Contrato de Encargo del Tratamiento (DPA)
Este contrato se celebra, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD) y al artículo 33 de la Ley Orgánica 3/2018 (LOPDGDD), entre:
- El Responsable del tratamiento: la empresa o profesional que ha creado una cuenta en Reseñarte y ha aceptado este contrato (el «Cliente» o «Responsable»), identificado por los datos de su cuenta; y
- El Encargado del tratamiento: Elisur Sanchez Valeron, NIF 54161867H, domicilio en Calle La Empleita, 5, 35240 Ingenio (Las Palmas), España («Reseñarte» o «Encargado»).
Se acepta electrónicamente en el registro, mediante una casilla específica, y queda registrado con versión, fecha, hora e IP. Forma parte de los Términos y Condiciones del Servicio y prevalece sobre ellos en materia de datos personales.
1. Objeto
El Encargado tratará por cuenta del Responsable los datos personales necesarios para prestar el servicio Reseñarte: registro de los clientes del Responsable (los «Interesados»), envío de solicitudes de opinión por SMS o WhatsApp, recepción de comentarios privados, gestión de bajas, métricas de uso y, en su caso, generación de borradores con inteligencia artificial.
2. Descripción del tratamiento
| Elemento | Detalle |
|---|---|
| Naturaleza | Recogida (introducida por el Responsable), registro, conservación, consulta, uso para el envío de mensajes, comunicación a los subencargados necesarios para el envío, y supresión |
| Finalidad | Enviar a los Interesados solicitudes de opinión sobre el Responsable y gestionar sus respuestas y bajas |
| Categorías de Interesados | Clientes del Responsable que le han dado su consentimiento para recibir la solicitud |
| Categorías de datos | Nombre de pila (opcional), número de teléfono móvil, canal preferido, origen y fecha del consentimiento declarado por el Responsable, eventos del mensaje (enviado, abierto, pulsación hacia la plataforma de opiniones), comentarios privados que el Interesado decida escribir y huella no reversible del teléfono en la lista de bajas |
| Datos excluidos | Categorías especiales de datos (art. 9 RGPD), datos de infracciones penales y datos de menores de 14 años. El Responsable no debe introducirlos |
| Duración | La del contrato de servicio, más el plazo de devolución y supresión del apartado 10 |
3. Obligaciones del Encargado
El Encargado se obliga a:
- Tratar los datos solo siguiendo las instrucciones documentadas del Responsable, que son este contrato, la configuración que el Responsable realiza en el panel y las solicitudes que le dirija por escrito. Si considera que una instrucción infringe la normativa, informará de inmediato al Responsable.
- No usar los datos para fines propios ni para ningún fin distinto del encargo. En particular, no enviará a los Interesados publicidad propia. La indicación identificativa «(vía Reseñarte)» y el aviso de la página de opinión forman parte de la identificación del servicio y no constituyen un tratamiento con fines propios.
- Garantizar que las personas autorizadas para tratar los datos se han comprometido a respetar su confidencialidad.
- Aplicar las medidas de seguridad del Anexo II, adecuadas al riesgo (art. 32 RGPD).
- Respetar las condiciones del apartado 4 para recurrir a subencargados.
- Asistir al Responsable, teniendo en cuenta la naturaleza del tratamiento, en la atención de los derechos de los Interesados (apartado 6).
- Ayudar al Responsable a cumplir sus obligaciones de seguridad, notificación de violaciones, evaluación de impacto y consulta previa (arts. 32 a 36 RGPD), con la información de que disponga.
- Al terminar el servicio, devolver y suprimir los datos conforme al apartado 10.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de este contrato y permitir auditorías conforme al apartado 9.
- Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).
- Aplicar automáticamente las reglas de protección de los Interesados descritas en los Términos (horario, frecuencia, bajas, bloqueo de incentivos y de filtrado de opiniones).
4. Subencargados
4.1. El Responsable otorga una autorización general para que el Encargado recurra a los subencargados relacionados en la lista de subencargados, que forma parte de este contrato como Anexo III.
