v1.2 · 08.08.2026
Estado: 08.08.2026 Versión: 1.0 Ámbito de aplicación: Art. 28 RGPD, Art. 32 RGPD, Art. 82 RGPD Partes del contrato: flowgeist (encargado del tratamiento) ↔ Cliente/Usuario (responsable)
Este contrato de encargado del tratamiento (AVV) regula el tratamiento de datos personales por parte de flowgeist por encargo del usuario en relación con el uso de la aplicación flowgeist FOOD. La aplicación flowgeist FOOD es una aplicación de nutrición y salud (PWA y nativa iOS/Android) que ayuda en el registro y análisis de datos de nutrición, incluido el análisis de alimentos basado en fotos y la gestión de datos de salud.
Particularidad de flowgeist FOOD: En la aplicación flowgeist FOOD, el usuario es normalmente al mismo tiempo la persona interesada y el responsable en el sentido del RGPD (aplicación de usuario único). Este AVV se aplica en la medida en que flowgeist trate datos personales por encargo y según las instrucciones del usuario. Esto afecta en particular al tratamiento de datos de salud (Art. 9 RGPD), datos de nutrición y datos de fotos que el usuario registra en la aplicación.
El AVV sirve para el cumplimiento de las obligaciones contractuales conforme al Art. 28 RGPD y asegura que el tratamiento de datos personales se realice de conformidad con las disposiciones de protección de datos. Debido al tratamiento de categorías especiales de datos personales (Art. 9 RGPD), se aplican requisitos reforzados a las medidas técnicas y organizativas así como a la confidencialidad.
(1) Objeto El objeto de este contrato es el tratamiento de datos personales por parte de flowgeist por encargo del usuario en relación con el uso de la aplicación flowgeist FOOD. La aplicación incluye:
(2) Duración Este contrato se aplica durante el tiempo de uso de la aplicación flowgeist FOOD por parte del usuario. Finaliza con la eliminación de la cuenta de usuario, pero no antes del cumplimiento de todas las obligaciones derivadas de este contrato, en particular la devolución o supresión de los datos conforme al § 3 Abs. 7.
(3) Resolución El usuario puede finalizar el uso de la aplicación en cualquier momento mediante la eliminación de su cuenta. flowgeist puede resolver el uso de forma extraordinaria si la continuación de la relación de encargo no es razonable teniendo en cuenta todas las circunstancias y sopesando los intereses de ambas partes, en particular en caso de incumplimientos graves del usuario de obligaciones legales.
(1) Naturaleza del tratamiento El tratamiento comprende la recogida, almacenamiento, transmisión, análisis y evaluación de datos personales en el marco del funcionamiento de la aplicación flowgeist FOOD.
(2) Categorías de datos
| Categoría de datos | Descripción | Ejemplos |
|---|---|---|
| Datos maestros | Datos básicos del usuario | Nombre, dirección de correo electrónico |
| Datos de salud (Art. 9 RGPD) | Datos especialmente protegidos | Alergias, intolerancias, objetivos nutricionales |
| Datos de nutrición | Datos de nutrición registrados | Diario de nutrición, alimentos, valores nutricionales, comidas |
| Datos de fotos | Fotos de alimentos | Imágenes para el análisis de alimentos basado en IA |
| Datos de acceso | Datos de autenticación | Token de Apple/Google Sign-In, token de sesión |
| Datos de dispositivo | Metadatos técnicos | ID de dispositivo, versión de la aplicación, sistema operativo |
| Datos de auditoría | Datos de registro | Registros de acceso, registros de cambios, registros de consentimiento |
(3) Personas interesadas Las personas interesadas son:
(4) Fines del tratamiento El tratamiento se realiza exclusivamente para los fines mencionados en § 1 y en el marco de las instrucciones dadas por el usuario.
(5) Alcance El alcance del tratamiento se desprende del uso de la aplicación por parte del usuario. flowgeist solo trata los datos que el usuario registra activamente o que se generan automáticamente en el marco del funcionamiento de la aplicación.
