Acuerdo de Tratamiento de Datos

Versión 1.0 · Última actualización: 30 de mayo de 2026

Este Acuerdo de Tratamiento de Datos (el "DPA") se celebra en virtud del artículo 28 del Reglamento (UE) 2016/679 ("RGPD") y del artículo 28 del Decreto Legislativo italiano 196/2003, modificado por el Decreto Legislativo 101/2018 (el Código italiano de Protección de Datos), entre el Comercio, en calidad de Responsable del Tratamiento, y radioBros, en calidad de Encargado del Tratamiento, y regula el tratamiento de los datos personales de los clientes del Comercio en el marco del servicio TesserApp.

La versión italiana de este DPA es la versión oficial y prevalece sobre las traducciones en caso de discrepancia.

1. Partes

1.1 Responsable del Tratamiento: la persona física o jurídica que se registra en la plataforma TesserApp Shop y se suscribe al Servicio (en adelante, el "Comercio"). Los datos identificativos del Comercio son los introducidos en el momento del registro y modificables desde el panel de control.

1.2 Encargado del Tratamiento: radioBros di Alberto Miconi, con sede en Via Ridolfino Venuti 30, 00162 Roma (Italia), número de IVA italiano (Partita IVA) en proceso de registro, correo de contacto privacy@tesserapp.eu (en adelante, "radioBros").

Las Partes reconocen mutuamente los roles anteriores, sin perjuicio del rol independiente de radioBros como Responsable del Tratamiento para sus propios tratamientos en el marco de la ejecución de la suscripción (facturación, cuenta del Comercio, registros de seguridad de sus propios sistemas), regidos por la Política de Privacidad y los Términos del Servicio.

2. Definiciones

Se aplican las definiciones del artículo 4 del RGPD. Adicionalmente:

• "Datos Personales": cualquier información relativa a una persona física identificada o identificable en el sentido del art. 4, nº 1, del RGPD, tratada por el Encargado por cuenta del Responsable en el marco del Servicio.
• "Interesado": el cliente del Comercio que utiliza la app móvil TesserApp y activa o usa una tarjeta de fidelidad bajo el programa del Comercio.
• "Servicio": la plataforma web, las aplicaciones móviles y los componentes de infraestructura que radioBros pone a disposición del Comercio para operar sus programas de fidelidad.
• "Subencargado": cualquier tercero que el Encargado contrate para tratar Datos Personales, en virtud del art. 28, apdo. 4, del RGPD. La lista figura en el Anexo A.
• "Violación de Datos Personales": según se define en el art. 4, nº 12, del RGPD.

3. Objeto, duración, naturaleza y finalidades del tratamiento

3.1 El Comercio, en calidad de Responsable del Tratamiento, encarga a radioBros, en calidad de Encargado del Tratamiento, el tratamiento de los Datos Personales de los Interesados con las finalidades necesarias para prestar el Servicio y según lo establecido en el presente DPA.

3.2 Objeto: la operación técnica del programa de fidelidad del Comercio, incluyendo la activación de tarjetas de cliente, el registro de transacciones (sellos otorgados, premios canjeados, reversos), la sincronización de tarjetas con Apple Wallet y Google Wallet, el envío de notificaciones push relacionadas con el programa de fidelidad, la exposición del programa en el catálogo de la app de consumidor (cuando el Comercio haya optado por la visibilidad pública) la provisión de funciones de descubrimiento basadas en la ubicación y —en el caso de los programas privados— la emisión de una tarjeta personal a un único titular identificado, la entrega de una invitación de instalación por correo electrónico y la vinculación de la tarjeta a la cuenta de dispositivo del titular.

3.3 Naturaleza del tratamiento: tratamiento automatizado llevado a cabo en la infraestructura informática del Encargado y de sus Subencargados autorizados.

3.4 Finalidades: ejecución del contrato entre el Comercio y sus propios clientes en relación con el programa de fidelidad; cumplimiento de las obligaciones legales del Comercio como Responsable; seguridad de los sistemas informáticos y prevención del fraude en sellos y premios; y, en el caso de los programas privados, la entrega de tarjetas personales a las personas concretas designadas por el Responsable y la restricción de cada una de esas tarjetas a la cuenta de dispositivo del titular.

