Acuerdo de encargo del tratamiento

El Acuerdo de Encargo está vigente desde el 3 de noviembre de 2026.

El Acuerdo de Encargo forma parte de los Términos y condiciones del servicio Faunak. Los términos escritos con mayúscula inicial que no se definen a continuación tienen el significado que se les atribuye en los Términos y condiciones.

§ 1. Partes y celebración del acuerdo

1. Son partes del Acuerdo de Encargo:
   1. el Responsable del Tratamiento - la entidad que determina los fines y medios del tratamiento de los Datos Encomendados, es decir:
      1. respecto de los datos introducidos en el marco de un Criadero - la entidad que gestiona el Criadero: el Usuario que lo creó o el Empresario en cuyo nombre se creó (§ 7 apdo. 4 de los Términos y condiciones),
      2. respecto de los datos de terceros introducidos por un Usuario en el marco de su Cuenta (p. ej. datos de veterinarios, clínicas y laboratorios introducidos en la ficha de un perro) - ese Usuario;
   2. el Encargado del Tratamiento - el Prestador del Servicio, es decir, Ernest Sadowski, empresario individual que ejerce su actividad con la denominación Ernest Sadowski, NIP 8393217403, REGON 386486957, dirección para notificaciones: ul. Giserska 11/176, 02-495 Warszawa, correo electrónico para cuestiones relativas al Acuerdo de Encargo: hello@faunak.com.
2. El Acuerdo de Encargo se celebra en formato electrónico (art. 28, apdo. 9, del RGPD) en el momento de la aceptación de los Términos y condiciones y, respecto de un Criadero, en el momento de su creación. No requiere firma independiente.
3. En las relaciones con el Encargado del Tratamiento, actúa en nombre del Responsable del Tratamiento que gestiona un Criadero el Propietario del Criadero. Las instrucciones y declaraciones del Propietario del Criadero se consideran instrucciones y declaraciones del Responsable del Tratamiento. Las notificaciones previstas en el Acuerdo de Encargo el Encargado del Tratamiento las envía a la dirección de correo electrónico de la Cuenta del Propietario del Criadero y, en el caso del apdo. 1, punto 1, subpunto 2, a la dirección de correo electrónico de la Cuenta del Usuario.
4. El Responsable del Tratamiento que gestiona un Criadero con la participación de otros Usuarios (Administradores del Criadero y Miembros del Criadero) responde de que estos utilicen la Plataforma conforme a sus instrucciones. Las actuaciones de estas personas en el Criadero se consideran realizadas en nombre del Responsable del Tratamiento.
5. Si el tratamiento de datos por el Responsable del Tratamiento tiene carácter exclusivamente personal o doméstico y no está sujeto al RGPD, el Encargado del Tratamiento aplica igualmente a esos datos las reglas y medidas de seguridad establecidas en el Acuerdo de Encargo.

§ 2. Definiciones

1. RGPD - Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos y por el que se deroga la Directiva 95/46/CE.
2. Datos Encomendados - datos personales de terceros que el Responsable del Tratamiento o las personas que actúan en su nombre introducen en la Plataforma o que se generan en la Plataforma como resultado del uso de sus funciones, en el alcance descrito en el § 4.
3. Subencargado - entidad a la que el Encargado del Tratamiento encarga el tratamiento de los Datos Encomendados con el fin de prestar los Servicios.
4. Violación de Seguridad - violación de la seguridad de los datos personales en el sentido del art. 4, punto 12, del RGPD, que afecte a los Datos Encomendados.
5. EEE - Espacio Económico Europeo.