(1) Confidencialidad flowgeist asegura que todas las personas que, en el marco del encargo, tengan acceso a datos personales estén sujetas a confidencialidad conforme al Art. 28 Abs. 3 lit. b, Art. 29 y Art. 32 Abs. 4 RGPD. La obligación de confidencialidad se mantiene también después de la finalización de la relación de encargo. flowgeist documenta la obligación de confidencialidad por escrito o en formato electrónico.
(2) Medidas técnicas y organizativas flowgeist implementa y mantiene las medidas técnicas y organizativas (TOMs) exigidas en el Art. 32 RGPD para la protección de los datos personales. Las medidas se describen detalladamente en el anexo „TOMs Referencia” de este contrato. Debido al tratamiento de datos de salud (Art. 9 RGPD), se aplican requisitos reforzados que se indican separadamente en las TOMs.
(3) Subencargados del tratamiento flowgeist emplea los siguientes subencargados del tratamiento (Art. 28 Abs. 2, Abs. 4 RGPD):
| Subencargado del tratamiento | Ubicación | Fin | Terceros países |
|---|---|---|---|
| Hetzner Online GmbH | Falkenstein, Alemania (DE) | Hosting, PostgreSQL 16, MinIO, Redis | Ninguna (UE) |
| Mistral AI SAS | Francia (FR) | Mistral Vision API para análisis de alimentos | Ninguna (solo UE) |
| Sentry (Functional Software, Inc.) | EE. UU. (US) | Seguimiento de errores, diagnóstico de errores | EU-US DPF + SCC |
flowgeist celebra con todos los subencargados del tratamiento los correspondientes AVV conforme al Art. 28 Abs. 4 RGPD. El encargo de nuevos subencargados del tratamiento se comunicará al usuario con antelación, salvo que este haya otorgado previamente un consentimiento general.
(4) Apoyo en los derechos de los interesados flowgeist apoya al usuario en el cumplimiento de los derechos de los interesados (Art. 15–22 RGPD), en particular en solicitudes de acceso, rectificación, supresión y limitación. flowgeist pone a disposición los medios técnicos para cumplir los derechos de las personas interesadas dentro de los plazos legales.
(5) Apoyo en la evaluación de impacto relativa a la protección de datos (EIPD) flowgeist apoya al usuario en la realización de una evaluación de impacto relativa a la protección de datos (Art. 35 RGPD). Esto es necesario en particular para el tratamiento de datos de salud (Art. 9 RGPD). flowgeist proporciona al usuario, a petición, la información relevante sobre los procesos de tratamiento, las TOMs y la minimización de riesgos.
(6) Notificación de violaciones de la protección de datos flowgeist notifica al usuario sin demora, a más tardar dentro de las 24 horas tras su conocimiento, todas las violaciones de la protección de datos personales (Art. 33 RGPD) que se produzcan durante el tratamiento por encargo. La notificación incluye:
flowgeist documenta todas las violaciones de la protección de datos conforme al Art. 33 Abs. 5 RGPD.
(7) Supresión y devolución Tras la finalización de la relación de encargo, flowgeist suprime todos los datos personales tratados por encargo dentro de los 30 días, salvo que el usuario haya dado otra instrucción. La devolución de los datos al usuario se realiza a petición dentro de los 30 días tras la finalización. Tras el vencimiento de un nuevo plazo de 30 días (en total 30 + 30 días), los datos devueltos se eliminan de forma irreversible en flowgeist.
Quedan excluidos de la supresión los datos sujetos a obligaciones legales de conservación (en particular registros de auditoría). Estos datos se tratan exclusivamente para el cumplimiento de las obligaciones legales y se eliminan tras el vencimiento del plazo de conservación.
