1. Objeto y duración del tratamiento
El presente DPA regula el tratamiento de datos personales que el Encargado realiza por cuenta del Responsable en el marco de la provisión de las herramientas SaaS de analítica y gestión de usuarios corporativos. La duración coincidirá con la vigencia del Contrato de Suscripción SaaS principal.
2. Obligaciones del Encargado del Tratamiento
AGM se compromete a:
- Tratar los datos personales únicamente siguiendo las instrucciones documentadas del Responsable.
- Garantizar que el personal autorizado para tratar datos personales ha asumido un compromiso expreso de confidencialidad.
- Implementar las medidas técnicas y organizativas de seguridad (TOMs) estipuladas en el Art. 32 del GDPR (cifrado en reposo AES-256, TLS 1.3 en tránsito, control de acceso basado en roles).
- Notificar al Responsable sin dilación indebida, y a más tardar dentro de las 48 horas siguientes, cualquier brecha de la seguridad de los datos personales.
- Asistir al Responsable en el cumplimiento de sus obligaciones de respuesta ante solicitudes de derechos ARCO/DSAR y evaluaciones de impacto (DPIA).
- Suprimir o devolver todos los datos personales una vez finalizada la prestación de los servicios, a elección del Responsable.
3. Subencargados del tratamiento autorizados
El Responsable otorga una autorización general para la contratación de los siguientes subencargados esenciales:
| Subencargado | Servicio prestado | Ubicación de servidores | Salvaguarda de transferencia |
|---|---|---|---|
| Cloudflare Inc. | WAF, CDN, mitigación DDoS y edge analytics | Global / EE. UU. / UE | DPF UE-EE. UU. / SCCs |
| Amazon Web Services (AWS) | Almacenamiento de base de datos y compute | EE. UU. / EEE (Irlanda) | Cláusulas Contractuales Tipo (SCCs) |
| Stripe Inc. | Procesamiento de pagos y facturación segura | EE. UU. / Global | PCI-DSS Nivel 1 / DPF |
| Resend / SendGrid | Entrega de correos transaccionales y alertas | EE. UU. | Cláusulas Contractuales Tipo (SCCs) |
Mecanismo de modificación de subencargados: AGM notificará con al menos quince (15) días de antelación cualquier incorporación o sustitución de subencargados mediante aviso en el panel de control o correo electrónico, pudiendo el Responsable formular oposición fundada.