Esta traducción se facilita para comodidad del lector. En caso de discrepancia, prevalece la versión inglesa. Versión inglesa

AVE17 LTD

Acuerdo de tratamiento de datos

Exigido por el artículo 28 del UK GDPR cuando una organización trata datos personales por cuenta de otra. Se proporciona gratuitamente y rige para todos los clientes sin que tengan que pedirlo.

1. Las partes y sus funciones

Este documento lo publica AVE17 LTD y rige los pedidos en ave17.com, ave17.de, ave17.fr, ave17.es, ave17.it, ave17.uk, ave17.us, ave17.ca o ave17.eu. ave17.ge es un vendedor distinto, sujeto a otra legislación. No lo opera AVE17 LTD. Todavía no se vende nada a través de él. Sus propios datos se publicarán allí.

Responsable del tratamiento: Usted, el cliente. Decide por qué y cómo se tratan los datos personales de su despliegue.
Encargado del tratamiento: AVE17 LTD, registrada en England and Wales, número 17254143, 128 City Road, London, EC1V 2NX. Registro ICO ZC225076.

Este acuerdo se celebra conforme al artículo 28 del UK GDPR y la Data Protection Act 2018; los términos responsable del tratamiento, encargado del tratamiento, datos personales, tratamiento e interesado tienen los significados del artículo 4. Consta por escrito en formato electrónico, permitido por el artículo 28(9). Forma parte de nuestras condiciones del servicio y entra en vigor cuando comienza el servicio. En caso de conflicto sobre protección de datos, prevalece este acuerdo.

2. Qué se trata y por qué

Objeto: Operar la infraestructura que nos ha pedido gestionar.
Duración: Mientras dure el servicio, más el plazo de supresión de la sección 9.
Naturaleza y finalidad: Instalación, configuración, mantenimiento, supervisión, copias de seguridad, restauración y diagnóstico de fallos. Nada más.
Interesados: Sus usuarios y cualquiera con quien se comuniquen a través del despliegue.
Categorías de datos: Identificadores de cuentas y datos de perfiles; contenido de mensajes, archivos y medios conservados por el despliegue; metadatos de conexión, incluidas direcciones y marcas de tiempo; registros generados por el software.
Datos de categorías especiales: No los tratamos a sabiendas. Si su uso los incluye, avísenos antes del inicio del servicio para evaluar el acuerdo.

Si un despliegue usa cifrado de extremo a extremo, no podemos acceder en absoluto al contenido de las conversaciones cifradas. Todo lo demás de la lista anterior es técnicamente accesible para quien administre el servidor; mientras lo mantenemos, eso nos incluye.

3. Nuestras obligaciones

Tratamos datos personales únicamente según sus instrucciones documentadas, incluidos este acuerdo, sus solicitudes de asistencia y sus instrucciones sobre transferencias fuera del Reino Unido
Si creemos que una instrucción infringe la normativa de protección de datos, se lo comunicamos y no la ejecutamos
Toda persona con acceso está sujeta a una obligación de confidencialidad que continúa tras el fin de su relación
Mantenemos y revisamos las medidas de seguridad de la sección 6
Le ayudamos a responder a solicitudes de interesados y con evaluaciones de impacto y consultas a la autoridad de control, en la medida razonable
Le notificamos las violaciones de la seguridad de los datos personales sin dilación indebida, según la sección 8
Al finalizar, suprimimos o devolvemos los datos según la sección 9
Le proporcionamos lo necesario para demostrar el cumplimiento y nos sometemos a auditorías según la sección 10

Si la ley del Reino Unido exige tratar sus datos para algo que no ha solicitado, le informamos de lo que exige la ley antes de hacerlo, salvo que esa misma ley nos prohíba informarle por razones importantes de interés público.

4. Subencargados del tratamiento

Otorga una autorización general para los subencargados que figuran a continuación. Seguimos siendo plenamente responsables de sus actos y omisiones.

OVH: OVH SAS, Francia. Proporciona la infraestructura física y la operación del centro de datos. Los datos permanecen en el EEE.

Cada subencargado está contratado por escrito con las mismas obligaciones de protección de datos que este acuerdo nos impone, nunca inferiores. Si incumple, respondemos nosotros; no le corresponde a usted perseguirlo. Si el despliegue usa infraestructura de su propiedad, no hay ningún subencargado: la máquina es suya y trabajamos en ella. Antes de añadir o sustituir un subencargado, le avisamos por escrito con 30 días de antelación a la dirección de notificaciones de su contrato. No hay una lista de suscripción ni un canal: el aviso se le envía, no se publica para que lo encuentre. Si se opone durante ese plazo por motivos razonables de protección de datos, puede poner fin al servicio afectado sin penalización.

