Acuerdo de encargo del tratamiento

1. Partes y objeto

Responsable del tratamiento: tú, el cliente titular de la cuenta y de las webs creadas con Krealo.ai. Encargado del tratamiento: Highdatanet Projects S.L., con NIF [Pendiente: NIF] y domicilio en Edificio Marconi, C/ Ronda de Guglielmo Marconi 8, Valencia ([Pendiente: código postal]), inscrita en el Registro Mercantil de Valencia, [Pendiente: tomo, folio, hoja e inscripción].

Este acuerdo forma parte de los Términos del servicio y se acepta con ellos. Regula el tratamiento de los datos personales de terceros que tus webs y tu panel recogen o guardan (en adelante, «tus datos de clientes»). No regula los datos de tu propia cuenta, que tratamos como responsables según la Política de privacidad.

2. Duración

Mientras dure el contrato y, después, el tiempo necesario para devolverte o borrar tus datos de clientes según la cláusula 10.

3. Qué datos y de quién

Lo que tú decidas recoger con tus webs; habitualmente:

• Interesados: visitantes de tus webs, personas que te escriben, clientes y potenciales clientes, personas que reservan cita y suscriptores de tus listas.
• Datos: identificativos y de contacto (nombre, correo, teléfono), el contenido de los mensajes y formularios, datos de las reservas (servicio, día y hora), su estado en tus contactos, lo que guardes en la base de datos de tu web y datos técnicos de visitas, medidos sin cookies y de forma agregada.
• Operaciones: recogida, registro, almacenamiento, consulta, organización, exportación, comunicación a las herramientas que tú conectes, envío de avisos a tu correo y supresión.
• Finalidad: solo prestarte el servicio contratado.

No están permitidas las categorías especiales de datos (art. 9 RGPD), los datos de menores sin las garantías necesarias ni los datos completos de tarjetas, salvo acuerdo por escrito.

4. Tus obligaciones como responsable

• Tener una base legal para cada dato que recojas e informar a tus visitantes con tu propia política de privacidad, completada con los datos de tu negocio.
• Mantener la casilla de consentimiento de tus formularios y el aviso de cookies que cada web incluye de serie.
• Darnos instrucciones lícitas. La configuración de tu web y lo que nos pides en el panel son tus instrucciones documentadas.

5. Nuestras obligaciones como encargados

• Tratar tus datos de clientes solo según tus instrucciones y para la finalidad del servicio. Si una instrucción nos parece contraria al RGPD, te avisaremos.
• No usarlos para fines propios ni para entrenar modelos de IA.
• Que quien acceda a ellos esté obligado a la confidencialidad y solo acceda cuando sea necesario (por ejemplo, para darte soporte cuando lo pidas).
• Aplicar las medidas de seguridad de la cláusula 8 (art. 32 RGPD).
• Ayudarte a atender los derechos de tus interesados: tienes en el panel la búsqueda, la exportación y el borrado de contactos. Si alguien nos escribe a nosotros, te lo pasaremos sin responderle.
• Ayudarte, en lo razonable, con evaluaciones de impacto y consultas a la autoridad (arts. 35 y 36 RGPD).
• Llevar el registro de actividades de tratamiento como encargados (art. 30.2 RGPD).

6. Subencargados

Nos autorizas de forma general a recurrir a los subencargados de la lista publicada. Si añadimos o cambiamos alguno, lo anunciaremos en esa lista y por correo con al menos 30 días de antelación. Podrás oponerte por motivos razonables escribiendo a info@highdatanet.com [Pendiente: ¿buzón propio de privacidad?]. Si no encontramos una solución, podrás resolver el contrato y te devolveremos la parte prepagada del periodo no disfrutado. Cada subencargado queda obligado por contrato a las mismas obligaciones de protección de datos.

Las herramientas que conectas tú (Calendly, Stripe, Klaviyo, Mailchimp, Google Analytics, Meta, reCAPTCHA y similares) no son subencargados nuestros: las contratas tú y son proveedores tuyos.

7. Transferencias internacionales

Si un subencargado trata datos fuera del Espacio Económico Europeo, la transferencia se ampara en una decisión de adecuación (como el Marco de Privacidad de Datos UE-EE. UU.) o en las cláusulas contractuales tipo de la Comisión (Decisión 2021/914), con las medidas adicionales que hagan falta.

8. Seguridad

• Separación de los datos de cada cliente (cada cuenta solo ve lo suyo).
• Cifrado en tránsito (HTTPS) y cifrado de las claves de las integraciones.
• Acceso interno mínimo, personal y registrado.
• Copias de seguridad y versiones de cada web.
• Actualización de dependencias y revisión de seguridad del código.
• Protección antiabuso en los formularios.

[Pendiente: completar y validar con el equipo técnico: cifrado en reposo, frecuencia de copias, región y plan de respuesta a incidentes]

9. Violaciones de seguridad

Si sufrimos una violación de seguridad que afecte a tus datos de clientes, te avisaremos sin dilación indebida y, como objetivo, en un máximo de [Pendiente: 48 horas] desde que la conozcamos, con la información disponible: qué ha pasado, qué datos e interesados afecta, consecuencias probables y medidas tomadas. Así podrás notificarla a la autoridad en las 72 horas que exige el artículo 33 del RGPD.

10. Al terminar

Al acabar el contrato, podrás exportar tus datos de clientes desde el panel durante [Pendiente: 30 días]. Pasado ese plazo, los borraremos, salvo que una ley nos obligue a conservarlos. En las copias de seguridad desaparecen en su ciclo normal de rotación [Pendiente: plazo de rotación].

11. Información y auditorías

Te daremos la información necesaria para demostrar que cumplimos este acuerdo. Si hace falta una auditoría, la acordaremos con antelación razonable, con confidencialidad y sin comprometer la seguridad ni los datos de otros clientes. Los costes extraordinarios corren por tu cuenta.

12. Prevalencia

En lo relativo a tus datos de clientes, este acuerdo prevalece sobre cualquier otra condición del servicio.