3.5 Duración: el presente DPA será efectivo durante toda la duración de la suscripción del Comercio al Servicio. Las obligaciones de los artículos 9 (Devolución y supresión) y 13 (Confidencialidad) sobreviven a la terminación.

4. Categorías de Interesados y de Datos Personales

4.1 Categorías de Interesados: clientes del Comercio que utilizan la app de consumidor TesserApp.

4.2 Categorías de Datos Personales tratados (Anexo B):

• identificadores anónimos de dispositivo (tokens aleatorios de 256 bits, no vinculados a la identidad de la persona);
• identificadores de tarjetas de fidelidad (UUID opacos);
• metadatos de transacciones (eventos de asignación de sellos, canjes de premios, reversos; fecha, hora y ubicación del comercio donde tuvo lugar la operación);
• identificadores de pases Apple Wallet / Google Wallet y los tokens push relacionados;
• direcciones IP, tratadas únicamente de forma transitoria en registros de auditoría con fines de seguridad;
• idioma del sistema del dispositivo;
• coordenadas GPS, exclusivamente cuando el Interesado haya activado la función de descubrimiento de comercios cercanos y solo durante la duración del uso de la función;
• dirección de correo electrónico del Interesado, exclusivamente si el Interesado la facilita voluntariamente (solicitudes de derechos RGPD, contactos de soporte).

4.2 bis — solo programas privados (personales): el nombre y la dirección de correo electrónico del titular de la tarjeta, facilitados por el Responsable con la finalidad de emitir una tarjeta personal y enviar una invitación de instalación por correo electrónico; y una referencia seudonimizada de vinculación a la cuenta de dispositivo (un identificador opaco derivado de la cuenta de iCloud/Google del titular), tratada únicamente para garantizar que la tarjeta privada permanezca en la cuenta del titular. El Responsable garantiza que cuenta con una base jurídica y, cuando sea necesario, con el consentimiento del Interesado para facilitar estos datos; el Encargado los trata únicamente siguiendo las instrucciones documentadas del Responsable.

4.3 Datos NO tratados: dirección postal, número de teléfono del Interesado; datos de pago del Interesado (la app no procesa los pagos del cliente al Comercio); categorías especiales de datos del art. 9 del RGPD; datos sobre condenas penales del art. 10 del RGPD; datos de menores de 16 años (el Servicio no está dirigido a ese grupo de edad). Excepción: en el caso de los programas privados, el nombre y el correo electrónico del Interesado sí se tratan siguiendo la instrucción del Responsable (véase el §4.2 bis). Para todos los programas estándar/públicos, el nombre y el correo electrónico siguen sin tratarse.

5. Obligaciones del Encargado del Tratamiento

El Encargado se compromete a:

5.1 tratar los Datos Personales únicamente siguiendo instrucciones documentadas del Responsable, incluso respecto a las transferencias de Datos Personales a un tercer país u organización internacional, salvo que esté obligado a ello por el Derecho de la Unión o de los Estados miembros que se aplique al Encargado; en tal caso, el Encargado informará al Responsable de esa exigencia legal previa al tratamiento, salvo que dicha ley lo prohíba por razones importantes de interés público;

5.2 garantizar que las personas autorizadas para tratar los Datos Personales se hayan comprometido a respetar la confidencialidad o estén sujetas a una obligación legal de confidencialidad adecuada;

5.3 adoptar todas las medidas requeridas en virtud del art. 32 del RGPD, según se describe en el Anexo D del presente DPA;

5.4 respetar las condiciones señaladas en los apartados 2 y 4 del art. 28 del RGPD para la contratación de Subencargados, según se especifica en el art. 6 del presente DPA;

5.5 teniendo en cuenta la naturaleza del tratamiento, asistir al Responsable mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para el cumplimiento de la obligación del Responsable de responder a las solicitudes de ejercicio de los derechos del Interesado conforme a los arts. 15-22 del RGPD;

5.6 asistir al Responsable a garantizar el cumplimiento de las obligaciones previstas en los arts. 32 a 36 del RGPD, teniendo en cuenta la naturaleza del tratamiento y la información disponible para el Encargado;

5.7 a elección del Responsable, suprimir o devolver todos los Datos Personales tras finalizar la prestación de servicios de tratamiento, y suprimir las copias existentes, salvo que el Derecho de la Unión o de los Estados miembros exija la conservación de los datos;

5.8 poner a disposición del Responsable toda la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD, y permitir y contribuir a la realización de auditorías, incluidas las inspecciones, por parte del Responsable o de otro auditor designado por el Responsable;

5.9 informar inmediatamente al Responsable si, en su opinión, una instrucción infringe el RGPD u otras disposiciones de protección de datos de la Unión o de los Estados miembros.

