Acuerdo de tratamiento de datos
Última actualización:
Esta traducción se ofrece para tu comodidad. Si difiere de la versión en inglés, prevalece la versión en inglés.
Este Acuerdo de tratamiento de datos (el «DPA») forma parte de los Términos del servicio entre el cliente (el «Responsable») y Tomas Pesek, Dritec 214, 533 05 República Checa, n.º de identificación (IČO) 74861280 (el «Encargado») y se aplica siempre que el Encargado trate datos personales por cuenta del Responsable a través de Frontmail.
1. Objeto y duración
El Encargado trata datos personales para entregar mensajes de correo electrónico, almacenar el historial de mensajes, gestionar contactos y listas de supresión y ofrecer estadísticas, mientras el Responsable utilice el Servicio.
2. Naturaleza del tratamiento
| Elemento | Descripción |
|---|---|
| Interesados | destinatarios y remitentes de los mensajes (p. ej., visitantes de sitios web que envían formularios), contactos, miembros del equipo |
| Categorías de datos | direcciones de correo electrónico, nombres y cualquier otro dato que el Responsable incluya en los parámetros de las plantillas o en los adjuntos; eventos de entrega (entregado, rebotado, abierto, clic); dirección IP y agente de usuario de los envíos de formularios |
| Categorías especiales | no previstas; el Responsable no debe enviar datos de categorías especiales salvo que estén debidamente protegidos y se haya acordado por escrito |
| Operaciones de tratamiento | recepción, validación, renderizado, almacenamiento, transmisión al proveedor de correo del Responsable, registro, supresión |
3. Obligaciones del Encargado
El Encargado:
- tratará los datos personales únicamente siguiendo instrucciones documentadas del Responsable, incluida la configuración realizada en el panel y a través de la API;
- garantizará que las personas autorizadas para tratar los datos estén sujetas a una obligación de confidencialidad;
- aplicará medidas técnicas y organizativas apropiadas (Anexo 1);
- asistirá al Responsable en relación con las solicitudes de los interesados, la seguridad, la notificación de violaciones y las evaluaciones de impacto relativas a la protección de datos;
- notificará al Responsable cualquier violación de la seguridad de los datos personales sin dilación indebida y, en todo caso, en un plazo de [48] horas desde que tenga conocimiento de ella;
- suprimirá o devolverá todos los datos personales al finalizar el Servicio, salvo que la ley exija su conservación;
- pondrá a disposición la información necesaria para demostrar el cumplimiento y permitirá auditorías [procedimiento de auditoría por definir].
4. Subencargados
El Responsable otorga una autorización general para recurrir a los subencargados que se indican a continuación. El Encargado informará al Responsable de los cambios previstos con al menos [30] días de antelación; el Responsable podrá oponerse por motivos razonables.
| Subencargado | Finalidad | Ubicación |
|---|---|---|
| Amazon Web Services EMEA SARL | alojamiento, almacenamiento, colas, claves de cifrado | UE (Fráncfort) |
| Cloudflare, Inc. | DNS, protección frente a bots (Turnstile) | global, CCT |
| Google Cloud EMEA Ltd. | analítica de uso (BigQuery) | [REGIÓN POR CONFIRMAR] |
| Stripe Payments Europe, Ltd. | facturación (solo datos de facturación del Responsable) | UE / EE. UU., CCT |
Los proveedores de correo que conecta el Responsable (por ejemplo, Gmail, Mailgun o un servidor SMTP) los elige y contrata el Responsable y no son subencargados del Encargado.
5. Transferencias internacionales
Las transferencias fuera del EEE solo se realizan al amparo de una decisión de adecuación o de cláusulas contractuales tipo (CCT), con medidas complementarias cuando sea necesario.
Anexo 1 – Medidas técnicas y organizativas
- Cifrado en tránsito (TLS 1.2 o superior) y en reposo; credenciales de los proveedores cifradas con claves de datos por registro (cifrado de sobre con AWS KMS).
- Acceso según el principio de mínimo privilegio, autenticación multifactor para el personal y registro de auditoría de las acciones sensibles.
- Entornos de producción y de desarrollo separados; copias de seguridad con recuperación a un momento dado en producción.
- Límites de conservación por plan; supresión automática del contenido caducado de los mensajes.
- Limitación de peticiones, protección frente a bots y detección de anomalías para prevenir abusos.
[Bloque de firma / mecanismo de aceptación mediante clic por definir.]