1. Partes del Acuerdo
Responsable del Tratamiento (Data Controller): El usuario de PDFBlack que carga, procesa, o manipula archivos PDF que contienen datos personales.
Encargado del Tratamiento (Data Processor): PDFBlack, proveedor del servicio de herramientas de procesamiento de PDF en línea.
2. Objeto y Naturaleza del Tratamiento
El objeto de este DPA es regular el tratamiento de datos personales que el Responsable introduce en la plataforma PDFBlack. La naturaleza del tratamiento es exclusivamente técnica y automatizada: edición, organización, conversión, compresión, firma digital, OCR, y cifrado de archivos PDF. Todas las operaciones de tratamiento se ejecutan de forma local en el navegador del usuario (cliente), sin transmisión a servidores externos, con la única excepción del servicio de firma digital PKCS#12 que requiere procesamiento efímero en servidor.
3. Duración del Tratamiento
El tratamiento de datos personales tiene una duración igual a la sesión activa del navegador del usuario. Al cerrar o recargar la pestaña, todos los datos se eliminan automáticamente de la memoria RAM. PDFBlack no conserva, archiva, ni realiza copias de seguridad de los archivos PDF procesados. La excepción de firma digital conlleva un tratamiento efímero menor a 60 segundos sin almacenamiento posterior.
4. Medidas Técnicas y Organizativas de Seguridad
PDFBlack implementa las siguientes medidas técnicas y organizativas para garantizar la seguridad de los datos personales tratados, de conformidad con el Artículo 32 del GDPR:
- Procesamiento 100% local en RAM del navegador (sin persistencia en disco ni transmisión a servidores).
- Cifrado AES-256 conforme a ISO 32000-2:2020 para protección de archivos PDF.
- Aislamiento de procesos mediante Web Workers (sin acceso al DOM principal ni a otras pestañas).
- Comunicaciones HTTPS/TLS 1.3 con HSTS y Content Security Policy.
- Censura binaria real que elimina físicamente los datos del código del documento.
- No se utilizan subencargados del tratamiento externos.
5. Obligaciones del Encargado del Tratamiento
PDFBlack, como Encargado del Tratamiento, se obliga a:
- Tratar los datos personales únicamente según las instrucciones documentadas del Responsable (el usuario).
- No comunicar los datos personales a terceros, salvo obligación legal.
- Garantizar que las personas autorizadas para tratar datos se han comprometido a respetar la confidencialidad.
- Asistir al Responsable en el cumplimiento de sus obligaciones de seguridad, notificación de brechas y evaluaciones de impacto.
- Eliminar todos los datos personales al finalizar la sesión de tratamiento (cierre de pestaña).
- Notificar al Responsable cualquier violación de seguridad sin dilación indebida (en un plazo máximo de 72 horas).
6. Subencargados del Tratamiento
PDFBlack no utiliza subencargados del tratamiento para el procesamiento de archivos PDF. Todo el procesamiento ocurre en el dispositivo del usuario. La excepción de firma digital utiliza exclusivamente la biblioteca criptográfica node-forge en instancias efímeras sin almacenamiento. El Responsable autoriza el uso de estos subencargados mediante la aceptación de este DPA.
7. Transferencias Internacionales
Dado que el procesamiento ocurre 100% en el navegador del usuario, no se realiza transferencia internacional de datos personales. Los datos permanecen en el dispositivo del usuario en todo momento. Para el servicio de firma digital, los datos se procesan exclusivamente en servidores ubicados dentro del Espacio Económico Europeo (EEE).
8. Aceptación y Vigencia
El presente DPA entra en vigor en el momento en que el usuario carga un archivo PDF en PDFBlack y permanece vigente mientras dure la sesión de procesamiento. La aceptación de este DPA se produce por el mero uso de la plataforma, sin necesidad de firma adicional. Para obtener una copia firmada, contacta a contacto@pdf-black.com.