La versión alemana es legalmente vinculante.

Acuerdo de encargo del tratamiento (art. 28 RGPD)

Versión 2026-10, fecha: 13 de octubre de 2026.

Este acuerdo (en adelante «ADV») se aplica entre el Cliente y el proveedor de todo.monster indicado en el aviso legal (Impressum). El Cliente es el responsable del tratamiento (art. 4, n.º 7, RGPD): decide qué datos entran en todo.monster y con qué fin. El Proveedor es el encargado del tratamiento (art. 4, n.º 8, RGPD): almacena y trata estos datos únicamente para el Cliente. Quiénes son las partes y quién las representa se desprende del contrato de uso de todo.monster (en adelante «contrato principal»: las Condiciones Generales de Contratación con la tarifa contratada o un acuerdo piloto).

Ámbito de aplicación y orden de prelación

(1) todo.monster se dirige únicamente a empresarios (§ 14 BGB, Código Civil alemán). Este ADV se celebra en el registro junto con las Condiciones Generales de Contratación. Entra en juego en cuanto en los proyectos, áreas de empresa, buzones o calendarios del Cliente haya datos de otras personas, por ejemplo el nombre de un cliente potencial en una tarea, una proveedora como remitente de un correo electrónico o los participantes de una cita. Si el Cliente trata allí únicamente datos propios, este ADV no genera ninguna obligación.

(2) Para algunas cuestiones, el propio Proveedor es responsable del tratamiento y no encargado: para la cuenta de usuario de cada persona individual, el inicio de sesión, la facturación, los registros de consentimientos, la seguridad y la prevención de abusos del Servicio, el programa piloto y de incorporación, y los correos electrónicos del sistema a los titulares de cuentas. Estos tratamientos no forman parte del encargo; figuran en la política de privacidad.

(3) En caso de contradicción entre este ADV y el contrato principal, en cuestiones de protección de datos prevalece este ADV. Un acuerdo piloto puede complementar este ADV, pero no atenuar ninguna obligación derivada de él.

(4) Únicamente es vinculante la versión alemana. Las traducciones ayudan a la comprensión; en caso de divergencia, prevalece el texto alemán.

(5) El Cliente celebra este ADV de forma electrónica (art. 28, apartado 9, RGPD) al confirmarlo en el registro. Si posteriormente contrata una tarifa de empresa o un acuerdo piloto, confirma de nuevo la versión vigente en ese momento. Para cada confirmación, el Proveedor guarda la versión, el momento y una suma de verificación del texto confirmado.

§ 1 Objeto y duración

(1) El Proveedor pone todo.monster a disposición del Cliente como software a través de Internet. Esto incluye: tareas y proyectos, registro de tiempo, comentarios y adjuntos, buzones de la empresa, así como buzones y calendarios que el Cliente o sus usuarios conecten, notificaciones, la conversión con IA de un correo electrónico en una tarea (solo cuando un usuario la activa) y los informes de error con captura de pantalla. Tratar significa aquí: almacenar, mostrar, transmitir a los destinos elegidos por el Cliente (por ejemplo, enviar una respuesta a través del buzón conectado), hacer copias de seguridad, enviar a la papelera y ayudar en el soporte. Qué ocurre exactamente con qué datos se indica en el Anexo A.

(2) Este ADV tiene la misma duración que el contrato principal. Finaliza únicamente cuando los datos han sido devueltos o eliminados conforme al § 11.

§ 2 Naturaleza y finalidad del tratamiento, tipos de datos, interesados

Qué hace el Proveedor con qué datos, con qué finalidad, de qué tipos de datos se trata y qué personas se ven afectadas se indica en el Anexo A, ordenado según las funciones del Servicio.

§ 3 Instrucciones

(1) El Proveedor trata los datos del Cliente únicamente para prestar el Servicio conforme al contrato y únicamente de la forma que el Cliente ordena a través de este acuerdo, las AGB y el uso del Servicio. Toda entrada, configuración y activación de una función en el Servicio se considera una instrucción. Solo si una ley de la UE o de Alemania obliga al Proveedor a un tratamiento distinto, por ejemplo a la entrega a una autoridad o a la conservación de datos de facturación, puede apartarse de ello. En ese caso, informa previamente al Cliente, salvo que la ley lo prohíba.