§ 3. Objeto, duración, naturaleza y finalidad del tratamiento

1. El Responsable del Tratamiento encarga al Encargado del Tratamiento el tratamiento de los Datos Encomendados en las condiciones establecidas en el Acuerdo de Encargo, de conformidad con el art. 28 del RGPD.
2. El objeto del tratamiento es el almacenamiento de los Datos Encomendados y la puesta a disposición del Responsable del Tratamiento de las funciones de la Plataforma destinadas a su gestión.
3. La naturaleza del tratamiento comprende: la recogida mediante los formularios de la Plataforma, el registro, la conservación (incluso en copias de seguridad), la organización, la búsqueda, la consulta, la modificación, la visualización por las personas autorizadas por el Responsable del Tratamiento, el envío de mensajes de correo electrónico remitidos por instrucción del Responsable del Tratamiento, la exportación a petición del Responsable del Tratamiento y la supresión.
4. La finalidad del tratamiento es exclusivamente la prestación de los Servicios al Responsable del Tratamiento conforme a los Términos y condiciones, incluidos el alojamiento, el mantenimiento, la protección y la resolución de problemas técnicos de la Plataforma, así como la prestación de soporte técnico.
5. El Encargado del Tratamiento no trata los Datos Encomendados para fines propios, en particular con fines de marketing, analíticos, de elaboración de perfiles, de creación de directorios o bases de datos ni para su venta.
6. El Acuerdo de Encargo está vigente mientras exista la Cuenta o el Criadero en cuyo marco se tratan los Datos Encomendados y, después, durante el plazo necesario para su supresión conforme al § 14.
7. El tratamiento se realiza dentro de las Cuotas derivadas de los Términos y condiciones y, en el caso de los Servicios gratuitos, de forma gratuita.

§ 4. Tipos de datos y categorías de interesados

1. Los Datos Encomendados pueden comprender los siguientes tipos de datos:
   1. contactos del Criadero - nombre, apellidos, dirección de correo electrónico, número de teléfono, direcciones (calle, ciudad, código postal, región, país, observaciones sobre la dirección), perfiles en redes sociales, notas sobre el contacto y la marca interna «lista negra»,
   2. lista de espera - contacto vinculado, preferencias (p. ej. sexo del cachorro, progenitores), estado de la solicitud (p. ej. nueva, verificada, señal abonada) y notas,
   3. reservas - contacto vinculado, cachorro, estado, fechas y motivo de la cancelación de la reserva, conservados como historial de ventas del Criadero,
   4. veterinarios, clínicas y laboratorios - nombres y apellidos o denominaciones introducidos en la profilaxis y las pruebas de los perros,
   5. otros datos de terceros que el Responsable del Tratamiento introduzca en los campos de texto de la Plataforma, p. ej. en las notas.
2. Categorías de interesados: compradores y posibles compradores de cachorros, personas de la lista de espera, otros contactos del Criadero, veterinarios y representantes de clínicas y laboratorios, así como otras personas cuyos datos el Responsable del Tratamiento introduzca en los campos de texto.
3. No son Datos Encomendados los datos que el Prestador del Servicio trata como responsable del tratamiento conforme a la Política de privacidad, en particular los datos de las Cuentas de los Usuarios (incluidos los miembros del Criadero y las personas a las que se ha asignado un rol respecto de un perro, junto con ese rol), los datos de las invitaciones a un Criadero o a un perro (dirección de correo electrónico de la persona invitada, rol y estado de la invitación), los datos de pagos y las facturas, así como los datos de seguridad y de uso de la Plataforma.
4. El tratamiento no debe comprender categorías especiales de datos personales (art. 9 del RGPD) ni datos relativos a condenas e infracciones penales (art. 10 del RGPD). El Responsable del Tratamiento no introduce tales datos en la Plataforma y, en particular, no anota en las notas información sobre la salud de las personas. Los datos sobre la salud de los perros no son datos personales.
5. El Responsable del Tratamiento responde de que la marca «lista negra» y las notas sobre los contactos contengan únicamente información veraz, necesaria y tratada conforme a la ley.

§ 5. Obligaciones y declaraciones del Responsable del Tratamiento

1. El Responsable del Tratamiento declara que dispone de una base jurídica para tratar los Datos Encomendados y para encargar su tratamiento al Encargado del Tratamiento.
2. El Responsable del Tratamiento cumple frente a los interesados las obligaciones de información de los arts. 13 y 14 del RGPD, incluida la de informarles de que utiliza la Plataforma Faunak como herramienta para gestionar los datos.
3. El Responsable del Tratamiento atiende los derechos de los interesados y responde a sus solicitudes, con la ayuda del Encargado del Tratamiento en las condiciones del § 11.
4. El Responsable del Tratamiento utiliza los ajustes de visibilidad y los roles en el Criadero de forma que los Datos Encomendados solo estén disponibles para las personas que deban tener acceso a ellos.