5. Transferencias internacionales

Nuestra infraestructura está en Francia (EEE), en OVH SAS. El director administra los sistemas a distancia; el acceso permanece dentro de AVE17 LTD.

6. Medidas de seguridad

Estas son las medidas que realmente aplicamos, descritas con claridad suficiente para comprobarlas:

Solo están abiertos los puertos necesarios para el despliegue; el cortafuegos cierra todos los demás
Bloqueo automático de intentos reiterados de inicio de sesión fallidos y atacantes conocidos
Acceso administrativo por SSH solo con claves, sin contraseñas, y refuerzo muy superior a los ajustes predeterminados
Componentes aislados entre sí a nivel del sistema operativo y contenedores sin privilegios innecesarios
Cifrado de todas las comunicaciones, con renovación programada y supervisada de certificados
Copias de seguridad cifradas según un calendario definido, con restauración comprobada, no supuesta
Cada acceso administrativo y comando queda registrado en su propio servidor, donde puede leerlo
El mantenimiento restaura una configuración verificada, evitando que persistan cambios no documentados
El acceso se revoca cuando se solicita entre trabajos

La automatización es de código abierto y sus acciones constan en su propio registro de auditoría.

7. Sus obligaciones

Confirma que dispone de una base jurídica para el tratamiento que nos pide realizar
Proporciona la información de privacidad a la que tienen derecho sus usuarios
No nos envía datos personales por canales ajenos al servicio
Nos avisa antes de introducir datos de categorías especiales o datos de niños

8. Violaciones de la seguridad de los datos personales

Si tenemos conocimiento de una violación de la seguridad que afecte a sus datos personales, le avisamos sin dilación indebida y, en todo caso, dentro de las 24 horas siguientes a conocerla. La notificación describe lo ocurrido, los datos y el número aproximado de personas afectadas, las consecuencias probables y las medidas que estamos tomando.

La notificación a la autoridad de control y a las personas afectadas es decisión suya como responsable del tratamiento. Le proporcionamos lo necesario para decidir y cumplir su propio plazo de 72 horas.

9. Supresión y devolución

Al finalizar, entregamos el despliegue tal como está: base de datos, almacenamiento de archivos y configuración, en sus formatos operativos, sin convertirlos en un archivo de despedida.

Los datos personales que conservamos como encargado se suprimen en los 30 días siguientes a la finalización, incluidas las copias de seguridad a medida que se renuevan. Si quiere que los borremos antes, dígalo y lo haremos. Solo los conservamos más tiempo cuando la ley lo exige, y le avisamos si ocurre.

Copias de seguridad tras la supresión: 35 días
Datos del despliegue tras la finalización: 30 días
Registros que la ley exige conservar: siete años

10. Auditoría

Puede comprobar nuestro cumplimiento. Primero respondemos por escrito y proporcionamos las pruebas disponibles, que para la mayor parte de la sección 6 son los registros de su propio servidor y el código publicado de la automatización.

Si eso no basta, puede auditarnos o designar un auditor independiente con 30 días de preaviso, como máximo una vez al año salvo que una violación o una autoridad de control exija otra cosa. Las auditorías se realizan en horario laboral sin interrumpir a otros clientes. Usted asume el coste salvo que la auditoría detecte un incumplimiento sustancial por nuestra parte.

11. Responsabilidad y ley aplicable

La responsabilidad en virtud de este acuerdo está sujeta a los límites de nuestras condiciones del servicio, salvo que la normativa de protección de datos no permita limitarla.

El artículo 82 del UK GDPR permite al interesado reclamar directamente contra un encargado por los daños causados por un tratamiento que infrinja una obligación del encargado o sus instrucciones lícitas. Nada aquí limita ese derecho ni traslada esa responsabilidad a usted.

Este acuerdo se rige por el derecho de Inglaterra y Gales, cuyos tribunales tienen jurisdicción exclusiva sobre él.

En vigor

Este documento está en vigor desde el 10 de noviembre de 2026.

10 de noviembre de 2026: Actualizado.
5 de septiembre de 2026: Actualizado.
28 de agosto de 2026: Actualizado.
24 de agosto de 2026: Actualizado.