Anexo de tratamiento de datos personales de Menelier (DPA)

Fecha de entrada en vigor: 1 de septiembre de 2026
Versión: 2026-09-01-professional-legal-review

Este Anexo de procesamiento de datos ("DPA") forma parte de los Términos de servicio de Menelier u otro acuerdo (el "Acuerdo") entre el cliente identificado en el Acuerdo ("Cliente") y Martin Mayer, operador de Menelier ("Menelier").

1. Alcance y funciones

Este DPA se aplica cuando Menelier procesa datos personales en nombre del Cliente al proporcionar el servicio Menelier.

El Cliente es el responsable del tratamiento y Menelier es el encargado del tratamiento cuando el Cliente carga, crea, importa, publica o envía datos personales relacionados con su personal, contratistas, proveedores, invitados u otras personas ("Datos personales del Cliente").

Menelier sigue siendo un responsable del tratamiento independiente de los datos que procesa para sus propios fines, incluida la administración de cuentas, facturación directa, registros fiscales, seguridad, prevención de fraude, comunicaciones de servicios y su propio cumplimiento legal. Esas actividades están cubiertas por la Política de Privacidad de Menelier y están fuera de este DPA.

2. Instrucciones del cliente

Menelier procesará los Datos Personales del Cliente únicamente:

• para proporcionar, asegurar, mantener y respaldar el servicio en virtud del Acuerdo;
• según el uso documentado y la configuración del servicio por parte del Cliente;
• según instrucciones documentadas adicionales acordadas por las partes; o
• cuando el procesamiento sea requerido por la ley aplicable, en cuyo caso Menelier informará al Cliente antes del procesamiento, a menos que la ley prohíba el aviso.

El Acuerdo, este DPA, el uso del servicio por parte del Cliente y las solicitudes de soporte constituyen instrucciones documentadas.

El Cliente es responsable de garantizar que sus instrucciones y sus Datos personales cumplan con la ley aplicable, que tenga una base legal para el procesamiento y que brinde la información requerida a los interesados.

3. Detalles del tratamiento

El objeto, la naturaleza, la finalidad y la duración del tratamiento, junto con las categorías de datos y los interesados, se describen en el Anexo 1.

4. Confidencialidad

Menelier se asegurará de que las personas autorizadas a procesar los Datos personales del Cliente estén sujetas a obligaciones de confidencialidad y reciban acceso solo en la medida necesaria para su trabajo.

5. Seguridad

Teniendo en cuenta el estado de la técnica, los costos de implementación, el contexto de procesamiento y los riesgos, Menelier mantendrá medidas técnicas y organizativas apropiadas diseñadas para proteger los Datos personales del Cliente contra destrucción, pérdida, alteración, divulgación o acceso no autorizado, accidental o ilegal.

Las medidas actuales se describen en el Anexo 2. Menelier podrá actualizarlas siempre que el nivel general de protección no se reduzca materialmente.

6. Subencargados del tratamiento

El Cliente otorga a Menelier autorización general por escrito para contratar subencargados del tratamiento necesarios para proporcionar el Servicio. Los subencargados del tratamiento autorizados a partir de la Fecha de entrada en vigor se enumeran en el Anexo 3. Menelier notificará al Cliente por escrito al menos 30 días antes de agregar o reemplazar un subencargado del tratamiento, dándole al Cliente la oportunidad de objetar por motivos razonables de protección de datos.

Menelier:

• requerir que cada subencargado del tratamiento, mediante acuerdo escrito, asuma las mismas obligaciones de protección de datos impuestas a Menelier por este DPA, en la medida aplicable al procesamiento del subencargado del tratamiento, incluidos los requisitos del Artículo 28(4) GDPR;
• seguir siendo responsable del cumplimiento por parte del subencargado del tratamiento de sus obligaciones de protección de datos en la medida requerida por la ley aplicable; y
• avisar con antelación razonable sobre un nuevo subencargado a través de la lista publicada, correo electrónico o el servicio.

El cliente puede oponerse a un nuevo subencargado del tratamiento por motivos razonables de protección de datos dentro de 15 días después del aviso. Las partes trabajarán de buena fe para encontrar una solución razonable. Si no hay solución disponible, cualquiera de las partes podrá dar por terminado el servicio afectado; cualquier reembolso se rige por el Acuerdo y la ley aplicable.