§ 6. Instrucciones documentadas

1. El Encargado del Tratamiento trata los Datos Encomendados únicamente siguiendo instrucciones documentadas del Responsable del Tratamiento, inclusive con respecto a las transferencias de datos a un tercer país, salvo que esté obligado a ello en virtud del Derecho de la Unión Europea o del Estado miembro que se le aplique. En tal caso, el Encargado del Tratamiento informa al Responsable del Tratamiento de esa exigencia legal antes del tratamiento, salvo que tal Derecho lo prohíba por razones importantes de interés público.
2. Son instrucciones documentadas del Responsable del Tratamiento:
   1. los Términos y condiciones y el Acuerdo de Encargo,
   2. el uso de las funciones de la Plataforma por el Responsable del Tratamiento y por las personas que actúan en su nombre, incluidos la introducción, la edición, la puesta en común, el envío de invitaciones y la supresión de datos, así como los ajustes de visibilidad y de roles,
   3. las instrucciones adicionales enviadas por el Responsable del Tratamiento por correo electrónico a la dirección hello@faunak.com, si son conformes con los Términos y condiciones y pueden ejecutarse dentro de la Plataforma.
3. El Encargado del Tratamiento informa sin demora al Responsable del Tratamiento si, en su opinión, una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos. Hasta que se aclare, el Encargado del Tratamiento puede suspender la ejecución de dicha instrucción.

§ 7. Confidencialidad

1. El Encargado del Tratamiento solo permite el acceso a los Datos Encomendados a las personas que han recibido de él una autorización y se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad. Esta obligación persiste también tras la finalización de la colaboración de dichas personas con el Encargado del Tratamiento.
2. El Encargado del Tratamiento y las personas autorizadas por él tienen acceso a los Datos Encomendados únicamente en la medida necesaria para prestar los Servicios, en particular para atender una solicitud o reclamación, solucionar una avería, garantizar la seguridad, tramitar una notificación de contenidos en virtud del § 17 de los Términos y condiciones o cumplir una obligación legal.

§ 8. Seguridad del tratamiento

1. El Encargado del Tratamiento aplica las medidas técnicas y organizativas que garantizan un nivel de seguridad adecuado al riesgo a que se refiere el art. 32 del RGPD. La descripción de las medidas constituye el Anexo n.º 2.
2. El Encargado del Tratamiento revisa periódicamente las medidas de seguridad, al menos una vez al año, y puede modificarlas siempre que el cambio no reduzca el nivel general de protección de los Datos Encomendados. La descripción vigente de las medidas se publica en el Acuerdo de Encargo.
3. El Encargado del Tratamiento lleva un registro de las categorías de actividades de tratamiento efectuadas por cuenta de los Responsables del Tratamiento, cuando así lo exige el art. 30, apdo. 2, del RGPD.

§ 9. Subencargados

1. El Responsable del Tratamiento otorga al Encargado del Tratamiento una autorización general para recurrir a Subencargados. La lista de Subencargados que utilizan los Datos Encomendados en la fecha de celebración del Acuerdo de Encargo constituye el Anexo n.º 1, y el Responsable del Tratamiento acepta las entidades que figuran en ella.
2. El Encargado del Tratamiento solo elige entidades que ofrezcan garantías suficientes de aplicación de medidas técnicas y organizativas apropiadas y celebra con ellas contratos que les imponen obligaciones de protección de datos al menos equivalentes a las del Acuerdo de Encargo.
3. El Encargado del Tratamiento informa al Responsable del Tratamiento por correo electrónico, con al menos 14 días de antelación, de su intención de añadir o sustituir un Subencargado. La notificación indica el nombre de la entidad, el alcance de los servicios, las categorías de datos, el lugar del tratamiento y la base de una eventual transferencia fuera del EEE. Publicar la lista actualizada sin enviar la notificación no es suficiente.
4. El Responsable del Tratamiento puede oponerse al cambio por correo electrónico a la dirección hello@faunak.com en el plazo de 14 días desde la recepción de la notificación, indicando los motivos. La falta de oposición en dicho plazo supone la aceptación del cambio.
5. Tras recibir la oposición, las partes buscan de buena fe una solución, p. ej. aclarando las dudas o aplicando garantías adicionales. Si la oposición no puede resolverse, el Responsable del Tratamiento puede, antes de que se introduzca el cambio, resolver el Contrato de Suscripción y el Acuerdo de Encargo con efecto inmediato, y el Encargado del Tratamiento devuelve la parte proporcional de las Cuotas abonadas por adelantado correspondiente al periodo no utilizado. El Responsable del Tratamiento que utiliza Servicios gratuitos puede, en tal caso, eliminar la Cuenta o el Criadero. Tras la terminación del Acuerdo de Encargo, los Datos Encomendados se devuelven o se suprimen en las condiciones del § 14.
6. Si la sustitución de un Subencargado es urgentemente necesaria por motivos de seguridad de los datos o de continuidad de los Servicios (p. ej. el cese repentino de la prestación de servicios por el proveedor existente), el Encargado del Tratamiento puede realizar el cambio antes e informa de ello sin demora al Responsable del Tratamiento. En tal caso, el Responsable del Tratamiento dispone de las facultades de los apdos. 4 y 5, contadas desde la fecha de recepción de la notificación.
7. El Encargado del Tratamiento responde ante el Responsable del Tratamiento del cumplimiento de las obligaciones de protección de datos por el Subencargado como de sus propios actos (art. 28, apdo. 4, del RGPD).

