Acuerdo de tratamiento de datos dpa-2026-10-29-v7 Dustless | eenmanszaak | Stelhout 5, 3991 PD Houten, NL | KVK 97524549 | VAT NL005275384B13 Partes y alcance El cliente identificado en el justificante es responsable de los datos empresariales y del personal; Dustless, empresa individual, Stelhout 5, 3991 PD Houten, KVK 97524549, contact@dustless.nl, es encargado. Incluye pruebas gratuitas y dura mientras se traten los datos. Dustless es responsable independiente de seguridad de cuentas, facturación y registros legales propios; véase la política de privacidad. Otros servicios no se incluyen automáticamente. Instrucciones y responsabilidad Dustless actúa según instrucciones documentadas, incluidos ajustes permitidos, salvo obligación legal, con aviso previo si se permite. Avisa de inmediato ante instrucciones presuntamente ilícitas y suspende solo ese tratamiento. El cliente determina base jurídica, información, convenio y roles. Se mantienen las obligaciones propias de RGPD, seguridad y responsabilidad legal de Dustless. Anexo A: tratamiento Finalidad y operaciones: almacenamiento, organización, visualización, cambios, avisos, exportación y eliminación de módulos elegidos. Personas: empleados, administradores, contactos de clientes/ubicaciones y proveedores. Datos: identidad y contacto laboral, roles, contratos y convenios, planificación, disponibilidad, permiso sin motivos médicos, horas y revisiones, presupuestos, ubicaciones, materiales, notas, documentos permitidos e historial. No incluir expedientes médicos, BSN, copias de identidad, datos penales o sensibles. Sin publicidad, venta de datos ni entrenamiento de IA. Anexo B: seguridad y confidencialidad Acceso necesario solo para personas instruidas y sujetas a confidencialidad. Medidas: HTTPS, separación de empresas, controles del servidor, privilegio mínimo, hashes, MFA mediante aplicación de autenticación (obligatoria para todos los usuarios del portal y administradores del sitio, opcional para cuentas de cliente normales), validación, descargas privadas, integridad y copias coherentes. Revisión periódica y tras incidentes. Sin certificación ISO, garantía antivirus ni afirmación de cifrado de todo almacenamiento/USB. Las nuevas copias propias de datos se guardan solo en una Kingston conectada, desbloqueada y con cifrado verificado. El ordenador conserva las referencias técnicas de recuperación necesarias; las copias antiguas requieren revisión aparte. GitHub privado solo almacena código fuente seleccionado, sin bases de datos ni datos del personal. Debe acreditarse el control de acceso y borrado en cada ubicación antes del uso por clientes. Acuerdos de alojamiento existentes mijn.host B.V., Pietersbergweg 291, 1105 BM Amsterdam, Países Bajos; privacy@mijn.host. La base del alojamiento son los acuerdos de tratamiento y subencargo con anexos de octubre de 2026 aceptados por Dustless. Para los datos del cliente Dustless es encargado y mijn.host subencargado; Dustless es responsable separado de sus propias cuentas y administración fiscal. La confirmación de 29 de octubre de 2026 concreta alojamiento, SMTP, recuperación y soporte. La aceptación no activa pagos, suscripciones ni módulos adicionales. Anexo C: subencargados y transferencias Subencargado directo: mijn.host B.V. Para h47: Voxility GmbH, Messeturm, Friedrich-Ebert-Anlage 49, 60308 Frankfurt am Main, Alemania (alojamiento en la UE); Leaseweb Netherlands B.V., Hessenbergweg 95, 1101 CX Amsterdam (copias en Países Bajos). mijn.host opera aplicación, base de datos, SMTP y seguridad, sin otro proveedor SMTP externo. Soporte de tickets con IA: Anthropic, PBC, 548 Market Street, PMB 90375, San Francisco CA 94104, EE. UU. (Claude), y Google Cloud EMEA Limited, Velasco, Clanwilliam Place, Dublin 2, Irlanda (Gemini); transferencias a EE. UU. mediante CCT y artículo 10 de los acuerdos. Pueden tratarse tickets, contactos y contexto técnico necesario depurado; no aportar expedientes de personal, volcados de bases, secretos ni enlaces de acceso. No se garantiza soporte exclusivamente en el EEE ni ZDR. Identidad, función y contacto: https://mijn.host/trust/subverwerkers y privacy@mijn.host. Otros proveedores de alojamiento, Microsoft365 o dominios no reciben automáticamente datos del portal. Dustless informa directamente antes de cambios con oposición real, alternativa o terminación antes del uso. El host avisa con al menos 14 días mediante su panel; Dustless revisa diariamente y transmite sin demora indebida. No se garantizan 14 días completos para el cliente. El acceso Google/Microsoft elegido y los pagos Stripe tienen funciones separadas. Asistencia, incidentes y auditoría Dustless ayuda con derechos, seguridad, EIPD y consultas según el tratamiento y la información. Remite solicitudes directas sin demora, sin decidir por el cliente. Notifica brechas al contacto sin dilación indebida, si es posible en 24 horas desde que tenga conocimiento, con actualizaciones. El cliente evalúa la notificación legal de 72 horas. Dustless aporta