Acuerdo de Tratamiento de Datos (DPA)
Última actualización: 2026-09-06 · Conforme UK GDPR Art. 28
1. Partes
Este DPA forma parte de los Términos de Servicio entre:
- Responsable del tratamiento (Controller): el Cliente (tú, la persona o empresa titular de la cuenta).
- Encargado del tratamiento (Processor): Liberty Dreams LTD (UK Companies House #12724306, VAT GB353810900).
2. Objeto y duración
Liberty Dreams LTD trata datos personales en nombre del Cliente para prestar el servicio TenderWatch. La duración coincide con la del contrato principal (mientras la cuenta esté activa + período legal de retención post-cancelación).
3. Tipo de datos tratados
- Datos de cuenta: email, password (hasheado), nombre, empresa, país, fecha de signup, último login.
- Datos de uso: búsquedas realizadas, búsquedas guardadas, tier activo, logs de acceso.
- Datos de pago: procesados por el sistema de gestión de suscripciones del operador (alojado en la misma infraestructura UK) — Liberty Dreams no almacena números de tarjeta.
4. Finalidades del tratamiento
- Prestar el servicio contratado (búsqueda de licitaciones, guardados, dashboard).
- Cumplir obligaciones legales (facturación, anti-fraude, HMRC).
- Mejorar el servicio (analítica agregada, no individual).
- Comunicar cambios del servicio (release notes, incidentes de seguridad).
5. Obligaciones de Liberty Dreams LTD como Processor
- Tratar los datos solo según instrucciones documentadas del Cliente.
- Garantizar confidencialidad del personal con acceso a datos.
- Implementar medidas técnicas y organizativas apropiadas (UK GDPR Art. 32): cifrado en tránsito (TLS 1.3), cifrado en reposo de contraseñas (bcrypt), acceso por roles, logs auditables, backup cifrado diario.
- Notificar al Cliente sin demora indebida (máximo 72 horas) cualquier violación de seguridad que afecte a sus datos.
- Asistir al Cliente en el cumplimiento de los derechos del interesado (acceso, rectificación, supresión, portabilidad).
- A criterio del Cliente: devolver o borrar los datos al terminar el contrato (salvo período de retención legal).
- Poner a disposición del Cliente toda la información necesaria para demostrar cumplimiento (Art. 28(3)(h)).
6. Sub-encargados (Sub-processors)
Liberty Dreams LTD utiliza los siguientes sub-encargados externos. La infraestructura propia del operador (hosting, gestión de suscripciones e identidad) se aloja en servidores ubicados en el Reino Unido gestionados por un socio tecnológico del operador y NO se considera sub-encargado externo a efectos de este DPA. Cualquier cambio en la lista de sub-encargados externos se notifica con 30 días de antelación:
| Sub-encargado | Propósito | Ubicación datos |
|---|---|---|
| Proveedor LLM primario (DeepSeek) | Resumen bilingüe de licitaciones; entrada pre-redactada vía app/shared/pii_detector.py | Ver sección 7 |
| Proveedor LLM fallback (MiniMax, vía API Anthropic-compatible) | Resumen bilingüe fallback cuando DeepSeek falla; entrada pre-redactada | Ver sección 7 |
| Google LLC (Google Analytics 4, ID G-R10CD3BTL5) | Analítica agregada de páginas (Consent Mode v2, denegado por defecto) | EU (Frankfurt) |
7. Transferencias internacionales
Los datos primarios se almacenan en servidores ubicados en el Reino Unido, gestionados por un socio tecnológico del operador. El proveedor LLM recibe texto pre-redactado por app/shared/pii_detector.py (8 regex: email, UK phone, PLACSP ID, EU phone, honorific names, Spanish ID, UK NI, address) antes de cualquier llamada API. La ubicación del procesamiento y las garantías contractuales del proveedor LLM se documentan en [[Consideraciones Legales]]. La analítica agregada de Google Analytics 4 se sirve desde la UE (Frankfurt) sin identificadores personales.
8. Auditoría
El Cliente puede solicitar una vez al año una auditoría del cumplimiento de este DPA. La solicitud debe hacerse con 30 días de antelación. Liberty Dreams puede responder con documentación (certificados, logs agregados, penetration test reports) sin necesidad de visita física.
9. Responsabilidad
La responsabilidad de cada parte bajo este DPA se limita a los términos del contrato principal (Términos de Servicio), salvo que la ley disponga otra cosa.
10. Ley aplicable
Este DPA se rige por la ley de Inglaterra y Gales, con jurisdicción exclusiva en los tribunales de Londres, conforme al UK GDPR y al Data Protection Act 2018.
11. Contacto del Data Protection Officer
Liberty Dreams LTD · tickets@libertydreams.co.uk · Companies House #12724306 · VAT GB353810900
→ Términos de Servicio · → Política de Privacidad · → Tus Derechos de Datos