Contrato de encargo de tratamiento

Este contrato forma parte de las Condiciones del servicio y concreta las obligaciones de las partes en el manejo de datos personales.

Responsable (encargante): el cliente.

Encargado del tratamiento (contratista):

Zakomo FZCO
IFZA, Dubai Silicon Oasis
Dubái, Emiratos Árabes Unidos

1. Objeto y duración

1.1 El objeto es el tratamiento de datos personales que el responsable aporta en el marco del uso de la Plataforma Growmindr o que hace recabar a través de ella.

1.2 La duración se corresponde con la vigencia del contrato principal. El contrato finaliza automáticamente con la terminación de este; las obligaciones del apartado 10 subsisten más allá de dicha terminación.

2. Naturaleza, finalidad y alcance del tratamiento

2.1 Finalidades: gestión y enriquecimiento de datos de contacto, creación y aprobación de contenidos, planificación y envío de mensajes de outreach incluido el tratamiento de respuestas y bajas, investigación y supervisión de enlaces, gestión del equipo y de la cuenta, así como análisis de los procesos mencionados para el responsable.

2.2 Naturaleza del tratamiento: recoger, registrar, organizar, almacenar, adaptar, extraer, consultar, utilizar, transmitir, limitar, suprimir y destruir.

2.3 Categorías de interesados: destinatarios de mensajes de outreach, personas de contacto en empresas de destino, así como empleados y encargados del responsable que utilizan la Plataforma.

2.4 Categorías de datos personales: datos de contacto (nombre, dirección de correo electrónico profesional, número de teléfono, cargo, empleador, perfiles de acceso público), contenidos de comunicación, datos de entrega e interacción (entrega, aperturas, clics, respuestas, bajas), información de evaluación y de estado, así como datos de cuenta y de rol de los usuarios.

2.5 Las categorías especiales de datos personales conforme al art. 9 del RGPD no son objeto del encargo. El responsable no aportará tales datos a la Plataforma.

3. Derecho de instrucción

3.1 El contratista trata los datos personales exclusivamente conforme a las instrucciones documentadas del responsable. El uso de las funciones de la Plataforma por parte del responsable se considera una instrucción; las instrucciones individuales que vayan más allá se realizan por escrito a [email protected].

3.2 Si el contratista considera que una instrucción es ilícita, lo comunica sin demora y puede suspender su ejecución hasta la aclaración.

3.3 Un tratamiento al margen de las instrucciones solo se realiza en la medida en que el contratista esté obligado a ello por el derecho de la Unión o el derecho de un Estado miembro; en tal caso, informa al responsable con antelación, salvo que el derecho lo prohíba.

4. Confidencialidad

El contratista obliga por escrito a la confidencialidad a las personas que intervienen en el tratamiento, en la medida en que no estén ya sujetas a un deber legal de secreto. La obligación subsiste también tras la finalización de la actividad.

5. Medidas técnicas y organizativas

El contratista adopta las medidas descritas en el Anexo 1 conforme al art. 32 del RGPD. Puede seguir desarrollándolas siempre que no se reduzca el nivel de protección.

6. Subencargados del tratamiento

6.1 El responsable otorga una autorización general para la contratación de los siguientes subencargados del tratamiento:

• Cloudflare — entrega y protección del sitio web. Domicilio EE. UU.;

transferencia sobre la base de cláusulas contractuales tipo.

6.2 Paddle actúa en la tramitación de los pagos como Merchant of Record y es, en esa medida, responsable propio, no subencargado del tratamiento.

6.3 La base de datos, el almacenamiento de objetos, la medición de audiencia y las funciones de IA para la creación de textos los opera el contratista en su propia infraestructura en Dubái, Emiratos Árabes Unidos. En esa medida no se produce ninguna contratación de terceros; para la transferencia a los Emiratos Árabes Unidos se aplica el apartado 12.

6.4 Los servicios que el responsable conecta por sí mismo depositando una clave de acceso propia —en particular, Hunter.io y Apollo.io para el enriquecimiento de contactos, así como un servidor de correo propio para el envío— actúan por cuenta y responsabilidad del responsable. El responsable celebra por sí mismo los acuerdos necesarios con estos proveedores.

