Cómo trata festivos.io los datos personales en el marco del RGPD (art. 28): roles, subencargados, transferencias y seguridad. Complementa la Política de privacidad y los Términos de la API.
1. Roles y alcance
Servicio público sin cuenta: la API es gratuita, no requiere registro y no mantiene cuentas de usuario ni datos de facturación.
La API no trata datos personales del cliente: las consultas son código de municipio (INE) y fechas, y las respuestas son festivos —información pública, sin datos personales—. En el uso normal, festivos.io no actúa como encargado de datos personales tuyos.
Integración separada: si un acuerdo específico implicara enviarnos datos personales ajenos a la API pública, se formalizaría antes un encargo de tratamientopor escrito conforme al art. 28.3 RGPD.
2. Subencargados
Para prestar el servicio nos apoyamos en los siguientes encargados/subencargados:
Cloudflare, Inc. — infraestructura, CDN, cómputo en el edge y analítica sin cookies. Tratamiento en la UE/EEE cuando es posible; transferencias amparadas en cláusulas contractuales tipo (SCC).
Proveedor de correo electrónico — comunicaciones de soporte.
Se avisará de las altas o cambios de subencargados con antelación razonable, con posibilidad de oposición motivada por parte del cliente.
3. Transferencias internacionales
Se prioriza el tratamiento en la UE/EEE. Cuando un subencargado implique transferencias fuera del EEE, estas se amparan en mecanismos válidos: decisión de adecuación o cláusulas contractuales tipo (SCC) con medidas complementarias cuando proceda.
4. Medidas de seguridad (art. 32)
Cifrado en tránsito (TLS) en todo el servicio.
Los endpoints públicos no aceptan ni almacenan credenciales de usuario.
Control de acceso por función y minimización de datos: solo se recoge lo necesario.
Infraestructura serverless sin estado en el edge; registros técnicos sin datos personales innecesarios y con retención acotada.
5. Duración y fin del tratamiento
La API pública no inicia un encargo de tratamiento. Si existiera una integración separada con DPA, su duración y la supresión o devolución de datos se fijarían en ese acuerdo.
6. DPA firmado y contacto
Si una integración separada requiere tratar datos personales por cuenta de otra entidad, puede solicitarse un acuerdo de encargo de tratamiento firmado antes de iniciar ese tratamiento. Contacto: privacidad@festivos.io.