Privacidad y RGPD

1. Quién es responsable y quién encargado

Komissió trata datos en dos papeles distintos, según de quién sean los datos:

• Datos de los miembros de la asociación (censo, cuotas, eventos, documentos y el resto de la gestión): la asociación es la Responsable del tratamiento y Komissió actúa como Encargado del tratamiento, siguiendo sus instrucciones.
• Web pública y museo digital de la asociación: la asociación es la Responsable de los datos que se publican o se recogen en esa web y de sus textos legales; Komissió es el Encargado que la aloja.
• Cuentas de usuario, facturación, soporte y marketing de Komissió, y la web komissio.es: Komissió es la Responsable.
• Partners implantadores: si la asociación trabaja con un partner de Komissió y le da acceso, ese partner trata los datos como subencargado de Komissió, con el alcance mínimo necesario y bajo un acuerdo de subencargo. La asociación puede retirarle el acceso en cualquier momento.

Fuente: política de privacidad, apartado II.2.

Titular	Alejandro Fandos Ferrada (Komissió) · NIF 53786645H
Domicilio	Calle Mare de Déu de la Misericòrdia 13, 3B, 12530 Burriana, Castellón
Contacto	[email protected]

2. Documentos legales

• Política de privacidad y aviso legal

  Quién trata los datos, para qué, con qué base jurídica, cuánto tiempo y cómo ejercer los derechos. Incluye el aviso legal (LSSI-CE) y el apartado del Asistente IA.

• Términos y condiciones

  Condiciones generales del servicio: seguridad y conservación de documentos (apartado 13), eliminación de datos históricos (20), pasarela de pago (21) y webs públicas y museos digitales (23).

• Política de cookies

  Qué cookies usa komissio.es y cómo aceptarlas, rechazarlas o retirar el consentimiento, incluido el píxel de Meta.

• Política de marketing y comunicaciones

  Comunicaciones comerciales, siempre opcionales, y cómo darse de baja en cualquier momento.

• Contrato de encargo del tratamiento

  El acuerdo entre la asociación (Responsable) y Komissió (Encargado) previsto en el artículo 28 del RGPD.

  Disponible bajo petición en [email protected] .

3. Proveedores (subencargados)

Para prestar el servicio, Komissió se apoya en estos proveedores tecnológicos, que actúan como encargados o subencargados del tratamiento:

Proveedor	Para qué	Ubicación de los datos	Más información
OVHcloud ISO/IEC 27001 ISO/IEC 27017 ISO/IEC 27018 Alcance: Servidores VPS	Para qué: Servidores de la plataforma y base de datos PostgreSQL gestionada.	Ubicación: Unión Europea · Gravelines (Francia)	Protección de datos · Contratos y DPA
Cloudflare ISO/IEC 27001 ISO/IEC 27018 ISO/IEC 27701 SOC 2 Tipo II Alcance: Plataforma global; SOC 2 incluye R2, CDN y Turnstile	Para qué: Almacenamiento de archivos e imágenes (R2), entrega y protección de komissio.es y verificación antiabuso de los formularios (Turnstile).	Ubicación: Archivos: jurisdicción de datos de la Unión Europea · Red de entrega: global	RGPD · DPA
Resend SOC 2 Tipo II	Para qué: Envío de los correos de la plataforma.	Ubicación: Según la documentación del proveedor	Privacidad · DPA
Stripe PCI DSS nivel 1 SOC 1 SOC 2 Tipo II	Para qué: Cobro de la suscripción de la asociación a Komissió mediante adeudo SEPA; Stripe recoge directamente la cuenta bancaria de la organización.	Ubicación: Según la documentación del proveedor	Privacidad · DPA
Tugesto ENS categoría ALTA Alcance: Aplicación cloud, facturación incluida	Para qué: Emisión de las facturas de la suscripción.	Ubicación: Proveedor establecido en España	Privacidad

Cuando algún proveedor trata datos fuera del Espacio Económico Europeo, la transferencia se realiza con garantías adecuadas mediante Cláusulas Contractuales Tipo aprobadas por la Comisión Europea (política de privacidad, apartado II.5). Los partners implantadores con acceso concedido por la asociación también son subencargados (apartado 1).

