Acuerdo de tratamiento de datos

Última actualización: 11 de febrero de 2026

El presente Acuerdo de tratamiento de datos («DPA») forma parte del acuerdo entre Surface Layer Limited (Company No. 17396632), que opera con el nombre comercial supportpages.io («Encargado del tratamiento», «nosotros»), con domicilio social en 128 City Road, London, United Kingdom, EC1V 2NX, y la entidad que acepta estas condiciones («Responsable del tratamiento», «Cliente», «usted») para el uso de los servicios de supportpages.io.

Este DPA recoge los requisitos del Reglamento General de Protección de Datos de la UE (RGPD), en particular de su artículo 28.

1. Definiciones

Datos personales significa toda información sobre una persona física identificada o identificable.

Tratamiento significa cualquier operación realizada sobre datos personales, incluidas la recogida, el almacenamiento, el uso, la comunicación y la supresión.

Responsable del tratamiento significa la entidad que determina los fines y los medios del tratamiento de datos personales. Es decir, usted.

Encargado del tratamiento significa la entidad que trata datos personales por cuenta del responsable del tratamiento. Es decir, nosotros.

Subencargado del tratamiento significa cualquier tercero al que recurramos para tratar datos personales por cuenta de usted.

Interesado significa la persona física cuyos datos personales se tratan.

2. Ámbito y finalidad

2.1 Qué cubre

Este DPA se aplica a los datos personales que tratamos por cuenta de usted cuando utiliza supportpages.io para:
- Analizar repositorios de código
- Generar documentación
- Alojar documentación publicada

2.2 Funciones

Usted es el Responsable del tratamiento de los datos personales contenidos en sus repositorios y en el contenido generado
Nosotros somos el Encargado del tratamiento y actuamos siguiendo sus instrucciones para prestar el servicio

2.3 Finalidad del tratamiento

Tratamos datos personales únicamente para prestar los servicios de supportpages.io tal como se describen en nuestros Términos del servicio. No tratamos sus datos para fines propios.

3. Categorías de datos

Podemos tratar por cuenta de usted las siguientes categorías de datos personales:

Categoría	Ejemplos	Origen
Identificadores de desarrolladores	Nombres y correos electrónicos en el código o en los commits	Sus repositorios
Metadatos de commits	Nombres de autores, mensajes de commit	Webhooks de GitHub
Contenido de la documentación	Cualquier dato personal incluido en la documentación generada	Generado por IA a partir de su código

Nota: Los datos personales que se tratan realmente dependen de lo que contengan sus repositorios. No controlamos qué datos incluye usted en su código.

4. Instrucciones de tratamiento

4.1 Sus instrucciones

Tratamos los datos personales únicamente con arreglo a sus instrucciones documentadas, que incluyen:
- Los Términos del servicio que usted aceptó
- Las opciones de configuración que elija en el servicio
- Las solicitudes concretas que nos haga a través del soporte

4.2 Notificación

Si consideramos que una instrucción infringe el RGPD u otra normativa de protección de datos, se lo notificaremos antes de realizar el tratamiento (salvo que la ley lo prohíba).

4.3 Ningún otro tratamiento

No trataremos sus datos personales con ninguna finalidad distinta de la prestación del servicio, salvo que:
- Lo exija la ley (y se lo comunicaremos, si está permitido)
- Usted nos dé instrucciones adicionales

5. Medidas de seguridad

Aplicamos medidas técnicas y organizativas adecuadas para proteger los datos personales:

5.1 Medidas técnicas

Cifrado en tránsito: TLS 1.2 o superior en todas las conexiones
Cifrado en reposo: Cifrado de la base de datos
Controles de acceso: Acceso basado en roles, con autenticación obligatoria
Infraestructura: Servidores ubicados en la UE (Hetzner, Finlandia)

5.2 Medidas organizativas

Acceso de los empleados: Limitado a quienes lo necesitan
Confidencialidad: El personal está sujeto a obligaciones de confidencialidad
Formación: Concienciación en materia de seguridad para los miembros del equipo

5.3 Tratamiento del código

El código se procesa en entornos aislados y efímeros
Los entornos se destruyen tras cada análisis
Su código fuente nunca se almacena en nuestra base de datos
Solo se conserva la documentación generada

Consulte nuestro Resumen de seguridad para más información.

