Acuerdo de Encargo del Tratamiento

Preámbulo

El presente Acuerdo de Encargo del Tratamiento (en adelante, el "Acuerdo") regula el tratamiento de datos personales que DEALCAPO, S.L. (en adelante, "Zamdor" o el "Encargado") realiza por cuenta del usuario del servicio Zamdor (en adelante, el "Responsable" o el "Cliente"), en cumplimiento del artículo 28 del Reglamento (UE) 2016/679 (en adelante, "RGPD") y de la Ley Orgánica 3/2018, de Protección de Datos Personales y garantía de los derechos digitales (LOPDGDD).

Este Acuerdo forma parte integrante de los Términos y Condiciones de Zamdor y se entiende aceptado por el Cliente en el momento de su registro en el Servicio. En caso de contradicción entre este Acuerdo y los Términos y Condiciones respecto del tratamiento de datos personales de los Contactos, prevalecerá este Acuerdo.

Partes:

• Encargado del tratamiento: DEALCAPO, S.L., CIF B75908129, Paseo de la Marina Española 5, Entreplanta, 51001 Ceuta (España). Contacto: privacidad@zamdor.com
• Responsable del tratamiento: el Cliente titular de la cuenta de Zamdor, identificado con los datos facilitados en su registro y en su perfil de facturación.

1. Objeto y ámbito

1.1. En virtud de este Acuerdo, el Encargado tratará por cuenta del Responsable los datos personales de los Contactos y demás interesados que el Responsable introduzca, recopile o genere mediante el uso del Servicio (en adelante, los "Datos Personales").

1.2. Delimitación de roles. Este Acuerdo se aplica exclusivamente a los Datos Personales respecto de los cuales Zamdor actúa como encargado. No se aplica a los datos que Zamdor trata como responsable —datos de registro, facturación, soporte y seguridad del Cliente—, que se rigen por la Política de Privacidad de zamdor.

1.3. El detalle del tratamiento —categorías de interesados, tipos de datos, finalidades y duración— consta en el Anexo I.

2. Duración

2.1. Este Acuerdo entra en vigor con la aceptación de los Términos y Condiciones y permanece vigente mientras el Encargado trate Datos Personales por cuenta del Responsable.

2.2. Las obligaciones de confidencialidad y de supresión previstas en las cláusulas 4 y 11 subsisten tras su terminación.

3. Instrucciones del Responsable

3.1. El Encargado tratará los Datos Personales únicamente siguiendo instrucciones documentadas del Responsable, incluidas las relativas a transferencias internacionales.

3.2. Se consideran instrucciones documentadas del Responsable: este Acuerdo, los Términos y Condiciones, la configuración que el Responsable establezca en la plataforma y las peticiones que curse a través del Servicio o del canal de soporte.

3.3. El Encargado informará de inmediato al Responsable si, en su opinión, una instrucción infringe la normativa de protección de datos, pudiendo suspender su ejecución hasta que sea confirmada o modificada.

3.4. Si una norma de la Unión o de un Estado miembro obliga al Encargado a tratar los datos al margen de las instrucciones recibidas, este lo comunicará al Responsable con carácter previo, salvo que dicha norma lo prohíba por razones de interés público.

3.5. El Encargado no utilizará los Datos Personales para fines propios, no los cederá a terceros salvo en los supuestos previstos en este Acuerdo, y no los empleará para entrenar modelos de inteligencia artificial propios ni de terceros sin instrucción expresa y por escrito del Responsable.

4. Confidencialidad

4.1. El Encargado mantendrá la confidencialidad de los Datos Personales, obligación que subsiste indefinidamente tras la finalización de la relación.

4.2. El Encargado garantiza que las personas autorizadas para tratar los Datos Personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal equivalente, y que reciben la formación necesaria.

4.3. El acceso a los Datos Personales se limitará al personal que lo precise para prestar el Servicio, atender el soporte solicitado por el Responsable, investigar incidentes de seguridad o cumplir obligaciones legales, quedando registrados dichos accesos.

5. Seguridad del tratamiento

5.1. El Encargado aplicará las medidas técnicas y organizativas apropiadas previstas en el artículo 32 del RGPD, que se describen en el Anexo II.

5.2. Las medidas podrán actualizarse conforme evolucione el estado de la técnica, sin que ello suponga una disminución del nivel de seguridad acordado.

5.3. El Responsable es responsable de la parte de la seguridad que está bajo su control: la robustez de sus credenciales, la asignación de roles y permisos a los miembros de su equipo, la revocación de accesos y la decisión sobre qué datos introduce en el Servicio.

