ACUERDO DE TRATAMIENTO DE DATOS (DPA) — Art. 28 RGPD

1. DEFINICIONES

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado», «violación de la seguridad de los datos personales» tienen el significado establecido en el art. 4 del RGPD.

2. FUNCIONES

Para los datos de los clientes y del personal del salón tratados a través de la plataforma, el Responsable del tratamiento (Salón) determina los fines y los medios y es el RESPONSABLE DEL TRATAMIENTO; Primer trata dichos datos EXCLUSIVAMENTE por cuenta del Responsable del tratamiento como ENCARGADO DEL TRATAMIENTO. Primer sigue siendo RESPONSABLE DEL TRATAMIENTO INDEPENDIENTE únicamente para los datos tratados con fines propios de la plataforma (facturación de la suscripción, seguridad, prevención del fraude, mejora agregada del servicio, sus propias obligaciones legales). El presente apartado se aplica sin perjuicio de las excepciones expresamente previstas en los apartados 16 y 17, que describen tratamientos en los que Primer actúa como corresponsable del tratamiento y como responsable del tratamiento en nombre propio, respectivamente.

3. OBJETO Y DURACIÓN [Art. 28(3)]

Objeto: el tratamiento necesario para prestar la plataforma Primer (reservas, comunicaciones, gestión del salón, asistente de IA, marketing iniciado por el Responsable del tratamiento). Duración = la vigencia del Acuerdo Principal, más el período de supresión de la cláusula 11. El objeto y la duración establecidos en el presente apartado se refieren al tratamiento que Primer efectúa por cuenta del Responsable del tratamiento, en su condición de encargado del tratamiento. Los apartados 16 y 17 describen tratamientos en los que Primer no actúa en esa condición, y su duración es la prevista en dichos apartados.

4. NATURALEZA Y FINALIDAD [Art. 28(3)]

Naturaleza: recogida, registro, organización, estructuración, conservación, adaptación, extracción, consulta, utilización, transferencia a subencargados, comunicación por difusión o cualquier otra forma de habilitación de acceso, cuando el Responsable del tratamiento ordene la publicación mediante las configuraciones de la plataforma — en particular el sitio web público del Responsable del tratamiento, las páginas de reserva, la presentación del equipo, la galería y el catálogo de servicios, así como el contenido propio del Responsable del tratamiento publicado en el registro de reseñas —, limitación, supresión y destrucción. Finalidad: gestionar las reservas y la relación con los clientes del salón, enviar notificaciones/SMS/correo electrónico, procesar pagos, generar informes, funciones de asistente de IA, campañas de marketing ordenadas por el Responsable del tratamiento — estrictamente conforme a las instrucciones del Responsable del tratamiento.

5. TIPOS DE DATOS Y CATEGORÍAS DE INTERESADOS [Art. 28(3)]

Interesados: clientes del salón, visitantes del sitio web, personal/colaboradores del salón. Tipos de datos: nombre, teléfono, correo electrónico, historial de citas y servicios, preferencias, notas (incluidos posibles datos sobre alergias/cuero cabelludo facilitados voluntariamente — potencialmente sensibles, tratados únicamente a iniciativa del Responsable del tratamiento), datos de pago tokenizados (a través de Stripe), datos de uso/analítica, identificadores publicitarios cuando el Responsable del tratamiento active el marketing. Primer no solicita datos de categorías especiales; si el Responsable del tratamiento los introduce, este es responsable de la base jurídica. Se añaden a los tipos de datos anteriores, como datos publicados: el contenido de la reseña, la puntuación, el modo de presentación del autor elegido por este, el día o el mes de la visita según ese modo, la denominación del servicio y el nombre mostrado de la persona que lo prestó, así como la respuesta pública del Responsable del tratamiento. Datos puestos a disposición conforme al apartado 17: el identificador interno de la reserva, su día natural local, su clase y su estado en el momento del sellado, y los cinco elementos de elegibilidad enumerados en el apartado 17, letra (c); los interesados correspondientes son los clientes del Responsable del tratamiento que efectuaron una reserva a través del canal en línea.

6. INSTRUCCIONES DEL RESPONSABLE DEL TRATAMIENTO [Art. 28(3)(a)]

Primer trata los datos personales únicamente siguiendo las instrucciones documentadas del Responsable del tratamiento (incluidos el presente DPA, el Acuerdo Principal y la configuración dentro de la plataforma), incluidas las transferencias internacionales, salvo que lo exija el Derecho de la UE/de un Estado miembro — en cuyo caso Primer informará al Responsable del tratamiento previamente, salvo que dicho Derecho lo prohíba. Primer informará inmediatamente al Responsable del tratamiento si, en su opinión, una instrucción infringe el RGPD.