6. Subencargados del tratamiento

6.1 Subencargados actuales

Recurrimos a los siguientes subencargados del tratamiento:

Subencargado	Finalidad	Ubicación
Anthropic	Análisis con IA	EE. UU.
GitHub	Acceso al código, webhooks	EE. UU.
Hetzner	Infraestructura de alojamiento	Finlandia (UE)
Cloudflare	DNS, dominios personalizados	Global
Rollbar	Monitorización de errores	EE. UU.

Consulte nuestra Lista de subencargados para ver la lista actualizada.

6.2 Cambios de subencargados

Antes de añadir o cambiar subencargados:
1. Actualizaremos nuestra lista de subencargados
2. Se lo notificaremos por correo electrónico (si ha dado su consentimiento) o mediante una actualización de nuestro sitio web
3. Dispondrá de 30 días para oponerse

6.3 Oposiciones

Si se opone a un nuevo subencargado:
- Póngase en contacto con nosotros para hablar de sus objeciones
- Si no podemos resolverlas, podrá dar por terminados los servicios afectados
- La terminación por este motivo no conllevará penalizaciones por terminación anticipada

6.4 Obligaciones de los subencargados

Nuestros subencargados están vinculados por contratos que les imponen obligaciones de protección de datos equivalentes a las de este DPA.

7. Derechos de los interesados

7.1 Su responsabilidad

Usted es responsable de responder a las solicitudes de los interesados (acceso, supresión, etc.) relativas a los datos personales contenidos en sus repositorios y en su contenido.

7.2 Nuestra asistencia

Le ayudaremos a responder a las solicitudes de los interesados:
- Proporcionando herramientas para exportar y eliminar datos
- Atendiendo las solicitudes que nos remita
- Facilitando información sobre nuestro tratamiento

7.3 Solicitudes directas

Si un interesado se pone en contacto directamente con nosotros en relación con sus datos incluidos en su contenido:
- Le remitiremos a usted (salvo que la ley exija otra cosa)
- Le notificaremos la solicitud
- No responderemos en su nombre sin instrucciones suyas

8. Notificación de violaciones de seguridad

8.1 Nuestro compromiso

Si tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a sus datos:
- Se lo notificaremos sin dilación indebida (y en un plazo de 72 horas)
- Le facilitaremos información sobre la naturaleza de la violación
- Le describiremos sus posibles consecuencias
- Le describiremos las medidas adoptadas o propuestas

8.2 Qué le comunicaremos

Nuestra notificación de la violación incluirá (en la medida en que se conozca):
- Las categorías de datos afectadas
- El número aproximado de registros afectados
- Un punto de contacto para obtener más información
- Las medidas para hacer frente a la violación

8.3 Sus obligaciones

Usted es responsable de notificar a las autoridades de protección de datos y a las personas afectadas cuando lo exija la ley. Le prestaremos la asistencia necesaria.

9. Auditorías

9.1 Sus derechos

Usted puede auditar nuestro cumplimiento de este DPA. Ello puede incluir:
- Solicitar documentación de nuestras medidas de seguridad
- Solicitar los resultados de auditorías o certificaciones de terceros
- Realizar o encargar su propia auditoría

9.2 Procedimiento de auditoría

Para realizar una auditoría:
1. Avísenos por escrito con 30 días de antelación
2. Las auditorías se realizarán en horario laboral
3. Las auditorías no interferirán de forma irrazonable en nuestras operaciones
4. Usted asumirá los costes de la auditoría (salvo que se constate un incumplimiento por nuestra parte)
5. Los auditores deberán firmar acuerdos de confidencialidad