§ 10. Transferencias de datos fuera del EEE

1. Los Datos Encomendados se almacenan en una base de datos y un almacén de archivos situados en la Unión Europea (Fráncfort del Meno, Alemania).
2. Algunos Subencargados tienen su sede en los Estados Unidos o pueden acceder a los datos desde países fuera del EEE, en particular al gestionar la aplicación y enviar mensajes de correo electrónico (Anexo n.º 1).
3. El Encargado del Tratamiento transfiere los Datos Encomendados fuera del EEE únicamente respetando las condiciones del capítulo V del RGPD (arts. 44-49), en particular sobre la base de una decisión de la Comisión Europea relativa al nivel de protección adecuado (incluido el Marco de Privacidad de Datos UE-EE. UU., Data Privacy Framework, respecto de las entidades certificadas) o de las cláusulas contractuales tipo adoptadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914.
4. Si la decisión que sirve de base para la transferencia se deroga o se anula, el Encargado del Tratamiento garantiza sin demora otra base del capítulo V del RGPD, en particular las cláusulas contractuales tipo, o deja de transferir los datos a la entidad de que se trate.
5. A petición del Responsable del Tratamiento, el Encargado del Tratamiento facilita información sobre las garantías aplicadas a la transferencia.

§ 11. Asistencia en el ejercicio de los derechos de los interesados

1. La Plataforma pone a disposición del Responsable del Tratamiento herramientas que le permiten atender por sí mismo la mayoría de las solicitudes de los interesados, en particular la consulta, la rectificación y la supresión de los Datos Encomendados.
2. Hasta que la Plataforma ofrezca una función de exportación de datos, el Encargado del Tratamiento, a petición del Responsable del Tratamiento enviada a la dirección support@faunak.com (§ 19 apdo. 5 de los Términos y condiciones), le entrega los Datos Encomendados en un formato de uso común y de lectura mecánica, en un plazo que permita al Responsable del Tratamiento cumplir los plazos del RGPD y, a más tardar, en el plazo de 14 días desde la recepción de la petición.
3. Si un interesado dirige una solicitud directamente al Encargado del Tratamiento, este no la responde en cuanto al fondo, sino que la traslada al Responsable del Tratamiento sin demora y, a más tardar, en el plazo de 5 Días hábiles, e informa a esa persona de que su solicitud ha sido trasladada al responsable del tratamiento.
4. A petición del Responsable del Tratamiento, el Encargado del Tratamiento presta asistencia adicional si la solicitud no puede atenderse con las herramientas de la Plataforma.

