Declaración de residencia de los datos

Borrador, no vigente. Versión 0.1 de 6 de octubre de 2026.

Entra en vigor el {{EFFECTIVE_DATE}}.

Esta declaración es el Anexo V del acuerdo de encargo del tratamiento de datos personales y se publica en app.socializza.com. En esta declaración "Socializza" designa a ITALDRONI S.r.l., que presta el servicio Socializza.

El principio

El Reglamento (UE) 2016/679 (RGPD) no obliga a conservar los datos en la Unión Europea. Obliga a que toda transferencia a un tercer país cumpla las condiciones del capítulo V. La residencia en la Unión es por tanto un compromiso que Socializza asume por iniciativa propia. Por eso cada excepción se enumera aquí antes de la firma del contrato.

Socializza conserva todos los datos de los clientes en la Unión Europea, con las únicas excepciones enumeradas más abajo para los pagos y para los canales que el cliente activa.

Socializza elige además proveedores de propiedad europea. Por eso la tabla de excepciones indica también los proveedores de propiedad no europea que tratan datos en la Unión.

Datos conservados en la Unión Europea

Datos	Dónde	Proveedor
Base de datos PostgreSQL con los datos del workspace descritos en el Anexo II del acuerdo de encargo, las cuentas de los miembros y los datos de facturación. Los tokens de las plataformas se cifran con una clave propia de cada workspace.	Servidor virtual Amazon Lightsail, región eu-central-1, Fráncfort, Alemania.	Amazon Web Services EMEA SARL, Luxemburgo, excepción 6
Archivos multimedia de los posts, suprimidos a más tardar 7 días después de la publicación o la cancelación.	El servidor Amazon Lightsail de la primera fila, región eu-central-1, Fráncfort, Alemania.	Amazon Web Services EMEA SARL, Luxemburgo, excepción 6
Copias de seguridad de la base de datos y de las instantáneas del almacén de claves, cifradas antes del envío. Socializza conserva 30 días rotativos y una copia mensual durante 12 meses.	AWS S3, región eu-central-1, Fráncfort, Alemania.	Amazon Web Services EMEA SARL, excepción 2
Logs de seguridad del acceso y de la prevención de abusos, que conservan la dirección IP durante 30 días. Logs operativos y métricas de los servidores, de los que se eliminan los datos personales a la entrada, conservados 30 días.	Logs de seguridad, logs operativos y métricas en el servidor de la primera fila.	Amazon Web Services EMEA SARL, Luxemburgo, excepción 6
Almacén de claves OpenBao, que custodia la clave con la que se cifran las claves de cada workspace. Los fragmentos de desbloqueo se custodian fuera de los servidores.	En el servidor Amazon Lightsail de la primera fila, región eu-central-1, Fráncfort, Alemania.	Amazon Web Services EMEA SARL, Luxemburgo, excepción 6. Socializza no usa servicios de gestión de claves de proveedores estadounidenses.

Excepciones

Cada fila describe un flujo que sale de la Unión o que trata una entidad de propiedad no europea.