(8) Vinculación a instrucciones flowgeist trata los datos personales exclusivamente según las instrucciones documentadas del usuario (Art. 28 Abs. 3 lit. a RGPD). Las instrucciones se documentan por escrito (correo electrónico, ajustes de la aplicación). flowgeist informa al usuario sin demora si una instrucción, en opinión de flowgeist, infringe disposiciones legales (Art. 28 Abs. 3 lit. 2 RGPD).
(9) Plazos de conservación
| Categoría de datos | Plazo de conservación | Observación |
|---|---|---|
| Datos maestros | 30 días tras la eliminación de la cuenta | Plazo para los derechos de los interesados |
| Datos de salud (Art. 9 RGPD) | 30 días tras la eliminación de la cuenta; inmediatamente tras la retirada | Eliminación inmediata tras la retirada |
| Datos de nutrición | 30 días tras la eliminación de la cuenta | — |
| Datos de fotos | 30 días tras la eliminación de la cuenta | — |
| Registros de auditoría | 3 años | Obligación legal de conservación |
| Datos de Sentry | 30 días | PII minimizadas |
(1) Responsabilidad del tratamiento El usuario, como responsable, asume la plena responsabilidad de la licitud del tratamiento (Art. 28 Abs. 3 RGPD). Asegura que se cumplan todos los requisitos para el tratamiento de los datos personales, en particular de los datos de salud.
(2) Consentimientos según Art. 9 RGPD El usuario es responsable de la obtención y gestión de los consentimientos para el tratamiento de datos de salud conforme al Art. 9 Abs. 2 lit. a RGPD. flowgeist proporciona los medios técnicos para la obtención y documentación del consentimiento. El usuario asegura que el consentimiento se preste de forma voluntaria, informada e inequívoca.
(3) Evaluación de impacto relativa a la protección de datos (EIPD) El usuario es responsable de la realización de una evaluación de impacto relativa a la protección de datos (Art. 35 RGPD), en la medida en que sea necesaria debido al tratamiento de datos de salud. flowgeist apoya al usuario en este sentido conforme al § 3 Abs. 5.
(4) Instrucciones El usuario da todas las instrucciones para el tratamiento de los datos personales por escrito. Las instrucciones también pueden realizarse a través de los ajustes de la aplicación, siempre que estén suficientemente documentadas.
(5) Obligaciones de información El usuario asegura que las personas interesadas sean informadas debidamente conforme a los Art. 13, 14 RGPD. La política de privacidad de la aplicación flowgeist FOOD es proporcionada por flowgeist y utilizada por el usuario como parte de sus obligaciones de información.
(6) Notificación de violaciones de la protección de datos a las autoridades de control El usuario es responsable de la notificación de violaciones de la protección de datos a la autoridad de control competente (Art. 33 RGPD) y de la comunicación a las personas interesadas (Art. 34 RGPD), en la medida en que sea necesario. flowgeist apoya al usuario en el cumplimiento de estas obligaciones mediante la notificación sin demora conforme al § 3 Abs. 6.
(1) Derecho de control del usuario El usuario tiene derecho a controlar el cumplimiento de las obligaciones de flowgeist derivadas de este AVV. Esto incluye en particular la verificación de las TOMs, los procesos de tratamiento y los subencargados del tratamiento.
(2) Realización del control El control puede realizarse mediante verificación previa de documentos, auditorías o inspecciones in situ. flowgeist apoya al usuario en la realización de auditorías e inspecciones en la medida adecuada.
(3) Información flowgeist proporciona al usuario, a petición, en cualquier momento información sobre el tratamiento de los datos personales, las TOMs empleadas y los subencargados del tratamiento.
(4) Certificaciones y pruebas de auditoría flowgeist puede presentar certificaciones, informes de prueba o informes de auditoría para el cumplimiento de las obligaciones de control, en la medida en que sean adecuados para demostrar el cumplimiento de los requisitos.
(1) Principio El tratamiento primario de los datos personales se realiza en Alemania (Hetzner Online GmbH, Falkenstein). La base de datos (PostgreSQL 16), el Object Storage (MinIO) y la caché (Redis) se operan exclusivamente en Alemania.