6.5 Si el contratista tiene la intención de recurrir a otro subencargado del tratamiento o de sustituir a uno existente, informa al responsable por escrito con al menos 30 días de antelación. El responsable puede oponerse en el plazo de 14 días por una causa importante en materia de protección de datos. Si la objeción no puede subsanarse, cada parte puede rescindir el contrato principal con efecto a la fecha prevista para el cambio.

7. Obligaciones de asistencia

7.1 El contratista asiste al responsable con medidas adecuadas en la respuesta a las solicitudes de los interesados. La Plataforma pone a disposición para ello funciones de exportación y supresión, así como una lista de bloqueo permanente para las direcciones dadas de baja.

7.2 Si un interesado se dirige directamente al contratista, este remite la solicitud sin demora al responsable y no la responde por su cuenta.

7.3 El contratista asiste al responsable en el cumplimiento de los arts. 32 a 36 del RGPD, en particular en una evaluación de impacto relativa a la protección de datos, en la medida en que la información necesaria solo obre en su poder.

8. Notificación de violaciones de la seguridad de los datos personales

El contratista notifica al responsable una violación de la seguridad de los datos personales sin demora, a más tardar en el plazo de 48 horas desde que tiene conocimiento, por escrito. La notificación contiene, en la medida en que se conozca, la naturaleza del incidente, las categorías de datos afectadas, el número aproximado de afectados, las consecuencias probables y las medidas correctoras adoptadas. El contratista no notifica a la autoridad de control; esta obligación incumbe al responsable.

9. Pruebas y controles

9.1 El contratista acredita a petición, de manera adecuada, el cumplimiento de este contrato, en particular mediante información y presentación de la documentación relativa a las medidas conforme al Anexo 1.

9.2 El responsable está facultado para cerciorarse del cumplimiento, previo aviso con un plazo razonable, durante el horario comercial habitual. Los controles se realizan sin perturbación evitable del desarrollo de la actividad y como máximo una vez por año natural, salvo que un motivo especial justifique un control adicional. Los gastos que vayan más allá de una simple información, el contratista puede facturarlos de forma razonable.

10. Supresión y devolución

10.1 Tras la terminación del contrato principal, el contratista pone los datos a disposición del responsable durante 30 días para su exportación y los suprime a continuación.

10.2 Las copias de seguridad se sobrescriben de forma rotatoria y se eliminan definitivamente a más tardar 14 días después de la supresión en el sistema productivo.

10.3 Quedan exceptuados de la supresión los datos respecto de los cuales exista una obligación legal de conservación, así como la lista de bloqueo de las direcciones dadas de baja, cuya conservación es necesaria para el cumplimiento de la obligación del art. 21, apartado 3, del RGPD; estos datos se limitan en consecuencia en su tratamiento.

11. Responsabilidad y disposiciones finales

11.1 Para la responsabilidad se aplica, en lo que corresponda, el apartado 10 de las Condiciones del servicio; el art. 82 del RGPD permanece intacto.

11.2 En caso de contradicciones entre este contrato y el contrato principal, este contrato prevalece en las cuestiones de protección de datos.

11.3 Se aplica el derecho de la República Federal de Alemania.

12. Transferencia a un tercer país

12.1 El contratista tiene su domicilio y opera sus sistemas en los Emiratos Árabes Unidos. Para este país no existe una decisión de adecuación de la Comisión Europea conforme al art. 45 del RGPD.

12.2 Por ello, para las transferencias de datos personales desde el Espacio Económico Europeo al contratista se aplican las cláusulas contractuales tipo de la Comisión Europea conforme a la Decisión de Ejecución (UE) 2021/914 de 4 de junio de 2021, en concreto el Módulo 2 (responsable a encargado del tratamiento). Se incorporan por el presente en toda su extensión a este contrato y prevalecen sobre él en caso de contradicciones.

12.3 Para la cumplimentación de los anexos de las cláusulas contractuales tipo se aplica:

• Anexo I.A (Partes): el exportador de datos es el responsable, el importador

de datos es el contratista; los datos se derivan del preámbulo de este contrato y de los datos maestros de la cuenta del responsable.

