Data Processing Addendum

Parties, subject and duration

This DPA supplements the accepted service agreement between the ordering customer (controller, or processor authorized by its controller) and Rackpine (processor or subprocessor). It governs personal data the customer places in hosted websites, databases, mail and object storage for the service term and necessary lawful deletion/return process. Customer instructions are the accepted order, configuration actions and documented support instructions. Account and transaction data that Rackpine controls independently remain under the Privacy Policy. If this DPA conflicts with general service terms, this DPA controls the processing issue. Mandatory law and any executed transfer clauses take priority.

Processing description and customer duties

Processing comprises receipt, storage, organization, retrieval, transmission/delivery, troubleshooting, instructed backup/restore and deletion. Data subjects may include the customer’s users, staff, subscribers, correspondents and website visitors. Data may include names, contact details, account identifiers, IP/log data, messages and other content the customer lawfully selects. Special-category, regulated health, payment-card or criminal-offence data is not an approved workload unless separately assessed and agreed in writing before upload. The customer determines lawful purposes, notices, permissions and retention; supplies lawful instructions; manages access and independent copies; and remains responsible for responding to its data subjects. These duties do not excuse Rackpine’s processor obligations.

Instructions, confidentiality and security

Rackpine processes customer data only on documented instructions, including international-transfer instructions, unless applicable law requires otherwise; we inform the customer of that legal requirement before processing unless legally prohibited. We immediately inform you if an instruction appears to infringe applicable data-protection law and may pause that instruction while resolving the issue. Authorized persons are bound to confidentiality, including after their work ends. We implement risk-appropriate access restrictions, least-privilege administrative access, credential protection, encrypted transport where supported, patch/security coordination and logical separation of customer accounts. Specific features such as customer-managed encryption, immutable storage or certifications are not implied. The customer must assess whether the agreed controls fit its risk; supplementary controls must be agreed before restricted processing.

Subprocessors and transfers

Customer gives general written authorization for the infrastructure hosting, object storage/delivery, DNS/network protection and operational backup subprocessors needed for the ordered service, subject to disclosure and objection below. A confidential register must identify each actual legal entity, function and processing country before relevant data is entrusted; public category descriptions alone are not sufficient disclosure. Request it at support@rackpine.com. We bind subprocessors to equivalent data-protection duties and remain responsible for their performance as required by applicable law. We notify additions or replacements at least 30 days before access, allowing a reasoned data-protection objection. We work to resolve objections; if no lawful suitable alternative is available, the affected processing does not proceed and either party may end that affected service with a refund of unused prepaid service. Emergency changes require notice as soon as practicable and equivalent protections. International transfers occur only on documented instructions and an applicable lawful mechanism. This DPA is not itself EU or UK standard contractual clauses; execute required clauses and assess onward transfers before activation. Independently acting payment merchants are not subprocessors for their own tax/payment purposes.

Assistance and personal-data incidents

Taking account of the processing and information available, we assist with rights requests, security obligations, impact assessments and regulator consultations. Requests received directly about customer-controlled content are forwarded without responding substantively except on your instruction or legal duty. After becoming aware of a personal-data breach affecting customer data, we notify the customer without undue delay and provide available facts about nature, affected categories and approximate volumes, likely consequences, containment and a contact. We send updates as information develops and cooperate with remediation; initial notice is not delayed for a complete investigation. Customer remains responsible for its controller notifications, including any applicable 72-hour GDPR authority deadline. We do not make notifications on your behalf without instruction unless law requires them.

Audit and evidence

We make information necessary to demonstrate compliance available and allow and contribute to audits, including inspections by the customer or an independent auditor it appoints, as required by applicable law. Coordinate scope, confidentiality, safety and timing to protect other tenants; these arrangements cannot defeat an urgent or legally required audit. Relevant reports may reduce unnecessary duplication but do not replace statutory audit rights. No access to other tenants’ data or secrets is authorized. Any optional extraordinary assistance fee must be agreed in advance and cannot obstruct mandatory rights.

Return, deletion and California restrictions

At the customer’s choice on termination, we return customer personal data in an available standard export or delete it, then delete remaining copies unless applicable law requires retention. The customer should export while access is active; loss of portal access does not remove this DPA duty. Any temporary inaccessible backup retention must be documented, necessary, isolated from routine use and promptly deleted under the agreed lawful schedule; if a backup is restored, deletion instructions must be reapplied. We confirm completion on request and explain legally retained categories. No blanket post-contract two-year reuse permission is granted. Where CCPA processor/service-provider rules apply, we do not sell or share customer personal information, retain/use/disclose it outside the specified business purposes or direct business relationship except as law permits, or combine it with other sources except as permitted by law. We provide the same legally required protection, notify inability to comply and allow reasonable steps to stop and remediate unauthorized use; we certify understanding and compliance with these restrictions. A customer acting as processor must secure its controller’s authorization before appointing us.