7. CONFIDENCIALIDAD [Art. 28(3)(b)]

Primer garantiza que las personas autorizadas para tratar los datos se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal adecuada de confidencialidad, conforme al principio de «necesidad de conocer».

8. SEGURIDAD [Art. 28(3)(c) con el Art. 32]

Primer aplica medidas técnicas y organizativas adecuadas, entre ellas: cifrado en tránsito (TLS) y en reposo para los datos sensibles; control de acceso basado en roles y autenticación; aislamiento multiinquilino de los datos por salón; tokenización de los datos de tarjeta (delegada a Stripe — Primer no almacena ningún PAN); registros de auditoría para las operaciones relativas a dinero/autenticación/datos de inquilino; copias de seguridad y capacidad de restauración; pruebas periódicas; separación de los entornos dev/prod; gestión de secretos en Azure Key Vault; limitación de velocidad en los puntos finales sensibles.

9. SUBENCARGADOS [Art. 28(2) y 28(3)(d)]

El Responsable del tratamiento otorga una AUTORIZACIÓN GENERAL para los subencargados que figuran en el Anexo 1. Primer impone a cada uno, mediante contrato, obligaciones de protección de datos equivalentes a las del presente DPA y sigue siendo plenamente responsable ante el Responsable del tratamiento. Primer notifica con al menos 30 días de antelación antes de añadir/sustituir un subencargado; el Responsable del tratamiento puede oponerse por motivos razonables de protección de datos y, a falta de solución, puede resolver el servicio afectado.

10. ASISTENCIA [Art. 28(3)(e) y (f)]

(e) Primer asiste al Responsable del tratamiento para responder a las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición). (f) Primer asiste al Responsable del tratamiento en el cumplimiento de los arts. 32 a 36: seguridad, notificación de violaciones y EIPD/consulta previa. Violación: Primer notifica al Responsable del tratamiento SIN DILACIÓN INDEBIDA (objetivo: en un plazo de 48 horas tras tener conocimiento), facilitando la naturaleza de la violación, las categorías y el número aproximado de interesados/registros, las consecuencias probables y las medidas adoptadas, para permitir la notificación en un plazo de 72 horas conforme al art. 33.

11. SUPRESIÓN/DEVOLUCIÓN [Art. 28(3)(g)]

A la finalización de los servicios, a elección del Responsable del tratamiento, Primer suprime o devuelve todos los datos personales y suprime las copias existentes en un plazo de 30 días, salvo que el Derecho de la UE/de un Estado miembro exija su conservación. Las copias de seguridad se sobrescriben según el ciclo de rotación.

12. AUDITORÍA [Art. 28(3)(h)]

Primer pone a disposición del Responsable del tratamiento toda la información necesaria para demostrar el cumplimiento del art. 28 y permite y contribuye a la realización de auditorías/inspecciones por parte del Responsable del tratamiento o de un auditor designado, con un preaviso razonable (mín. 30 días), como máximo una vez al año (o ante una violación confirmada / solicitud de la autoridad), en horario laboral, sin perturbación desproporcionada y bajo confidencialidad. Primer también puede satisfacer esta obligación facilitando certificaciones/informes pertinentes.

13. TRANSFERENCIAS INTERNACIONALES

Para cualquier transferencia fuera del EEE, las Partes se basan en las Cláusulas Contractuales Tipo (CCT) de la UE (Decisión 2021/914), el módulo correspondiente, incorporadas por referencia, además de medidas complementarias cuando sea necesario. Determinados subencargados (p. ej., Anthropic, Meta, Google) pueden tratar datos en EE. UU. en virtud de las CCT y/o del Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework).

14. RESPONSABILIDAD

La responsabilidad de cada Parte se rige por el art. 82 del RGPD. Las limitaciones de responsabilidad del Acuerdo Principal se aplican al presente DPA de forma agregada, sin limitar la responsabilidad que no pueda excluirse legalmente. Cada Parte asume las multas administrativas que le sean imputables.

15. PREVALENCIA

En caso de conflicto sobre protección de datos, el presente DPA prevalece sobre el Acuerdo Principal.