(2) Transferencias a terceros países
| Destinatario | País | Mecanismo de protección | Observación |
|---|---|---|---|
| Sentry (Functional Software, Inc.) | EE. UU. | EU-US Data Privacy Framework (DPF) + SCC | PII minimizadas, sin datos de salud |
| Mistral AI SAS | Francia (FR) | Estado miembro de la UE, sin transferencia a terceros países | Solo UE |
| Apple Inc. | EE. UU. | EU-US DPF | Autenticación |
| Google LLC | EE. UU. | EU-US DPF | Autenticación |
(3) Datos de salud Los datos de salud en el sentido del Art. 9 RGPD no se transmiten a terceros países. El tratamiento se realiza exclusivamente en Alemania y Francia (Mistral AI, Estado miembro de la UE).
(4) Cláusulas Contractuales Tipo Para la transmisión a Sentry (EE. UU.) se aplican, complementariamente al EU-US Data Privacy Framework, las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914). flowgeist realiza un análisis de riesgos conforme al Art. 46 Abs. 2 RGPD y adopta medidas complementarias, en la medida en que sea necesario.
(1) Responsabilidad según el RGPD La responsabilidad se rige por el Art. 82 RGPD. flowgeist responde frente al usuario por los daños causados por el incumplimiento de las obligaciones de este AVV o del RGPD, siempre que flowgeist sea responsable del incumplimiento.
(2) Exclusión de responsabilidad flowgeist responde de forma ilimitada por dolo y negligencia grave. En caso de negligencia leve, flowgeist solo responde por el incumplimiento de obligaciones contractuales esenciales (obligaciones cardinales) y solo en la cuantía del daño típicamente previsible.
(3) Responsabilidad del responsable El usuario responde como responsable de la licitud del tratamiento de datos y de las instrucciones dadas por él. flowgeist no responde por los daños derivados de instrucciones ilícitas o insuficientes del usuario.
(4) Responsabilidad objetiva En la medida en que flowgeist, como encargado del tratamiento, responda por daños causados por el tratamiento de datos personales, flowgeist puede ejercer un derecho de repetición contra el responsable, en la medida en que el responsable sea responsable del daño (Art. 82 Abs. 5 RGPD).
(1) Forma escrita Las modificaciones y complementos de este contrato requieren forma escrita. Esto se aplica también a la derogación de la cláusula de forma escrita.
(2) Acuerdos accesorios No existen acuerdos accesorios. No se han celebrado acuerdos verbales.
(3) Cláusula de salvaguardia Si disposiciones individuales de este contrato fueran o resultaran nulas o inejecutables, esto no afectará a la validez de las restantes disposiciones. Las partes sustituirán la disposición nula por una válida que se aproxime más al propósito económico.
(4) Derecho aplicable Este contrato se rige por el derecho de la República Federal de Alemania con exclusión del derecho internacional privado.
(5) Fuero El fuero es Mettmann, Alemania, en la medida en que sea legalmente admisible.
(6) Idioma del contrato El idioma del contrato es el español.
flowgeist Titular: Ralf Carsjens Eidamshauser Straße 13 40822 Mettmann Alemania
Correo electrónico: info@flowgeist.de Protección de datos: datenschutz@flowgeist.de Web: https://foodapp.flowgeist.de
Las medidas técnicas y organizativas detalladas (TOMs) conforme al Art. 32 RGPD se describen en el documento separado „Medidas técnicas y organizativas (TOMs) – flowgeist FOOD”. Este anexo forma parte de este AVV y sirve como referencia para el cumplimiento de los requisitos de protección.
Las TOMs incluyen en particular:
| Versión | Fecha | Cambios principales |
|---|---|---|
| 1.0 | 08.08.2026 | Primera versión para flowgeist FOOD |
flowgeist Ralf Carsjens, Titular Fecha: ______________
Cliente / Usuario Fecha: ______________
© 2026 flowgeist – Ralf Carsjens · Todos los derechos reservados