• Anexo I.B (Descripción de la transferencia): apartado 2 de este contrato.
• Anexo I.C (Autoridad de control competente): la autoridad de control del

Estado miembro en el que esté establecido el responsable; si no está establecido en la Unión, la autoridad del Estado miembro en el que se encuentren los interesados.

• Anexo II (Medidas técnicas y organizativas): Anexo 1 de este contrato.
• Anexo III (Lista de subencargados del tratamiento): apartado 6 de este

contrato.

12.4 En cuanto a las opciones de las cláusulas se aplica: la cláusula 7 (cláusula de adhesión) es de aplicación. Para la cláusula 9 se aplica la opción 2 (autorización general por escrito) con el plazo acordado en el apartado 6.5. La cláusula facultativa 11, letra a (organismo independiente de resolución de litigios), no es de aplicación. Para la cláusula 17 se aplica el derecho de Irlanda, para la cláusula 18, letra b, son competentes los tribunales de Irlanda. El apartado 11.3 de este contrato y la elección de derecho de las Condiciones del servicio permanecen intactos y se aplican a todas las demás cuestiones.

12.5 El contratista confirma que no le consta ninguna disposición legal que le impida cumplir las cláusulas contractuales tipo. Si recibe una orden de una autoridad para la entrega de datos transmitidos, informa de ello al responsable, en la medida en que sea jurídicamente admisible, e impugna la orden, en la medida en que existan perspectivas de éxito suficientes. De forma complementaria se aplican las medidas del Anexo 1.

12.6 A petición, el contratista pone a disposición del responsable un ejemplar firmado de las cláusulas contractuales tipo.

13. Derecho aplicable de los Emiratos Árabes Unidos

Con independencia del RGPD, el contratista está sujeto a la Ley Federal n.º 45 de 2021 de los Emiratos Árabes Unidos sobre la protección de datos personales (PDPL). En la medida en que las obligaciones que de ella se derivan se solapen con las de este contrato, el contratista cumple en cada caso la obligación más amplia.

Anexo 1 — Medidas técnicas y organizativas conforme al art. 32 RGPD

Confidencialidad — Control de acceso físico. Los sistemas se operan en un centro de datos en Dubái, Emiratos Árabes Unidos. El acceso físico está limitado a personas autorizadas y se registra.

Confidencialidad — Control de acceso lógico. Inicio de sesión mediante cuentas individuales con contraseñas cifradas con hash conforme al estado de la técnica. Las sesiones expiran tras 15 minutos de inactividad. Las cookies de sesión son httpOnly, SameSite=Strict y se transmiten exclusivamente a través de HTTPS. El acceso administrativo a los sistemas productivos se realiza exclusivamente a través de SSH con autenticación por clave.

Confidencialidad — Control de accesos. Autorizaciones basadas en roles (propietario, administrador, redactor, revisor, observador). La separación de los tenants se aplica adicionalmente a nivel de base de datos mediante Row-Level Security, que en caso de error deniega el acceso en lugar de permitirlo. Los accesos automáticos entre servicios se realizan únicamente mediante tokens de servicio de corta duración y firmados.

Confidencialidad — Control de separación. Cada cliente trabaja en un tenant propio; cada servicio utiliza una base de datos propia sin acceso externo. Los registros sin una referencia de tenant válida no son recuperables.

Integridad — Control de transmisión. Cifrado de transporte con TLS para todas las conexiones desde y hacia la Plataforma. Los servicios internos solo son accesibles a través de la interfaz local y no están expuestos públicamente.

Integridad — Control de entrada. Los procesos relevantes para la seguridad se registran con el momento y la cuenta que actúa en un registro de actividad.

Disponibilidad y resiliencia. Copia de seguridad automática diaria de la base de datos con un período de retención de 14 días. Supervisión de los servicios con reinicio automático en caso de incidencia. Protección frente a sobrecarga mediante limitación de tasa.

Procedimiento de verificación y evaluación. Las dependencias se comprueban y actualizan periódicamente en busca de vulnerabilidades conocidas. Los datos de acceso se mantienen fuera del control de versiones. Los cambios en el entorno productivo se realizan a través de un proceso de entrega trazable.

Control del encargo. Los subencargados del tratamiento solo se emplean conforme al apartado 6 de este contrato y se obligan contractualmente a un nivel de protección equivalente.