7. Asistencia al Cliente

Teniendo en cuenta la naturaleza del procesamiento y la información disponible para Menelier, Menelier ayudará razonablemente al Cliente con:

• atender las solicitudes de los interesados;
• obligaciones de seguridad y violación de datos personales;
• evaluaciones de impacto de la protección de datos; y
• consulta previa con una autoridad de control cuando sea necesario.

Si Menelier recibe una solicitud directamente de un interesado en relación con los Datos personales del Cliente, Menelier redirigirá al solicitante al Cliente cuando sea razonablemente posible y no cumplirá con la solicitud de forma independiente a menos que el Cliente así lo indique o la ley lo requiera.

El cliente reembolsará los costos razonables por asistencia inusualmente extensa no causada por el incumplimiento de Menelier, si se acuerda de antemano.

8. Violaciones de seguridad de datos personales

Menelier notificará al Cliente sin demora indebida después de tener conocimiento de una violación de datos personales que afecte los Datos personales del Cliente. El aviso incluirá información disponible que sea razonablemente necesaria para las obligaciones legales del Cliente, que podrá proporcionarse en fases a medida que se desarrolle la investigación.

La notificación de Menelier no constituye una admisión de culpa o responsabilidad.

Contacto de seguridad: info@menelier.com

9. Eliminación y devolución

Durante la vigencia del servicio, el Cliente puede utilizar las funciones de exportación y eliminación disponibles.

Tras la terminación o el vencimiento del servicio, Menelier, a elección del Cliente, suprimirá o devolverá los Datos Personales del Cliente, salvo que el Derecho de la Unión o de un Estado miembro exija su conservación. Los datos contenidos en copias de seguridad protegidas se suprimirán conforme al ciclo ordinario de copias de seguridad y seguirán sujetos a este DPA mientras se conserven.

Período de eliminación operativa: La eliminación autoservicio de un usuario incluye un plazo de 14 días para cancelar la solicitud. Las instrucciones verificadas de eliminación de una cuenta completa se tramitan sin dilación indebida y normalmente dentro de 30 días, sin perjuicio de la verificación de la titularidad de la cuenta, las obligaciones legales de conservación y las dependencias técnicas.
Período de retención de la copia de seguridad: 35 days

Menelier podrá conservar los datos del responsable del tratamiento, como facturas, registros de seguridad de la cuenta y pruebas de aceptación legal, de conformidad con la Política de Privacidad y la ley aplicable.

10. Auditorías e información

Menelier pondrá a disposición la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 RGPD. El cliente puede solicitar documentación de seguridad relevante o informes independientes cuando estén disponibles.

Si esa información es insuficiente, el Cliente podrá realizar una auditoría no más de una vez al año, excepto después de un incidente material o cuando una autoridad supervisora ​​requiera lo contrario. Las auditorías deben:

• se organizará con un aviso previo razonable;
• ocurren durante el horario comercial normal;
• evitar interrupciones y acceso a los datos de otros clientes;
• ser realizadas por el Cliente o por un auditor independiente cualificado designado por el Cliente, en ambos casos sujeto a obligaciones de confidencialidad adecuadas; y
• respetar los requisitos de seguridad razonables de Menelier.

El cliente corre con los costos de auditoría a menos que la auditoría identifique un incumplimiento material por parte de Menelier.

11. Transferencias internacionales

Menelier no transferirá Datos personales del cliente fuera del Espacio Económico Europeo u otra región de origen en violación de las reglas de transferencia aplicables.

Cuando sea necesario, las partes se basarán en una decisión de adecuación, las Cláusulas Contractuales Estándar de la Comisión Europea, el Acuerdo UE-EE.UU. Marco de privacidad de datos para un destinatario elegible u otra protección válida. Los módulos de transferencia aplicables y las medidas complementarias se incorporarán mediante referencia o estarán disponibles previa solicitud.

Región de alojamiento principal: República Checa
Detalles del mecanismo de transferencia: El alojamiento principal y las copias de seguridad cifradas se encuentran en la Unión Europea. El tratamiento opcional mediante IA puede implicar transferencias a OpenAI y sus subencargados. Cuando una transferencia fuera del EEE requiera una garantía adecuada, Menelier se basa en los mecanismos previstos en las condiciones de tratamiento de datos aplicables de OpenAI, incluidas, según proceda, las Cláusulas Contractuales Tipo o un mecanismo de adecuación aplicable.