6. Subencargados

6.1. El Responsable otorga al Encargado una autorización general para recurrir a subencargados, en los términos del artículo 28.2 del RGPD.

6.2. La relación actualizada de subencargados se recoge en el Anexo III de este Acuerdo.

6.3. El Encargado comunicará al Responsable con al menos treinta (30) días naturales de antelación cualquier incorporación o sustitución de subencargados, mediante correo electrónico o aviso en la plataforma. El Responsable podrá oponerse por motivos razonables y fundados dentro de ese plazo. Si la objeción no puede resolverse, el Responsable podrá resolver el contrato sin penalización y con reembolso proporcional de la parte no consumida.

6.4. El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones que asume en este Acuerdo, y responderá plenamente ante el Responsable del cumplimiento por parte de aquellos.

6.5. No son subencargados, sino responsables independientes, las plataformas de mensajería que el Responsable decida conectar (Telegram, Meta) ni los servicios de terceros que active voluntariamente. El envío de datos a dichas plataformas es una comunicación de datos decidida por el Responsable, que debe contar con su propia base jurídica e informar de ella a los interesados.

7. Asistencia al Responsable en el ejercicio de derechos

7.1. El Encargado pondrá a disposición del Responsable las funcionalidades necesarias para atender por sí mismo las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición de los interesados —consulta, edición, exportación y borrado de contactos y conversaciones desde la plataforma.

7.2. Cuando el Responsable no pueda atender una solicitud con dichas funcionalidades, el Encargado le prestará asistencia razonable, teniendo en cuenta la naturaleza del tratamiento y la información disponible.

7.3. Si un interesado dirige una solicitud directamente al Encargado, este no la atenderá por su cuenta: la trasladará al Responsable sin dilación indebida, indicándole que le corresponde resolverla, e informará al interesado de dicho traslado.

8. Asistencia en obligaciones adicionales

El Encargado asistirá al Responsable, en la medida de lo posible y teniendo en cuenta la información de que dispone, en el cumplimiento de las obligaciones previstas en los artículos 32 a 36 del RGPD: seguridad del tratamiento, notificación de violaciones de seguridad, evaluaciones de impacto y consulta previa a la autoridad de control.

9. Violaciones de la seguridad de los datos

9.1. El Encargado notificará al Responsable sin dilación indebida y, en todo caso, dentro de las cuarenta y ocho (48) horas siguientes a tener conocimiento de una violación de la seguridad que afecte a los Datos Personales.

9.2. La notificación incluirá, en la medida en que esté disponible: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto para obtener más información. Si no fuera posible facilitarla toda de una vez, se completará de forma progresiva.

9.3. Corresponde al Responsable decidir si notifica la violación a la autoridad de control y a los interesados, así como efectuar dichas notificaciones.

9.4. El Encargado documentará las violaciones de seguridad y las medidas correctoras adoptadas.

10. Auditoría e información

10.1. El Encargado pondrá a disposición del Responsable la información necesaria para demostrar el cumplimiento de las obligaciones del artículo 28 del RGPD.

10.2. El Responsable podrá realizar auditorías, incluidas inspecciones, por sí mismo o mediante un auditor independiente sujeto a confidencialidad, con las siguientes condiciones: preaviso mínimo de treinta (30) días naturales, una auditoría al año salvo que exista un incidente de seguridad o un requerimiento de la autoridad de control, alcance limitado a lo estrictamente relacionado con el tratamiento objeto de este Acuerdo, y respeto de la confidencialidad y la seguridad de los datos de otros clientes.

10.3. El Encargado podrá satisfacer esta obligación aportando informes, certificaciones o cuestionarios de seguridad actualizados, cuando resulten suficientes para acreditar el cumplimiento.

10.4. Los costes de la auditoría serán asumidos por el Responsable, salvo que de ella resulten incumplimientos relevantes imputables al Encargado.

11. Devolución y supresión de los datos

11.1. Finalizada la prestación del Servicio, el Encargado suprimirá los Datos Personales o los devolverá al Responsable, a elección de este.

11.2. Salvo indicación distinta del Responsable, se aplicará el procedimiento previsto en los Términos y Condiciones: un periodo de treinta (30) días naturales durante el cual el Responsable puede exportar la información, transcurrido el cual se procederá a su supresión.

11.3. El Encargado podrá conservar los Datos Personales cuando una norma de la Unión o de un Estado miembro se lo exija, durante el plazo estrictamente necesario y aplicando las medidas de seguridad correspondientes.