Flujo	Datos que salen o que trata una entidad no europea	Destinatario	Motivo	Mecanismo del capítulo V	Desactivable por el cliente
1. Correo transaccional con Amazon SES	Dirección de email del destinatario, nombre de usuario de la cuenta, nombre del agente y un enlace a la app. Los mensajes nunca contienen el texto de los posts, los archivos multimedia ni los comentarios.	Amazon Web Services EMEA SARL, 38 Avenue John F. Kennedy, L-1855 Luxemburgo, sociedad de un grupo estadounidense. Región eu-central-1, Fráncfort, Alemania. Subencargado.	Envío de las aprobaciones, de las notificaciones, de los enlaces de acceso y de los mensajes de la lista de espera. Socializza no usa otros canales de correo.	Los datos permanecen en la región eu-central-1. Se aplican las cláusulas contractuales tipo de la Decisión de Ejecución (UE) 2021/914 de la Comisión, que el AWS GDPR Data Processing Addendum, parte de los AWS Service Terms, aplica a toda transferencia fuera del Espacio Económico Europeo.	No
2. Copias de seguridad cifradas con Amazon S3	Copia de la base de datos y de las instantáneas del almacén de claves, solo en forma cifrada. AWS nunca recibe la clave.	Amazon Web Services EMEA SARL, como en la fila 1. Región eu-central-1, Fráncfort, Alemania. Subencargado.	Archivo de copias de seguridad con bloqueo de la supresión (Object Lock).	Como en la fila 1.	No
3. Pagos de las suscripciones por la web con Stripe	Datos de facturación y de pago del cliente, como razón social, país, número de IVA, plan y referencia de cliente. Socializza nunca introduce contenidos del workspace en los campos descriptivos ni en los metadatos de Stripe.	Stripe Payments Europe, Limited, Dublín, Irlanda, y Stripe, LLC, Estados Unidos. Stripe actúa como responsable independiente y como encargado.	Cobro de las suscripciones, adeudo directo SEPA, cálculo de impuestos y facturas. Stripe no ofrece la conservación de los datos de pago solo en la Unión.	Acuerdo de encargo del tratamiento de Stripe, parte del Stripe Services Agreement. El Data Transfer Addendum de Stripe aplica en primer lugar la decisión de adecuación sobre el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), en el que Stripe, LLC está certificada, y subsidiariamente las cláusulas contractuales tipo.	No, para los pagos por la web. La compra en la app sustituye este flujo por la excepción 4, que también sale de la Unión. El plan Agenzia solo se compra en la web. El plan Gratis no requiere pagos.
4. Compras en la app con Apple y Google	Datos del comprador y del pago, recogidos por la tienda. Socializza recibe de la tienda los datos de la suscripción al plan comprado.	Apple Distribution International Ltd, Hollyhill Industrial Estate, Hollyhill, Cork, Irlanda, para la App Store. Google, para Google Play. Ambos actúan como vendedores (merchant of record).	Venta de las suscripciones dentro de las apps de iOS y Android, a los mismos precios que en la web.	No hay ningún acuerdo de encargo disponible. Apple y Google tratan los datos de compra como responsables independientes según sus propios términos. Apple Inc., Estados Unidos, no está certificada en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework); la política de privacidad de Apple indica como mecanismo las cláusulas contractuales tipo. Google LLC, Estados Unidos, está certificada en el Data Privacy Framework, por lo que la transferencia se basa en la decisión de adecuación, la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023.	No, para las compras en la app. El pago por la web sustituye este flujo por la excepción 3, que también sale de la Unión.
5. Notificaciones push con APNs y FCM	Un identificador opaco y el token del dispositivo. La app descarga el contenido del servidor en la Unión cuando el usuario abre la notificación.	Apple Inc., One Apple Park Way, Cupertino, California, para Apple Push Notification service (APNs), y Google LLC, 1600 Amphitheatre Parkway, Mountain View, California, para Firebase Cloud Messaging (FCM), ambas en Estados Unidos. Destinatarios indicados en la política de privacidad, no subencargados.	Entrega de las notificaciones a las apps de iOS y Android.	Ningún contenido del cliente sale de la Unión. Para APNs, Apple Inc. no está certificada en el Marco de Privacidad de Datos UE-EE. UU. (Data Privacy Framework), y la política de privacidad de Apple indica como mecanismo las cláusulas contractuales tipo. Para FCM, Google LLC actúa como encargado del tratamiento de Socializza conforme a los Firebase Data Processing and Security Terms. Google LLC está certificada en el Data Privacy Framework, por lo que la transferencia se basa en la decisión de adecuación, la Decisión de Ejecución (UE) 2023/1795 de la Comisión, de 10 de julio de 2023, y subsidiariamente en las cláusulas contractuales tipo de esos términos.	Sí, desactivando las notificaciones push.
6. Alojamiento con Amazon Lightsail	Las categorías del Anexo II del acuerdo de encargo y los archivos multimedia subidos por el cliente. Los tokens de las plataformas se conservan solo en forma cifrada.	Amazon Web Services EMEA SARL, como en la fila 1. Región eu-central-1, Fráncfort, Alemania. Subencargado.	Servidor virtual que aloja la base de datos, la aplicación, el almacén de claves y los archivos multimedia.	Como en la fila 1.	No

Las filas 3 y 4 se refieren a datos de facturación y la fila 5 a datos de las notificaciones push, que Socializza trata como responsable según la política de privacidad. Estos datos quedan fuera del acuerdo de encargo. Entran, sin embargo, en el compromiso de residencia, y por eso aparecen aquí. AWS, para las filas 1, 2 y 6, figura también en la lista de subencargados, Anexo IV del acuerdo de encargo.

Plataformas sociales

Por instrucción del cliente, Socializza publica en las plataformas sociales y lee sus datos. En el lanzamiento las plataformas son X y, a través de Meta, las Páginas de Facebook, Instagram y Threads. Las plataformas son destinatarios que el cliente elige, indicados en el Anexo II del acuerdo de encargo. Cada una trata los datos como responsable independiente, en su propia relación con el cliente y según sus propios términos. Por tanto, estos flujos quedan fuera del compromiso de residencia de esta declaración.

Servicios que no tratan datos de los clientes

Estos servicios no son subencargados y no aparecen en la lista de subencargados.

Servicio	Qué trata	Por qué no trata datos de los clientes
Cloudflare	Solo los registros DNS de socializza.com, sin proxy y sin cortafuegos de aplicaciones.	El tráfico de los clientes no pasa por Cloudflare.
Tailscale	El plano de control de la red privada entre los servidores de Socializza, con las claves y los metadatos de los servidores, como nombres y direcciones de los nodos.	El plano de control intercambia solo claves y metadatos, y ningún contenido de los clientes pasa por él. ITALDRONI ha evaluado el servicio frente al compromiso de propiedad europea y lo ha aceptado. El paso previsto es Headscale, alojado en la Unión.
GitHub	Código fuente, integración continua e imágenes de los contenedores.	Los procesos de compilación no acceden a los datos de los clientes.
Codemagic	Compilación de las apps de iOS y Android.	Compila el código y no recibe datos de los clientes.

Canales excluidos en el lanzamiento

Las aprobaciones por Telegram y WhatsApp no se ofrecen en el lanzamiento y no aparecen en esta declaración. Cada canal añadido después entra con el preaviso de 30 días del artículo 5.5 del acuerdo de encargo y añade una nueva fila a la tabla de excepciones.