9.3 Solicitudes de información

Facilitaremos información razonable para demostrar el cumplimiento, como:
- Documentación de las medidas de seguridad
- Resúmenes de los resultados de auditorías
- Las certificaciones de que dispongamos

10. Supresión de datos

10.1 Durante el servicio

Puede eliminar datos a través de la interfaz del servicio:
- Eliminar artículos concretos
- Eliminar proyectos
- Eliminar su cuenta

10.2 A la terminación

Cuando ponga fin al servicio:
- Eliminaremos sus datos personales en un plazo de 30 días
- Algunos datos pueden permanecer en copias de seguridad durante un máximo de 30 días adicionales
- Le facilitaremos una exportación de los datos antes de su supresión, si así lo solicita

10.3 Excepciones

Podemos conservar datos si:
- Lo exige la ley
- Son necesarios para la formulación, el ejercicio o la defensa de reclamaciones
- Se han anonimizado para analítica agregada

11. Transferencias internacionales

11.1 Almacenamiento principal

Sus datos se almacenan en la UE (Finlandia).

11.2 Transferencias a subencargados

Cuando se transfieren datos a subencargados situados fuera de la UE:
- Garantizamos que existan garantías adecuadas (cláusulas contractuales tipo)
- Tenemos acuerdos de tratamiento de datos con todos los subencargados
- Consulte el apartado 6 para conocer la ubicación de los subencargados

11.3 Mecanismos de transferencia

Para los subencargados con sede en EE. UU., nos basamos en:
- Las cláusulas contractuales tipo de la UE (CCT)
- El Marco de Privacidad de Datos UE-EE. UU. (cuando estén certificados)

12. Responsabilidad

12.1 Nuestra responsabilidad

Somos responsables de los daños causados por un tratamiento que infrinja:
- Este DPA
- Las obligaciones del RGPD aplicables al encargado del tratamiento
- Sus instrucciones lícitas

12.2 Limitaciones

La responsabilidad queda limitada en los términos establecidos en nuestros Términos del servicio, excepto:
- Cuando la ley lo prohíba
- En caso de negligencia grave o dolo

13. Vigencia y terminación

13.1 Vigencia

Este DPA entra en vigor cuando usted empieza a utilizar supportpages.io y se mantiene hasta que deje de utilizarlo.

13.2 Subsistencia

Las disposiciones que por su naturaleza deban subsistir tras la terminación (como las obligaciones de supresión de datos y la responsabilidad) seguirán vigentes.

14. Cambios

Podemos actualizar este DPA para reflejar:
- Cambios en la legislación o la normativa
- Cambios en nuestras actividades de tratamiento
- Mejoras en las medidas de seguridad

Le notificaremos los cambios sustanciales y le concederemos 30 días para oponerse antes de que entren en vigor.

15. Contacto

Para consultas relacionadas con el DPA:

Correo electrónico: dpa@supportpages.io

Anexo A: Medidas técnicas y organizativas

A.1 Control de acceso

Autenticación obligatoria para todo acceso
Permisos basados en roles
Gestión de sesiones con tokens seguros

A.2 Cifrado

TLS 1.2 o superior para los datos en tránsito
Cifrado de la base de datos para los datos en reposo
Copias de seguridad cifradas

A.3 Seguridad de la infraestructura

Alojamiento en la UE (Hetzner, Finlandia)
Protección mediante cortafuegos
Actualizaciones de seguridad periódicas

A.4 Minimización de datos

Los diffs de código se procesan temporalmente
El código en bruto no se almacena a largo plazo
Solo se conservan los datos necesarios

A.5 Respuesta a incidentes

Monitorización de eventos de seguridad
Procedimientos definidos de respuesta a incidentes
Proceso de notificación de violaciones de seguridad

Este DPA establece nuestros compromisos como encargado del tratamiento de sus datos. Si tiene preguntas o necesita una copia firmada para sus archivos, póngase en contacto con nosotros.