16. CORRESPONSABILIDAD DEL TRATAMIENTO PARA LA REGLA DE INVITACIÓN A RESEÑAS [Art. 26 RGPD]

Como excepción al apartado 2, para UN SOLO segmento de tratamiento — la regla que determina QUIÉN recibe la invitación a reseñar una visita finalizada — las Partes son CORRESPONSABLES DEL TRATAMIENTO en el sentido del art. 26 RGPD. La razón es de hecho, no de forma: Primer decide de manera uniforme, a nivel de plataforma y por país, la base jurídica y la población invitada (interés legítimo junto con la excepción para clientes existentes en los países cuya transposición del art. 13(2) de la Directiva 2002/58 se ha revisado; consentimiento en todos los demás), y el Responsable NO PUEDE apartarse de ella — ni para ampliarla ni para restringirla. Quien determina los fines y los medios es responsable del tratamiento, con independencia de cómo lo llame el contrato. EL REPARTO TRANSPARENTE DE OBLIGACIONES que exige el art. 26(1): (a) Primer establece y publica la regla de invitación, la frecuencia (una invitación por visita elegible, un periodo de espera y un tope de por vida) y el contenido de la invitación, que no contiene publicidad; (b) el Responsable es el comerciante a efectos de la excepción de cliente existente (art. 13.2 de la Directiva 2002/58, tal como esté transpuesta en su país) — prestó el servicio, obtuvo directamente el contacto y la invitación sale en su nombre; (c) el Responsable muestra el aviso de recogida y ofrece la oposición en el momento en que se obtiene el contacto, en las vías que él opera; (d) Primer garantiza el derecho de oposición (art. 21 RGPD) en cada mensaje, en un solo paso y de forma gratuita, y lo respeta de forma definitiva, sin que el Responsable pueda levantarlo; (e) Primer responde de informar a los interesados sobre este tratamiento (arts. 13-14), mediante la política de invitación a reseñas que Primer publica y el documento público del registro. LO ESENCIAL DE ESTE ACUERDO SE PONE A DISPOSICIÓN DEL INTERESADO conforme al art. 26(2), a través de esa misma política publicada. Con independencia del reparto, el interesado puede ejercer sus derechos frente a cualquiera de las Partes (art. 26(3)); las Partes se trasladan sin demora las solicitudes que reciban. Para el registro público de reseñas en sí — publicación, anclaje criptográfico y garantía de integridad del corpus — Primer sigue siendo RESPONSABLE DEL TRATAMIENTO INDEPENDIENTE y no corresponsable.

