Acuerdo de tratamiento de datos (DPA)

Este Acuerdo de tratamiento de datos (DPA) se aplica cuando GSAM Solution LLC (Encargado del tratamiento, nosotros) trata datos personales por cuenta del Cliente (Responsable del tratamiento, usted) al prestar el Servicio, y dicho tratamiento está sujeto al Reglamento General de Protección de Datos de la UE (RGPD), al RGPD del Reino Unido, a la Ley Federal de Protección de Datos de Suiza, a la Ley n.º 6698 de Protección de Datos Personales de Turquía (KVKK), a las leyes de privacidad de los estados de EE. UU. o a leyes similares (en conjunto, la Normativa de protección de datos).

Cuando usted actúe para un cliente (como agencia), confirma que cuenta con la autorización del cliente, y nosotros actuamos como su subencargado del tratamiento.

Somos responsables del tratamiento, y no encargados, en lo que respecta a los datos de cuenta y facturación, los registros de seguridad y la forma en que operamos y mejoramos el Servicio; nuestra Política de privacidad abarca esos tratamientos.

• Objeto y finalidad: la prestación del Servicio: análisis de su material de marca, planificación y creación de contenido, aprobaciones y enlaces de revisión, informes, soporte y seguridad.
• Duración: mientras utilice el Servicio y, después, hasta su eliminación conforme a la sección 9.
• Naturaleza: recogida, almacenamiento, análisis (también mediante modelos de IA), edición y transformación, transmisión a subencargados del tratamiento, visualización y supresión.
• Interesados: los miembros de su equipo, sus clientes y sus aprobadores, sus propios clientes y otras personas que aparezcan o se mencionen en su material, su sitio web o sus archivos subidos.
• Datos personales: nombres, direcciones de correo electrónico, funciones, imágenes, grabaciones de vídeo y de voz, y cualquier dato personal contenido en sus archivos subidos, el contenido de su sitio web o sus notas.
• Categorías especiales: no está previsto tratarlas. No las suba salvo que sea necesario y lícito.

• Tratamos los datos personales únicamente siguiendo sus instrucciones documentadas, que son estos Términos, este DPA y su uso y configuración del Servicio, salvo que la ley exija otra cosa (en cuyo caso se lo comunicaremos previamente si la ley lo permite). Le informaremos si consideramos que una instrucción infringe la Normativa de protección de datos.
• Todas las personas a las que autorizamos a tratarlos están sujetas a confidencialidad.
• Aplicamos las medidas técnicas y organizativas de la sección 6.
• Le ayudamos, teniendo en cuenta la naturaleza del tratamiento, a responder a las solicitudes de los interesados, así como en materia de seguridad, notificación de violaciones de seguridad, evaluaciones de impacto relativas a la protección de datos y consultas a las autoridades.
• No vendemos datos personales ni los utilizamos para fines propios más allá de prestar y proteger el Servicio.

Usted nos otorga una autorización general para recurrir a los subencargados del tratamiento que figuran en la Política de privacidad. Imponemos a cada uno de ellos condiciones de protección de datos que protegen los datos al menos tanto como este DPA, y seguimos siendo responsables de su actuación.

Anunciaremos cualquier subencargado del tratamiento nuevo o sustituto con al menos 14 días de antelación, actualizando la lista y enviando un correo electrónico a los propietarios de las cuentas. Puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si no podemos atender la objeción, puede cancelar el paquete afectado y recibir el reembolso de la parte prepagada no utilizada.

Nuestra base de datos está alojada en la Unión Europea (Fráncfort, Alemania). Algunos subencargados del tratamiento, y la propia GSAM Solution LLC, se encuentran en los Estados Unidos o en otros países.

Para las transferencias de datos personales desde el EEE a un país sin decisión de adecuación, las partes incorporan las cláusulas contractuales tipo adoptadas por la Comisión Europea en la Decisión (UE) 2021/914, Módulo Dos (de responsable a encargado) o Módulo Tres (de encargado a encargado), según corresponda: se aplica la cláusula 7 (cláusula de incorporación); cláusula 9, opción 2 (autorización general, con el plazo de preaviso de la sección 4); no se aplica la redacción opcional de la cláusula 11; cláusulas 17 y 18: el Derecho y los tribunales de Irlanda. El anexo I es la sección 2 de este DPA y el anexo II es la sección 6. Para el Reino Unido, se incorpora el Anexo de Transferencia Internacional de Datos (International Data Transfer Addendum) emitido por el Comisionado de Información del Reino Unido; para Suiza, las cláusulas se aplican con las adaptaciones necesarias.

Cuando la KVKK le sea aplicable y lo exija, firmaremos, previa solicitud, el contrato tipo publicado por la Autoridad de Protección de Datos Personales de Turquía; usted, como exportador de datos, lo notificará a dicha Autoridad según exija la ley.

• Cifrado en tránsito (TLS) para todo el tráfico, y cifrado en reposo proporcionado por nuestros proveedores de alojamiento y de base de datos.
• Aislamiento por cliente en la base de datos mediante seguridad a nivel de fila, funciones de base de datos con privilegios mínimos y credenciales de servicio separadas.
• Inicio de sesión mediante enlace de correo electrónico de un solo uso o con Google, sesiones revocables y acceso de nuestro personal solo cuando sea necesario.
• Archivos subidos almacenados en un almacenamiento privado y servidos únicamente mediante enlaces firmados de corta duración; comprobación del tipo de archivo al subirlo.
• Las direcciones IP utilizadas para las comprobaciones de abuso de la vista previa gratuita y los registros de aceptación de los términos se almacenan únicamente como hashes con clave; los secretos se guardan fuera del código.
• Límites de frecuencia, protección contra bots, registros de auditoría de las acciones sensibles y copias de seguridad realizadas por nuestro proveedor de base de datos.
• Revisiones de seguridad del código antes de cada lanzamiento. No contamos con ninguna certificación de seguridad como ISO 27001 o SOC 2.

Le notificaremos sin dilación indebida y, cuando sea posible, en un plazo de 48 horas desde que tengamos conocimiento de una violación de la seguridad de los datos personales que afecte a sus datos, con la información que necesite para cumplir sus propias obligaciones, y adoptaremos medidas razonables para contenerla.

Pondremos a su disposición la información razonablemente necesaria para demostrar el cumplimiento de este DPA y del artículo 28 del RGPD, incluidas las respuestas a cuestionarios de seguridad razonables. Una vez al año, o tras una violación de seguridad o a petición de una autoridad, podrá auditar nuestro cumplimiento, con un preaviso de 30 días, en horario laboral, a través de un auditor independiente sujeto a confidencialidad, a su cargo y sin acceso a los datos de otros clientes.

Puede exportar su contenido en cualquier momento en Ajustes → Tus datos. Cuando elimine su cuenta, o cuando finalice el acuerdo y se elimine la cuenta, suprimiremos los datos personales que tratamos por cuenta de usted en un plazo de 30 días, y de las copias de seguridad según su rotación habitual, salvo que la ley nos obligue a conservarlos.

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones de los Términos del servicio, salvo cuando la Normativa de protección de datos no lo permita. Si este DPA y los Términos entran en conflicto en materia de datos personales, prevalece este DPA; si las cláusulas contractuales tipo entran en conflicto con este DPA, prevalecen las cláusulas.

Para solicitar una copia firmada por ambas partes, escriba a support@feedhand.com.