4.2. El Encargado informará al Responsable, por email y en el panel, de cualquier incorporación o sustitución de subencargados con al menos 15 días de antelación. El Responsable podrá oponerse por motivos razonables relacionados con la protección de datos; si no se alcanza una solución, podrá resolver el contrato sin penalización antes de que el cambio se aplique.
4.3. El Encargado impondrá a cada subencargado, por contrato, obligaciones de protección de datos equivalentes a las de este contrato, y seguirá respondiendo ante el Responsable de su cumplimiento.
5. Transferencias internacionales
Si un subencargado trata datos fuera del Espacio Económico Europeo, el Encargado se asegurará de que exista una decisión de adecuación (art. 45 RGPD), como el Marco de Privacidad de Datos UE-EE. UU. para entidades certificadas, o cláusulas contractuales tipo de la Comisión Europea con las medidas complementarias necesarias (art. 46 RGPD). La lista de subencargados indica, para cada uno, la ubicación y la garantía aplicable.
6. Derechos de los Interesados
6.1. Corresponde al Responsable atender los derechos de los Interesados. El panel le permite consultar, exportar, corregir y borrar los datos de cada Interesado, y marcar que no desea recibir mensajes.
6.2. El Servicio ofrece a cada Interesado, en todos los mensajes, un medio gratuito y sencillo para oponerse a recibir nuevas solicitudes, que el Encargado aplica de inmediato por cuenta del Responsable.
6.3. Si un Interesado se dirige directamente al Encargado para ejercer otro derecho, este lo trasladará al Responsable sin dilación indebida y, en todo caso, en un plazo máximo de 5 días hábiles, salvo la oposición a recibir mensajes, que se aplica en el acto.
7. Violaciones de la seguridad de los datos
7.1. El Encargado notificará al Responsable, sin dilación indebida y como máximo en 48 horas desde que tenga conocimiento, toda violación de la seguridad de los datos personales a su cargo, con la información disponible: naturaleza de la violación, categorías y número aproximado de Interesados y registros afectados, datos de contacto, consecuencias probables y medidas adoptadas o propuestas. Si no puede facilitar toda la información a la vez, lo hará de forma gradual.
7.2. Corresponde al Responsable notificar, en su caso, a la autoridad de control y a los Interesados. El Encargado le prestará la colaboración necesaria.
8. Obligaciones del Responsable
El Responsable se obliga a:
- Contar con una base legal válida para el tratamiento y, en particular, con el consentimiento previo de cada Interesado para recibir la solicitud de opinión por el canal elegido, y poder acreditarlo.
- Declarar en el Servicio, de forma veraz, el origen y la fecha de ese consentimiento.
- Informar a los Interesados conforme a los artículos 13 y 14 del RGPD, incluida la intervención de Reseñarte como encargado. El Servicio pone a su disposición un texto informativo accesible desde cada mensaje, que no sustituye su propia obligación de informar en el momento de recoger los datos.
- No introducir datos de categorías especiales, de menores de 14 años ni datos innecesarios para la finalidad.
- Supervisar el tratamiento y dar instrucciones lícitas.
- Cumplir la Política de Uso Aceptable.
9. Auditoría e información
9.1. El Encargado facilitará al Responsable, previa solicitud por escrito, la información razonablemente necesaria para demostrar el cumplimiento de este contrato, mediante cuestionarios, documentación y, cuando existan, certificaciones o informes de sus proveedores.
9.2. Si esa información no fuera suficiente, o lo exigiera una autoridad, el Responsable podrá realizar una auditoría, por sí o mediante un auditor sujeto a confidencialidad, con un preaviso mínimo de 30 días, una vez al año como máximo, en horario laboral y sin acceder a datos de otros clientes. Los costes de la auditoría corren a cargo del Responsable, salvo que revele un incumplimiento relevante del Encargado.