17. EL COMPROMISO DIARIO SOBRE EL CONJUNTO DE RESERVAS [Art. 28(10) y Art. 6(1)(f) RGPD]

Como excepción al apartado 2 y en continuación del último párrafo del apartado 16, para el tratamiento denominado en lo sucesivo «el compromiso diario» — el cálculo de una huella criptográfica para cada reserva del conjunto definido a continuación, la construcción y la publicación de una raíz diaria sobre esas huellas, su anclaje en el tiempo, la inclusión de la cabeza de cadena del Responsable del tratamiento como hoja de la raíz de red diaria de la plataforma, la conservación del material de apertura y la expedición de las pruebas de pertenencia — Primer actúa como RESPONSABLE DEL TRATAMIENTO EN NOMBRE PROPIO, y no como encargado del tratamiento del Responsable del tratamiento ni como corresponsable del tratamiento con este. (a) EL MOTIVO DE ESTA CALIFICACIÓN, QUE ES DE HECHO Y NO DE FORMA. Primer determina por sí solo, de manera uniforme a nivel de plataforma y sin derecho de excepción del Responsable del tratamiento, el fin de este tratamiento y sus medios esenciales: las categorías de destinatarios, el tipo de valores derivados que se calculan y se publican, la regla de elegibilidad y su versión, el tamaño fijo del árbol, la hora del sellado y la duración de la publicación. Conforme al art. 28(10) del RGPD, quien determina los fines y los medios del tratamiento es responsable del tratamiento con respecto a dicho tratamiento, con independencia de cómo lo llame el contrato. En consecuencia, el apartado 6 del presente acuerdo no se aplica a este tratamiento; la activación de la funcionalidad por el Responsable del tratamiento, descrita en la letra (j), NO constituye una instrucción documentada en el sentido del art. 28(3)(a) del RGPD, sino una condición a la que Primer subordina su propio tratamiento. (b) LA BASE JURÍDICA. Primer trata sobre la base del art. 6(1)(f) del RGPD. El interés legítimo perseguido es que el conjunto de reservas del que pueden salir las invitaciones a dejar una reseña quede fijado públicamente antes de que exista respuesta alguna, de modo que la afirmación de que de él no se eligió nada con posterioridad no sea solo declarada, sino verificable; ese interés es de Primer, del Responsable del tratamiento y de las personas que leen las reseñas. El considerando 47 del RGPD reconoce como base jurídica el interés legítimo del responsable del tratamiento, teniendo en cuenta las expectativas razonables de los interesados basadas en su relación con el responsable. La evaluación del interés legítimo, con el test de necesidad y la ponderación, se elabora por escrito antes del primer tratamiento y se pone a disposición del Responsable del tratamiento y del interesado, previa solicitud. No se utiliza el consentimiento: un valor ya anclado no puede retirarse, y una base cuya retirada no pudiera atenderse sería no conforme por construcción. (c) QUÉ SE TRATA. El conjunto de un día está formado por las reservas del Responsable del tratamiento efectuadas por el cliente a través del canal en línea, cuyo día natural local, determinado según el huso horario del establecimiento, sea como muy tarde ese día, y que no hayan entrado en ningún compromiso anterior del Responsable del tratamiento. Las reservas canceladas, las ausencias sin previo aviso y las reservas que el Responsable del tratamiento haya retirado de su propia agenda forman parte del conjunto, con su estado consignado, precisamente para que el conjunto no pueda restringirse una vez que se ha sabido lo que viene. El conjunto de un día tiene, en cambio, dos bordes de calendario, enunciados aquí para que la ausencia de una reserva en un compromiso no pueda leerse nunca como una restricción: no comprende las reservas cuyo día sea anterior al primer compromiso publicado del Responsable del tratamiento, porque un compromiso no puede asumirse retroactivamente sobre un periodo en el que no existía; y no comprende las reservas cuyo día sea más antiguo que la ventana de conservación prevista en la letra (h), contada desde el día sellado, porque para esos días el material de apertura ya está destruido, y una reserva devuelta a un árbol de hoy afirmaría que el conjunto de hoy comprendió una visita de hace meses. Ambos bordes los aplica el mecanismo, en la propia consulta que forma el conjunto, y ninguno de los dos está al alcance del Responsable del tratamiento. Para cada reserva del conjunto se calcula una huella de 32 bytes a partir de: un separador de dominio, la versión de la regla, el identificador del Responsable del tratamiento, el día natural, un identificador enmascarado de la reserva obtenido mediante una función con clave, un compromiso separado sobre un vector de elegibilidad de ocho bytes de anchura fija, y un secreto aleatorio de 32 bytes propio de esa sola huella. El vector de elegibilidad consigna exclusivamente: la existencia de un número de teléfono, la existencia de una base de comunicación, el hecho de que la persona figure en la lista de bloqueo del Responsable del tratamiento, el haberse alcanzado el tope de invitaciones de por vida, la existencia de una reseña anterior de la misma persona ante el Responsable del tratamiento, el estado de la reserva en el momento del sellado y la clase de la reserva. Las huellas se colocan en posiciones elegidas aleatoriamente en un árbol de tamaño