Acuerdo de Encargo de Tratamiento (DPA)
Última actualización: 24 de agosto de 2026
Este documento resume el Acuerdo de Encargo de Tratamiento (Data Processing Addendum) que YelauGroup LLC ofrece a sus clientes empresariales, conforme al artículo 28 del RGPD, para el tratamiento de datos personales de terceros que el cliente introduce en su espacio de trabajo de Popytab. Es un modelo estándar: si su organización necesita firmarlo o solicitar modificaciones, puede dirigirse por correo electrónico a legal@popytab.com.
1. Partes y objeto
Encargado: YelauGroup LLC, operadora de Popytab. Responsable: el cliente empresarial titular del espacio de trabajo. El Encargado trata los datos personales de terceros que el Responsable introduce en la plataforma (por ejemplo, en tarjetas, comentarios o archivos adjuntos) únicamente siguiendo las instrucciones documentadas del Responsable.
2. Obligaciones principales del Encargado
- Tratar los datos únicamente según instrucciones documentadas del Responsable.
- Garantizar la confidencialidad del personal autorizado para tratar los datos.
- Aplicar medidas de seguridad técnicas y organizativas adecuadas al riesgo.
- No recurrir a un nuevo subencargado sin autorización general previa y posibilidad de oposición del Responsable.
- Asistir al Responsable en la atención de derechos de los interesados y, en su caso, notificaciones de brechas de seguridad.
- Eliminar o devolver los datos al finalizar la prestación del servicio.
- Poner a disposición del Responsable la información necesaria para acreditar el cumplimiento de estas obligaciones.
3. Medidas técnicas y organizativas (resumen)
| Medida | Estado |
|---|---|
| Autenticación con hash de contraseña (bcrypt) | Implementada |
| Autorización basada en pertenencia (membership) por consulta | Implementada |
| Limitación de intentos de acceso (rate limiting) con identificador pseudonimizado | Implementada |
| Validación de archivos subidos (tipo, tamaño, firma binaria) | Implementada |
| URLs firmadas de corta duración para archivos almacenados | Implementada |
| Cabeceras de seguridad HTTP (CSP, HSTS, etc.) | Pendiente de implementación |
| Política de retención automatizada para registros de larga duración | Pendiente de implementación |
4. Subencargados
El listado completo y actualizado de subencargados, junto con el estado de verificación de su cobertura contractual, está publicado en la lista de subencargados.
5. Transferencias internacionales
El Encargado y sus subencargados actuales (Supabase, Vercel) están establecidos en Estados Unidos. Esto se refiere al país de constitución de cada empresa, no necesariamente a la región técnica donde se procesan los datos. Para Supabase, la región técnica primaria del proyecto está confirmada (West EU / Ireland, eu-west-1) y su cobertura contractual se considera sustancialmente resuelta: Supabase publica un DPA vigente que incorpora Cláusulas Contractuales Tipo (SCC) cuando resultan aplicables. Para Vercel, la región técnica y la cobertura contractual (DPA/SCC según el plan contratado) continúan pendientes de verificación administrativa. En cualquier caso, al estar el Encargado y sus subencargados establecidos fuera del Espacio Económico Europeo, el tratamiento de datos de interesados ubicados en el EEE conforme a este DPA puede implicar una transferencia o acceso internacional. El estado actualizado de cada subencargado se refleja en la lista de subencargados.
6. Texto completo
El texto completo del DPA, incluidos sus tres anexos (objeto y duración; medidas técnicas y organizativas; subencargados autorizados), está disponible bajo solicitud para su firma por clientes empresariales, escribiendo a legal@popytab.com.