12. Instrucciones contrarias a la normativa

Menelier informará de inmediato al Cliente si, en su opinión razonable, una instrucción infringe la ley de protección de datos aplicable. Menelier podrá suspender el tratamiento afectado hasta que las partes resuelvan la cuestión.

13. Responsabilidad y orden de precedencia

La responsabilidad en virtud de este DPA está sujeta a las disposiciones de responsabilidad del Acuerdo, excepto cuando la ley aplicable requiera lo contrario.

Si este DPA entra en conflicto con el Acuerdo sobre el procesamiento de Datos personales del Cliente, prevalece este DPA. Si las cláusulas contractuales estándar aplicables entran en conflicto con este DPA, esas cláusulas prevalecerán para la transferencia correspondiente.

14. Vigencia

Este DPA sigue vigente mientras Menelier procesa los Datos personales del Cliente en nombre del Cliente.

Anexo 1 - Descripción del tratamiento

Anexo 2 - Medidas técnicas y organizativas

• cifrado de transporte mediante HTTPS/TLS;
• hash de contraseña usando hash de contraseña PHP actual;
• acceso basado en roles y separación del espacio de trabajo del cliente;
• acceso restringido de superadministrador y producción;
• Protección CSRF, manejo seguro de sesiones y verificación de correo electrónico;
• webhooks de Stripe firmados y validación de eventos de pago;
• limitación de la frecuencia de solicitudes, prevención de abuso y registro de auditoría/seguridad;
• almacenamiento privado para cargas no públicas y publicaciones públicas controladas;
• restricciones de acceso a bases de datos, archivos y copias de seguridad;
• proceso de mantenimiento de vulnerabilidades y dependencias: Las vulnerabilidades comunicadas públicamente que afecten a componentes utilizados por Menelier se evalúan según su gravedad y relevancia. Los parches de seguridad y las actualizaciones de dependencias se aplican como parte del mantenimiento continuo, dando prioridad a los problemas de seguridad materiales.;
• frecuencia de respaldo y prueba de restauración: Menelier crea diariamente una copia de seguridad cifrada de la aplicación que incluye la base de datos y las cargas privadas, conserva una copia cifrada remota en WEDOS Disk, supervisa la actualidad de las copias y mantiene las copias de la aplicación durante 35 días. El procedimiento de validación de restauración ha descifrado y revisado correctamente un archivo de copia de seguridad de producción; actualmente no se garantiza un simulacro completo y periódico de recuperación ante desastres.;
• respuesta y escalamiento de incidentes: Los incidentes de seguridad son gestionados por el Operador según las circunstancias, incluyendo contención, evaluación del impacto, remediación y documentación. Los clientes afectados y las autoridades competentes son informados cuando lo exijan la ley aplicable o el contrato.;
• revisión de acceso y baja del personal/contratista: El acceso administrativo se limita al Operador y a contratistas expresamente autorizados según el principio de necesidad de conocimiento. Los derechos de acceso se revisan cuando cambian las funciones o relaciones contractuales y se revocan sin dilación indebida cuando dejan de ser necesarios.;
• controles de eliminación y retención de datos: Los Datos Personales del Cliente se eliminan o anonimizan tras una solicitud válida de supresión o al finalizar el Servicio, salvo que su conservación sea exigida por la ley aplicable o necesaria para formular, ejercer o defender reclamaciones. La eliminación autoservicio de un usuario incluye un plazo de 14 días para cancelar la solicitud. Los datos eliminados pueden permanecer en copias cifradas hasta 35 días.;
• objetivos de continuidad y recuperación del negocio: La recuperación del Servicio se apoya en el alojamiento de WEDOS, copias de seguridad cifradas diarias de la aplicación y una copia cifrada separada en WEDOS Disk. Menelier no garantiza actualmente un objetivo concreto de tiempo de recuperación (RTO) ni de punto de recuperación (RPO); la recuperación se realiza aplicando esfuerzos razonables.

Anexo 3 – Subencargados iniciales

Anexo 4 - Partes

Cliente / responsable del tratamiento

El cliente identificado en el Acuerdo o cuenta Menelier.

Menelier / encargado del tratamiento

• Nombre legal: Martin Mayer
• Dirección: Holubice 366, 68351 Holubice
• N.º de identificación (IČO): 73507351
• NIF/IVA (DIČ): CZ8003301680
• Contacto: info@menelier.com
• Teléfono: +420 724 548 554