fijo, idéntico cada día, en el que los espacios restantes reciben huellas de relleno calculadas conforme a la misma regla e indistinguibles de las reales. Si las reservas de un día superan el tamaño del árbol, el excedente no se excluye, sino que se aplaza: esas reservas quedan fuera de todo compromiso y entran en el compromiso de un día siguiente — razón por la cual el conjunto se define por «como muy tarde ese día» y no por «ese mismo día». Esta es la tercera y última causa por la que una reserva puede faltar en el compromiso de su propio día; las otras dos son los dos bordes de calendario anteriores, y las tres se enuncian aquí precisamente para que una ausencia no pueda leerse nunca como una restricción. (d) QUÉ NO SE TRATA NUNCA CON ESTE FIN. La hora de la reserva o de la visita, el servicio prestado o su categoría, el precio, el miembro del personal que prestó el servicio, el establecimiento, cualquier identificador del cliente y cualquier elemento derivado de un identificador del cliente, así como cualquier elemento relativo a una reseña. Estas categorías no entran en la huella, no entran en el vector y no se publican. (e) QUÉ SE PUBLICA. Se publica, para cada día natural: el día, un número de orden que aumenta exactamente en una unidad por día, la versión de la regla, el tamaño del árbol, la raíz diaria, la huella de la entrada anterior y la huella de la entrada actual; por separado, la cabeza de cadena del Responsable del tratamiento como hoja de la raíz de red diaria de la plataforma y el anclaje temporal de esta. Un día sin ninguna reserva produce una entrada que no se distingue de la de un día lleno. El documento público lleva además una descripción de lo que el compromiso prueba y de lo que no prueba. (f) QUÉ NO SE PUBLICA NUNCA. Ninguna prueba de pertenencia; ningún secreto; ningún identificador enmascarado; ninguna posición de huella en el árbol; ningún identificador de reserva; ningún momento más fino que el día natural, ni para la entrada ni para ninguno de sus elementos; y ninguna cifra de la que se desprenda cuántas reservas tuvo el Responsable del tratamiento ese día — el compromiso no contiene tal cifra, por construcción, y el tamaño del árbol es un parámetro fijo al que cada día se lleva mediante relleno. (g) LA PRUEBA DE PERTENENCIA. Una prueba de que una reserva determinada se encontraba en el compromiso del día se expide, previa solicitud: al interesado que dejó la reseña procedente de esa reserva; a una autoridad de control o a un órgano jurisdiccional, en el marco de una solicitud o de un procedimiento; y a un auditor designado, bajo obligación de confidencialidad. La prueba no se publica nunca y no aparece en ningún documento público, exportación, interfaz para agentes ni respuesta del asistente. El vector de elegibilidad NO se abre NUNCA en la vía por la que el interesado obtiene su propia prueba: allí la prueba lleva el compromiso sobre el vector, no su contenido. El vector se abre exclusivamente ante una solicitud expresa y motivada, dirigida por la vía de administración y auditoría, consignada como tal, con el motivo consignado junto con ella; por defecto, la apertura está cerrada, y una solicitud que no indique el motivo se rechaza antes de que el mecanismo abra o lea nada del sello: ninguna hoja, ningún secreto, ningún vector y ninguna prueba se tocan antes del rechazo, y una apertura rechazada no produce prueba alguna. La expedición de la prueba está acotada por el plazo de la letra (h). Tras el colapso de conservación de un día, solo puede expedirse ya la prueba de pertenencia de una reserva de la que resultó una reseña publicada, calculada y conservada antes del colapso. Para cualquier otra reserva de ese día no queda nada que expedir — ni a solicitud del interesado, ni a solicitud de una autoridad de control o de un órgano jurisdiccional, ni a solicitud de un auditor — porque el material de apertura ya no existe en Primer. Una reseña publicada después de cumplido ese plazo no lleva ninguna prueba de pertenencia, y la respuesta lo dice en esos términos, en lugar de afirmar que la reserva no habría sido sellada. Primer consigna cada expedición de prueba, en todas las vías por las que se expide una prueba, así como si en esa expedición el vector fue abierto y, en la vía de administración y auditoría, el motivo invocado; consigna asimismo la solicitud legitimada a la que el mecanismo no tuvo nada que abrir — porque la reserva nunca fue sellada, porque su material fue destruido a petición del interesado o porque su día ya había sido olvidado. El registro de una expedición nombra el día al que se refería únicamente mientras el material de apertura de ese día siga existiendo, y en el colapso de conservación de la letra (h) se destruye junto con ese material, en la operación misma que lo destruye; así, ningún registro que nombre un día sobrevive a lo que ese día podía abrir. Cualquier otro registro no nombra día alguno — la solicitud a la que no se abrió nada y la expedición de una prueba que ha sobrevivido al día del que procede — y se suprime a los 90 días de la fecha en que fue escrito. El registro no puede modificarse con posterioridad, y su supresión solo se admite por la vía de olvido de la letra (h) y únicamente una vez cumplido ese plazo. La consignación no es una consecuencia de la expedición, sino su condición: si el registro no puede escribirse, la prueba no se expide. La solicitud recibe entonces una respuesta de indisponibilidad temporal, con la invitación a volver, y no se le entrega nada. La regla se escribe así porque, de otro modo, la promesa de la primera frase solo sería cierta cuando la plataforma no está ocupada, y una promesa cierta solo a veces no es la promesa que aquí se firma. La solicitud que Primer rechaza no se consigna en ningún registro, en ninguna de las vías, y no por omisión. Tres razones, cada una suficiente por sí sola: en la vía por la que el interesado obtiene su propia prueba, todo solicitante no legitimado recibe una respuesta idéntica, que no revela si la reseña solicitada existe, y una línea escrita sobre una reseña designada por su nombre respondería precisamente a la pregunta que esa respuesta deniega; la línea almacenaría a una persona que, por la hipótesis del rechazo, no es el autor de la reseña que la línea nombra, lo que sería un tratamiento sin necesidad, contrario al art. 5(1)(c) del RGPD; y sería una escritura no acotada, desencadenada por un solicitante no autenticado. (h) LA CONSERVACIÓN. La raíz diaria, las huellas de las entradas y su cadena permanecen publicadas y ancladas por tiempo indefinido: son un registro al que solo se puede añadir, y cuyo anclaje temporal no puede ser retirado por ninguna de las Partes. El material de apertura — el secreto de la huella, el secreto del vector, el vector, el identificador enmascarado y el vínculo con la reserva — se conserva separado del artefacto publicado y bajo medidas técnicas y organizativas propias, en el sentido del art. 4(5) del RGPD, que exige que la información adicional «figure por separado y esté sujeta a medidas técnicas y organizativas destinadas a garantizar que los datos personales no se atribuyan a una persona física identificada o identificable»; la separación se mide frente al artefacto publicado, en el que el material de apertura no aparece en forma alguna. El material se conserva únicamente mientras sirva al fin de la letra (b), y los plazos son los siguientes. Para una reserva de la que no resultó una reseña publicada: como máximo 90 días desde la publicación del compromiso del día del que forma parte. Al cumplirse ese plazo, un mecanismo automático que se ejecuta diariamente destruye, para el día entero de una vez y en una única operación que o bien culmina en su integridad o bien no produce efecto alguno: la línea de huella de cada una de esas reservas, con todo lo que lleva — el valor de la huella, su posición, el secreto de la huella, el secreto del vector, el vector, el identificador enmascarado y el vínculo con la reserva — así como la semilla de la que se derivaban las huellas de relleno de ese día. Desde ese momento, el conjunto de ese día ya no puede ser recompuesto, abierto ni contado por nadie, Primer incluido. Para una reserva de la que resultó una reseña publicada: hasta que esa reseña deje de estar publicada. Antes de la destrucción descrita más arriba se calcula y se conserva la cadena de huellas que enlaza la huella de esa reserva con la raíz del día, para que la prueba de la letra (g) sobreviva al colapso sin que nada más de ese día se conserve con ese fin. El plazo de 90 días es una regla del mecanismo, no un plazo de puesta en funcionamiento, y así está escrito también en la base de datos: esta rechaza la destrucción de una huella cuyo día se encuentre todavía dentro de la ventana, rechaza la destrucción de una huella que una reseña publicada nombre, y rechaza cualquier destrucción de ese tipo fuera de la operación que la ejecuta. La reserva misma, conservada por Primer sobre su propia base y con su propio plazo, no resulta afectada por esta operación. La huella que permanece tras una destrucción solicitada por el interesado entra en la situación descrita en la letra (i). (i) LA SUPRESIÓN (art. 17 del RGPD) — EJECUCIÓN, NO EXCEPCIÓN. A solicitud fundada de un interesado, Primer destruye el secreto de la huella, el secreto del vector, el contenido del vector, el identificador enmascarado y el vínculo entre la huella y la reserva, consignando el momento de la destrucción; la destrucción es irreversible y la base de datos la rechaza si no se lleva a cabo en su integridad y de una sola vez. Con ello se elimina todo el contenido personal propio de la huella. La huella de una persona y su posición en el árbol NUNCA han sido publicadas y no se publican: conforme a las letras (e) y (f), publicado queda únicamente lo que allí se enumera, es decir, la raíz diaria anclada, que compromete la huella sin divulgarla. En los registros internos de Primer permanecen el valor de la huella y su posición, y permanecen por una razón que concierne a otras personas: sin ellos la raíz del día ya no puede recomponerse, y cada una de las demás personas del conjunto de ese día pierde su prueba. Respecto de esos dos elementos, el motivo del art. 17(1)(a) no concurre mientras sigan siendo necesarios para el fin de la letra (b); y si la solicitud se funda en una oposición conforme al art. 21(1), los motivos legítimos imperiosos en el sentido del art. 17(1)(c) están asimismo acotados a esos dos elementos: la imposibilidad de retirar un valor ya anclado y el derecho de las demás personas del mismo conjunto a conservar su prueba. Esta necesidad tiene un término