6. Subencargados

6.1 El Comercio otorga al Encargado autorización general para contratar a los Subencargados enumerados en el Anexo A del presente DPA.

6.2 El Encargado informará al Comercio de cualquier cambio previsto relativo a la incorporación o sustitución de otros Subencargados con un preaviso mínimo de 30 días, otorgando así al Comercio la posibilidad de oponerse a tales cambios.

6.3 En caso de oposición motivada del Comercio, el Encargado evaluará soluciones técnicas alternativas. Cuando no sea posible evitar al nuevo Subencargado, el Comercio podrá rescindir la suscripción sin penalización, con efecto a partir de la fecha en que el nuevo Subencargado entre en funcionamiento.

6.4 El Encargado celebrará un contrato escrito con cada Subencargado que contenga obligaciones de protección de datos equivalentes a las establecidas en el presente DPA, en particular respecto a las medidas técnicas y organizativas apropiadas, la confidencialidad, la asistencia al Responsable y la cooperación con la autoridad de control.

6.5 El Encargado responde ante el Comercio por las acciones del Subencargado en los términos previstos por el art. 28, apdo. 4, del RGPD.

7. Derechos de los Interesados

7.1 Teniendo en cuenta la naturaleza del tratamiento, el Encargado asistirá al Responsable mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para el cumplimiento de la obligación del Responsable de responder a las solicitudes de ejercicio de los derechos del Interesado previstos en el Capítulo III del RGPD (arts. 12-22) y, en particular:

• derecho de acceso (art. 15);
• derecho de rectificación (art. 16);
• derecho de supresión (art. 17), operativizado a través del flujo descrito en el art. 9 siguiente y en la decisión de producto 046 (borrado lógico de 30 días);
• derecho a la limitación del tratamiento (art. 18);
• derecho a la portabilidad de los datos (art. 20);
• derecho de oposición (art. 21);
• derecho a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado (art. 22): el Servicio no opera elaboración automatizada de perfiles con efectos jurídicos sobre el Interesado.

7.2 Las solicitudes recibidas directamente por el Encargado se remiten sin dilación al Responsable, salvo que el Encargado esté autorizado por escrito por el Responsable para responder directamente.

7.3 El Encargado pone a disposición del Responsable herramientas técnicas accesibles desde el panel de control para: (a) exportar los datos de un Interesado individual; (b) anonimizar o eliminar los datos de un Interesado individual; (c) suspender el tratamiento de un Interesado individual.

8. Notificación de Violaciones de Datos Personales

8.1 En caso de Violación de Datos Personales de la que el Encargado tenga conocimiento, el Encargado notificará el incidente al Responsable sin dilación indebida y, en cualquier caso, en un plazo de 72 horas desde que tenga conocimiento del mismo, proporcionando, en la medida de lo posible, la información a que se refiere el art. 33, apdo. 3, del RGPD y, en particular:

• la naturaleza de la violación, las categorías y el número aproximado de Interesados afectados;
• las categorías y el número aproximado de registros de datos personales afectados;
• los datos de contacto del punto de contacto para el incidente;
• las probables consecuencias de la violación;
• las medidas adoptadas o propuestas para afrontarla y mitigar sus posibles efectos adversos.

8.2 Cuando, y en la medida en que, no sea posible facilitar la información simultáneamente, la información podrá facilitarse de manera gradual sin demora indebida adicional.

8.3 Se entiende que corresponde al Responsable, conforme a los arts. 33 y 34 del RGPD, decidir si notifica la violación a la autoridad de control y la comunica a los Interesados.

9. Devolución y supresión de los Datos Personales tras la terminación

9.1 A la terminación de la suscripción y, en cualquier caso, dentro de los 30 días siguientes a la terminación, el Comercio podrá solicitar al Encargado la exportación completa de los Datos Personales en formato estructurado, de uso común y de lectura mecánica (JSON, accesible desde el panel de control o entregado mediante URL firmada).

