Un planificador alemán hecho para el RGPD

Los servidores los gestiona netcup GmbH (con sede en Karlsruhe), y el lugar de tratamiento es Alemania. netcup, a su vez, usa tres subencargados del tratamiento, todos en el Espacio Económico Europeo: dos sociedades de Anexia en Klagenfurt y una en Karlsruhe. En esta cadena no hay ninguna transferencia a terceros países.

Tus videos e imágenes se guardan en el almacenamiento de objetos Cloudflare R2. BestPost usa allí la jurisdicción de la UE a través del endpoint eu.r2.cloudflarestorage.com, así que los archivos se guardan en centros de datos de la Unión Europea. Dicho con honestidad: Cloudflare, Inc. tiene su sede en San Francisco. En su contrato de encargo del tratamiento, Cloudflare declara que cumple el Marco de Privacidad de Datos UE-EE. UU. y, si esa certificación deja de estar vigente, se aplican las cláusulas contractuales tipo de la Comisión Europea según la Decisión de Ejecución (UE) 2021/914.

Las funciones de IA pasan por OpenAI Ireland Ltd., en Dublín, y solo cuando tú las inicias. Mientras no lances ninguna transcripción, ningún análisis de contenido ni ninguna generación de texto, ningún archivo sale del servicio hacia el proveedor de IA. Si trata los datos una sociedad del grupo fuera del EEE, lo hace sobre la base de las cláusulas contractuales tipo. Según el contrato firmado con OpenAI, tus contenidos no se pueden usar para entrenar los modelos.

Los pagos los gestiona Stripe Payments Europe, Ltd., en Dublín, junto con Stripe, Inc., en EE. UU. Los datos completos de la tarjeta los recoge únicamente Stripe y no pasan por los servidores de BestPost. Para los pagos, Stripe es responsable del tratamiento por cuenta propia y, por tanto, no es un subencargado.

El contrato de encargo del tratamiento de BestPost está publicado en /es/dpa, y no tienes que pedirlo. En cuanto usas BestPost con fines empresariales y tratas datos personales de otras personas, forma parte de tu contrato de uso a través de la cláusula 1a de los Términos y condiciones. Así existe desde el primer día y no después de un intercambio de correos. Si para tu documentación necesitas un ejemplar firmado, escribe a info@bestpost.app con el asunto DPA y te devolvemos el contrato en PDF con tus datos.

En cuanto al contenido, el contrato regula los puntos por los que pregunta una autoridad de control: objeto y duración, tipo de datos, categorías de interesados, sujeción a instrucciones, confidencialidad, la lista completa de subencargados con dirección y lugar de tratamiento, las medidas técnicas y organizativas según el artículo 32 del RGPD, la ayuda con los derechos de los interesados y la supresión o devolución de los datos. Las violaciones de la seguridad de los datos te las comunica BestPost como muy tarde 48 horas después de conocerlas, para que te quede el resto de tu propio plazo de 72 horas del artículo 33 del RGPD.

Los plazos de supresión son concretos. BestPost borra los archivos de video en cuanto la publicación ha salido en todas las plataformas elegidas, como muy tarde 14 días después del último estado de la publicación. Los archivos de imágenes y carruseles no tienen, a propósito, ningún plazo automático: se quedan hasta que los borres tú o borres tu cuenta, y lo mismo se aplica a las publicaciones programadas. Los borradores desaparecen 14 días después de crearse; las transcripciones, los archivos de subtítulos y los análisis de IA, 90 días después de borrar el archivo multimedia correspondiente. Al terminar la prestación de los servicios de tratamiento, se borra como muy tarde en 30 días, y al eliminar la cuenta en el servicio, al instante. Las copias de seguridad se renuevan por ciclos, así que un dato borrado puede seguir hasta 30 días en una copia de seguridad.

Para el acceso y la portabilidad no tienes que escribir ningún correo. En la Configuración descargas tus datos cuando quieras como archivo JSON, con los datos de la cuenta, las conexiones con las plataformas, los contenidos, las publicaciones programadas, los resultados de publicación, el uso de IA y los datos de facturación.

Hay proveedores alemanes que prometen protección de datos, pero se dirigen a empresas, agencias y administraciones: flujos de aprobación, gestión de comunidad, monitorización, informes. Quien produce videos cortos en solitario y publica mucho paga allí por funciones que nunca usa nadie. BestPost empieza por el otro lado, con quien crea en solitario y con quien trabaja por cuenta propia y publica 100 videos o más en un solo lote.

Eso incluye también nombrar los límites. BestPost no tiene flujo de aprobación, ni bandeja de mensajes directos, ni informes de estadísticas para clientes. La unidad más pequeña para separar, exportar y borrar es la cuenta, no cada marca dentro de ella. Si tienes que entregar o borrar por separado los datos de un cliente final, según el contrato de encargo lo mejor es llevarle una cuenta propia.

BestPost no tiene un certificado ISO 27001 propio. El contrato de encargo indica qué certificaciones independientes tienen los proveedores que se usan y dónde se pueden comprobar públicamente. Las pruebas del cumplimiento del artículo 28 del RGPD están disponibles gratis si las pides, normalmente en un plazo de dos semanas y, si lo prefieres, como cuestionario de auditoría completado.

En la parte práctica: en la UE se factura en euros, los precios son precios finales con el IVA incluido, las empresas pueden indicar su NIF-IVA al pagar y, para empresas de otros países de la UE, se aplica la inversión del sujeto pasivo. Puedes cancelar sin iniciar sesión con el botón de /es/cancellation, desde el portal de cliente de tu cuenta o por correo a support@bestpost.app, como exige el artículo 312k del Código Civil alemán (BGB).