(2) Son instrucciones, por ejemplo: crear, modificar o eliminar una tarea; invitar a un miembro o a un invitado; conectar un buzón o un calendario de un proveedor externo; iniciar la función de IA para un único correo electrónico; enviar un informe de error con captura de pantalla; iniciar una exportación de datos. El Proveedor hace entonces exactamente lo que la función promete, y nada más.

(3) Si el Cliente desea algo que ninguna función del Servicio cubre, por ejemplo la restauración de un proyecto que ya no encuentra en la papelera, envía la instrucción en forma textual (Textform) a support@todo.monster. Las instrucciones las imparte el propio Cliente; para una empresa en todo.monster, su propietario y los administradores designados en la gestión de la empresa. El Proveedor confirma la recepción y deja constancia de qué ha ejecutado y cuándo.

(4) Restauración: los proyectos, módulos, tareas, buzones y calendarios eliminados permanecen en la papelera durante el plazo indicado en el Anexo B, punto 3. Allí los recuperan por sí mismos el Cliente y sus usuarios autorizados. Si el Cliente solicita al Proveedor una restauración, se trata de una instrucción conforme al apartado 3. El Proveedor la ejecuta si los datos todavía existen técnicamente; no puede prometer un plazo ni un resultado. Qué datos ve el Proveedor en ese proceso se indica en el Anexo B, punto 5.

(5) Si el Proveedor considera que una instrucción infringe el RGPD u otra ley de protección de datos, se lo comunica de inmediato al Cliente. Hasta que el Cliente confirme o modifique la instrucción, el Proveedor puede dejarla sin ejecutar.

§ 4 Obligaciones del Cliente

(1) El Cliente es responsable de que pueda tratar los datos en absoluto: necesita una base jurídica, informa a los interesados y responde a sus solicitudes. Ejemplo: si un empleado del Cliente crea una tarea con el nombre y el número de teléfono de un cliente potencial, es el Cliente quien debe poder justificarlo ante ese cliente potencial, no el Proveedor.

(2) Si el Cliente gestiona una empresa en todo.monster, asigna él mismo los roles (propietario, administrador, miembro, invitado) y los retira cuando alguien se marcha. Comunica a sus usuarios que sus contenidos en las áreas de empresa pertenecen a la empresa.

(3) Si el Cliente o uno de sus usuarios conecta un buzón o un calendario de un proveedor externo, por ejemplo una cuenta de Microsoft, el Cliente ha elegido ese destinatario. Asume la responsabilidad de que los datos puedan ir allí, incluso si el proveedor externo los trata fuera del Espacio Económico Europeo (§ 13, apartado 3).

(4) La función de IA convierte un correo electrónico en una tarea únicamente cuando un usuario lo activa para ese correo electrónico concreto; cada usuario puede desactivar la función para sí mismo. El Cliente decide si sus usuarios pueden utilizarla y responde de la base jurídica frente a sus usuarios y los remitentes de los correos electrónicos. Su propio papel en este proceso lo describe el Proveedor en la política de privacidad.

(5) No están pensados para todo.monster las categorías especiales de datos (art. 9 RGPD, por ejemplo datos de salud), los datos relativos a infracciones penales (art. 10 RGPD) y los datos sujetos a secreto profesional (§ 203 StGB, Código Penal alemán, por ejemplo expedientes de clientes de un despacho de abogados). Si el Cliente desea, no obstante, que se traten tales datos, lo acuerda previamente con el Proveedor en forma textual.

(6) El Cliente mantiene actualizada la dirección de correo electrónico de su cuenta, y en el caso de una empresa, la del propietario de la empresa. A esta dirección se envían las comunicaciones conforme al § 7 y al § 10.

§ 5 Confidencialidad

Todas las personas que en el Proveedor puedan manejar los datos del Cliente están obligadas por escrito a guardar secreto o están sujetas a una obligación legal de secreto (art. 28, apartado 3, letra b, RGPD). La obligación se mantiene incluso después de finalizar su actividad. En cualquier caso, acceden a los contenidos del Cliente únicamente en los casos que el Anexo B, punto 5, enumera de forma exhaustiva.