9.2 Transcurrido el plazo anterior sin que se haya solicitado la exportación, o tras haberla completado, el Encargado procede a suprimir los Datos Personales conforme a la política de borrado lógico del Servicio: los datos son primero inaccesibles (borrado lógico de 30 días) y, transcurrido ese plazo, son eliminados permanentemente de los sistemas de producción en un plazo de 5 días.

9.3 Quedan excluidos de la supresión, por el tiempo estrictamente necesario, los Datos Personales cuya conservación esté impuesta por obligaciones legales vinculantes para radioBros (en particular, la conservación de facturas durante 10 años conforme al art. 2220 del Código civil italiano y a la normativa fiscal italiana). Estos datos se conservan en custodia segregada, con acceso restringido y auditado, y no están sujetos a ningún otro tratamiento más allá del cumplimiento de la obligación.

9.4 A solicitud escrita del Comercio, el Encargado emite una declaración formal de supresión completada.

10. Transferencias internacionales de datos

10.1 El Encargado trata los Datos Personales exclusivamente en infraestructura ubicada dentro del Espacio Económico Europeo, con preferencia por centros de datos en Italia o Alemania.

10.2 Algunos Subencargados enumerados en el Anexo A pueden tener su sede u operaciones en los Estados Unidos (en particular, Stripe, Apple, Google). Las transferencias de Datos Personales a tales partes se realizan sobre la base de las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea mediante la Decisión 2021/914/UE, complementadas con medidas adicionales cuando sea necesario a la luz de la sentencia del TJUE C-311/18 (Schrems II).

10.3 No se realizan transferencias a terceros países fuera del marco de las Cláusulas Contractuales Tipo o de una decisión de adecuación de la Comisión.

11. Medidas técnicas y organizativas

Las medidas técnicas y organizativas adoptadas por el Encargado conforme al art. 32 del RGPD se describen en el Anexo D del presente DPA, que forma parte integrante del mismo. Estas medidas están sujetas a una actualización periódica que refleje el estado de la técnica; cualquier actualización no podrá traducirse en una reducción del nivel de seguridad garantizado.

12. Auditoría

12.1 El Encargado pone a disposición del Responsable, previa solicitud escrita, la información necesaria para demostrar el cumplimiento de las obligaciones derivadas del art. 28 del RGPD y del presente DPA.

12.2 El Responsable podrá solicitar, una vez por año natural, la realización de una auditoría, que se llevará a cabo previa notificación escrita con al menos 30 días de antelación, durante el horario laboral, en las instalaciones del Encargado, en una modalidad que no interfiera con la continuidad operativa del Servicio y respete las medidas de seguridad vigentes.

12.3 Los costes directos de la auditoría correrán a cargo del Responsable, salvo que la auditoría revele incumplimientos significativos del presente DPA imputables al Encargado, en cuyo caso los costes correrán a cargo del Encargado.

12.4 En sustitución de la auditoría in situ, el Encargado podrá ofrecer la entrega de informes de auditoría independientes de terceros (p. ej., SOC 2, ISO 27001, cuando estén disponibles) y documentación equivalente.

13. Confidencialidad

13.1 Las Partes se comprometen a tratar como estrictamente confidencial toda la información adquirida en la ejecución del presente DPA, salvo la información que sea de dominio público o cuya divulgación sea exigida por ley u orden de la autoridad.

13.2 La obligación de confidencialidad se extiende a los empleados, colaboradores y Subencargados de las Partes y sobrevive a la terminación del presente DPA.

14. Responsabilidad e indemnización

14.1 Cada Parte responde por los daños causados por su tratamiento que infrinjan el RGPD, en los términos y condiciones previstos por el art. 82 del RGPD.

14.2 En las relaciones internas entre las Partes, la responsabilidad de radioBros frente al Comercio por el tratamiento de los Datos Personales se rige por la cláusula de limitación de responsabilidad contenida en los Términos del Servicio, salvo en caso de dolo o culpa grave y sin perjuicio de la responsabilidad frente al Interesado conforme al RGPD.

14.3 El Comercio garantiza y mantiene indemne a radioBros frente a cualquier reclamación derivada del incumplimiento por parte del Comercio de sus propias obligaciones como Responsable conforme al RGPD (en particular: información adecuada a los Interesados conforme a los arts. 13-14 del RGPD; base jurídica adecuada para el tratamiento; corrección de las instrucciones impartidas al Encargado).

