Seguretat i RGPD

iziqrcode és prestat per una societat espanyola i allotja el **100 % de les dades primàries a Alemanya**. Aquesta pàgina resumeix els punts que importen per a la seguretat de les teves dades i la seva conformitat amb el RGPD. La **Política de privadesa** i l'**Acord d'Encàrrec de Tractament (DPA)** continuen sent els documents jurídicament oposables; aquesta pàgina és un resum pedagògic <!-- TODO: native CA review needed: alternative "divulgatiu" possible -->.

11. On són les teves dades?

Les dades primàries d'iziqrcode (compte d'usuari, codis QR, estadístiques agregades, logos carregats UE) estan allotjades a la Unió Europea:

• Aplicació Next.js + base PostgreSQL: Hetzner Online GmbH, datacenter de Falkenstein (Alemanya) — jurisdicció UE.
• Logos carregats: Cloudflare R2 instància Europa.

Els tractaments duts a terme pels nostres subencarregats tècnics (pagament Stripe, correus Resend, Workers de Cloudflare per a la redirecció dels escanejos) poden transitar puntualment fora de la UE, emmarcats per les Clàusules Contractuals Tipus EU 2021/914. Vegeu la Política de privadesa §6.

22. Hetzner — el nostre allotjador principal

Hetzner Online GmbH és un dels principals allotjadors europeus, amb seu a Baviera (Alemanya). El datacenter de Falkenstein utilitzat per a iziqrcode disposa de les certificacions següents:

• ISO/IEC 27001:2022 — sistema de gestió de la seguretat de la informació;
• ISO 14001 — gestió ambiental;
• ISO 50001 — gestió de l'energia;
• TCDP (Trusted Cloud Data Protection Profile) — auditoria independent del compliment del RGPD alemany.

Tota la infraestructura s'alimenta amb un 99 % d'energia renovable (mix eòlic + hidràulic).

33. Subencarregats utilitzats

Per prestar el servei, iziqrcode recorre a 4 subencarregats explícitament llistats a la Política de privadesa:

• Hetzner Online GmbH (Alemanya) — allotjament Next.js + PostgreSQL
• Stripe Payments Europe Ltd (Irlanda) — pagament, facturació, càlcul IVA UE
• Cloudflare Inc. (EUA) — CDN, R2 UE, Workers qr-redirect (3 tractaments diferenciats)
• Resend (Bird.com Inc., EUA) — correus transaccionals

Cada subencarregat està vinculat per un contracte conforme a l'article 28 del RGPD. La llista actualitzada es manté d'acord amb l'article 30. Per a la llista completa amb adreces i URL de les polítiques de privadesa de tercers, vegeu la Política de privadesa §5.

44. Encarregats — detall

A continuació la llista completa dels 5 encarregats tècnics utilitzats per iziqrcode, amb finalitat, país i data de l'última revisió. Aquesta llista es manté conforme a l'article 30 del RGPD.

Per què encarregats US?

Stripe és l'estàndard mundial per al pagament SaaS (càlcul IVA OSS UE, conformitat PCI DSS, suport 135+ divises). Resend és el nostre proveïdor d'emails transaccionals (alta entregabilitat, API senzilla). Cloudflare proporciona el nostre CDN i els nostres Workers de redirecció d'escaneigs (latència < 50 ms a tot el món). Tots tres estan contractualment vinculats per les Clàusules Contractuals Tipus UE 2021/914, que garanteixen un nivell de protecció equivalent al RGPD per a les transferències de dades fora de la UE.

Arquitectura 100 % UE a mida

Si ets una empresa subjecta a exigències estrictes de sobirania (salut, defensa, sector públic, allotjament HDS, etc.), contacta'ns a [email protected] per estudiar una arquitectura 100 % UE a mida (pagament Mollie/UE, emails via proveïdor UE, CDN OVH/Scaleway). Segons el volum, es pot establir un contracte dedicat.

55. Compromís «zero cookie publicitària»

iziqrcode no fa cap segmentació publicitària i no revèn cap dada. L'única cookie publicitària dipositada —amb el teu consentiment, refusable amb un sol clic— serveix per mesurar les nostres pròpies campanyes de Google Ads: saber quins anuncis porten registres. Sense Facebook Pixel, sense Hotjar, sense PostHog, sense Mixpanel.

Per a l'única mesura d'audiència del nostre lloc de màrqueting, utilitzem Google Analytics 4 — únicament després del teu consentiment explícit (refusable amb un sol clic), amb IP anonimitzada (Consent Mode v2) i mai a les pàgines públiques dels teus menús (`/p/*`). Les cookies tècniques (sessió, CSRF, idioma), per la seva banda, romanen estrictament necessàries (exempció funcional Article 5.3 de la directiva ePrivacy 2002/58/CE). Vegeu la Política de cookies.

66. Acord d'Encàrrec de Tractament (DPA) descarregable

Un Acord d'Encàrrec de Tractament (Data Processing Agreement) conforme a l'article 28 del RGPD està disponible públicament a l'adreça /dpa. Pots imprimir-lo o desar-lo en PDF directament des del teu navegador (Ctrl+P → «Desa com a PDF»), i després fer-lo signar pel teu equip de compliment .

iziqrcode actua com a encarregat del tractament en el sentit del RGPD. Tu continues sent el responsable del tractament de les teves dades i de les dels teus visitants.

77. Els teus drets RGPD

Disposes en tot moment dels drets previstos als articles 15 a 22 del RGPD: accés, rectificació, supressió, limitació, portabilitat, oposició. Per exercir-los, escriu a [email protected] des del correu associat al teu compte. Resposta en un màxim de 30 dies.

També pots presentar una reclamació davant l'Agencia Española de Protección de Datos (AEPD, www.aepd.es) o davant l'autoritat de control del teu país de residència. A Catalunya pots adreçar-te a l'Autoritat Catalana de Protecció de Dades (APDCAT, apdcat.gencat.cat).

Els teus drets RGPD — en 1 clic

Les accions a continuació et permeten exercir els teus drets directament, sense formulari. Els canvis de compte (rectificació, supressió) es fan des de la teva configuració; les sol·licituds d'accés passen per email per traçabilitat.

88. Registre de tractaments (Article 30 del RGPD)

Conforme a l'article 30 del RGPD, iziqrcode manté un registre de les activitats de tractament (finalitats, categories de dades, destinataris, terminis de conservació, mesures de seguretat).

El registre complet està disponible sota petició a [email protected] en 7 dies laborables. Una exportació PDF / CSV descarregable des del teu espai personal està prevista per a una versió posterior.

99. Per anar més enllà

Els elements següents estan planificats per a una versió posterior d'iziqrcode:

• Exportació PDF / CSV del registre Article 30 directament des del teu espai personal;
• Procediment públic de notificació d'incident en cas de violació de dades;
• Pla de continuïtat de l'activitat (RTO / RPO) detallat;
• Auditoria externa anual (informe públic);
• Bug bounty i programa de divulgació responsable.

Mentrestant, per a qualsevol qüestió específica, escriu a [email protected].