§ 6 Medidas técnicas y organizativas

(1) El Proveedor protege los datos con las medidas del Anexo B (art. 32 RGPD), por ejemplo mediante el almacenamiento cifrado de los textos de las tareas y mediante un modelo de roles que verifica cada solicitud en el lado del servidor. Estas medidas son el estándar mínimo que las partes acuerdan en la celebración del contrato.

(2) El Proveedor puede seguir desarrollando las medidas siempre que la protección no empeore por ello. Deja constancia de las modificaciones esenciales; la versión actual del Anexo B figura en esta página.

§ 7 Subencargados del tratamiento

(1) El Proveedor puede recurrir a las empresas indicadas en el Anexo C, sección 1, por ejemplo el proveedor de alojamiento en el que se ejecuta la base de datos. Con el registro, el Cliente autoriza esta lista (autorización general, art. 28, apartado 2, RGPD).

(2) Si el Proveedor desea incorporar otra empresa o sustituir una, escribe previamente al Cliente un correo electrónico del sistema a la dirección conforme al § 4, apartado 6, y actualiza el Anexo C. El Cliente dispone de 30 días desde la recepción para oponerse en forma textual por motivos de protección de datos. Antes de ello, el cambio no surte efecto para él.

(3) Si el Cliente se opone, puede resolver el contrato principal en la fecha en que el cambio surta efecto. La devolución y la eliminación se rigen por el § 11.

(4) También un cambio del servicio que proporciona el modelo de lenguaje para la función de IA es un cambio conforme al apartado 2, aunque el Proveedor solo modifique para ello una configuración.

(5) A cada subencargado del tratamiento, el Proveedor le impone por contrato las mismas obligaciones de protección de datos que él mismo tiene en este ADV, sobre todo medidas de protección suficientes (art. 28, apartado 4, RGPD). Si un subencargado del tratamiento incumple algo, el Proveedor responde ante el Cliente como si se tratara de un incumplimiento propio.

(6) No son subencargados del tratamiento los destinatarios del Anexo C, sección 2, que no reciben datos del encargo, ni los servicios del Anexo C, sección 3, que el Cliente o sus usuarios conectan por sí mismos.

§ 8 Asistencia en el ejercicio de los derechos de los interesados

(1) Si una persona solicita al Cliente acceso, rectificación, supresión, limitación o portabilidad de sus datos, o se opone al tratamiento (capítulo III del RGPD), el Proveedor ayuda al Cliente a responder a la solicitud (art. 28, apartado 3, letra e, RGPD). El primer medio son las funciones del Servicio: búsqueda y visualización, edición y eliminación de contenidos, eliminación de miembros e invitados y la exportación de datos (§ 11, apartado 3). Ejemplo: si un antiguo socio comercial solicita acceso, el propio Cliente busca su nombre en sus proyectos y buzones. Si esto no basta, el Proveedor ayuda previa solicitud en forma textual; por ello puede exigir una remuneración razonable según el esfuerzo, salvo que la solicitud se deba a un error del Proveedor.

(2) Si una persona se dirige directamente al Proveedor y se trata de datos que el Proveedor trata para el Cliente, el Proveedor remite la solicitud de inmediato al Cliente y no la responde por sí mismo. A la persona le comunica que la ha remitido.

§ 9 Asistencia en las obligaciones conforme a los arts. 32 a 36 RGPD

El Proveedor ayuda al Cliente a cumplir sus obligaciones derivadas de los arts. 32 a 36 RGPD (art. 28, apartado 3, letra f, RGPD): en la seguridad del tratamiento mediante las medidas del Anexo B, en las violaciones de la seguridad de los datos mediante la notificación conforme al § 10 y con información sobre el tratamiento cuando el Cliente realice una evaluación de impacto relativa a la protección de datos o deba consultar previamente a su autoridad de control. Para ello tiene en cuenta lo que sabe sobre el tratamiento y cómo se desarrolla. Las solicitudes se envían en forma textual a support@todo.monster.

§ 10 Notificación de violaciones de la seguridad de los datos personales

(1) Si el Proveedor tiene conocimiento de una violación de la seguridad de los datos personales que afecte a datos del Cliente, por ejemplo un acceso no autorizado a la base de datos o una fuga en una copia de seguridad, lo notifica al Cliente sin dilación indebida a la dirección conforme al § 4, apartado 6 (art. 33, apartado 2, RGPD). Notifica con la rapidez suficiente para que el Cliente pueda cumplir su propio plazo de 72 horas ante la autoridad de control (art. 33, apartado 1, RGPD).