información y permite auditorías/inspecciones necesarias protegiendo a otros clientes y la seguridad. Plazos o costes no impedirán derechos legales ni revisiones urgentes. Anexo D: cambio y exportación Solo el administrador principal solicita exportación completa o finalización con nueva autenticación. Si no es posible: contact@dustless.nl, verificando representación. No se exige un nuevo acuerdo para ejercer derechos existentes. Cambio de proveedor/infraestructura propia: sin preaviso adicional, transición sin demora en 30 días naturales desde la solicitud, con continuidad, asistencia y seguridad. Solo excepciones técnicas legales justificadas a tiempo; extensión a petición del cliente. Después, al menos 30 días naturales para recuperar datos. Sin tasa de exportación o cambio. Cancelación ordinaria y pagos pendientes son independientes, con prioridad del derecho imperativo. Formato y límites de exportación Formato de exportación: TAR.GZ privado con JSON/NDJSON UTF-8 (un objeto por línea), diccionario, relaciones, fechas/zona y originales con nombre, tipo y SHA256. Solo administrador principal tras autenticarse. Datos propios e historial pertinente de módulos presentes; sin otras empresas, direcciones privadas, carritos, hashes, sesiones, tokens, secretos OAuth/MFA ni enlaces de pago. Contactos aportados en solicitudes a esta empresa incluidos. Sin perfiles privados de actores externos. Relaciones inseguras, corrupción o esquema sin revisar bloquean todo. Límite 512 MiB, 250.000 registros o 20.000 archivos; mayor transferencia por contact@dustless.nl sin recortes. CSV de horas separado. Sin garantía de importación universal. Verificar el archivo guardado antes de confirmar entrega. Devolución, borrado y conservación El cliente elige devolución seguida de borrado o borrado sin devolución, modificable antes de ejecutar. Tras el plazo acordado de recuperación se borran datos operativos y copias sin dilación; mínimo 30 días naturales de recuperación al cambiar. No existe obligación general de conservar expedientes/copias 90 días más ni indefinidamente. Solo registros legalmente exigidos quedan separados, restringidos y con base y fin. Dustless conserva sus registros fiscales básicos normalmente siete años, más en excepciones legales; no justifica guardar todos los datos laborales. El cliente conserva su responsabilidad de archivo y exportación. Cuentas compartidas y otros servicios no se borran automáticamente. Copias y prueba de ejecución Dustless borra por ubicación y emplea un registro independiente para impedir la reactivación al restaurar. Las copias del alojamiento caducan por rotación: Hosting Starter tiene 30 días de retención activa confirmados; el acuerdo prevé hasta 90 días para otras copias/archivos salvo plazo menor documentado. No se promete borrado selectivo inmediato de instantáneas existentes. Las copias restantes quedan restringidas y fuera del servicio ordinario; antes de reabrir tras restaurar se aplica el registro vigente. Cada terminación documenta inventario, entrega/comprobación del cliente, plazo de descarga, excepciones legales/fechas, borrado por ubicación, copias restantes y rotación prevista. Bloqueo o borrado operativo no prueban la desaparición de todas las copias. Cierre solo con prueba adecuada; el acuerdo no inicia tareas de borrado ni copia. Prioridad y cambios El acuerdo/anexos prevalece ante cláusulas contradictorias de privacidad. Rige el texto neerlandés y derecho imperativo NL/UE. Sin cambios retroactivos: nueva versión y aceptación separada con empresa, idioma, fecha e integridad. No se inventan aceptaciones previas. Devolución/borrado, confidencialidad y control subsisten hasta finalizar. Ejecución y estado El flujo registra por separado recepción y finalización de la transferencia. En un traslado, al menos 30 días naturales de recuperación comienzan tras la finalización confirmada; los datos quedan solo para recuperación. La eliminación expresa sin devolución es otra instrucción, sin recepción ficticia. El administrador principal vuelve a confirmar la eliminación con contraseña y doble factor. Solo se elimina el contexto operativo de la propia empresa. El fin del abono y la liquidación fiscal concreta se verifican por separado; una deuda no justifica conservar todos los expedientes de personal. Los registros fiscales propios de Dustless parten de una fecha real verificada y normalmente siete años; cualquier plazo legal especial mayor requiere revisión separada. El vencimiento exige revisión y tramitación, no extensión indefinida. No se eliminan automáticamente cuentas personales ni otros servicios. Un registro independiente protegido contiene solo referencias, huellas, fechas y estados de copias necesarios, sin documentos de personal. Se necesita mientras una restauración pueda reactivar datos; después estas pruebas deben eliminarse o anonimizarse salvo base propia concreta. La eliminación operativa no prueba la eliminación de todas las copias. El cierre sigue pendiente hasta verificar cada ubicación.