Política de privacidad
Información facilitada en cumplimiento de los arts. 12 y 13 RGPD y del art. 11 LOPDGDD, estructurada por capas: la tabla siguiente contiene la información básica y los apartados 1 a 11 desarrollan la información adicional.
| Responsable | Karim Berb, persona física (DEV BOX). Contacto: soporte@devbox.es. |
|---|---|
| Finalidades | Gestión de solicitudes de información y presupuesto recibidas mediante el formulario web; mantenimiento de la correspondencia asociada (bandeja de soporte); envío de un acuse de recibo automático; prevención de spam y abuso; acreditación del consentimiento. |
| Legitimación | Consentimiento del interesado (art. 6.1.a RGPD); aplicación de medidas precontractuales a petición del interesado (art. 6.1.b); cumplimiento de obligaciones legales, en su caso (art. 6.1.c); interés legítimo en la seguridad del servicio y en la prueba del consentimiento (art. 6.1.f). |
| Destinatarios | No se ceden datos a terceros salvo obligación legal. Acceden encargados del tratamiento (art. 28 RGPD): Render Services, Inc.; Supabase Pte. Ltd.; Plus Five Five, Inc. (Resend); Google Ireland Ltd./Google LLC. |
| Transferencias internacionales | Las solicitudes y conversaciones se alojan en la UE (servidor de aplicación en Fráncfort, Alemania; base de datos en Irlanda). Hay transferencias a EE. UU. por el servicio de correo electrónico y posibles accesos de soporte técnico desde EE. UU. y Singapur, amparados en la decisión de adecuación del Marco de Privacidad de Datos UE-EE. UU. (art. 45 RGPD) o en cláusulas contractuales tipo de la Comisión Europea (art. 46.2.c RGPD). |
| Conservación | Solicitudes no convertidas en contrato y su correspondencia: supresión automática a los 12 meses sin actividad. Clientes: durante la relación y los plazos legales de prescripción. |
| Derechos | Acceso, rectificación, supresión, limitación, portabilidad y oposición, y retirada del consentimiento (arts. 7.3 y 15-22 RGPD); reclamación ante la AEPD (art. 77 RGPD). |
| Información adicional | Apartados 1 a 11 de esta página. |
1. Responsable del tratamiento
Responsable (art. 4.7 RGPD): Karim Berb, persona física, que ofrece sus servicios con la marca DEV BOX. Datos de contacto (art. 13.1.a RGPD): correo electrónico soporte@devbox.es. Teléfono / WhatsApp: +34 624 09 25 45.
No se ha designado delegado de protección de datos, al no concurrir los supuestos de los arts. 37 RGPD y 34 LOPDGDD.
2. Categorías de datos y origen
Los datos proceden del propio interesado. No se tratan categorías especiales de datos (art. 9 RGPD); se ruega no incluirlas en los campos de texto libre.
- Identificativos y de contacto: nombre, dirección de correo electrónico, teléfono (opcional), empresa (opcional) y canal de contacto preferido.
- Contenido de la solicitud: servicios de interés, objetivo, sector de actividad, descripción libre, sitio web existente, presupuesto y plazo orientativos, y procedencia (cómo nos conoció).
- Acreditación del consentimiento (art. 7.1 RGPD): versión de esta política aceptada y marca temporal del cliente y del servidor.
- Datos técnicos del envío: dirección IP, agente de usuario (navegador), URL de origen, idioma del navegador y tiempo de cumplimentación del formulario.
- Comunicaciones: mensajes de correo electrónico intercambiados (remitente, destinatarios, asunto, fecha, cuerpo en texto y HTML saneado, identificadores Message-ID, In-Reply-To y References) y metadatos de los adjuntos (nombre, tipo y tamaño). El contenido de los adjuntos no se almacena en nuestra base de datos; se obtiene del proveedor de correo solo cuando se consulta.
Los campos marcados como obligatorios en el formulario son necesarios para atender la solicitud; si no se facilitan, no es posible tramitarla (art. 13.2.e RGPD).