§ 12. Asistencia en las obligaciones de los arts. 32-36 del RGPD

1. Teniendo en cuenta la naturaleza del tratamiento y la información a su disposición, el Encargado del Tratamiento ayuda al Responsable del Tratamiento a cumplir las obligaciones relativas a la seguridad del tratamiento, la notificación de Violaciones de Seguridad a la autoridad de control y su comunicación a los interesados, la evaluación de impacto relativa a la protección de datos y la consulta previa a la autoridad de control (arts. 32-36 del RGPD).
2. La asistencia consiste, en particular, en facilitar la descripción del tratamiento y de las medidas de seguridad (Anexo n.º 2), responder a las preguntas del Responsable del Tratamiento y transmitir la información sobre una Violación de Seguridad conforme al § 13.
3. La asistencia se presta dentro de las Cuotas. Si el Responsable del Tratamiento que es Empresario solicita una asistencia que exceda sustancialmente del alcance descrito en el Acuerdo de Encargo, las partes pueden acordar previamente el reembolso de los costes razonables.

§ 13. Violaciones de la seguridad de los datos

1. El Encargado del Tratamiento notifica al Responsable del Tratamiento una Violación de Seguridad sin dilación indebida y, a más tardar, en el plazo de 48 horas desde que tenga constancia de ella, por correo electrónico a la dirección indicada en el § 1 apdo. 3.
2. La notificación contiene, en la medida en que se disponga de la información:
   1. la descripción de la naturaleza de la Violación de Seguridad, incluidas, cuando sea posible, las categorías y el número aproximado de interesados afectados, así como las categorías y el número aproximado de registros de datos afectados,
   2. los datos de contacto de la persona de la que puede obtenerse más información,
   3. la descripción de las posibles consecuencias de la Violación de Seguridad,
   4. la descripción de las medidas adoptadas o propuestas para poner remedio a la Violación de Seguridad, incluidas las medidas para mitigar sus posibles efectos negativos.
3. Si no toda la información está disponible en el momento de la notificación, el Encargado del Tratamiento la facilita de manera gradual, sin dilación indebida.
4. El Encargado del Tratamiento adopta sin demora medidas para limitar los efectos de la Violación de Seguridad y evitar incidentes similares, documenta la Violación de Seguridad (circunstancias, efectos y medidas correctoras) y pone esa documentación a disposición del Responsable del Tratamiento.
5. La notificación de la Violación de Seguridad a la autoridad de control y la comunicación a los interesados las realiza el Responsable del Tratamiento. El Encargado del Tratamiento no lo hace en nombre del Responsable del Tratamiento sin su instrucción, salvo que lo exija la ley.

§ 14. Supresión y devolución de los datos

1. El Responsable del Tratamiento puede suprimir en cualquier momento los Datos Encomendados mediante las funciones de la Plataforma.
2. Tras la eliminación del Criadero o de la Cuenta en cuyo marco se tratan los Datos Encomendados, o tras la terminación del Acuerdo de Encargo, el Encargado del Tratamiento suprime los Datos Encomendados de los sistemas en uso en un plazo máximo de 30 días y de las copias de seguridad, mediante su sobrescritura periódica, en un plazo adicional de 30 días.
3. Antes de eliminar el Criadero o la Cuenta, el Responsable del Tratamiento puede solicitar la devolución de los Datos Encomendados en forma de exportación en las condiciones del § 11 apdo. 2. La elección entre la devolución y la supresión corresponde al Responsable del Tratamiento; si el Responsable del Tratamiento no solicita la devolución antes de eliminar el Criadero o la Cuenta, los datos se suprimen.
4. El apdo. 2 no se aplica a los datos cuya conservación exija el Derecho de la Unión Europea o de un Estado miembro. Los datos de pagos y las facturas del Prestador del Servicio no son Datos Encomendados; el Prestador del Servicio los trata como responsable del tratamiento conforme a la Política de privacidad.
5. A petición del Responsable del Tratamiento, el Encargado del Tratamiento confirma por correo electrónico la supresión de los Datos Encomendados.
6. Los contactos, las entradas de la lista de espera y las notas eliminados por el Responsable del Tratamiento durante el uso de la Plataforma se suprimen de forma definitiva de los sistemas en uso a los 30 días de su eliminación y de las copias de seguridad en un plazo adicional de 30 días. De un contacto al que se refiere una reserva (historial de ventas del Criadero) se suprimen todos los datos de la persona y solo se conserva el registro de la reserva.
7. Los perfiles de los perros permanecen en la Plataforma como registros independientes de los que también dependen otros Usuarios (p. ej. pedigríes, historiales de camadas). La eliminación de un perro, de un Criadero o de una Cuenta desvincula al perro del Criadero o de la Cuenta. Los Datos Encomendados relativos a personas físicas vinculados al perro, incluidas las notas sobre el perro, se suprimen conforme a los apartados 2 y 6.