(2) La notificación contiene, en la medida en que el Proveedor ya lo sepa: qué ha ocurrido, qué tipos de datos y aproximadamente cuántas personas y registros se ven afectados, qué consecuencias son probables, qué ha hecho y qué propone el Proveedor, y quién es la persona de contacto en el Proveedor (art. 33, apartado 3, RGPD). Lo que todavía no sabe, lo comunica en cuanto lo sepa.

(3) El Proveedor asegura los datos de inmediato, limita el daño y acuerda los pasos siguientes con el Cliente.

§ 11 Fin del encargo, devolución y eliminación

(1) Para una empresa, el encargo finaliza cuando la tarifa de empresa o el acuerdo piloto se cancela o termina de otro modo sin que le siga directamente otra tarifa de empresa, o cuando la empresa se disuelve (en adelante «fin del contrato»). Un cambio entre tarifas de empresa o del acuerdo piloto a una tarifa de empresa no pone fin al encargo. Para un Cliente sin empresa, el encargo finaliza cuando elimina su cuenta; el procedimiento se describe en la política de privacidad.

(2) Tras el fin del contrato, el propietario de la empresa puede leer y exportar los datos de la empresa durante 30 días más. Durante ese tiempo recupera los datos por sí mismo mediante la exportación de la empresa. Si el Cliente prefiere que los datos se eliminen de inmediato, se lo comunica al Proveedor en forma textual; el Proveedor los elimina entonces sin demora. De este modo, el Cliente puede elegir entre devolución y eliminación (art. 28, apartado 3, letra g, RGPD).

(3) La exportación de la empresa es la vía de devolución: el propietario de la empresa descarga un archivo en formatos habituales y legibles por máquina (JSON, CSV) con proyectos, módulos, tareas, comentarios, registros de tiempo, asignaciones, etiquetas, reglas de series, historial de cambios y adjuntos. No se incluyen los contenidos de los buzones de la empresa ni de los buzones conectados, los calendarios y citas, las facturas y comprobantes ni los perfiles de otras personas. Si el Cliente necesita contenidos de buzones o calendarios, los solicita en forma textual dentro de los 30 días del apartado 2; el Proveedor los pone a disposición en un plazo de 30 días desde la recepción, siempre que todavía existan. Los clientes sin empresa utilizan la exportación personal de datos con el mismo alcance para sus propios proyectos.

(4) Las facturas y comprobantes que el Proveedor ha emitido al Cliente como responsable del tratamiento siguen estando disponibles en la cuenta en todo momento; no forman parte del encargo.

(5) 60 días después del fin del contrato, un proceso automático de limpieza elimina los datos de la empresa, incluida la papelera, siempre que ninguna ley exija una conservación más prolongada. En las copias de seguridad del proveedor de alojamiento, los datos se sobrescriben en un plazo de otros 30 días. Una copia de seguridad que contenga datos eliminados solo se restaura tras una avería; después, el Proveedor vuelve a ejecutar las eliminaciones ya realizadas.

(6) Las cuentas personales de los miembros e invitados no se ven afectadas por el fin del contrato; sus propios datos fuera de la empresa permanecen en sus cuentas. No se eliminan los datos que el Proveedor debe conservar como responsable del tratamiento: facturas y comprobantes (§ 147 AO, § 257 HGB), registros de consentimientos y registros de auditoría sin datos de contenido. A estos datos ya no se les aplica este ADV tras el fin del contrato, sino la política de privacidad.

(7) Previa solicitud, el Proveedor confirma la eliminación en forma textual. Hasta que la devolución y la eliminación hayan concluido, este ADV sigue vigente.

§ 12 Pruebas y contribución a las auditorías

(1) El Cliente puede verificar si el Proveedor cumple este ADV (art. 28, apartado 3, letra h, RGPD). El Proveedor le facilita para ello toda la información necesaria y colabora en las auditorías que realice el propio Cliente o un auditor encargado por él y obligado a guardar secreto.

