Acuerdo de encargo de tratamiento de datos personales

§ 1. Partes y objeto

1. El responsable del tratamiento es el Cliente. El encargado del tratamiento es VERTOM AI sp. z o.o., ul. Żurawia 45, 00-680 Warszawa, KRS 0001248500 (en adelante, el «Encargado»).

2. El objeto del acuerdo es el tratamiento por el Encargado, en nombre del Cliente, de los datos personales de los Autores en la medida necesaria para prestar el Servicio: la lectura de Publicaciones públicas en las Fuentes indicadas, su evaluación, el almacenamiento de leads y el envío de notificaciones.

3. El acuerdo estará vigente durante la vigencia del contrato de uso del Servicio y hasta la eliminación de los datos conforme al § 9.

§ 2. Naturaleza, finalidad, tipo de datos y categorías de interesados

1. Naturaleza del tratamiento: recopilación automatizada, registro, organización, conservación, análisis de contenido, puesta a disposición del Cliente y eliminación.

2. Finalidad: identificación de Publicaciones públicas en las que el Autor expresa una necesidad de un producto o servicio del Cliente, con el fin de permitir al Cliente establecer contacto.

3. Tipo de datos: nombre y apellidos o nombre del perfil del Autor, enlace al perfil, si es público, contenido de la Publicación, fecha de publicación, dirección de la Fuente, contadores públicos de reacciones y comentarios, resultado de la evaluación de la Publicación junto con la justificación generada por el Servicio, estado del lead asignado por el Cliente.

4. Categorías de interesados: Autores de Publicaciones públicas en las Fuentes indicadas por el Cliente.

5. El Encargado no trata intencionadamente, en nombre del Cliente, datos de categorías especiales. El Cliente se obliga a no indicar Fuentes cuya temática revele tales datos (Reglamento § 7 apartado 3). Si, no obstante, una Publicación contiene tales datos, estos se tratan únicamente como elemento del contenido de la Publicación, sin análisis separado, y están sujetos al mismo período de eliminación que los demás datos.

§ 3. Instrucciones del Cliente

1. El Encargado trata los datos únicamente siguiendo instrucciones documentadas del Cliente. Constituyen instrucciones: el presente acuerdo, el Reglamento y la configuración que el Cliente introduce en el panel: la lista de Fuentes, el calendario de Escaneos, los criterios de evaluación, los canales de notificación, el Plan y el período de conservación que resulte de este.

2. Si el Encargado considera que una instrucción infringe el RGPD u otras disposiciones sobre protección de datos, informará inmediatamente al Cliente y podrá suspender su ejecución hasta su aclaración.

3. El Encargado no transfiere datos a un tercer país ni a una organización internacional salvo en las condiciones del § 7, a menos que esté obligado a ello por el Derecho de la Unión o de un Estado miembro; en tal caso, informará al Cliente antes de iniciar el tratamiento, salvo que dicho Derecho lo prohíba.

§ 4. Obligaciones del Encargado

1. Garantiza que las personas autorizadas para tratar los datos se han comprometido a guardar confidencialidad y que solo tienen acceso a los datos de los Autores las personas para quienes dicho acceso sea necesario; toda consulta de datos de los Autores por parte de un operador del Servicio fuera del funcionamiento ordinario del Servicio se registra en el registro de auditoría.

2. Implementa medidas técnicas y organizativas adecuadas al riesgo, en particular: cifrado de las conexiones, cifrado en reposo de los secretos de integración, aislamiento de los datos de cada Organización con identificadores impredecibles, autenticación de dos factores para las cuentas de operadores, limitación del número de intentos de inicio de sesión, eliminación automática de los datos al finalizar el período de conservación, copias de seguridad en el Espacio Económico Europeo y eliminación de datos identificativos del contenido transmitido al modelo de lenguaje antes de su envío.

3. Asiste al Cliente en el cumplimiento de la obligación de responder a las solicitudes de los interesados. La solicitud de un Autor dirigida al Encargado se tramita de forma centralizada (§ 8), y se informa de ella al Cliente. El Encargado tramitará, por instrucción del Cliente, una solicitud dirigida al Cliente en un plazo de 7 días.

4. Asiste al Cliente en el cumplimiento de las obligaciones previstas en los artículos 32–36 del RGPD, incluida la puesta a disposición de la información necesaria para la evaluación de impacto relativa a la protección de datos, teniendo en cuenta la naturaleza del tratamiento y la información de que dispone.

5. Informará al Cliente, sin dilación indebida y a más tardar dentro de las 48 horas siguientes a tener conocimiento de la violación, de cualquier violación de la seguridad de los datos personales que afecte a los datos de los Autores, indicando las circunstancias conocidas, las categorías y el número aproximado de interesados, así como las medidas adoptadas. La información se completará progresivamente.

6. Pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de las obligaciones previstas en el artículo 28 del RGPD y permitirá auditorías conforme a las condiciones del § 6.

§ 5. Subencargo

1. El Cliente otorga una autorización general para que el Encargado utilice subencargados adicionales enumerados en la lista disponible en useleadscanner.com/legal/subprocessors, en el alcance allí descrito.