§ 15. Información y auditorías

1. El Encargado del Tratamiento pone a disposición del Responsable del Tratamiento toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD.
2. El Responsable del Tratamiento ejerce su derecho de control, en primer lugar, formulando preguntas y solicitando documentos. El Encargado del Tratamiento responde a las preguntas enviadas a la dirección hello@faunak.com en el plazo de 14 días y facilita la descripción de las medidas de seguridad, la información sobre los Subencargados y los informes o certificados disponibles de los Subencargados.
3. Si la información del apdo. 2 no es suficiente para demostrar la conformidad del tratamiento con el Acuerdo de Encargo, el Responsable del Tratamiento o un auditor independiente autorizado por él puede realizar una auditoría, incluida una inspección, en las siguientes condiciones:
   1. no más de una vez cada 12 meses, salvo que la auditoría esté justificada por una Violación de Seguridad o por un requerimiento de la autoridad de control,
   2. previa notificación al Encargado del Tratamiento con al menos 30 días de antelación, indicando el alcance de la auditoría y, en el caso de una auditoría tras una Violación de Seguridad, con una antelación no inferior a 7 días,
   3. en Días hábiles, en el horario laboral del Encargado del Tratamiento, de forma que no perturbe excesivamente su actividad y, en la medida de lo posible, a distancia,
   4. a cargo del Responsable del Tratamiento,
   5. el auditor se compromete a mantener la confidencialidad de la información obtenida durante la auditoría y no puede ser competidor del Encargado del Tratamiento,
   6. la auditoría no comprende el acceso a los datos de otros clientes del Encargado del Tratamiento ni a la infraestructura de los Subencargados; a este respecto, el Encargado del Tratamiento facilita los informes y certificados de dichas entidades.
4. El Encargado del Tratamiento subsana las deficiencias detectadas en la auditoría en un plazo razonable acordado.

§ 16. Responsabilidad

1. La responsabilidad del Responsable del Tratamiento y del Encargado del Tratamiento frente a los interesados se rige por el art. 82 del RGPD. El Encargado del Tratamiento responde de los daños causados por el tratamiento cuando no haya cumplido las obligaciones que el RGPD impone específicamente a los encargados o haya actuado al margen o en contra de las instrucciones legales del Responsable del Tratamiento.
2. Frente al Responsable del Tratamiento que es Empresario, la responsabilidad del Encargado del Tratamiento derivada del Acuerdo de Encargo está sujeta a las limitaciones establecidas en el § 21 apdos. 6-8 de los Términos y condiciones. Estas limitaciones no se aplican a la responsabilidad frente a los interesados ni a los daños causados de forma dolosa.
3. Frente al Responsable del Tratamiento que es Consumidor o empresario individual con derechos de consumidor, el Encargado del Tratamiento responde conforme a las normas generales.

§ 17. Duración y terminación

1. El Acuerdo de Encargo está vigente durante el periodo indicado en el § 3 apdo. 6 y termina automáticamente en el momento de la eliminación del Criadero o de la Cuenta en cuyo marco se tratan los Datos Encomendados, sin perjuicio de las obligaciones del § 14.
2. El Acuerdo de Encargo no puede resolverse por separado mientras se traten en la Plataforma Datos Encomendados del Responsable del Tratamiento, salvo la resolución en virtud del § 9 apdo. 5.
3. El Responsable del Tratamiento puede resolver el Acuerdo de Encargo junto con el Contrato de Suscripción con efecto inmediato si el Encargado del Tratamiento infringe gravemente el Acuerdo de Encargo o el RGPD y, pese a haber sido requerido, no subsana la infracción en un plazo razonable. En tal caso, el Encargado del Tratamiento devuelve la parte proporcional de las Cuotas abonadas por adelantado correspondiente al periodo no utilizado.