(2) La verificación se realiza mediante documentación: previa solicitud, el Proveedor facilita la versión actual de los Anexos B y C, una autodeclaración sobre las medidas del Anexo B, las pruebas, informes y certificados de su proveedor de alojamiento y de sus demás subencargados del tratamiento, así como respuestas en forma textual a las preguntas del Cliente. No está prevista una inspección in situ en el Proveedor ni en sus subencargados del tratamiento. En las inspecciones de una autoridad de control, el Proveedor colabora sin cambios.

(3) El Proveedor puede proteger los secretos comerciales y los datos de otros clientes y limitar la información a los sistemas y documentos que afecten al Cliente.

§ 13 Lugar del tratamiento y terceros países

(1) El Proveedor y sus subencargados del tratamiento del Anexo C, sección 1, tratan los datos del Cliente exclusivamente en Alemania.

(2) El Proveedor no transfiere nada por decisión propia a un país fuera de la UE y del Espacio Económico Europeo. Si alguna vez quisiera hacerlo, sería un cambio conforme al § 7, apartado 2, y deberían cumplirse los requisitos de los arts. 44 y siguientes del RGPD.

(3) Distinto es el caso de los servicios que el Cliente o sus usuarios conectan por sí mismos con todo.monster (Anexo C, sección 3): buzones a través de IMAP y SMTP, calendarios a través de CalDAV, así como calendarios de Google y Microsoft. A ellos, el Proveedor transfiere únicamente lo que la función necesita, por ejemplo una cita creada en el Servicio al calendario conectado. Si un servicio de este tipo trata datos fuera del Espacio Económico Europeo depende del servicio elegido; en el caso de Google y Microsoft cabe esperar un tratamiento en los EE. UU. Que esta transferencia sea lícita y existan las garantías necesarias es responsabilidad del Cliente (§ 4, apartado 3).

§ 14 Responsabilidad y disposiciones finales

(1) A la responsabilidad de las partes se aplica la cláusula de responsabilidad de las Condiciones Generales de Contratación. La responsabilidad legal frente a los interesados conforme al art. 82 RGPD no se ve afectada.

(2) Las modificaciones de este ADV requieren forma textual. El Proveedor puede modificarlo cuando cambien el tratamiento, los subencargados del tratamiento o la situación jurídica; informa al Cliente por correo electrónico del sistema con al menos 30 días de antelación. Al Anexo C se le aplica el § 7, apartado 2.

(3) Se aplica el derecho alemán. El fuero es Berlín si el Cliente es comerciante (Kaufmann), persona jurídica de derecho público o patrimonio especial de derecho público.

(4) Si alguna disposición de este ADV fuera ineficaz, las restantes seguirán siendo eficaces; en su lugar se aplicará la regulación legal.

Anexo A: Objeto del tratamiento

1. Funciones y finalidades

El Proveedor trata los datos del Cliente para poner a disposición del Cliente y de su empresa las siguientes funciones. Una función solo trata datos cuando el Cliente o sus usuarios la utilizan.

2. Categorías de interesados

• El propio Cliente, así como el propietario, los administradores y los miembros de su empresa (empleados, contratistas, personas encargadas).
• Invitados de proyectos y personas externas invitadas: personas sin puesto propio en la empresa a las que el Cliente o sus usuarios invitan a proyectos, incluidas aquellas cuya invitación todavía está pendiente. Sus contenidos en los proyectos del Cliente son datos del Cliente. En cuanto a su propia cuenta de usuario en todo.monster, son usuarios del Proveedor; para ello se aplica la política de privacidad.
• Remitentes y destinatarios de correos electrónicos en los buzones de la empresa y en los buzones conectados, así como las personas mencionadas en los mensajes.
• Participantes de citas de calendario.
• Clientes, socios comerciales, proveedores y otros terceros cuyos datos registren los usuarios del Cliente en tareas, comentarios, adjuntos, entradas de tiempo, notas sobre aplicaciones o capturas de pantalla.

3. Duración

El tratamiento dura tanto como el contrato principal, hasta la devolución o eliminación conforme al § 11. Dentro de la vigencia se aplican los plazos del Anexo B, punto 3, para la papelera y para los registros.

Anexo B: Medidas técnicas y organizativas (art. 32 RGPD)

Las medidas se describen según su ubicación: en el Servicio (desarrollado y operado por el Proveedor), en el proveedor de alojamiento (a través del subencargado del tratamiento del Anexo C, sección 1) u organizativas en el Proveedor. El Proveedor solo se compromete a medidas que están implantadas.

