Anexo de proveedor TIC y tratamiento de datos
Versión 1.0 — 31 de agosto de 2026
El presente anexo se aplica a los clientes que son responsables del tratamiento del contenido de su registro, así como a las entidades financieras sujetas al Reglamento (UE) 2022/2554 (DORA). Cubre las cláusulas exigidas por el artículo 28, apartado 3, del RGPD y por el artículo 30 de DORA. En caso de contradicción con las condiciones generales, prevalece el presente anexo.
Preámbulo — dos funciones, no una
Obligia interviene con dos condiciones distintas, y esa diferencia determina quién notifica a quién.
- Responsable del tratamiento para las cuentas de usuario, los registros de autenticación y la medición de audiencia. Obligia determina los fines y notifica directamente a la autoridad de control.
- Encargado del tratamiento para el contenido de su registro: proveedores, contratos, funciones, identificadores. Usted determina los fines; Obligia actúa siguiendo sus instrucciones y le alerta en lugar de notificar a la autoridad en su lugar.
El contenido del registro incluye datos personales: el modelo de datos de las normas técnicas prevé person_type en B_05.01, que distingue explícitamente una persona jurídica de una persona física. Un proveedor TIC puede ser un empresario individual.
Parte I — Tratamiento de datos personales (RGPD art. 28)
1. Objeto, duración, naturaleza y finalidad
Obligia trata, por cuenta de usted, los datos personales contenidos en su registro de información, con la única finalidad de permitir la introducción, validación, conservación y exportación de dicho registro en el formato exigido por las normas técnicas (UE) 2024/2956. El tratamiento dura lo que dure la suscripción, más los 30 días de disponibilidad de la exportación previstos en el artículo 8.
Tipos de datos: nombres e identificadores de proveedores TIC (LEI, EUID, códigos nacionales), incluido, en su caso, el nombre de una persona física que ejerce en nombre propio; datos de contacto profesional introducidos en campos libres.
Categorías de interesados: los proveedores TIC que son personas físicas y las personas designadas como contacto en un registro.
No se trata ningún dato comprendido en los artículos 9 o 10 del RGPD. Usted se compromete a no introducir ninguno.
2. Instrucciones documentadas art. 28, ap. 3, letra a)
Obligia solo trata los datos siguiendo sus instrucciones documentadas. El presente anexo, su uso del servicio y la documentación publicada constituyen dichas instrucciones. No se produce ninguna transferencia fuera de la Unión Europea. Si el derecho de la Unión o de un Estado miembro exigiera un tratamiento más allá de estas instrucciones, se le informaría antes del tratamiento, salvo que dicha información esté legalmente prohibida.
3. Confidencialidad art. 28, ap. 3, letra b)
Las personas autorizadas a tratar los datos están sujetas a una obligación de confidencialidad. Actualmente una sola persona dispone de acceso de administración; toda incorporación irá precedida de un compromiso escrito de confidencialidad antes de conceder el acceso.
4. Medidas de seguridad art. 28, ap. 3, letra c), art. 32
- Aislamiento de cliente en dos capas: filtrado en la aplicación en cada petición y políticas de seguridad a nivel de fila de PostgreSQL, que deniegan por defecto;
- Cifrado en tránsito (TLS) y en reposo; secretos del segundo factor cifrados con una clave distinta de la clave de firma;
- Contraseñas procesadas con argon2id; segundo factor obligatorio para toda administración de la plataforma;
- Registro de auditoría de las acciones sensibles, conservado 36 meses;
- Copia de seguridad diaria cifrada (AES-256), con restauración ensayada y verificada;
- Purga automática de los datos al término de los plazos de conservación publicados;
- Negativa a arrancar bajo una configuración de producción insegura.
El back-office del operador no da acceso ni al contenido de los registros ni a los datos que contienen: solo expone agregados y metadatos. Esta propiedad está garantizada por pruebas automatizadas.
5. Subencargados art. 28, ap. 2, art. 28, ap. 3, letra d)
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| IONOS SARL | Alojamiento | Unión Europea (España) |
| Sendinblue SAS (Brevo) | Correo electrónico transaccional | Unión Europea (Francia) |
| Stripe Payments Europe, Ltd. | Procesamiento de pagos | Unión Europea (Irlanda) |
Cada subencargado está sujeto a obligaciones al menos equivalentes. Toda incorporación o sustitución se le notifica con 30 días de antelación, plazo durante el cual puede oponerse y, a falta de acuerdo, resolver sin penalización.
6. Asistencia en el ejercicio de los derechos de los interesados art. 28, ap. 3, letra e)
El servicio le permite responder usted mismo, sin demora y sin recurrir a Obligia: acceso y portabilidad mediante la exportación completa del registro en el formato regulatorio y una exportación JSON estructurada de la ficha de la cuenta; supresión mediante la eliminación inmediata y en cascada de la cuenta; rectificación mediante la edición directa. Para cualquier solicitud que estas funciones no cubran, Obligia le asiste en un plazo de 5 días hábiles.
7. Asistencia en virtud de los artículos 32 a 36 art. 28, ap. 3, letra f)
Obligia pone a disposición, previa solicitud, su registro de actividades de tratamiento, su análisis de riesgos, su procedimiento de notificación de incidentes y los elementos necesarios para una evaluación de impacto relativa a la protección de datos.
En caso de violación que afecte a su registro, Obligia —en calidad de encargado del tratamiento— le alerta sin dilación indebida, facilitando los seis elementos del artículo 33, apartado 3. Obligia no notifica a la autoridad de control en su lugar: esa obligación corresponde al responsable del tratamiento.