breve, fijo y escrito: para una reserva de la que no resultó una reseña publicada, el valor de la huella y su posición no sobreviven al colapso de conservación de la letra (h) — la línea se suprime entera, como máximo 90 días después del día sellado, de modo que el residuo desaparece para todos, Primer incluido, sin que sea necesaria solicitud alguna. Queda únicamente la raíz del día, que compromete un conjunto que ya nadie puede abrir. Para una reserva de la que resultó una reseña publicada, el residuo se conserva mientras esa reseña esté publicada, y la razón es la expuesta más arriba: sin él, la prueba de esa reseña y las pruebas de las demás reseñas del mismo día ya no pueden verificarse. Esta limitación se comunica a la persona, motivadamente, conforme al art. 12(4) del RGPD; el resto de la solicitud se ejecuta íntegramente. Esto es la ejecución del derecho de supresión, no una excepción a él: el art. 4(2) del RGPD incluye la destrucción entre las operaciones de tratamiento, y el art. 17 exige que los datos dejen de ser atribuibles a la persona, no que un byte determinado desaparezca de un artefacto público. Frente a cualquier persona distinta de Primer, la huella comprometida en la raíz publicada no es atribuible: su preimagen contiene 32 bytes de entropía generados criptográficamente, que han sido destruidos, y su reconstrucción no es un medio que razonablemente pueda utilizar nadie, en el sentido del considerando 26. Frente a Primer, lo que permanece no añade nada a lo que ya dice la reserva que Primer conserva de todos modos, sobre su propia base y con su propio plazo: de la regla publicada en la letra (c) resulta que toda reserva en línea de un día forma parte del compromiso de ese día, lo que se lee directamente en el registro de reservas, sin huella alguna; al terminar el periodo de conservación de la reserva termina también esa vía. Mientras el artefacto siga publicado, Primer mantiene las medidas de las que depende la conclusión anterior: la función de huella sigue sin estar rota, y ante su degradación se emite una nueva versión de la regla sin reescribir las anteriores; los secretos no salen de la plataforma salvo en las pruebas de la letra (g); los secretos se generan mediante un generador criptográfico y nunca a partir de un elemento de la persona; y Primer se obliga a mantener el ciclo de sobrescritura de las copias de seguridad de los secretos por debajo del plazo de respuesta a una solicitud de supresión, a medirlo antes del primer sellado y a verificarlo al menos una vez al año. El derecho de oposición, previsto en la letra (o), sigue estando disponible por separado y produce efectos sobre el futuro. (j) LA ACTIVACIÓN, LA DETENCIÓN Y LOS LÍMITES DEL RESPONSABLE DEL TRATAMIENTO. El compromiso se calcula para el Responsable del tratamiento únicamente si concurren, de forma acumulativa: el módulo de reseñas está activado por el Responsable del tratamiento; el Responsable del tratamiento ha firmado la presente versión del acuerdo o una posterior; y la plataforma posee la clave con la que se sella — a falta de ella no se calcula ninguna huella, para ningún Responsable del tratamiento. El Responsable del tratamiento puede detener el módulo en cualquier momento, con efecto inmediato para los días siguientes. El Responsable del tratamiento NO puede modificar, retirar ni reordenar un compromiso ya publicado, no puede sacar una reserva de un conjunto ya sellado, no puede añadir ninguna y no puede exigir el recálculo de una raíz. Estos límites no son una promesa de conducta, sino que los aplica el mecanismo mismo: la base de datos rechaza, frente a cualquiera, la modificación de cualquiera de los valores publicados de una entrada — el día, el número de orden, la versión de la regla, el tamaño del árbol, la raíz, la huella de la entrada anterior y la huella de la entrada actual —, rechaza la supresión de una entrada, rechaza el vaciado del registro y rechaza cualquier día que falte en la cadena. Las únicas escrituras posteriores admitidas son las de Primer, están enumeradas de forma limitativa y ninguna de ellas toca valor publicado alguno: la inscripción del sellado de tiempo de la letra (l) junto con el enlace a la raíz diaria de red en la que entró la cabeza de cadena — una sola operación, una vez por cada entrada — y el colapso de conservación de la letra (h), que destruye la semilla de relleno y consigna el momento, una sola vez. Después de cualquiera de ellas, los bytes publicados del día son idénticos a los anteriores. La detención del módulo no retira los compromisos ya publicados. (k) LA PUESTA DE DATOS A DISPOSICIÓN POR EL RESPONSABLE DEL TRATAMIENTO. Mediante la activación prevista en la letra (j), el Responsable del tratamiento pone a disposición de Primer, en su condición de responsable del tratamiento en nombre propio, los datos enumerados en el apartado 5 bajo el título «datos puestos a disposición conforme al apartado 17»; el Responsable del tratamiento responde de la existencia de una base propia para esa puesta a disposición, base que, a falta de otra elección comunicada por escrito, es la del art. 6(1)(f) del RGPD. Primer publica, en todas las lenguas de la plataforma, un párrafo modelo que describe el compromiso diario y remite a la política publicada por Primer. En la medida en que el Responsable del tratamiento mantenga