1. Partes, alcance y funciones
Este Acuerdo de Encargo de Tratamiento («DPA») forma parte de los Términos del servicio entre Tatic ApS (CVR 42532940), Mejsevej 2, Hadbjerg, 8370 Hadsten, Dinamarca, que opera open-banking.io bajo el nombre secundario OpenBanking IO ApS («Encargado del tratamiento», «nosotros»), y el cliente empresarial que utiliza el servicio («Responsable del tratamiento», «tú»).
Se aplica en virtud del artículo 28 del RGPD siempre que conectes cuentas bancarias cuyos extractos o transacciones contengan datos personales (como nombres de contrapartes, IBAN, nóminas de empleados o referencias de pago). Consultas: privacy@open-banking.io.
2. Naturaleza, finalidad y duración del tratamiento
Tratamos datos personales únicamente para prestar el servicio open-banking.io: obtener datos de cuentas y transacciones mediante API PSD2 durante las sincronizaciones, cifrar las cargas bancarias sensibles bajo tu clave pública registrada, almacenar los registros resultantes y los metadatos estructurales de sincronización, y entregártelos a través de la aplicación web y la API.
El tratamiento continúa mientras tu cuenta permanezca activa y finaliza cuando eliminas una cuenta bancaria individual o eliminas tu cuenta de usuario.
3. Categorías de interesados y de datos personales
- Interesados: titulares de cuentas, contrapartes, clientes, proveedores y empleados cuyos datos figuren en tus cuentas bancarias conectadas y extractos de transacciones, así como usuarios autorizados de tu cuenta.
- Datos personales: identificadores de cuenta (IBAN, BBAN, números de cuenta), nombres de titulares y contrapartes, importes de transacciones, conceptos y referencias de pago (sellados bajo tu clave pública una vez registrada), junto con los metadatos estructurales necesarios para la sincronización, deduplicación y cumplimiento de PSD2 (identificador del banco, divisa, fechas contables/valor, UID de sesión/cuenta cifrados, dirección IP y User-Agent del usuario en sincronizaciones asistidas, y registros operativos de API y sincronización de 90 días).
Nunca recopilamos, vemos ni almacenamos credenciales de acceso bancario.
4. Instrucciones documentadas y cifrado del lado del cliente
Tratamos datos personales únicamente siguiendo tus instrucciones documentadas — es decir, tu configuración y uso del servicio y de la API —, salvo que el Derecho de la UE o el Derecho danés exijan lo contrario.
Una vez que registras una clave pública ECDH P-256, las cargas bancarias sensibles obtenidas a través de Enable Banking (nombres de titulares y contrapartes, IBAN/BBAN, importes, conceptos de pago y JSON bancario sin procesar) se sellan bajo tu clave pública (ECDH P-256 efímero + HKDF-SHA256 + AES-256-GCM), de modo que no podemos descifrarlas en reposo salvo que actives explícitamente la depuración temporal de soporte durante una ventana limitada.
5. Confidencialidad y medidas de seguridad (art. 32 del RGPD)
Toda persona autorizada por nosotros para acceder a la infraestructura está sujeta a estrictas obligaciones de confidencialidad.
Aplicamos medidas técnicas y organizativas adecuadas al riesgo:
- Cifrado envolvente de extremo a extremo bajo claves generadas y conservadas en tus propios dispositivos o sistemas
- Cifrado TLS 1.2/1.3 para todos los datos en tránsito
- Alojamiento en centros de datos de la UE certificados según ISO/IEC 27001:2022 con políticas de red de Kubernetes estrictas y acceso de mínimo privilegio
- Mitigación europea de DDoS, cortafuegos de aplicaciones web (WAF) y limitación de tasa en el borde de la red
6. Subencargados autorizados
Otorgas autorización general por escrito para los siguientes subencargados europeos:
- Enable Banking Oy (Espoo, Finlandia) — proveedor de servicios de información sobre cuentas (AISP) conforme a PSD2 supervisado por la Autoridad de Supervisión Financiera de Finlandia (FIN-FSA).
- Hetzner (Hetzner Online GmbH / Hetzner Finland Oy, Alemania y Finlandia) — alojamiento y almacenamiento en centros de datos certificados según ISO/IEC 27001:2022.
- Bunny.net (BunnyWay d.o.o., Liubliana, Eslovenia) — protección DDoS, WAF, DNS y red perimetral en infraestructura europea.
- Stripe (Stripe Payments Europe, Ltd., Irlanda) — procesamiento de pagos y facturación.
Vinculamos a cada subencargado a obligaciones de protección de datos no menos protectoras que este DPA y respondemos de su cumplimiento. Te notificamos por correo electrónico antes de añadir o sustituir a un subencargado para que puedas oponerte cerrando tu cuenta antes de que el cambio entre en vigor.
7. Residencia de datos en la UE y transferencias internacionales
Todos los datos bancarios y de cuentas se almacenan y procesan exclusivamente dentro de la Unión Europea y del EEE (Alemania, Finlandia e infraestructura perimetral europea). No transferimos tus datos bancarios fuera de la UE/EEE.
8. Asistencia, notificación de brechas y auditorías
Dado que tus datos bancarios son accesibles directamente para ti a través de la aplicación y la API, puedes exportar o suprimir registros en cualquier momento. Teniendo en cuenta la naturaleza del tratamiento, te asistimos previa solicitud a privacy@open-banking.io con las solicitudes de los interesados, evaluaciones de seguridad y consultas sobre EIPD.
Te notificaremos sin dilación indebida — y en un plazo máximo de 48 horas desde que tengamos conocimiento — cualquier violación de la seguridad de los datos personales que afecte a tu cuenta, facilitando la información exigida por el artículo 33 del RGPD.
Ponemos a tu disposición toda la información razonablemente necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitimos auditorías o inspecciones previo aviso razonable por escrito.
9. Supresión al término del servicio y ley aplicable
Desconectar una conexión bancaria revoca la sesión PSD2 y detiene nuevas sincronizaciones, manteniendo disponible tu historial importado hasta que elimines la cuenta. Cuando eliminas una cuenta bancaria individual o eliminas tu cuenta de usuario, los registros de cuentas y transacciones se eliminan permanentemente de las bases de datos activas y se purgan de las copias de seguridad de la base de datos en un plazo de 30 días (conservándose únicamente los registros legales de facturación y contabilidad conforme a la Ley de Contabilidad danesa y los registros operativos de corta duración que expiran en un máximo de 90 días).
Este DPA se rige por la legislación danesa y se somete a la jurisdicción de los tribunales daneses. Contacto para todas las cuestiones de protección de datos: privacy@open-banking.io.