Cumplimiento y seguridad
CalPair sincroniza datos de calendario entre Google, Microsoft 365 y proveedores CalDAV. El servicio se opera íntegramente en la UE y sigue el principio de minimización de datos. Esta página resume dónde se tratan los datos, qué certificaciones tiene la infraestructura utilizada y qué permisos solicita CalPair.
Alojamiento en la UE
La aplicación y todos los datos de calendario consultados se tratan en infraestructura de Hetzner Online GmbH, en el centro de datos de Falkenstein (Alemania). Los correos transaccionales y las copias de seguridad externas cifradas se realizan a través de Scaleway SAS en París (Francia). Ambas ubicaciones están en la UE; no se produce ninguna transferencia a terceros países. Existen contratos de encargo del tratamiento (DPA) con ambos proveedores.
Los tokens de acceso se almacenan cifrados con AES-256-GCM y el transporte se realiza mediante TLS 1.3.
Certificaciones de la infraestructura
- ISO/IEC 27001:2022 — sistema de gestión de la seguridad de la información; alcance: infraestructura, operación y soporte de los parques de centros de datos de Núremberg, Falkenstein y Helsinki. Certificado por SOCOTEC Certification Deutschland GmbH.
- BSI C5 tipo 2 — Cloud Computing Compliance Criteria Catalogue de la Oficina Federal Alemana de Seguridad de la Información; confirma la aplicación efectiva de los criterios de seguridad durante un periodo de auditoría.
Hetzner — certificado ISO/IEC 27001:2022 (PDF)
Hetzner facilita el informe BSI C5 tipo 2 previa solicitud. Resumen y certificados actuales: docs.hetzner.com/general/others/certificates.
Estas certificaciones corresponden al proveedor de infraestructura, no a CalPair.
Subencargados del tratamiento
La siguiente lista es la versión vigente del anexo 3 del contrato de encargo del tratamiento. Incluye únicamente proveedores que tratan datos personales por cuenta del cliente. Ambos tratan los datos exclusivamente en la UE.
| Subencargado | Finalidad / datos tratados | Ubicación |
|---|---|---|
| Hetzner Online GmbH | Alojamiento, servidores, base de datos — todos los datos de aplicación y de cuenta tratados por cuenta del cliente | Falkenstein, Alemania (UE) |
| Scaleway SAS | Envío de correos transaccionales a las personas usuarias, copias de seguridad externas cifradas de la base de datos (object storage) | fr-par, Francia (UE) |
No forman parte del encargo del tratamiento: los proveedores que CalPair utiliza para fines propios y que no acceden a datos tratados por cuenta del cliente — procesamiento de pagos (Stripe), CDN de la página pública (Bunny.net, solo metadatos de visita y HTTP) y contabilidad y archivo de facturas (Lexware Office, pCloud). Figuran en la política de privacidad.
No son subencargados los calendarios de origen y destino conectados por la persona usuaria (Google, Microsoft 365, proveedores CalDAV): el acceso se produce únicamente por instrucción y la relación contractual existe entre la persona usuaria y dicho proveedor.
Los cambios en esta lista se comunican con antelación a los clientes empresariales conforme al contrato de encargo del tratamiento.
Modelo de permisos — solo acceso delegado
Para Microsoft 365 y Google Workspace, CalPair solicita exclusivamente permisos delegados, es decir, acceso en nombre y con los derechos de la persona usuaria que ha iniciado sesión. No se utilizan permisos de aplicación ni a nivel de inquilino (tenant).
- Microsoft Graph:
Calendars.ReadWrite,User.Read,offline_access(delegados). - Acceso únicamente a los calendarios de personas que han iniciado sesión y dado su consentimiento.
- Sin acceso a calendarios de terceros; el acceso finaliza al desconectar la cuenta o revocar el consentimiento.
Contratos y protección de datos
- Política de privacidad
- Aviso legal
- Contrato de encargo del tratamiento (según el art. 28 del RGPD): a solicitud a través del aviso legal — CalPair actúa como encargado del tratamiento frente a clientes empresariales.
El certificado de Hetzner enlazado es una copia reflejada del original publicado por Hetzner; prevalece la versión vigente en Hetzner.