11.4. Las copias de seguridad se sobrescriben conforme a su ciclo habitual de rotación; hasta que ello ocurra, los datos permanecen cifrados y sin acceso operativo.

12. Transferencias internacionales

12.1. El tratamiento se realizará principalmente en el Espacio Económico Europeo.

12.2. Cuando resulte necesaria una transferencia a un tercer país, el Encargado se asegurará de que concurra alguna de las garantías del Capítulo V del RGPD: decisión de adecuación, Cláusulas Contractuales Tipo aprobadas por la Comisión Europea u otro mecanismo válido, acompañado de las medidas complementarias que procedan tras la correspondiente evaluación.

12.3. El Encargado facilitará al Responsable, si este lo solicita, información sobre las garantías aplicadas.

13. Responsabilidad

13.1. Cada parte responde de los daños que cause por el incumplimiento de las obligaciones que el RGPD le impone específicamente, conforme a su artículo 82.

13.2. La limitación de responsabilidad prevista en los Términos y Condiciones se aplica también a este Acuerdo, sin perjuicio de las responsabilidades que el RGPD declare indisponibles frente a los interesados y a las autoridades de control.

13.3. El Responsable responde de la licitud de los datos que introduce en el Servicio, de la existencia de base jurídica para su tratamiento y de haber informado debidamente a los interesados.

14. Ley aplicable y jurisdicción

Este Acuerdo se rige por la legislación española y por el RGPD. Para la resolución de controversias se estará a lo previsto en los Términos y Condiciones de zamdor.

Anexo I — Descripción del tratamiento

Objeto: prestación del servicio Zamdor, consistente en la gestión de canales de mensajería, la automatización de conversaciones, la gestión de contactos y el envío de campañas por cuenta del Responsable.

Naturaleza y finalidad: alojamiento, almacenamiento, organización, consulta, modificación, comunicación por transmisión y supresión de los Datos Personales, con la finalidad exclusiva de permitir al Responsable comunicarse con sus Contactos y gestionar dicha relación.

Duración: mientras esté vigente la relación contractual entre las partes, más los plazos de conservación previstos en la cláusula 11.

Categorías de interesados:

• Contactos o suscriptores que interactúan con los canales del Responsable.
• Miembros del equipo del Responsable con acceso a la plataforma.

Categorías de datos personales:

• Identificadores en la plataforma de mensajería (identificador de usuario, nombre de usuario, nombre visible, foto de perfil, idioma).
• Datos de contacto que el Responsable recabe mediante sus flujos (por ejemplo, nombre, correo electrónico, teléfono o localización, según lo que el Responsable configure).
• Contenido de las conversaciones y de los mensajes intercambiados.
• Etiquetas, notas internas, variables personalizadas y estado del contacto.
• Identificadores de seguimiento y eventos de conversión o compra asociados.
• Datos técnicos y registros de actividad asociados a la interacción.

Categorías especiales de datos: el Servicio no está diseñado para tratar categorías especiales de datos del artículo 9 del RGPD ni datos de menores de edad. El Responsable se obliga a no introducirlos.

Anexo II — Medidas técnicas y organizativas de seguridad

Control de acceso

• Autenticación de usuarios y almacenamiento de contraseñas mediante funciones hash irreversibles.
• Control de acceso basado en roles y permisos, con aislamiento estricto de datos entre cuentas aplicado a nivel de base de datos.
• Principio de mínimo privilegio para el personal del Encargado y revisión periódica de accesos.

Cifrado

• Cifrado de las comunicaciones en tránsito mediante protocolos actualizados.
• Cifrado de credenciales, tokens y secretos de conexión de canales en reposo.
• Gestión de secretos separada del código de la aplicación.

Trazabilidad

• Registro de auditoría de las acciones relevantes sobre datos, con instantánea del estado anterior y posterior.
• Registro de accesos administrativos.
• Conservación de registros durante el plazo necesario para acreditar el cumplimiento.

Disponibilidad y resiliencia

• Copias de seguridad periódicas y cifradas.
• Procedimientos de recuperación ante incidentes.
• Monitorización de errores y de disponibilidad del servicio.

Gestión de incidentes

• Procedimiento interno de detección, evaluación y respuesta ante violaciones de seguridad.
• Comunicación al Responsable en el plazo previsto en la cláusula 9.

Organizativas

• Compromisos de confidencialidad del personal.
• Contratos de encargo con todos los subencargados.
• Registro de actividades de tratamiento.
• Evaluación de proveedores antes de su incorporación.

Anexo III — Relación de subencargados