§ 18. Disposiciones finales

1. En las cuestiones relativas al tratamiento de los Datos Encomendados, el Acuerdo de Encargo prevalece sobre los Términos y condiciones. En lo demás, se aplican los Términos y condiciones.
2. Las modificaciones del Acuerdo de Encargo se introducen en las condiciones de modificación de los Términos y condiciones (§ 25 de los Términos y condiciones). Las modificaciones de la lista de Subencargados se introducen en las condiciones del § 9.
3. En lo no regulado se aplican las disposiciones del RGPD, del Código Civil polaco (Kodeks cywilny) y las demás disposiciones del Derecho polaco. La ley aplicable y el tribunal competente se determinan en el § 26 de los Términos y condiciones.
4. El Acuerdo de Encargo está vigente desde el 3 de noviembre de 2026.

Anexo n.º 1 - lista de subencargados

Subencargados de los Datos Encomendados

Entidad	Alcance de los servicios	Categorías de Datos Encomendados	Lugar del tratamiento	Base de la transferencia fuera del EEE
Vercel Inc., EE. UU.	alojamiento de la aplicación web, funciones de servidor, tareas periódicas, registros técnicos	todas las categorías del § 4, en la medida en que se transmiten a través de los servidores de la aplicación; registros técnicos	funciones de servidor en la UE (Fráncfort, región fra1); la red perimetral y los registros también en otras regiones, incluido EE. UU.	decisión de la Comisión relativa al Data Privacy Framework (art. 45 del RGPD), la entidad está certificada, y cláusulas contractuales tipo 2021/914 (art. 46, apdo. 2, letra c), del RGPD)
Supabase Pte. Ltd., Singapur (infraestructura de Amazon Web Services)	base de datos PostgreSQL, almacén de archivos (fotos), copias de seguridad	todas las categorías del § 4	Unión Europea - región de AWS eu-central-1, Fráncfort del Meno, Alemania	datos almacenados en la UE; cláusulas contractuales tipo 2021/914 en cuanto al acceso desde terceros países (soporte y mantenimiento)
Plus Five Five, Inc. (Resend), EE. UU.	envío de mensajes de correo electrónico desde la Plataforma	dirección de correo electrónico del destinatario y contenido del mensaje, en la medida en que contengan Datos Encomendados (p. ej. la dirección de correo electrónico de un contacto del Criadero utilizada por instrucción del Responsable del Tratamiento)	EE. UU.	decisión de la Comisión relativa al Data Privacy Framework (art. 45 del RGPD), la entidad está certificada, y cláusulas contractuales tipo 2021/914 (art. 46, apdo. 2, letra c), del RGPD)
Google Ireland Limited, Irlanda, y Google LLC, EE. UU. (Google Workspace)	correo electrónico de hello@faunak.com y support@faunak.com	Datos Encomendados solo en la medida en que el Responsable del Tratamiento los facilite en la correspondencia (p. ej. en una solicitud de soporte)	UE y EE. UU.	decisión de la Comisión relativa al Data Privacy Framework (art. 45 del RGPD), la entidad está certificada, y cláusulas contractuales tipo 2021/914 (art. 46, apdo. 2, letra c), del RGPD)

Listas de subencargados de nuestros proveedores: Vercel, Supabase, Resend, PostHog, Stripe.

Proveedores que no tratan Datos Encomendados

Los siguientes proveedores colaboran con el Prestador del Servicio, pero no reciben Datos Encomendados. La información sobre ellos figura en la Política de privacidad.

Entidad	Función	Observaciones
PostHog Inc., EE. UU. (nube de la UE)	analítica y monitorización de errores	se refiere únicamente a los Usuarios que han dado su consentimiento y a la información técnica sobre errores del servidor; los datos de los contactos del Criadero, de la lista de espera y de las reservas no se envían a PostHog (los eventos contienen únicamente identificadores técnicos y valores de listas cerradas, p. ej. el motivo de la cancelación de una reserva)
Stripe Payments Europe, Limited, Irlanda	gestión de los pagos de la Suscripción, impuestos, facturas, Portal del cliente	trata los datos de los Contratantes como proveedor de pagos del Prestador del Servicio y como responsable del tratamiento independiente en lo que respecta a la prevención del fraude y a las obligaciones legales; no es Subencargado de los Datos Encomendados
Google Ireland Limited, Irlanda, y Google LLC, EE. UU. (inicio de sesión con Google)	autenticación de los Usuarios que eligen iniciar sesión con Google	se refiere únicamente a los datos del Usuario que inicia sesión; no comprende Datos Encomendados

Anexo n.º 2 - medidas técnicas y organizativas

Ubicación e infraestructura

1. La base de datos y el almacén de archivos se mantienen en la Unión Europea (AWS eu-central-1, Fráncfort del Meno) en el marco del servicio Supabase.
2. La aplicación está alojada en la infraestructura de Vercel. Los proveedores de infraestructura garantizan la seguridad física de los centros de datos.