1. Confidencialidad

• Acceso físico y acceso en el proveedor de alojamiento: Los servidores se encuentran en centros de datos del proveedor de alojamiento en Alemania con protección de acceso físico y control de acceso conforme a su concepto de seguridad; el Proveedor lo facilita como prueba previa solicitud (§ 12). El propio Proveedor no tiene acceso físico.
• Acceso al Servicio: Inicio de sesión con dirección de correo electrónico y contraseña o mediante enlace de inicio de sesión a la dirección de correo electrónico registrada. Las contraseñas se almacenan únicamente como hash; las contraseñas nuevas deben cumplir requisitos mínimos y se comprueban contra fugas de datos conocidas sin que la contraseña salga del Servicio. Los intentos de inicio de sesión están limitados por dirección de origen y por cuenta. Las sesiones expiran tras dos horas sin actividad; las cookies de sesión solo son válidas a través de HTTPS y son inaccesibles para los scripts. Los tokens de acceso de la aplicación móvil y de la interfaz de programación expiran tras 30 días y pueden revocarse en cualquier momento.
• Acceso dentro del Servicio: Modelo de roles por empresa (propietario, administrador, miembro, invitado) y por proyecto; el servidor verifica cada acceso de lectura y escritura a tareas, proyectos y empresas contra reglas de autorización centrales. Una cuenta de administración del Proveedor no puede leer descripciones, comentarios, adjuntos ni contenidos de buzones y calendarios; lo que ve se indica de forma exhaustiva en el punto 5.
• Separación: Los datos de todos los clientes se encuentran en una base de datos común y están separados lógicamente mediante la asignación a empresa y proyecto; esta asignación la establece el servidor y nunca la toma de una solicitud. Desarrollo, pruebas y producción son sistemas separados; el entorno de desarrollo está protegido adicionalmente por un bloqueo de acceso y no contiene datos de producción.
• Cifrado de los datos almacenados: Los títulos y descripciones de proyectos y tareas, los comentarios, el asunto y el texto de los correos electrónicos, los contenidos de las citas, así como los datos de acceso de los buzones y calendarios conectados, se almacenan cifrados en el lado del servidor (AES-256); las contraseñas se almacenan únicamente como hash Argon2id. Se trata de un cifrado en el lado del servidor, no de un cifrado de extremo a extremo: el Proveedor puede acceder técnicamente a los datos; cuándo lo hace se indica en el punto 5.
• Cifrado de la transmisión: El Servicio solo es accesible a través de HTTPS (redirección y HSTS); las conexiones con buzones, calendarios, el modelo de lenguaje, el servidor de notificaciones y el servicio de pago están cifradas en el transporte.
• Confidencialidad de las personas: Todas las personas que en el Proveedor tienen acceso a los sistemas de producción están obligadas por escrito a la confidencialidad.

2. Integridad

• Control de entrada: Las modificaciones de tareas se registran en un historial con editor, momento, valor antiguo y valor nuevo. Las acciones de gestión en la empresa (roles, invitaciones, buzones, disolución) figuran en el registro de auditoría de la empresa. Los inicios de sesión se registran con momento, dirección de origen y cliente. Los accesos del Proveedor conforme al punto 5 se registran.
• Protección de la aplicación: Protección contra solicitudes falsificadas (CSRF) mediante tokens de sesión; depuración en el lado del servidor de las entradas con formato; enmascaramiento sistemático de las salidas; cabeceras de seguridad contra la incrustación en páginas ajenas y contra la adivinación de tipos, así como para el control del referente. Los adjuntos solo se aceptan si la extensión del archivo y el tipo de contenido detectado coinciden; se almacenan con nombres aleatorios fuera de la raíz web y se entregan con una política de seguridad aislante. Las fotos de perfil se recodifican sin metadatos.
• Control de transmisión: Los datos salen del Servicio únicamente hacia las entidades indicadas en el Anexo C y únicamente en el alcance allí descrito; al modelo de lenguaje no se envían adjuntos, al servicio de pago no se envían datos de contenido; los datos contables y bancarios del Proveedor no salen del sistema. Los accesos de administración y a la base de datos del Proveedor se realizan a través de la interfaz de administración del proveedor de alojamiento y de conexiones cifradas.
• Proceso de desarrollo: Cada modificación del Servicio pasa antes de su despliegue por pruebas automatizadas, entre ellas pruebas de contrato para las reglas de autorización, el cifrado y los límites de los módulos, y se integra de forma trazable. El despliegue se realiza de forma reproducible como imagen de contenedor; los mensajes de error nunca se muestran en el navegador en producción.