15. Duración, modificaciones y disposiciones finales

15.1 Duración. El presente DPA será efectivo a partir de la fecha de aceptación por el Comercio en el momento del registro (mediante casilla de verificación dedicada) y durante toda la duración de la suscripción al Servicio. Las obligaciones de devolución/supresión (art. 9) y de confidencialidad (art. 13) sobreviven a la terminación.

15.2 Modificaciones. Las modificaciones materiales del presente DPA se comunicarán al Comercio con un preaviso mínimo de 30 días mediante correo electrónico a la dirección registrada en la cuenta y mediante un banner dedicado en el panel de control. Se exigirá al Comercio aceptar de nuevo la nueva versión en el siguiente inicio de sesión. La no aceptación dará derecho a rescindir la suscripción sin penalización.

15.3 Lengua. La versión italiana del presente DPA es la versión oficial y prevalece sobre las traducciones en caso de discrepancia.

15.4 Ley aplicable y jurisdicción. El presente DPA se rige por la ley italiana. Cualquier controversia queda sometida a la jurisdicción exclusiva del Tribunal de Roma.

15.5 Trazabilidad de la aceptación. La aceptación del DPA es trazada por el Encargado mediante el registro de: razón social del Comercio, correo del usuario que aceptó, dirección IP, marca temporal y versión del DPA aceptada. Estos datos constituyen prueba de la aceptación conforme a los arts. 20 y 21 del Decreto Legislativo italiano 82/2005 (Código de la Administración Digital).

---

Anexo A — Subencargados autorizados

Subencargado	Sede	Rol	Categorías de datos	Base de la transferencia
Stripe Payments Europe Ltd.	Irlanda (grupo con operaciones en EE. UU.)	Procesamiento de los pagos de suscripción del Comercio; emisión de facturas	Datos de pago y fiscales del propio Comercio (no del Interesado)	CCT 2021/914/UE
Cloudflare, Inc.	EE. UU. (R2 storage configurado en región UE)	Almacenamiento de objetos para copias de seguridad y activos; CDN para la entrega de recursos estáticos	Copias de seguridad cifradas; ningún PII en claro	CCT 2021/914/UE
Resend (resend.com)	UE	Envío de correos transaccionales	Dirección de correo del Interesado (solo en los casos previstos en el art. 4.2 letra h) del DPA)	Tratamiento UE
Apple Inc.	EE. UU.	Entrega de pases Apple Wallet vía APNs	Tokens push, identificadores de pases	CCT 2021/914/UE
Google LLC	EE. UU.	Entrega de pases Google Wallet vía FCM y Google Wallet API	Tokens push, identificadores de pases	CCT 2021/914/UE
Contabo GmbH	Alemania	Hosting VPS de los sistemas de producción	Todos los Datos Personales objeto del Servicio	Tratamiento UE
FontAwesome, Inc.	EE. UU.	CDN estática de iconos (SVG, sin seguimiento)	Sin PII	Direcciones IP de los visitantes del sitio, tratadas de forma transitoria

La lista actualizada está disponible en el panel del Comercio en "Privacidad → Subencargados".

Anexo B — Categorías de datos y plazos de conservación

Categoría	Conservación	Base jurídica
Identificadores de tarjetas de fidelidad (UUID)	Hasta que el Cliente los elimine o hasta la terminación de la suscripción del Comercio, más 30 días de borrado lógico, más eliminación en un plazo de 5 días	Ejecución del contrato del programa de fidelidad
Metadatos de transacciones (sellos, premios, reversos)	24 meses activos para conciliación y prevención del fraude; posteriormente archivados con referencias seudonimizadas	Interés legítimo del Responsable en la seguridad del programa
Identificadores de pases Apple/Google Wallet	Hasta la retirada del pase por el Interesado de su wallet nativo	Ejecución del contrato del programa de fidelidad
Coordenadas GPS (uso de la función de descubrimiento)	No conservadas más allá de la sesión de uso de la función	Consentimiento del Interesado (art. 6.1.a del RGPD)
Direcciones IP en registros de auditoría	Anuladas en la eliminación permanente de la tarjeta del Interesado	Interés legítimo en seguridad
Correo electrónico del Interesado (si se facilita)	30 días desde la conclusión del procedimiento por el que se facilitó	Ejecución de una solicitud del Interesado
Facturas de suscripción del Comercio	10 años	Obligación legal (art. 2220 del Código civil italiano y normativa fiscal italiana)

