Acuerdo de Tratamiento de Datos (DPA)
Última actualización: 8 de julio de 2026
1. Marco
Este Acuerdo de Tratamiento de Datos forma parte de los Términos de Servicio y regula el tratamiento de datos personales por MALLA Quant (encargado; operado actualmente por su fundador como persona física) por cuenta del cliente (responsable), conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).
2. Objeto, duración y naturaleza
El encargado tratará los datos contenidos en los ficheros subidos por el cliente con la única finalidad de generar los análisis solicitados, durante la vigencia del acceso concedido al Servicio. La naturaleza del tratamiento es la lectura en memoria, el cálculo y la generación de informes; el fichero subido no se conserva como tal (véase la cláusula 6). El tipo de datos son datos financieros de compañías y, en su caso, datos identificativos de personas vinculadas.
3. Obligaciones del encargado
Tratar los datos solo según instrucciones documentadas del responsable; garantizar la confidencialidad del personal autorizado; aplicar las medidas de seguridad del art. 32 RGPD; asistir al responsable en el ejercicio de derechos y en las brechas de seguridad; y suprimir o devolver los datos al finalizar la prestación.
4. Subencargados
El responsable autoriza con carácter general el recurso a subencargados, comprometiéndose el encargado a imponerles las mismas obligaciones de protección de datos y a informar de cualquier cambio con antelación suficiente para permitir la oposición. Subencargados actuales: (a) Render (Render Services, Inc., EE. UU.) — alojamiento de la plataforma en su región de Fráncfort (UE); es el único que aloja las sesiones de análisis y la base de datos; (b) Cloudflare, Inc. (EE. UU.) — dominio, DNS y enrutado del correo entrante; (c) Google LLC (EE. UU., Gmail) — envío de correo saliente (invitaciones y notificaciones; no accede a las sesiones de análisis). No hay proveedor de pagos activo ni subencargados de IA.
5. Residencia y transferencias internacionales
Las sesiones de análisis y la base de datos se alojan en la Unión Europea (región de Fráncfort del proveedor de alojamiento). Los subencargados indicados son entidades estadounidenses, por lo que pueden producirse transferencias internacionales limitadas (p. ej. datos de correo o metadatos de red); dichas transferencias se amparan en las garantías del Capítulo V del RGPD, en particular las Cláusulas Contractuales Tipo incorporadas en los acuerdos de tratamiento de cada proveedor.
6. Borrado
Conforme al artículo 28.3.g) del RGPD, la supresión se articula en tres niveles. Primero, los ficheros subidos no se almacenan como fichero: se procesan en memoria durante el análisis y de ellos solo se conserva su huella SHA-256. Segundo, las sesiones de análisis completas, que incluyen las cuentas financieras desglosadas de la compañía objetivo, se alojan en la Unión Europea (véase la cláusula 5) y se purgan automáticamente tras el periodo de retención configurado (actualmente 24 horas por defecto); si el Servicio se opera en modo efímero, se borran además al cerrar sesión o tras la exportación del informe. Tercero, el resumen de métricas derivadas por análisis (puntuaciones, ratios e indicadores de cabecera) que sustenta el historial y la comparación se conserva mientras dure la relación con el responsable o la cuenta del usuario, y se suprime al terminar dicha relación, salvo obligación legal de conservación. El responsable puede solicitar en cualquier momento el borrado anticipado en support@mallaquant.com.