Acuerdo de encargo del tratamiento (DPA)
Esta es una traducción para tu comodidad. La versión en neerlandés es la jurídicamente vinculante.
Este acuerdo de encargo del tratamiento se aplica entre el cliente (“responsable del tratamiento”) y DMback (“encargado del tratamiento”), y se celebra al aceptar las condiciones generales al crear un espacio de trabajo. Cumple con el artículo 28 del Reglamento General de Protección de Datos (RGPD).
1. Objeto, duración y finalidad
El encargado trata datos personales exclusivamente para prestar el servicio: recibir comentarios en las cuentas de Instagram conectadas del cliente, reconocer las palabras clave configuradas, enviar mensajes privados automáticos y respuestas públicas, y mostrar estadísticas. El acuerdo dura mientras el cliente utilice el servicio, más el periodo necesario para borrar los datos.
2. Tipos de datos e interesados
| Interesados | Usuarios de Instagram que comentan en publicaciones del cliente (“seguidores”). |
|---|---|
| Datos | ID de usuario de Instagram (un número), ID del comentario, ID del contenido multimedia, el texto del comentario (solo para reconocer la palabra clave), fecha y hora, la palabra clave coincidente y el estado del mensaje enviado. No se almacenan nombres de usuario. |
| Categorías especiales de datos | No se tratan de forma deliberada. El cliente no configura palabras clave ni mensajes dirigidos a categorías especiales de datos personales. |
3. Instrucciones
El encargado solo trata datos siguiendo instrucciones escritas del cliente. Los ajustes que el cliente realiza en el panel (palabras clave, mensajes, plazo de conservación) se consideran instrucciones. El encargado avisará si, a su juicio, una instrucción infringe el RGPD.
4. Confidencialidad y seguridad
Las personas que tienen acceso en nombre del encargado están obligadas a guardar confidencialidad. El encargado adopta medidas adecuadas, entre ellas:
- almacenamiento y tratamiento dentro de la UE (Fráncfort);
- conexiones cifradas (TLS) y almacenamiento cifrado de los tokens de acceso (AES-256-GCM);
- separación de los datos de clientes por espacio de trabajo, aplicada también en la base de datos (row level security);
- verificación del origen de cada mensaje de Meta (firma criptográfica);
- acceso a los sistemas de producción solo para personas autorizadas, con registro de los accesos de soporte;
- borrado automático de los datos al finalizar el plazo de conservación configurado.
5. Subencargados
El cliente otorga una autorización general para recurrir a los subencargados que se indican a continuación. Anunciamos los nuevos subencargados con al menos 30 días de antelación en la página de subencargados; el cliente puede oponerse y, en ese caso, cancelar sin coste.
| Parte | Finalidad | Ubicación | Base de la transferencia |
|---|---|---|---|
| Vercel Inc. | Alojamiento de la aplicación (funciones de servidor en Fráncfort, fra1) | UE (Fráncfort); empresa en EE. UU. | EU-US Data Privacy Framework + CCT |
| Supabase Inc. | Base de datos (PostgreSQL) | UE (Fráncfort, eu-central-1) | CCT; los datos permanecen en la UE |
| Meta Platforms Ireland Ltd. | API de Instagram: recepción de comentarios, envío de DM | UE / EE. UU. | Necesario para el servicio; Meta Platform Terms |
| Stripe Payments Europe Ltd. | Pagos y facturas (solo datos de clientes, sin datos de Instagram) | UE (Irlanda) / EE. UU. | EU-US Data Privacy Framework + CCT |
| Resend (Plus Five Five Inc.) | Envío de correos electrónicos a clientes (sin datos de Instagram) | EE. UU. / UE | EU-US Data Privacy Framework + CCT |
6. Derechos de los interesados
El encargado ayuda al cliente con las solicitudes de los interesados (acceso, supresión). Las solicitudes de supresión que llegan a través de Meta se ejecutan automáticamente en todos los espacios de trabajo.
7. Violaciones de seguridad de los datos
El encargado informará al cliente sin dilación indebida y, a más tardar, en un plazo de 48 horas desde que tenga conocimiento de una violación de la seguridad que afecte a datos personales del cliente, con la información que el cliente necesite para una posible notificación a la autoridad neerlandesa de protección de datos (Autoriteit Persoonsgegevens).
8. Plazo de conservación y finalización
Los datos se conservan durante el plazo configurado por el cliente (30 días por defecto, mínimo 8, máximo 400). Tras la terminación o la eliminación del espacio de trabajo, el encargado borra todos los datos personales en un plazo de 30 días, salvo que una obligación legal exija otra cosa. El cliente puede descargar una exportación previamente.
9. Auditoría
El encargado pondrá a disposición del cliente, previa solicitud, la información necesaria para demostrar el cumplimiento. Es posible realizar una auditoría in situ con un preaviso razonable y a cargo del cliente.
10. Responsabilidad
En materia de responsabilidad se aplica lo acordado en las condiciones generales.
Preguntas: la dirección de contacto de nuestro sitio web.