Anexo C — Derechos de los Interesados y modalidades de ejercicio

El Comercio es el primer destinatario de las solicitudes de derechos RGPD de sus propios clientes. radioBros asiste al Comercio proporcionando:

• una consola de gestión de derechos integrada en el panel del Comercio, para la exportación y supresión de datos del Interesado individual;
• la opción de solicitar directamente a radioBros, en privacy@tesserapp.eu, el ejercicio de los derechos, que se remitirán sin demora al Comercio;
• un sistema de pista de auditoría, accesible en cualquier momento por el Comercio, que registra la fecha de la solicitud, el tipo de derecho ejercido, la fecha de respuesta y las acciones realizadas.

Plazos de respuesta indicativos (máximo en virtud del art. 12 del RGPD): 30 días desde la solicitud, prorrogables otros 60 días en caso de complejidad, previa notificación al Interesado.

Anexo D — Medidas técnicas y organizativas (art. 32 del RGPD)

D.1 Confidencialidad

• Cifrado en tránsito mediante TLS 1.2 o superior en todos los puntos finales expuestos.
• Cifrado en reposo con AES-256 de las copias de seguridad de la base de datos y de los objetos de Cloudflare R2 (SSE).
• Hashing de los tokens de autenticación con el algoritmo argon2id, con parámetros compatibles con las directrices OWASP.
• Hashing de las contraseñas de cuenta del Comercio con argon2id; ninguna contraseña se almacena nunca en texto plano.
• Segregación de entornos (producción, staging, desarrollo) con credenciales distintas y sin acceso a datos de producción desde entornos no productivos.

D.2 Integridad

• Control de acceso basado en roles (RBAC) en la infraestructura de producción.
• Registro de auditoría de toda operación administrativa, conservado en almacenamiento append-only.
• Versionado de las migraciones del esquema de base de datos con una cadena de hashes verificable.

D.3 Disponibilidad y resiliencia

• Copias de seguridad automáticas diarias de la base de datos con recuperación a un punto en el tiempo (PITR) mediante WAL streaming (pgBackRest).
• Simulacros de restauración documentados, al menos anualmente.
• Monitorización de la infraestructura en tiempo real, con alarmas sobre anomalías de seguridad y disponibilidad.
• Limitación de tasa en los puntos finales públicos, anti-DDoS perimetral vía Cloudflare.

D.4 Procedimientos de verificación

• Test de intrusión externo anual.
• Revisión interna semestral de las configuraciones de seguridad.
• Gestión de vulnerabilidades con SLA definidos para la remediación (críticas: 7 días; altas: 30 días; medias: 90 días).

D.5 Continuidad del tratamiento

• Procedimientos documentados de recuperación ante desastres y gestión de incidentes.
• Sustituibilidad de los Subencargados de infraestructura en plazos razonables, cuando sea necesario.

D.6 Gestión de incidentes

• Procedimiento interno de gestión de Violaciones de Datos Personales con un responsable dedicado, activable 24/7.
• Cadena de notificación predefinida para garantizar el cumplimiento del plazo de 72 horas al que se refiere el art. 8 del presente DPA.

---

Contactos

• Encargado del Tratamiento: radioBros di Alberto Miconi, Via Ridolfino Venuti 30, 00162 Roma (Italia), número de IVA italiano (Partita IVA) en proceso de registro.
• Correo electrónico para cualquier asunto relativo al presente DPA: privacy@tesserapp.eu.
• Autoridad de control competente: la Autoridad Italiana de Protección de Datos (Garante — gpdp.it) es la autoridad de control del establecimiento de radioBros. Los Comercios establecidos en otro Estado miembro de la UE pueden dirigirse también a la autoridad de control de su propio país de establecimiento.

---

Versión 1.0 — adoptada el 30 de mayo de 2026. Las versiones históricas, cuando estén disponibles, se archivan en formato PDF en las URL https://tesserapp.eu/legal/dpa/v{version}.pdf.