una información propia a sus clientes conforme al art. 13 del RGPD, incluirá en ella ese párrafo, en la primera actualización de dicha información y a más tardar en el plazo de 90 días desde la fecha de entrada en vigor de la presente versión. La información a los interesados sobre el tratamiento del presente apartado sigue correspondiendo a Primer, que la lleva a cabo mediante su política publicada y mediante el documento público del registro. El Responsable del tratamiento traslada a Primer, sin demora, cualquier solicitud recibida de un interesado que se refiera al compromiso diario, y Primer traslada al Responsable del tratamiento, en las mismas condiciones, las solicitudes que reciba y que se refieran a los datos del Responsable del tratamiento. (l) EL SELLADO DE TIEMPO. La raíz de red diaria de la plataforma se envía, en forma de un único valor de 32 bytes, a una red pública de sellado de tiempo, para que pueda probarse posteriormente que ese valor existía en ese momento. Ese valor es el resultado de al menos trece niveles sucesivos de huella por encima de la huella de cualquier reserva y no va acompañado de ningún otro elemento; no se refiere a una persona física identificada o identificable para los operadores de esa red, que ni poseen ni pueden obtener la información adicional necesaria para la atribución. En consecuencia, la red de sellado de tiempo es un DESTINATARIO TÉCNICO DECLARADO de ese valor, y no un subencargado en el sentido del art. 28(2) y (4) del RGPD, y no figura en el Anexo 1. Primer lo declara en sus documentos públicos. (m) LA RELACIÓN CON EL APARTADO 16. La regla según la cual la invitación a dejar una reseña por una reserva en línea se envía únicamente después de publicado el compromiso del día de esa reserva es un elemento de la regla de invitación, que el apartado 16, letra (a), ya atribuye a Primer para su establecimiento y publicación, y que el apartado 16, letra (e), cubre en cuanto a la información a los interesados. El presente apartado no amplía el alcance del apartado 16 y no crea obligaciones adicionales para el Responsable del tratamiento en materia de invitación. (n) SIN AFECTACIÓN DE LAS DEMÁS CLÁUSULAS. El presente apartado no modifica las obligaciones de Primer en su condición de encargado del tratamiento respecto del resto de tratamientos y no menoscaba los derechos del Responsable del tratamiento previstos en los apartados 11 y 12, que siguen aplicándose íntegramente a los tratamientos efectuados por Primer por cuenta del Responsable del tratamiento. (o) LA OPOSICIÓN (art. 21(1) del RGPD). El interesado puede oponerse en cualquier momento, por motivos relacionados con su situación particular, a la inclusión de sus reservas en los compromisos diarios. Primer atiende la oposición sin invocar motivos legítimos imperiosos: desde el momento de su registro, ninguna reserva posterior de esa persona — ante el Responsable del tratamiento o ante cualquier otro responsable del tratamiento que utilice la plataforma — entra ya en el conjunto de la letra (c), y el material de apertura de las reservas de esa persona ya selladas, ante cualquiera de esos responsables, se destruye conforme a la letra (i). Este alcance no es una elección de cortesía, sino la consecuencia de la calificación de la letra (a): la oposición se refiere al tratamiento efectuado por Primer en nombre propio, y no a la relación comercial con un Responsable del tratamiento determinado, de modo que se registra a nivel de plataforma y produce efectos allí donde esa persona tenga reservas. El Responsable del tratamiento toma conocimiento de este efecto por la presente cláusula: una oposición registrada por una persona que es además cliente de otro responsable del tratamiento de la plataforma saca a esa persona también de los conjuntos del Responsable del tratamiento. En cambio, el Responsable del tratamiento no puede registrar, levantar ni consultar una oposición, y no se le facilita ninguna vía a tal efecto — un responsable que pudiera marcar a sus propios clientes fuera del conjunto tendría exactamente el filtro que el compromiso existe para excluir, con un nombre de protección de datos. El hecho de la oposición no se comunica al Responsable del tratamiento: el estado que este ve para una reserva así es la etiqueta común a varias situaciones ajenas a cualquier oposición, y no se le muestra ningún motivo separado. Los únicos elementos sobre los que la oposición no produce efecto son el valor de huella ya comprometido en una raíz publicada y anclada, y su posición, por los motivos expuestos en la letra (i); esos motivos se comunican a la persona, de forma motivada. Los compromisos ya publicados no se retiran. La oposición puede ejercerse por cualquiera de los canales por los que Primer recibe las solicitudes de los interesados, incluso por medios automatizados, conforme al art. 21(5) del RGPD. Conforme al art. 21(4) del RGPD, Primer pone este derecho en conocimiento del interesado de manera explícita y al margen de cualquier otra información, a más tardar en el momento de la primera comunicación que le dirija en relación con el tratamiento del presente apartado; la política publicada no sustituye a esa mención, sino que la acompaña. Primer responde a una oposición en el plazo previsto en el art. 12(3) del RGPD.

Anexo 1 — Subencargados del tratamiento