3. Disponibilidad, resiliencia y eliminación

• Copia de seguridad: El proveedor de alojamiento realiza copias de seguridad de la base de datos y del almacenamiento de archivos; las copias se conservan hasta 30 días y después se sobrescriben.
• Restauración: La aplicación se ejecuta como una pila de contenedores con procesos separados para web, programación temporal y tareas en segundo plano; un modo de mantenimiento detiene el Servicio de forma controlada durante una restauración. Un punto de comprobación de estado permite la supervisión.
• Resiliencia: Limitación de solicitudes por dirección de origen y cuenta para inicio de sesión, registro, invitaciones, accesos de escritura a través de la interfaz de programación y funciones de administración; límites de tamaño, número y almacenamiento para adjuntos; contingentes mensuales para la función de IA.
• Papelera: Los proyectos, módulos, tareas, buzones y calendarios eliminados se marcan primero únicamente como eliminados y solo se suprimen definitivamente tras un plazo configurado (valor predeterminado 30 días, mínimo un día); los correos electrónicos eliminados permanecen 45 días en la papelera del buzón. Hasta entonces, los usuarios autorizados los recuperan por sí mismos. Los archivos adjuntos huérfanos se eliminan diariamente.
• Plazos de registro y eliminación: Notificaciones 30 días; registros de la sincronización de buzones y calendarios tres días, en caso de errores siete días; archivos de exportación 24 horas; registros de inicio de sesión 90 días; registro de uso de la función de IA 90 días; registros de auditoría de la empresa y de la restauración tres años, registro de auditoría de la facturación diez años (conservación fiscal); dirección IP de los consentimientos hasta el fin del contrato más tres años; capturas de pantalla de los informes de error 90 días; registros de la aplicación 30 días.
• Compromiso de disponibilidad: La disponibilidad del Servicio se regula en las Condiciones Generales de Contratación, no en este ADV.

4. Procedimientos de verificación periódica

• Comprobación automática periódica de que los datos que deben almacenarse cifrados están almacenados cifrados, y cotejo periódico del almacenamiento de adjuntos con la base de datos.
• Pruebas automatizadas en cada modificación; instrucciones documentadas para el despliegue, la rotación de claves, el modo de mantenimiento y las incidencias.
• Las modificaciones de las medidas de este anexo se documentan (§ 6, apartado 2).
• Protección de datos por defecto: la función de IA solo se ejecuta cuando un usuario la activa para un correo electrónico y puede desactivarse por usuario; los informes de error con captura de pantalla solo se envían cuando el usuario los activa; los buzones y calendarios solo están conectados cuando un usuario los conecta; las fotos de perfil solo las ven las personas con un proyecto o una empresa en común.

5. Acceso del Proveedor a los datos del Cliente (regla de acceso)

Los empleados del Proveedor no examinan los contenidos del Cliente de forma rutinaria. Una persona solo accede cuando existe un motivo (una instrucción del Cliente o un incidente de seguridad u operativo), solo en la medida necesaria, y cada acceso se registra. El tratamiento automático por el Servicio conforme al Anexo A no se ve afectado. No existen más accesos que los siguientes:

