablemente afectados, las posibles consecuencias y lo que estamos haciendo, y te mantenemos al tanto a medida que sepamos más. Enviamos el aviso al correo del propietario del espacio de trabajo.

Eliminación y devolución

Puedes descargar tus datos en cualquier momento desde Privacidad y datos en el panel, y eliminar códigos, enlaces, archivos y respuestas cuando quieras. Los registros de escaneos se eliminan automáticamente a los 13 meses. Cuando eliminas tu cuenta o espacio de trabajo, o 30 días después de que termine tu acuerdo, eliminamos tus datos personales del servicio en producción, salvo que la ley nos obligue a conservarlos. Las copias de seguridad de nuestro proveedor de alojamiento se sobrescriben en los 30 días posteriores.

Auditorías e información

Ponemos a tu disposición la información necesaria para demostrar que cumplimos este DPA, incluidas respuestas a cuestionarios de seguridad razonables una vez al año. Cuando eso no baste, puedes auditar nuestro cumplimiento una vez al año con al menos 30 días de preaviso, en horario laboral, a tu cargo, con confidencialidad y sin acceso a datos de otros clientes. Las auditorías de nuestros subencargados se cubren con sus propias certificaciones e informes.

Responsabilidad y orden de prelación

La responsabilidad de cada parte según este DPA está sujeta a los límites de nuestras condiciones del servicio, salvo donde la ley no lo permita. Si este DPA entra en conflicto con las condiciones del servicio en materia de datos personales, prevalece este DPA. Si se aplican las cláusulas contractuales tipo, estas tienen prioridad.

Contacto

Preguntas sobre este DPA o solicitudes de una copia firmada: [email protected].