Acuerdo de Tratamiento de Datos

Este Acuerdo de Tratamiento de Datos ("DPA") se celebra entre tú, el cliente ("tú", el responsable del tratamiento), y Taras Shynkarenko, que opera como AdaptlyPost, NIP PL 9571091905, Heweliusza 11/811, 80-890 Gdańsk, Polonia ("AdaptlyPost", el encargado del tratamiento).

Se aplica cuando tratas datos personales a través de AdaptlyPost (el "Servicio"), por ejemplo datos de tus clientes, de los miembros de tu equipo o de tu audiencia. Se incorpora por referencia a nuestros Términos de Servicio y lo aceptas al usar el Servicio. No hace falta firmarlo. Si quieres una copia contrafirmada, escribe a contact@adaptlypost.com.

1. Definiciones

Los términos "datos personales", "tratamiento", "responsable del tratamiento", "encargado del tratamiento", "interesado", "violación de la seguridad de los datos personales" y "autoridad de control", entre otros, tienen el significado que les da el RGPD (Reglamento (UE) 2016/679).

"Datos Personales del Cliente" son los datos personales que AdaptlyPost trata por tu cuenta al prestar el Servicio. "Subencargado" es un tercero al que AdaptlyPost recurre para tratar Datos Personales del Cliente.

2. Funciones de las partes

Tú eres el responsable del tratamiento de los Datos Personales del Cliente y AdaptlyPost es tu encargado del tratamiento. Si tú actúas como encargado del tratamiento de otra persona, AdaptlyPost es tu subencargado, y confirmas que tu responsable del tratamiento lo ha autorizado.

AdaptlyPost es un responsable del tratamiento independiente para los datos que trata con fines propios, como tu cuenta, la facturación, la seguridad y su sitio web. Ese tratamiento lo regula nuestra Política de privacidad, no este DPA.

3. Objeto, duración, naturaleza y finalidad

• •

  Objeto: la prestación del Servicio según los Términos.

• •

  Duración: mientras uses el Servicio y hasta que los datos se eliminen o se devuelvan según la sección 13.

• •

  Naturaleza: almacenar, organizar, transformar, transmitir y eliminar datos. Incluye publicar contenido en las redes sociales que conectas, generar el contenido de IA que pides, recopilar analíticas y enviar notificaciones.

• •

  Finalidad: prestar, operar y dar soporte al Servicio tal como se describe en los Términos y en tus instrucciones. AdaptlyPost no usa Datos Personales del Cliente para entrenar ni ajustar modelos de IA.

4. Tipos de datos personales e interesados

Según cómo uses el Servicio, los Datos Personales del Cliente pueden incluir:

• •

  Miembros de tu equipo y usuarios invitados: nombres, direcciones de email y roles

• •

  Cuentas sociales conectadas: ID de cuenta, nombres, nombres de usuario, fotos de perfil y tokens de acceso

• •

  Contenido: publicaciones, descripciones, comentarios, imágenes, vídeos y documentos que creas, subes o programas, y cualquier dato personal que contengan

• •

  Analíticas: estadísticas de interacción y de audiencia que devuelven las redes sociales

• •

  Entradas y resultados de IA: instrucciones (prompts), textos e imágenes que envías a las funciones de IA, y los resultados

• •

  Datos técnicos: direcciones IP, datos del dispositivo y registros

Los interesados son los miembros de tu equipo y otros usuarios que invitas, los titulares de las cuentas que conectas y las personas que aparecen en tu contenido o interactúan con él, como tus clientes, seguidores y audiencia.

El Servicio no está pensado para categorías especiales de datos personales (artículo 9 del RGPD) ni para datos relativos a condenas penales. No subas esos datos salvo que tengas una base jurídica para ello.

5. Tus instrucciones y responsabilidades

AdaptlyPost trata los Datos Personales del Cliente solo siguiendo tus instrucciones documentadas, también en lo relativo a las transferencias fuera del Espacio Económico Europeo (EEE), salvo que el Derecho de la UE o el Derecho polaco exijan otra cosa. En ese caso, AdaptlyPost te informa de esa exigencia legal antes del tratamiento, salvo que la ley lo prohíba por razones importantes de interés público.

Tus instrucciones son los Términos, este DPA y la forma en que configuras y usas el Servicio. AdaptlyPost te avisa de inmediato si considera que una instrucción infringe el RGPD u otra norma de protección de datos de la UE o de un Estado miembro.

Eres responsable de tener una base jurídica para el tratamiento, de la exactitud de los datos y de dar a los interesados la información a la que tienen derecho.