Cifrado

1. Toda la comunicación entre el dispositivo del Usuario y la Plataforma, así como entre los componentes de la Plataforma, se cifra con el protocolo TLS (HTTPS).
2. Los datos de la base de datos y del almacén de archivos se cifran en reposo por el proveedor de infraestructura.
3. Las contraseñas de los Usuarios se almacenan únicamente en forma de hash calculado con un algoritmo destinado a contraseñas. El Prestador del Servicio no conoce las contraseñas de los Usuarios.
4. El Prestador del Servicio no almacena datos de tarjetas de pago; los trata Stripe.

Control de acceso en la Plataforma

1. El acceso a la Cuenta requiere autenticación (contraseña con dirección de correo electrónico confirmada, clave de acceso passkey o inicio de sesión con Google). El Usuario puede activar la autenticación de dos factores (TOTP con códigos de respaldo).
2. El Usuario ve las sesiones activas (dirección IP, navegador) y puede cerrarlas.
3. Los datos de cada Criadero están separados lógicamente de los datos de los demás Criaderos; en cada acceso, la aplicación comprueba la pertenencia del Usuario al Criadero y su rol (Propietario del Criadero, Administrador del Criadero, Miembro del Criadero).
4. Los datos de los perros se ponen a disposición de otros Usuarios únicamente dentro de los ajustes de visibilidad y de los roles respecto del perro.
5. Se aplican límites al número de solicitudes y de intentos de inicio de sesión desde una misma dirección IP, así como el bloqueo del registro con dominios de correo electrónico desechables.
6. Los archivos (fotos) son accesibles en una dirección URL sin iniciar sesión para quien conozca la dirección; el Responsable del Tratamiento no debe incluir Datos Encomendados en las fotos.

Acceso del Prestador del Servicio

1. Solo tienen acceso administrativo a la infraestructura y a las bases de datos el Prestador del Servicio y las personas autorizadas por él y sujetas a confidencialidad, en la medida necesaria para el desempeño de sus tareas.
2. Las cuentas administrativas en los proveedores de infraestructura están protegidas con contraseñas robustas y autenticación de dos factores.
3. El acceso a la Cuenta del Usuario en modo de soporte (suplantación) solo es posible en los casos indicados en el § 6 apdo. 8 de los Términos y condiciones.
4. Las claves de acceso y los secretos de la aplicación se almacenan en las variables de entorno del proveedor de alojamiento y no en el código fuente.

Disponibilidad y copias de seguridad

1. Las copias de seguridad de la base de datos las realiza automáticamente el proveedor de la base de datos y se almacenan en la Unión Europea.
2. Las copias de seguridad se sobrescriben periódicamente, lo que permite suprimir de ellas los datos en los plazos del § 14.
3. El Prestador del Servicio supervisa el funcionamiento de la Plataforma y los errores del servidor para detectar averías con rapidez.

Desarrollo y mantenimiento

1. Los cambios en la aplicación pasan por un repositorio de código con control de versiones y se despliegan de forma reproducible.
2. Las dependencias del software se actualizan periódicamente, en particular cuando se detecta una vulnerabilidad.
3. No se utilizan Datos Encomendados de producción para pruebas ni para desarrollo.

Organización

1. El Prestador del Servicio documenta las Violaciones de Seguridad y aplica el procedimiento de notificación de Violaciones de Seguridad descrito en el § 13.
2. Las medidas de seguridad se revisan al menos una vez al año y después de cada Violación de Seguridad importante o de cada cambio de Subencargados.
3. Antes de encargar el tratamiento de datos a un nuevo proveedor, el Prestador del Servicio comprueba sus garantías de protección de datos, su contrato de encargo del tratamiento y la base de la transferencia.