• Restauración (§ 3, apartado 4): A solicitud del Cliente, una cuenta de administración del Proveedor con el permiso de restauración ve el nombre de usuario, la dirección de correo electrónico, el estado y el momento de eliminación del usuario afectado, así como los nombres de sus proyectos y módulos, los títulos de sus tareas y los momentos de eliminación de los registros eliminados. No son visibles las descripciones, los comentarios, los adjuntos, las entradas de tiempo ni los contenidos de buzones y calendarios. Cada restauración se registra con la persona que la ejecuta y el momento.
• Diagnóstico de soporte: A solicitud del Cliente, una cuenta de administración del Proveedor ve las membresías, invitaciones y conexiones de buzones de la empresa (nombres de host, estado, momento de la última recuperación), no los contenidos de los mensajes. Cada diagnóstico se deja constancia en el registro de auditoría de la empresa antes de mostrarse.
• Informes de error: Las capturas de pantalla y descripciones que un usuario envía a través de la función de informe de errores las ve el Proveedor para corregir el error notificado; se eliminan tras el plazo del punto 3.
• Operación y seguridad: Acceso a la base de datos, al almacenamiento de archivos y a los registros para resolver una incidencia, investigar un incidente de seguridad o ejecutar una instrucción. El motivo se documenta; el Proveedor ve los contenidos del Cliente en ese proceso solo en la medida en que el motivo lo exija.

Anexo C: Subencargados del tratamiento y otros destinatarios

1. Subencargados del tratamiento (§ 7, apartado 1)

2. Destinatarios fuera del encargo

Las siguientes entidades no reciben datos del encargo del Cliente. El Proveedor recurre a ellas como responsable del tratamiento para fines propios; figuran aquí únicamente a efectos de delimitación, los detalles figuran en la política de privacidad. Los datos contables y bancarios del Proveedor se tratan dentro del Servicio y no se transmiten a ningún otro destinatario.

• Mollie B.V., Keizersgracht 126, 1015 CW Amsterdam, Países Bajos: procesamiento de pagos de las tarifas de pago. Mollie recibe el nombre y la dirección de correo electrónico de la cuenta de facturación y los datos de pago, sin datos de contenido; en el procesamiento de pagos, Mollie actúa como responsable del tratamiento independiente.
• EU-Captcha (Myra Security GmbH, Múnich): protección contra bots en el registro y en el formulario de contacto; se transmiten la dirección IP, la identificación del navegador y el token del captcha de la persona que se registra o que escribe. La comprobación es un tratamiento del Proveedor como responsable del tratamiento.
• Have I Been Pwned (api.pwnedpasswords.com, operador Troy Hunt, Australia): al establecer una contraseña se transmite un breve fragmento de un valor hash, nunca la contraseña ni ningún identificador de la persona; no es posible la asignación a una persona.

3. Servicios de terceros contratados por el Cliente

Si el Cliente o un usuario del Cliente conecta uno de los siguientes servicios con todo.monster, el Cliente ha elegido ese servicio por sí mismo y mantiene con él una relación contractual propia. El servicio no es un subencargado del tratamiento del Proveedor; el Proveedor transfiere allí únicamente lo que la función necesita y recupera de allí lo que el usuario ha autorizado (§ 13, apartado 3).

• Buzones a través de IMAP y SMTP en el proveedor de correo electrónico del Cliente o del usuario: recuperación y envío de mensajes con los datos de acceso que registra el usuario.
• Calendarios a través de CalDAV (por ejemplo, Nextcloud o Fastmail): sincronización de citas con los datos de acceso que registra el usuario.
• Calendario de Google (Google LLC o Google Ireland Limited): el usuario inicia sesión directamente en Google y concede allí la autorización; el Proveedor lee las citas de los calendarios elegidos y transmite a Google las citas creadas o modificadas en el Servicio. Tratamiento habitualmente también en los EE. UU. Disponible únicamente en la medida en que el Proveedor haya habilitado la función.
• Calendario de Microsoft (Microsoft Corporation o Microsoft Ireland Operations Limited) para cuentas privadas de Microsoft: el usuario inicia sesión directamente en Microsoft y concede allí la autorización; el Proveedor lee las citas de los calendarios elegidos y transmite a Microsoft las citas creadas o modificadas en el Servicio con sus participantes, y Microsoft puede enviar invitaciones. Tratamiento habitualmente también en los EE. UU.

Para Google y Microsoft rige lo siguiente: qué garantías amparan la transferencia a los EE. UU. depende de la relación contractual que el Cliente o su usuario mantenga por sí mismo con el servicio correspondiente (§ 4, apartado 3).

Si el usuario desconecta la conexión, el Proveedor elimina los datos de acceso y los tokens de acceso; los mensajes y citas ya recuperados permanecen en el Servicio hasta que el usuario los elimine o se elimine la cuenta o la empresa.