2. El Encargado informará al Cliente por correo electrónico, con al menos 30 días de antelación, de la intención de añadir o modificar un subencargado adicional. El Cliente podrá formular una objeción dentro de ese plazo, indicando motivos justificados relacionados con la protección de datos. Si las partes no llegan a un acuerdo, el Cliente podrá resolver el contrato de uso del Servicio con efectos a partir de la fecha de entrada en vigor del cambio, y se reembolsará proporcionalmente la tarifa correspondiente al período no utilizado.

3. El Encargado impondrá contractualmente a cada subencargado adicional las mismas obligaciones de protección de datos que le incumben y responderá frente al Cliente por el cumplimiento de dichas obligaciones por parte de ese subencargado.

§ 6. Auditoría

1. El Cliente podrá verificar el cumplimiento del contrato solicitando información y documentos, incluidos los resultados de auditorías y certificados de los subencargados adicionales. El Encargado responderá en un plazo de 14 días.

2. Si la información del apartado 1 no fuera suficiente, el Cliente podrá realizar una auditoría, por sí mismo o mediante un auditor sujeto a obligación de confidencialidad, como máximo una vez al año, salvo que se haya producido una violación de la seguridad de los datos, con un preaviso de al menos 14 días, durante el horario laboral y de manera que no perturbe el funcionamiento del Servicio ni vulnere la confidencialidad de los datos de otros clientes. Los costes de la auditoría correrán a cargo del Cliente, salvo que la auditoría demuestre un incumplimiento sustancial del contrato.

§ 7. Transferencias de datos fuera del EEE

1. Los datos de los Autores se almacenan en servidores situados en el Espacio Económico Europeo.

2. La transferencia fuera del EEE se realiza exclusivamente a los subencargados adicionales indicados en la lista del § 5 apartado 1, sobre la base de una decisión de adecuación de la Comisión Europea (incluido en el marco del EU-U.S. Data Privacy Framework) y, en ausencia de esta o en caso de que sea anulada, sobre la base de las cláusulas contractuales tipo adoptadas por la Comisión, complementadas por una evaluación de impacto de la transferencia.

3. El proveedor del modelo lingüístico utilizado en el modo IA es OpenAI Ireland Ltd (EEE), sobre la base del acuerdo de encargo de tratamiento de OpenAI. Las consultas al modelo se procesan en servidores de OpenAI en Estados Unidos; la base de esta transferencia son las cláusulas contractuales tipo incorporadas a dicho acuerdo. El contenido transmitido mediante la API no se utiliza para entrenar modelos. El contenido de la Entrada transmitido al modelo se despoja previamente de nombres y apellidos, direcciones de correo electrónico, números de teléfono y enlaces a perfiles.

§ 8. Objeción del Autor y lista de exclusión

1. El Autor que se oponga al tratamiento o solicite la supresión de sus datos podrá dirigirse directamente al Encargado a [email protected]. El Encargado eliminará entonces los datos del Autor de todas las Organizaciones, incluida la Organización del Cliente, y guardará un hash irreversible del identificador del Autor en la lista de exclusión, gracias a la cual los siguientes Escaneos omitirán sus Entradas.

2. El Cliente reconoce que la objeción del Autor se atiende sin el consentimiento separado del Cliente y que, debido al carácter local del identificador, no siempre es posible notificar al Cliente cuya Organización se vio afectada; cuando sea posible, el Encargado informará al Cliente de la eliminación.

3. La lista de exclusión es el único conjunto de datos de Autores que el Encargado mantiene en su propio nombre, como responsable del tratamiento, sobre la base del art. 6 apartado 1 letra c del RGPD (obligación de atender los derechos de los interesados) y del art. 6 apartado 1 letra f del RGPD (interés legítimo en la ejecución efectiva de la objeción). La lista contiene únicamente hashes a partir de los cuales no es posible reconstruir los datos del Autor y se mantiene indefinidamente, porque su eliminación implicaría volver a recopilar los datos de una persona que no lo desea.

§ 9. Finalización del tratamiento

1. Los datos de los Autores se eliminan automáticamente al vencimiento del período de conservación resultante del Plan (Términos de servicio § 5 apartado 6), y las Entradas que no hayan sido evaluadas como Lead, del mismo modo y a más tardar junto con los Leads.

2. Tras la finalización del contrato de uso del Servicio, una vez transcurrido el período de gracia de 30 días, el Encargado eliminará todos los datos de los Autores tratados en nombre del Cliente junto con sus copias, salvo la lista de exclusión (§ 8) y los datos cuya conservación exija el Derecho de la Unión o de un Estado miembro.

3. Antes de la finalización del contrato, el Cliente podrá descargar en el panel una copia de los Leads en un formato abierto; esta es la forma de devolución de los datos a que se refiere el art. 28 apartado 3 letra g del RGPD.

§ 10. Disposiciones finales

1. Cada parte responderá por los daños causados por el tratamiento, en el alcance derivado del art. 82 del RGPD. Frente al Cliente que no sea un Cliente privilegiado, se aplicará la limitación de responsabilidad del § 10 de los Términos de servicio, salvo que ello sea contrario a disposiciones imperativas.

2. En lo no previsto, se aplicarán los Términos de servicio y el RGPD. La modificación del contrato se realizará conforme al procedimiento de modificación de los Términos de servicio.

3. El contrato se redactó en polaco e inglés; en caso de discrepancia, prevalecerá la versión polaca. Vigente a partir del 2 de septiembre de 2026.