6. Obligaciones de AdaptlyPost

Tal como exige el artículo 28, apartado 3, del RGPD, AdaptlyPost:

• •

  (a) trata los Datos Personales del Cliente solo siguiendo tus instrucciones documentadas, como se describe en la sección 5;

• •

  (b) garantiza que todas las personas autorizadas para tratar Datos Personales del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad (sección 7);

• •

  (c) toma las medidas de seguridad que exige el artículo 32 del RGPD (sección 8);

• •

  (d) recurre a subencargados solo en las condiciones de la sección 9;

• •

  (e) te ayuda, mediante medidas técnicas y organizativas apropiadas, a responder a las solicitudes de los interesados que ejercen sus derechos (sección 11);

• •

  (f) te ayuda a cumplir tus obligaciones de los artículos 32 a 36 del RGPD sobre seguridad, notificación de violaciones de la seguridad, evaluaciones de impacto relativas a la protección de datos y consulta previa, teniendo en cuenta la naturaleza del tratamiento y la información a su disposición (secciones 8, 11 y 12);

• •

  (g) al terminar el Servicio, elimina o devuelve los Datos Personales del Cliente, a tu elección, salvo que el Derecho de la UE o el Derecho polaco exijan conservarlos (sección 13);

• •

  (h) pone a tu disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD, y permite y contribuye a la realización de auditorías, incluidas inspecciones (sección 14).

7. Confidencialidad

AdaptlyPost solo da acceso a los Datos Personales del Cliente a las personas que lo necesitan para prestar, mantener o dar soporte al Servicio. Cada una de ellas está sujeta a un deber de confidencialidad que continúa después de que termine su trabajo para AdaptlyPost.

8. Medidas de seguridad

AdaptlyPost toma medidas técnicas y organizativas apropiadas para proteger los Datos Personales del Cliente, teniendo en cuenta el estado de la técnica, los costes de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, y los riesgos para los interesados. Entre ellas están:

• •

  Alojamiento en la UE: los servidores de la aplicación y la base de datos funcionan en Hetzner, en Helsinki (Finlandia). Las copias de seguridad de la base de datos se guardan en Hetzner, en Falkenstein (Alemania). Los archivos multimedia se guardan en Cloudflare R2, en la UE.

• •

  Cifrado en tránsito: todas las conexiones con el Servicio usan TLS.

• •

  Credenciales cifradas: los tokens de acceso y de actualización OAuth de las cuentas sociales conectadas se cifran con AES-256.

• •

  Control de acceso: el acceso a los sistemas de producción se limita a las personas que lo necesitan, y los roles y permisos del espacio de trabajo controlan lo que cada miembro de tu equipo puede ver y hacer.

• •

  Inicio de sesión en dos pasos: cada usuario puede activar la autenticación en dos pasos con una app de autenticación, códigos por SMS o por email. Después, cambiar un método o eliminar la cuenta pide un código.

• •

  Copias de seguridad: copias de seguridad de la base de datos cada hora, que se conservan 3 días, y después una copia al día durante un máximo de 14 días, con restauración a un momento concreto.

• •

  Registro y supervisión: registros y trazas de la aplicación para detectar errores, abusos e incidentes de seguridad, que se conservan hasta 90 días.

AdaptlyPost puede actualizar estas medidas con el tiempo, siempre que el nivel general de protección no baje.

9. Subencargados

Das a AdaptlyPost una autorización general para recurrir a subencargados. La lista actual está en nuestra página de subencargados.

AdaptlyPost te informa de cualquier incorporación o sustitución prevista de un subencargado actualizando esa página al menos 30 días antes de que el nuevo subencargado empiece a tratar Datos Personales del Cliente. Para recibir estos avisos por email, escribe a contact@adaptlypost.com.

Puedes oponerte a un nuevo subencargado por motivos razonables de protección de datos escribiendo a contact@adaptlypost.com dentro de ese plazo de 30 días. AdaptlyPost buscará entonces contigo una solución de buena fe. Si no se encuentra ninguna, puedes dejar de usar el Servicio antes de que el nuevo subencargado empiece a tratar tus datos.

AdaptlyPost impone por contrato a cada subencargado obligaciones de protección de datos que ofrecen el mismo nivel de protección que este DPA, en particular garantías suficientes de medidas técnicas y organizativas apropiadas. AdaptlyPost sigue siendo plenamente responsable ante ti del cumplimiento de las obligaciones de cada subencargado.

10. Transferencias internacionales

AdaptlyPost aloja el Servicio en la UE. Algunos subencargados tratan datos fuera del EEE, como se indica en la página de subencargados.

AdaptlyPost solo transfiere Datos Personales del Cliente fuera del EEE con una garantía válida según el capítulo V del RGPD: una decisión de adecuación, incluido el EU-US Data Privacy Framework cuando el destinatario está certificado conforme a él, o, si no, las cláusulas contractuales tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, con el módulo 2 (de responsable a encargado) o el módulo 3 (de encargado a encargado), el que corresponda a las funciones de las partes.