8. Devolución o supresión al término del servicio art. 28, ap. 3, letra g)
Usted elige entre la devolución y la supresión. A falta de elección expresada en los 30 días siguientes al fin de la suscripción, los datos se suprimen. La devolución es autoservicio en cualquier momento, incluidos esos 30 días, en el formato regulatorio xBRL-CSV, utilizable sin Obligia.
9. Información y auditoría art. 28, ap. 3, letra h)
Obligia pone a disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 y se somete a las auditorías descritas en el artículo 11.
Parte II — Prestación de servicios TIC en el sentido de DORA (art. 30)
La presente parte se aplica cuando usted es una entidad financiera sujeta al Reglamento (UE) 2022/2554.
10. Descripción del servicio y ubicación art. 30, ap. 2, letras a) y b)
Servicio: una herramienta en línea de ayuda a la elaboración, el control de calidad y la exportación del registro de información DORA. Obligia no es un servicio de asesoramiento regulatorio; la evaluación del carácter crítico de las funciones y la presentación a la autoridad siguen siendo responsabilidad suya.
Ubicación de los datos y de los tratamientos: Unión Europea, exclusivamente. Todo cambio de ubicación se notifica con 60 días de antelación y abre un derecho de resolución sin penalización.
11. Derechos de acceso, inspección y auditoría art. 30, ap. 2, letra e), y ap. 3, letra e)
Usted, su auditor y su autoridad competente disponen de derechos ilimitados de acceso, inspección y auditoría, ejercitables sobre documentos en cualquier momento —documentación de seguridad, registro de tratamientos, informes de pruebas, SBOM, su propio registro de auditoría— y presencialmente o a distancia con un preaviso de 30 días, salvo solicitud de una autoridad competente, que se ejerce sin preaviso. Obligia coopera plenamente y no puede oponer el secreto empresarial a una autoridad competente.
12. Niveles de servicio art. 30, ap. 3, letra a)
| Indicador | Compromiso |
|---|---|
| Disponibilidad mensual | 99,0 %, excluido el mantenimiento planificado |
| Mantenimiento planificado | Anunciado con 5 días hábiles de antelación, fuera de 08:00–20:00 CET en días hábiles |
| Objetivo de tiempo de recuperación (RTO) | 8 horas hábiles |
| Objetivo de punto de recuperación (RPO) | 24 horas |
| Acuse de recibo de un incidente bloqueante | 4 horas hábiles |
| Informe de disponibilidad | Mensual, previa solicitud |
13. Asistencia en caso de incidente TIC art. 30, ap. 2, letra f)
En caso de incidente TIC que afecte al servicio, Obligia le asiste sin coste adicional: notificación en las 4 horas hábiles siguientes a tener conocimiento, actualizaciones periódicas del avance e informe escrito en los 5 días hábiles siguientes a la resolución.
14. Cooperación con las autoridades art. 30, ap. 2, letra g)
Obligia coopera plenamente con sus autoridades competentes, en particular concediendo los accesos descritos en el artículo 11.
15. Resolución y estrategia de salida art. 30, ap. 2, letra h), y ap. 3, letra f)
Usted puede resolver en caso de: incumplimiento grave por Obligia de sus obligaciones legales o contractuales; circunstancias que revelen una alteración en la ejecución del servicio; debilidad acreditada en la gestión del riesgo TIC de Obligia; o solicitud de una autoridad competente.
Período de transición: en caso de resolución, cualquiera que sea su causa, Obligia mantiene el servicio durante 90 días para permitir una migración ordenada, en las condiciones tarifarias entonces vigentes.
Reversibilidad. Puede, en cualquier momento y sin intervención alguna de Obligia, exportar la totalidad de su registro en el formato xBRL-CSV exigido por las normas técnicas (UE) 2024/2956. Ese paquete es utilizable con independencia de Obligia: es el propio formato de presentación regulatoria, no un formato propietario. Ningún dato de cliente se conserva en un formato que encarezca la salida.
16. Actualizaciones regulatorias
Obligia incorpora las publicaciones de la Autoridad Bancaria Europea en 15 días hábiles para una corrección de una regla de validación, 30 para una versión menor del DPM, 60 para una versión mayor y 5 para un cambio notificado por una autoridad. Los registros ya elaborados no se ven afectados: cada uno conserva la versión de taxonomía con la que se elaboró.
17. Subcontratación en cadena de funciones críticas art. 30, ap. 3, letra c)
Obligia no subcontrata ninguna función crítica o importante del servicio más allá de los subencargados enumerados en el artículo 5. Todo nuevo recurso se notifica con 60 días de antelación, con derechos de oposición y de resolución.
Parte III — Disposiciones comunes
18. Responsabilidad
La responsabilidad de Obligia se limita a los importes abonados por usted durante los doce meses anteriores al hecho generador. Este límite no se aplica a los daños derivados de un incumplimiento por Obligia de sus obligaciones como encargado del tratamiento en virtud del RGPD, ni a la culpa grave o el dolo.
19. Ley aplicable y jurisdicción competente
El presente anexo se rige por el derecho francés. Cualquier litigio será competencia de los tribunales de Toulouse, Francia, sin perjuicio de las normas imperativas de orden público y de las normas de protección aplicables a un cliente profesional.
20. Prevalencia
En caso de contradicción, el presente anexo prevalece sobre las condiciones generales, en particular sobre el artículo 7 de estas relativo a la disponibilidad.
21. Idioma
El presente anexo se publica en francés, inglés y español, para que las funciones de riesgos, compras y protección de datos que deben leerlo puedan leerlo. Si las versiones divergieran, prevalece la versión francesa, en coherencia con el artículo 19 y con el artículo 14 de las condiciones generales.