1Partes y funciones
Este Acuerdo de encargo de tratamiento ("DPA") se celebra entre:
- Mostly Tiny Ltd, sociedad registrada en Inglaterra y Gales, operadora del servicio MostlySign, que actúa como encargada del tratamiento; y
- el cliente, titular de la cuenta del plan Business, que actúa como responsable del tratamiento de los datos personales tratados a través de MostlySign.
El responsable determina los fines y los medios del tratamiento de los datos personales contenidos en los documentos que envía a firma. Mostly Tiny Ltd trata esos datos únicamente por cuenta del responsable, para prestar el servicio MostlySign. Cuando los términos estén definidos en el RGPD del Reino Unido / RGPD de la UE (como "datos personales", "tratamiento", "interesado", "subencargado"), tienen aquí esos mismos significados.
2Objeto y duración
El objeto del tratamiento es la prestación al responsable del servicio de firma electrónica MostlySign. El tratamiento dura el periodo de la suscripción del responsable y el limitado periodo de conservación posterior descrito en la sección 12. Este DPA permanece en vigor mientras Mostly Tiny Ltd trate datos personales por cuenta del responsable.
3Naturaleza y finalidad del tratamiento
La finalidad es el tratamiento de documentos de firma electrónica: recibir del responsable los documentos y los datos de los destinatarios, enviar las solicitudes de firma, registrar el rastro de auditoría, aplicar el sello PAdES de la plataforma y la marca de tiempo de confianza, y almacenar los documentos completados para que el responsable y sus firmantes puedan recuperarlos. Mostly Tiny Ltd no utiliza los datos personales para ningún fin propio, y no los vende ni los usa para entrenar modelos de IA.
4Tipos de datos personales y categorías de interesados
Tipos de datos personales
- Nombres y direcciones de correo electrónico de firmantes y destinatarios;
- Direcciones IP y marcas de tiempo de acceso registradas en el rastro de auditoría;
- imágenes de firma (dibujadas o escritas) y texto de firma escrito;
- el contenido de los documentos que el responsable sube para firma, que pueden contener a su vez datos personales elegidos por el responsable;
- datos de contacto y de facturación del titular de la cuenta para los propios usuarios del responsable.
Categorías de interesados
- los firmantes y destinatarios del responsable (las personas invitadas a ver o firmar documentos);
- los propios usuarios y administradores de la cuenta del responsable;
- cualquier persona cuyos datos personales el responsable incluya en el contenido de un documento.
5Instrucciones del responsable
Mostly Tiny Ltd trata los datos personales únicamente según las instrucciones documentadas del responsable. El responsable da sus instrucciones mediante la configuración y el uso del servicio, mediante este DPA y mediante los términos de servicio aplicables. Mostly Tiny Ltd informará al responsable si, en su opinión, una instrucción infringe el RGPD del Reino Unido / RGPD de la UE u otra normativa de protección de datos, aunque no está obligada a prestar asesoramiento jurídico. Si la ley obliga a Mostly Tiny Ltd a tratar datos personales más allá de las instrucciones del responsable, le informará de ese requisito legal antes del tratamiento, salvo que la ley se lo prohíba.
6Confidencialidad
Mostly Tiny Ltd garantiza que las personas autorizadas para tratar los datos personales estén sujetas a un deber adecuado de confidencialidad, ya sea contractual o legal. El acceso a los datos personales del responsable se limita al personal que lo necesita para operar, dar soporte y proteger el servicio.
7Medidas de seguridad
Mostly Tiny Ltd aplica medidas técnicas y organizativas adecuadas para proteger los datos personales frente a la destrucción, pérdida, alteración, divulgación o acceso accidentales o ilícitos (artículo 32). Entre ellas:
- Cifrado en tránsito: todas las conexiones al servicio usan TLS.
- Cifrado en reposo: los documentos y los registros de la base de datos se almacenan cifrados en reposo en la infraestructura subyacente de Google Cloud / Firebase.
- Controles de acceso: acceso con privilegios mínimos para el personal, acceso autenticado para los usuarios de la cuenta y alcance de acceso por documento para que los firmantes vean solo aquello a lo que se les invita.
- El sello PAdES y el rastro de auditoría: cada documento completado se sella con una firma digital PAdES basada en estándares y una marca de tiempo RFC 3161, y lleva un rastro de auditoría que evidencia cualquier manipulación. Cualquier cambio posterior en los bytes rompe el sello, de modo que la integridad es verificable con independencia de Mostly Tiny Ltd.
- Segregación y alojamiento regional: la computación, la base de datos y el almacenamiento de documentos se ejecutan en la región europe-west2 (Londres) de Google Cloud; el inicio de sesión (Firebase Authentication) se ejecuta en Estados Unidos (véase la sección 9).
8Subencargados
El responsable autoriza a Mostly Tiny Ltd a contratar a los subencargados indicados a continuación para prestar el servicio. Cada uno está sujeto a condiciones de protección de datos no menos protectoras que este DPA. Mostly Tiny Ltd sigue siendo responsable ante el responsable del desempeño de sus subencargados.
