Contrato de encargo del tratamiento

Última actualización: 2026-10-28

Este contrato forma parte de los términos de uso y cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD). Las partes son el cliente titular de la cuenta (responsable) y el titular de Peachform (encargado).

1. Objeto, duración y naturaleza

Objeto: alojar los formularios del responsable, recibir y guardar sus respuestas y archivos, mostrárselos, exportarlos, contar de forma anónima hasta dónde llega cada visita y, si lo configura, guardar las respuestas sin terminar y enviar las respuestas por email (a su cuenta o, como copia, a quien responde), webhook o Google Sheets.
Duración: mientras la cuenta exista.
Interesados: las personas que rellenan los formularios del responsable.
Datos: los que el responsable decida pedir en sus formularios, incluidos archivos y campos de la dirección. El responsable no debe pedir categorías especiales de datos salvo que tenga base legal para ello y las medidas adecuadas.

2. Obligaciones del encargado

Tratar los datos solo siguiendo las instrucciones del responsable, que son las que da al configurar y usar el servicio, salvo obligación legal.
Garantizar que las personas autorizadas a tratar los datos tienen deber de confidencialidad.
Aplicar las medidas de seguridad del artículo 32 del RGPD: cifrado en tránsito, control de acceso por cuenta y equipo, aislamiento entre cuentas, registros sin contenido de las respuestas y descarga de archivos solo como adjunto.
No usar los datos para fines propios, ni venderlos, ni cederlos a terceros salvo a los subencargados indicados abajo.
Ayudar al responsable a atender los derechos de los interesados; el servicio permite consultar, exportar y borrar respuestas, y fijar en cada formulario un plazo de conservación tras el que sus respuestas y archivos se borran solos: 6 meses por defecto y como máximo entre 6 meses y 2 años según el plan contratado (el borrado se ejecuta una vez al día).
Notificar al responsable sin dilación indebida, y en todo caso en un máximo de 48 horas desde que tenga conocimiento, cualquier violación de seguridad que afecte a sus datos, con la información disponible.
Al terminar el servicio, suprimir los datos: borrar la cuenta elimina formularios y respuestas al momento y los archivos en las 24 horas siguientes. Las copias de seguridad técnicas se eliminan al terminar su periodo de retención.
Poner a disposición del responsable la información necesaria para demostrar el cumplimiento de estas obligaciones.

3. Subencargados

El responsable autoriza de forma general a los siguientes subencargados. Avisaremos por email con al menos 15 días de antelación antes de añadir o sustituir alguno, para que el responsable pueda oponerse y, en su caso, cancelar el servicio.

Cloudflare: Alojamiento de la aplicación, base de datos (D1), archivos subidos (R2), protección anti-spam (Turnstile) y red. Base de datos y archivos almacenados en la UE (jurisdicción europea de D1 y R2); red global y empresa con sede en EE. UU..
Resend: Envío de emails: avisos de respuestas, copias para quien responde, enlaces de acceso, invitaciones y avisos de uso. Envío desde la UE (Irlanda); datos de la cuenta en EE. UU..
Stripe: Cobro de los planes de pago, facturas e impuestos (solo datos de quien contrata). UE y EE. UU..
Google (solo si eliges entrar con Google): Inicio de sesión: nos facilita tu email verificado. EE. UU..

4. Obligaciones del responsable

Tener una base legal para los datos que pide e informar a quienes rellenan sus formularios (por ejemplo, con una pregunta de aceptación legal que enlace a su propia política).
Pedir solo los datos necesarios y no usar los formularios para obtener contraseñas o datos de pago.
Gestionar quién de su equipo tiene acceso a las respuestas.

5. Contacto

Para cualquier cuestión sobre este contrato, escribe a hello@peachform.app.