3. Finalidades y bases de legitimación
| Finalidad | Datos | Base jurídica |
|---|---|---|
| Atender la solicitud, elaborar presupuesto y mantener la correspondencia (bandeja de soporte). | Identificativos, contacto, contenido de la solicitud, comunicaciones. | Consentimiento (6.1.a) y medidas precontractuales a petición del interesado (6.1.b). |
| Acuse de recibo automático por correo electrónico. | Nombre, correo, servicios, objetivo y canal preferido. | Medidas precontractuales (6.1.b). |
| Prevención de spam y abuso del formulario (límite de envíos por IP, filtro de envíos automatizados, límite de un acuse por destinatario cada 24 h). | IP, agente de usuario, tiempo de cumplimentación, huella SHA-256 del correo. | Interés legítimo en la seguridad del servicio (6.1.f; considerando 49 RGPD). |
| Acreditación del consentimiento prestado. | Versión aceptada, marcas temporales, IP, agente de usuario. | Interés legítimo (6.1.f) en relación con la carga de la prueba del art. 7.1. |
| Relación contractual, facturación y obligaciones fiscales y contables, si se contrata el servicio. | Identificativos, contacto y datos del encargo. | Ejecución del contrato (6.1.b) y obligación legal (6.1.c). |
El consentimiento se presta mediante una casilla no premarcada y puede retirarse en cualquier momento, sin que ello afecte a la licitud del tratamiento previo (art. 7.3 RGPD). No se envían comunicaciones comerciales, no se elaboran perfiles y no se adoptan decisiones individuales automatizadas con efectos jurídicos o significativos (art. 22 RGPD). El filtro antispam descarta automáticamente envíos con indicios de automatización, sin efectos sobre el interesado, que dispone siempre del correo electrónico y de WhatsApp como canales alternativos.
4. Plazos de conservación
Aplicación del principio de limitación del plazo de conservación (art. 5.1.e RGPD). Las supresiones marcadas como automáticas las ejecuta el propio sistema mediante una tarea periódica.
| Datos | Plazo |
|---|---|
| Solicitud no convertida en contrato, con sus datos técnicos, notas internas, historial y conversación asociada (mensajes enviados y recibidos). | Supresión automática a los 12 meses desde la última actividad del expediente. La supresión del expediente arrastra la de su conversación. |
| Conversaciones iniciadas por correo electrónico sin solicitud previa en el formulario. | Supresión automática a los 12 meses desde el último mensaje. |
| Clientes (solicitud convertida en contrato). | Durante la relación contractual y, después, bloqueados (art. 32 LOPDGDD) durante los plazos de prescripción de las acciones que pudieran derivarse de la relación y los exigidos por la normativa tributaria (4 años, art. 66 Ley 58/2003, General Tributaria). |
| Huella SHA-256 del correo usada para limitar los acuses de recibo. | Supresión automática a los 7 días. |
| Identificadores técnicos de eventos del proveedor de correo (sin datos personales), usados para evitar duplicados. | Supresión automática a los 30 días. |
| Copias de los correos en el proveedor de envío y recepción (Resend). | 30 días, conforme a la política de retención del proveedor. |
| Avisos internos de mensaje nuevo en el buzón del responsable (Gmail): nombre y correo del remitente, sin el contenido. Si la base de datos no está disponible, la solicitud se remite íntegra a ese buzón como contingencia para no perderla. | Hasta su supresión manual, con la misma periodicidad máxima de 12 meses. |
La supresión puede anticiparse a petición del interesado (art. 17 RGPD).
5. Destinatarios
No se ceden datos a terceros, salvo obligación legal (p. ej., requerimientos de autoridades judiciales o de la Administración tributaria). Si el interesado elige contactar por WhatsApp, la comunicación se rige además por las condiciones de WhatsApp Ireland Limited, que actúa como responsable independiente.