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Google Cloud / Firebase | Alojamiento de la aplicación, base de datos, almacenamiento de documentos e inicio de sesión | Reino Unido — europe-west2 (Londres); alojamiento del sitio web: red global de Google; inicio de sesión (Firebase Authentication): EE. UU. |
| Stripe | Pagos de suscripción y facturación (solo datos del titular de la cuenta) | UE / EE. UU. (CCT) |
| Resend | Envío de correo transaccional (invitaciones de firma y notificaciones) | EE. UU. (CCT) |
Mostly Tiny Ltd avisará al responsable con una antelación razonable de cualquier incorporación o sustitución prevista de un subencargado, dándole la oportunidad de oponerse por motivos razonables de protección de datos.
9Transferencias internacionales
Los documentos, los registros de auditoría y la base de datos de MostlySign se alojan por defecto en el Reino Unido (Londres, europe-west2). El inicio de sesión utiliza Firebase Authentication, que Google ejecuta únicamente en Estados Unidos, y la cuenta de Mostly Tiny del titular de la cuenta (nombre y dirección de correo electrónico) la conserva Mostly Tiny ID, cuya base de datos está en Estados Unidos. Las transferencias a Google LLC en Estados Unidos se basan en la Extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU. (EU-US Data Privacy Framework) y, para los datos sujetos al RGPD de la UE, en el Marco de Privacidad de Datos UE-EE. UU., a ambos de los cuales está adherida Google LLC. Los datos personales sujetos al RGPD de la UE llegan a nuestros servidores en el Reino Unido en virtud de la decisión de adecuación de la Comisión Europea para el Reino Unido (Decisión de Ejecución (UE) 2021/1772, modificada por la Decisión de Ejecución (UE) 2025/2574). Cuando otro subencargado trate datos personales fuera del Reino Unido / EEE (por ejemplo, el correo transaccional o los pagos), esas transferencias se realizan con una garantía adecuada, en el caso habitual las cláusulas contractuales tipo (CCT) de la Comisión Europea y el Anexo del Reino Unido sobre transferencias internacionales de datos, junto con las medidas complementarias que sean necesarias. Por lo demás, Mostly Tiny Ltd no transfiere datos personales del responsable fuera del Reino Unido / EEE.
10Asistencia en los derechos de los interesados
Teniendo en cuenta la naturaleza del tratamiento, Mostly Tiny Ltd asiste al responsable, mediante medidas técnicas y organizativas adecuadas y en la medida de lo razonablemente posible, en el cumplimiento de su obligación de responder a las solicitudes de los interesados que ejercen sus derechos (acceso, rectificación, supresión, limitación, portabilidad y oposición). Gran parte de esto puede hacerlo el responsable directamente desde el servicio; para lo que no pueda, Mostly Tiny Ltd ayudará si se lo pide. Si un interesado contacta directamente con Mostly Tiny Ltd sobre datos del responsable, Mostly Tiny Ltd lo remitirá al responsable.
11Notificación de brechas
Mostly Tiny Ltd notificará al responsable sin dilación indebida tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del responsable, y facilitará la información razonablemente disponible para ayudarle a cumplir sus propias obligaciones de notificación a las autoridades de control y a los interesados. Mostly Tiny Ltd también asiste al responsable, cuando proceda, en las evaluaciones de impacto relativas a la protección de datos y en la consulta previa (artículos 35 y 36).
12Supresión o devolución al terminar
Al terminar el servicio, y a elección del responsable, Mostly Tiny Ltd suprimirá o devolverá los datos personales del responsable y suprimirá las copias existentes, salvo que la ley exija su conservación. Los documentos completados y sellados siguen disponibles para su exportación hasta el final del periodo de conservación; después se eliminan de los sistemas activos. Las copias de seguridad rutinarias se renuevan según su calendario habitual.
13Derechos de auditoría
Mostly Tiny Ltd pone a disposición del responsable la información razonablemente necesaria para demostrar el cumplimiento del artículo 28, y permite y contribuye a la realización de auditorías, incluidas inspecciones, por parte del responsable o de un auditor autorizado por este. En primera instancia esto se satisface con la documentación y la información que Mostly Tiny Ltd facilita previa petición; las auditorías in situ, cuando sean realmente necesarias, se organizan con un preaviso razonable, en horario laboral y sin una interrupción injustificada del servicio ni de otros clientes.
14Responsabilidad
La responsabilidad de cada parte derivada de este DPA o relacionada con él está sujeta a las limitaciones y exclusiones de responsabilidad establecidas en el acuerdo entre las partes (los términos de servicio de MostlySign). Nada en este DPA limita la responsabilidad de ninguna de las partes cuando legalmente no pueda limitarse, y cada parte sigue siendo responsable de sus propias obligaciones de cumplimiento conforme a la normativa de protección de datos aplicable.
15Disposiciones generales
Si hay un conflicto entre este DPA y los términos de servicio de MostlySign en materia de tratamiento de datos personales, prevalece este DPA. Si alguna disposición resulta inaplicable, el resto sigue en vigor. Este DPA se rige por la legislación de Inglaterra y Gales, de acuerdo con el acuerdo subyacente.