Acuerdo de tratamiento de datos

Última actualización 2026-11-11

Partes, objeto y duración

Este acuerdo complementa el contrato entre cliente contratante, responsable o encargado autorizado por el responsable, y Rackpine, encargado o subencargado. Rige datos que el cliente coloca en sitios, bases, correo y objetos durante el servicio y su devolución o supresión legal. Las instrucciones son orden, configuración y solicitudes documentadas. Datos de cuenta y transacción controlados por Rackpine siguen Privacidad. Este acuerdo prevalece sobre términos generales para tratamiento; prevalecen la ley y cláusulas de transferencia firmadas.

Descripción y deberes del cliente

Comprende recepción, almacenamiento, organización, consulta, distribución, diagnóstico, copias o restauraciones instruidas y supresión. Los titulares pueden ser usuarios, personal, suscriptores, corresponsales y visitantes del cliente. Los datos pueden incluir nombres, contacto, identificadores, IP, registros, mensajes y contenido elegido lícitamente. Datos sensibles, sanitarios regulados, de tarjetas o antecedentes penales no son cargas aprobadas sin evaluación y acuerdo previo escrito. El cliente determina finalidades lícitas, avisos, autorizaciones y conservación, da instrucciones legales, administra accesos y copias y responde a titulares, sin liberar al encargado de sus deberes.

Instrucciones, confidencialidad y seguridad

Rackpine trata solo según instrucciones documentadas, incluidas transferencias, salvo obligación legal; avisamos previamente cuando no esté prohibido. Informamos inmediatamente si una instrucción parece infringir protección de datos y podemos pausarla mientras se resuelve. El personal autorizado queda obligado a confidencialidad incluso después. Aplicamos acceso restringido y mínimo privilegio, protección de credenciales, transporte cifrado cuando soportado, coordinación de actualizaciones y separación lógica. No se implican cifrado con claves del cliente, inmutabilidad ni certificaciones. El cliente evalúa adecuación al riesgo y acuerda controles adicionales antes de datos restringidos.

Subencargados y transferencias

El cliente autoriza en general por escrito subencargados de alojamiento, objetos y distribución, DNS y protección de red y copias operativas necesarios, sujetos a información y oposición. Un registro confidencial debe identificar cada entidad real, función y país antes de confiarle datos; categorías públicas no bastan. Pedilo a support@rackpine.com. Exigimos obligaciones equivalentes y mantenemos responsabilidad legal por su cumplimiento. Avisamos altas o reemplazos con al menos 30 días para objeción fundada en protección de datos. Buscamos resolverla; sin alternativa lícita adecuada, no procede ese tratamiento y cualquiera puede terminar el servicio afectado con devolución del período no usado. Ante cambios urgentes avisamos tan pronto sea posible manteniendo garantías. Las transferencias necesitan instrucciones y mecanismo legal. Este acuerdo no constituye cláusulas tipo europeas o británicas firmadas; deben completarse y evaluarse transferencias posteriores antes de activar. El vendedor de pago no es subencargado para sus propios fines fiscales y de pago.

Asistencia e incidentes

Según tratamiento e información disponible, asistimos con derechos, seguridad, evaluaciones de impacto y consultas regulatorias. Remitimos pedidos directos sobre contenido del cliente sin respuesta sustantiva salvo instrucción u obligación. Al conocer una violación de datos del cliente, notificamos sin dilación indebida con hechos disponibles, naturaleza, categorías y volúmenes aproximados, consecuencias probables, contención y contacto. Actualizamos y cooperamos sin demorar el primer aviso hasta cerrar investigación. El cliente conserva sus notificaciones como responsable, incluido plazo GDPR de 72 horas cuando aplica. No notificamos por él sin instrucción salvo obligación legal.

Auditoría y evidencia

Facilitamos información necesaria para acreditar cumplimiento y permitimos y colaboramos con auditorías e inspecciones del cliente o auditor independiente, según ley. Coordinamos alcance, confidencialidad, seguridad y tiempos para proteger a otros clientes sin impedir auditorías urgentes u obligatorias. Los informes pueden evitar duplicación pero no sustituyen derechos legales. No autorizan acceso a datos ni secretos ajenos. Todo cargo por asistencia extraordinaria opcional requiere acuerdo previo y no puede obstaculizar derechos.

Devolución, supresión y restricciones de California

Al finalizar, a elección del cliente, devolvemos datos mediante exportación estándar disponible o los suprimimos y eliminamos copias salvo conservación legal. Conviene exportar con acceso activo, pero perder el portal no elimina este deber. Toda copia inaccesible temporal debe estar documentada, ser necesaria, aislada y borrarse prontamente bajo calendario legal acordado; al restaurar se reaplican supresiones. Confirmamos cumplimiento a pedido y explicamos categorías retenidas legalmente. No se autoriza reutilización general durante dos años. Cuando aplican reglas CCPA de prestador, no vendemos ni compartimos datos del cliente, ni conservamos, usamos o comunicamos fuera de fines específicos o relación directa salvo permiso legal, ni combinamos con otras fuentes salvo autorización legal. Damos igual protección exigida, avisamos imposibilidad de cumplir y permitimos medidas razonables para detener y remediar usos no autorizados; certificamos comprensión y cumplimiento. El cliente encargado debe contar con autorización de su responsable para designarnos.