6. Encargados del tratamiento y transferencias internacionales
Proveedores que tratan datos por cuenta del responsable, con contrato de encargo conforme al art. 28 RGPD (acuerdos de tratamiento de datos de cada proveedor):
| Encargado | Servicio | Ubicación del tratamiento | Garantía de la transferencia |
|---|---|---|---|
| Render Services, Inc. (EE. UU.) | Alojamiento de la web y del servidor de aplicación que recibe el formulario. | Servidor de aplicación en Fráncfort (Alemania, UE); web servida desde la red de distribución del proveedor. | Marco de Privacidad de Datos UE-EE. UU. (art. 45); subsidiariamente, cláusulas contractuales tipo (art. 46.2.c). |
| Supabase Pte. Ltd. (Singapur) | Base de datos PostgreSQL (solicitudes y conversaciones). | Datos alojados en la UE: región eu-west-1 (Irlanda). Posibles accesos remotos de soporte técnico desde EE. UU. y Singapur. | Alojamiento en la UE, sin transferencia. Para los accesos de soporte, cláusulas contractuales tipo de la Comisión Europea (art. 46.2.c). |
| Plus Five Five, Inc. — Resend (EE. UU.) | Envío y recepción de correo electrónico (acuses, respuestas y mensajes entrantes). | EE. UU. (infraestructura de Amazon Web Services, Inc.). | Marco de Privacidad de Datos UE-EE. UU. (art. 45). |
| Google Ireland Limited / Google LLC | Correo electrónico del responsable (Gmail) y tipografías de esta web (Google Fonts), que implican la transmisión de la dirección IP del visitante a Google al cargar la página. | UE y EE. UU. | Marco de Privacidad de Datos UE-EE. UU. (art. 45) y cláusulas contractuales tipo (art. 46.2.c). |
7. Cookies y almacenamiento local
Esta web no instala cookies ni utiliza almacenamiento local del navegador con fines analíticos, publicitarios o de seguimiento, por lo que no resulta aplicable el deber de consentimiento del art. 22.2 LSSI. La única cookie del sistema pertenece al panel de administración, de uso exclusivo del responsable (técnica, de sesión, HttpOnly, Secure, SameSite=Strict).
8. Medidas de seguridad
Medidas técnicas y organizativas apropiadas al riesgo (arts. 25 y 32 RGPD): cifrado en tránsito (HTTPS/TLS) en todas las comunicaciones, incluida la conexión con la base de datos; base de datos sin acceso público, con seguridad a nivel de fila y sin permisos para roles anónimos; acceso restringido al responsable mediante contraseña almacenada con bcrypt y sesiones cuyo token se guarda solo como hash; limitación de intentos de acceso y de envíos por IP; validación estricta de los datos recibidos; verificación de firma HMAC-SHA256 de las notificaciones del proveedor de correo; saneamiento en servidor del HTML de los correos entrantes; y registros de actividad sin direcciones IP ni contenido de las solicitudes. Minimización de datos (art. 5.1.c): el acuse de recibo no reproduce texto libre introducido por el interesado.
9. Derechos del interesado
- Acceso (art. 15), rectificación (art. 16) y supresión (art. 17).
- Limitación del tratamiento (art. 18); el responsable comunicará las rectificaciones, supresiones y limitaciones a los destinatarios (art. 19).
- Portabilidad (art. 20) de los datos tratados con base en el consentimiento o el contrato, en formato estructurado y de uso común.
- Oposición (art. 21) al tratamiento basado en el interés legítimo.
- No ser objeto de decisiones individuales automatizadas (art. 22); no se adoptan.
- Retirada del consentimiento en cualquier momento (art. 7.3).
Ejercicio: mediante correo electrónico a soporte@devbox.es, indicando el derecho que se ejercita. Es gratuito (art. 12.5 RGPD). Se responderá en el plazo de un mes, prorrogable otros dos meses en caso de complejidad o número de solicitudes, informando de la prórroga (art. 12.3 RGPD). Solo si existen dudas razonables sobre la identidad del solicitante se podrá pedir información adicional para confirmarla (art. 12.6 RGPD). Régimen de ejercicio: arts. 12 a 18 LOPDGDD.
10. Reclamación ante la autoridad de control
Si el interesado considera que el tratamiento infringe la normativa, puede presentar una reclamación ante la Agencia Española de Protección de Datos (C/ Jorge Juan, 6, 28001 Madrid; www.aepd.es), conforme al art. 77 RGPD, sin perjuicio de dirigirse previamente al responsable.
11. Menores y modificaciones
Los servicios se dirigen a empresas y profesionales. No se tratan conscientemente datos de menores de 14 años (art. 8 RGPD y art. 7 LOPDGDD). Cualquier modificación de esta política se reflejará en su número de versión; el formulario registra la versión aceptada por cada interesado. Las modificaciones sustanciales se comunicarán a los interesados cuyos datos se conserven.
© 2026 DEV BOX · Versión 2026-09-26.1