11. Ayuda con las solicitudes de los interesados y las evaluaciones

Teniendo en cuenta la naturaleza del tratamiento, AdaptlyPost te ayuda a responder a las solicitudes de los interesados, como las de acceso, rectificación, supresión, limitación, portabilidad u oposición. Puedes gestionar muchas solicitudes tú mismo en el Servicio: puedes editar y eliminar publicaciones, espacios de trabajo y cuentas conectadas, exportar analíticas en CSV, XLSX o PDF, y leer publicaciones y borradores a través de la API REST. Para todo lo demás, escribe a contact@adaptlypost.com.

Si AdaptlyPost recibe directamente de un interesado una solicitud sobre Datos Personales del Cliente, te la reenvía y no la responde por su cuenta, salvo que tú se lo indiques o la ley lo exija.

AdaptlyPost también te da la información que razonablemente necesites para realizar una evaluación de impacto relativa a la protección de datos, o una consulta previa a una autoridad de control, cuando la ley la exija.

12. Violaciones de la seguridad de los datos personales

AdaptlyPost te notifica cualquier violación de la seguridad de los datos personales que afecte a Datos Personales del Cliente sin dilación indebida y, en todo caso, en un plazo de 48 horas desde que tenga conocimiento de ella. Envía la notificación a la dirección de email del propietario de tu cuenta.

La notificación describe, en la medida en que se disponga de la información: la naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y de registros afectados; las consecuencias probables; las medidas tomadas o propuestas para hacer frente a la violación y limitar sus efectos; y un punto de contacto para obtener más información. Si no se conoce todo a la vez, AdaptlyPost facilita la información por fases sin más dilación indebida.

AdaptlyPost te ayuda a cumplir tus propias obligaciones de notificar a la autoridad de control y a los interesados. Una notificación no supone un reconocimiento de culpa ni de responsabilidad.

13. Eliminación y devolución de los datos

Al terminar el Servicio, eliges si AdaptlyPost elimina o devuelve los Datos Personales del Cliente. Antes puedes exportar tus datos tú mismo (sección 11), o pedir una devolución o una exportación completa escribiendo a contact@adaptlypost.com. AdaptlyPost responde a estas solicitudes en un plazo de 30 días.

Puedes eliminar tu cuenta en Configuración. Si eres propietario de una organización con otros miembros, primero transfiere la propiedad o elimina a esos miembros. Al eliminar tu cuenta se eliminan todo tu historial de IA y las organizaciones en las que eres el único miembro, con sus espacios de trabajo, cuentas conectadas y publicaciones, y se cancela cualquier suscripción activa. La eliminación es inmediata. También puedes pedirnos que eliminemos tus datos escribiendo a contact@adaptlypost.com, y los eliminamos en un plazo de 30 días.

Los datos eliminados desaparecen de nuestras copias de seguridad en un plazo de 21 días. Hasta entonces, las copias de seguridad siguen protegidas por este DPA y no se usan para ningún otro fin. AdaptlyPost solo conserva Datos Personales del Cliente durante más tiempo cuando el Derecho de la UE o el Derecho polaco lo exigen, y solo para ese fin.

14. Auditorías

AdaptlyPost pone a tu disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD. Si lo pides, primero responde a preguntas por escrito y facilita documentación, como este DPA, la lista de subencargados y una descripción de sus medidas de seguridad.

Si esa información no basta para demostrar el cumplimiento, o si una autoridad de control lo exige, puedes auditar a AdaptlyPost, incluso mediante una inspección in situ, tú mismo o a través de un auditor independiente sujeto a confidencialidad. Debes avisar por escrito con una antelación razonable, realizar la auditoría en horario laboral normal sin interrupciones injustificadas y asumir sus costes.

15. Responsabilidad

La responsabilidad de cada parte según este DPA está sujeta a las limitaciones y exclusiones de responsabilidad de los Términos de Servicio. Esto no limita la responsabilidad de ninguna de las partes frente a los interesados según el artículo 82 del RGPD, ni ninguna responsabilidad que la ley no permita limitar.

16. Vigencia, prevalencia y cambios

Este DPA se aplica mientras AdaptlyPost trate Datos Personales del Cliente por tu cuenta. Si este DPA contradice los Términos, prevalece este DPA en lo relativo al tratamiento de datos personales.

AdaptlyPost puede actualizar este DPA para reflejar cambios en la ley o en el Servicio. Publica la nueva versión en esta página y actualiza la fecha de arriba. Una actualización no reducirá la protección de los Datos Personales del Cliente.

17. Ley aplicable

Este DPA se rige por el Derecho polaco. Son competentes los tribunales de Gdańsk (Polonia), según lo establecido en los Términos. Esto no afecta a los derechos de los interesados ni a los poderes de las autoridades de control.

18. Contacto

Para cualquier asunto sobre este DPA, incluida una copia contrafirmada, escribe a contact@adaptlypost.com.

Taras Shynkarenko (operando como AdaptlyPost), NIP PL 9571091905, Heweliusza 11/811, 80-890 Gdańsk, Polonia.