10. Fin del encargo: devolución y supresión
10.1. Durante la vigencia del contrato y durante 30 días desde su terminación, el Responsable puede descargar todos los datos de sus Interesados en formato CSV desde el panel. Esta descarga constituye la devolución de los datos.
10.2. Transcurrido ese plazo, el Encargado suprimirá los datos de los Interesados de sus sistemas de producción. Las copias de seguridad se sobrescriben en su ciclo ordinario de rotación. El Encargado solo conservará, debidamente bloqueados, los datos cuya conservación exija una norma, durante el plazo que esta establezca.
10.3. Durante la vigencia del contrato, y como medida de minimización instruida por el Responsable al aceptar este contrato, el Servicio suprime automáticamente los datos de contacto de los Interesados a los 180 días de su registro y el historial de envíos y comentarios a los 365 días. La huella no reversible de los teléfonos que se han dado de baja se conserva para seguir respetando su oposición.
11. Responsabilidad
Cada parte responde de los daños derivados del incumplimiento de sus obligaciones conforme al artículo 82 del RGPD. Si el Encargado destinara los datos a otra finalidad, los comunicara o los usara incumpliendo este contrato, será considerado responsable del tratamiento respecto de ese tratamiento (art. 28.10 RGPD). En lo demás se aplica el régimen de responsabilidad de los Términos y Condiciones.
12. Duración y ley aplicable
Este contrato dura lo mismo que el contrato de servicio y, después, el tiempo necesario para cumplir el apartado 10. Se rige por la legislación española y la normativa europea de protección de datos, y se somete a los juzgados y tribunales de Las Palmas de Gran Canaria.
Anexo I · Contacto en materia de protección de datos
- Encargado: Elisur Sanchez Valeron · iaelisur.agencia@gmail.com
- Responsable: el email de la cuenta del Cliente en Reseñarte
Anexo II · Medidas técnicas y organizativas de seguridad
Confidencialidad y control de acceso
- Comunicaciones cifradas con TLS (HTTPS obligatorio) entre el navegador, el Servicio y los proveedores.
- Contraseñas almacenadas con funciones de hash robustas (Argon2id o bcrypt). Sesiones con cookies seguras, protegidas frente a CSRF, con caducidad por inactividad.
- Límite de intentos de acceso y registro de eventos de seguridad.
- Separación lógica de los datos de cada Cliente: todas las consultas se filtran por la cuenta autenticada.
- Configuración y credenciales fuera del directorio público del servidor; acceso administrativo restringido a personal autorizado.
- Cabeceras de seguridad (política de seguridad de contenidos, prohibición de incrustación en marcos, HSTS).
Integridad
- Verificación criptográfica de las notificaciones de pago (firmas de Stripe) y de mensajería (firmas de Twilio).
- Consultas parametrizadas a la base de datos y escape de todos los datos mostrados.
- Registro de actividad de los cambios relevantes (estados de la cuenta, bajas, borrados, exportaciones).
Disponibilidad y resiliencia
- Copias de seguridad periódicas del proveedor de alojamiento.
- Procesos automáticos con control de ejecución y alertas al supervisor si dejan de funcionar.
Minimización y privacidad desde el diseño
- Solo se piden nombre de pila (opcional) y teléfono.
- Supresión automática según el apartado 10.3; la lista de bajas guarda una huella no reversible.
- Sin cookies de seguimiento ni rastreadores en las páginas que ve el Interesado.
- Los textos generados con IA son borradores sujetos a revisión humana. Al proveedor de IA no se envían los datos de contacto de los Interesados: solo el texto que el Responsable pega voluntariamente (una opinión ya pública) y el nombre y sector del negocio.
Organizativas
- Compromisos de confidencialidad del personal con acceso.
- Procedimiento de gestión de violaciones de seguridad con notificación en 48 horas.
- Revisión periódica de subencargados y de estas medidas.
Anexo III · Subencargados
La lista vigente, con ubicación y garantías de transferencia, está publicada en https://resenarte.com/legal/subencargados.