Seguridad de nuestros proveedores

Los proveedores que alojan, protegen y procesan los datos de Komissió someten sus servicios a auditorías independientes. Estas certificaciones son de cada proveedor y cubren los servicios que él presta, con el alcance que indica; no son certificaciones de Komissió. Cada una enlaza a la página oficial donde el proveedor la publica.

• OVHcloud (servidores): ISO/IEC 27001, 27017 y 27018, que incluyen sus servidores VPS, donde se ejecuta la plataforma.
• Cloudflare (archivos, entrega y protección): ISO/IEC 27001, 27018 y 27701 para su plataforma global, e informe SOC 2 Tipo II, cuyo alcance incluye R2, la red de entrega y Turnstile.
• Resend (correo): informe SOC 2 Tipo II.
• Stripe (cobro de la suscripción): proveedor de servicios PCI DSS de nivel 1, el nivel más exigente del sector de los pagos, e informes SOC 1 y SOC 2 Tipo II anuales.
• Tugesto (facturación): certificado del Esquema Nacional de Seguridad (ENS), categoría ALTA, para su aplicación cloud, facturación incluida.

ISO/IEC 27001:

gestión de la seguridad de la información.

ISO/IEC 27017 y 27018:

seguridad en la nube y protección de datos personales en la nube.

ISO/IEC 27701:

gestión de la privacidad.

SOC 1 y SOC 2 Tipo II:

auditorías independientes de los controles del proveedor durante un periodo.

PCI DSS:

norma de seguridad de los datos de pago con tarjeta.

ENS:

Esquema Nacional de Seguridad (Real Decreto 311/2022).

4. Otros servicios que no son subencargados

• Redsys (pagos con tarjeta de la asociación): es la pasarela bancaria contratada por la propia asociación. Los datos financieros los trata directamente su entidad bancaria y Komissió no tiene acceso a los datos de las tarjetas (términos, apartado 21).
• Asistente IA (ChatGPT, Claude u otro cliente MCP): solo si un administrador de la asociación lo conecta. El proveedor que elija (OpenAI, Anthropic u otro) actúa por cuenta de la asociación y con sus propias condiciones. Nunca se le envían DNI, IBAN, teléfono, correo, dirección ni fecha de nacimiento de nadie (política de privacidad, apartado 8).
• Meta (píxel y medición de campañas): solo en la web komissio.es y solo si el visitante acepta las cookies de publicidad; sin ese consentimiento no se envía nada a Meta (cookies y privacidad).
• App Store (Apple) y Google Play: distribuyen las apps de Komissió; la descarga se rige por las condiciones de cada tienda (Apple, Google).

5. Seguridad y conservación

Las medidas que recogen nuestros textos legales:

• Copias de seguridad diarias de todos los documentos y de la base de datos completa.
• Cifrado: los archivos se almacenan con cifrado y medidas de seguridad técnicas y organizativas adecuadas.
• Control de acceso: los documentos oficiales solo los pueden ver, modificar o eliminar los roles autorizados (secretaría, directiva, etc.).
• Registro de actividad: las acciones quedan en un registro para auditoría y seguridad, y las eliminaciones de datos históricos se registran con usuario, fecha y registros afectados.
• Asistente IA: conexión autorizada con el usuario de Komissió y un segundo factor (OAuth 2.1 con PKCE), con los mismos permisos que en el panel y revocable en cualquier momento.
• Exportación y baja: la asociación puede pedir la exportación de sus datos en formatos estándar (PDF, CSV…). Tras la baja, tiene 90 días naturales para descargar su documentación antes de la eliminación definitiva (30 días para los archivos de su web pública).

Fuente: términos, apartados 13, 20 y 23.4, y política de privacidad, apartados II.3 y II.8.

6. Derechos y contacto

Para ejercer los derechos de acceso, rectificación, supresión, oposición, limitación y portabilidad, o para retirar un consentimiento, escribe a [email protected] acreditando tu identidad.

Si eres miembro de una asociación y tu solicitud trata sobre los datos que gestiona tu asociación, dirígela a ella, que es la Responsable; Komissió la asistirá como Encargado.

También puedes presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD).

¿Tu asociación necesita el contrato de encargo o tiene alguna pregunta sobre esta documentación? Escríbenos a [email protected].

Última actualización: 28 de octubre de 2026