Contrato de encargo del tratamiento

• Responsable del tratamiento: la agencia, el trafficker autónomo o la empresa que se da de alta en CaptaLeads y carga o conecta datos de sus clientes (en adelante, «el cliente»).
• Encargado del tratamiento: MULTIATLAS, S.L. («MultiAtlas»), con NIF pendiente de incorporar, inscripción en el Registro Mercantil pendiente de incorporar y domicilio en C/ Azafrán 9, 41927 Mairena del Aljarafe, Sevilla (España) (en adelante, «el encargado»). Contacto: info@multiatlas.net.

Si el cliente está establecido fuera del Espacio Económico Europeo, este contrato regula también, en lo que sea compatible, la relación entre responsable y encargado que prevea la ley de protección de datos de su país.

El encargado trata los datos personales necesarios para prestar el servicio CaptaLeads: conectar y sincronizar las cuentas publicitarias del cliente, mostrar el panel, avisar con la vigía, recibir los avisos y trabajos del negocio (los que apunta en su programa de gestión, hoja de cálculo o centralita) por archivo CSV o por entrada automática y cruzarlos con los contactos de los anuncios, enviar los informes a quien el cliente indique y aplicar o proponer cambios en las campañas con el agente, según las instrucciones y los límites que fija el cliente.

El encargo dura lo que dure el servicio y termina al eliminar la cuenta o la organización.

No se tratan categorías especiales de datos. El cliente se compromete a no cargar datos sensibles ni de menores en notas, instrucciones o documentos.

El encargado trata los datos solo siguiendo las instrucciones documentadas del cliente, que son estos términos y lo que el cliente configura en CaptaLeads: las cuentas que conecta, el modo de decisión y de actuación del agente, sus límites, las fuentes de avisos y trabajos (archivos y entradas automáticas) y los destinatarios de los informes. Si una instrucción le parece contraria a la normativa de protección de datos, el encargado lo avisará.

El cliente autoriza al encargado a usar los resultados de sus campañas, de forma agregada y anónima, para mejorar el servicio, según la cláusula de aprendizaje. Para ese aprendizaje no se usan teléfonos, correos ni nombres de contactos.

• a)Tratar los datos solo para prestar el servicio y no usarlos para fines propios, salvo el aprendizaje agregado y anónimo autorizado.
• b)Garantizar que las personas autorizadas a tratar los datos se han comprometido a respetar su confidencialidad.
• c)Aplicar las medidas de seguridad del punto 7.
• d)No comunicar los datos a terceros, salvo a los subencargados del punto 6 o cuando una ley lo exija.
• e)Llevar un registro de las actividades de tratamiento que realiza por cuenta del cliente.

El cliente da su autorización general para que el encargado se apoye en estos subencargados:

El encargado impone a cada subencargado obligaciones de protección de datos equivalentes a las de este contrato. Avisará al cliente de cualquier alta o cambio de subencargado con al menos 15 días de anticipación, publicándolo en esta página y por correo; si el cliente se opone, puede darse de baja. Las transferencias fuera del Espacio Económico Europeo se amparan en el Marco de Privacidad de Datos UE-EE. UU. o en las cláusulas contractuales tipo de la Comisión Europea.

Meta y Google no son subencargados: son las plataformas que el cliente conecta y tratan los datos según sus propias condiciones.

Anthropic solo recibe datos cuando el agente de IA o el board están en uso: el nombre y el sector del negocio, su estrategia y sus cifras objetivo, el diagnóstico de su página, las instrucciones del agente, los cambios propuestos con los nombres y las métricas de las campañas y fragmentos de la base de conocimiento. Cada consulta queda anotada (organización, cliente, tokens y coste) y cada organización tiene un tope de gasto de IA. Resend envía los informes, las alertas, las invitaciones, los enlaces para recuperar la contraseña y los avisos de solicitudes de acceso.

• Separación de cada organización y permisos comprobados en el servidor en cada petición.
• Teléfonos y correos de los contactos solo como huella cifrada (HMAC) y máscara, y los de los avisos y trabajos solo como huella; tokens de Meta y Google cifrados con AES-256-GCM; contraseñas con scrypt; IP solo como huella; claves de la entrada automática solo como huella.
• Conexiones cifradas (HTTPS), cabeceras de seguridad, límite de intentos de acceso y bitácora de seguridad.
• Si el personal que opera la plataforma entra en la organización del cliente para darle soporte («modo soporte»), cada entrada y cada salida queda en la bitácora: quién, en qué organización y cuándo.
• Registro de cambios en las campañas y bitácora que la base de datos impide modificar.

Si el encargado detecta una violación de la seguridad de los datos del cliente, se lo notificará sin dilación indebida, con la información disponible para que el cliente pueda cumplir con sus obligaciones ante la autoridad y los interesados.

El encargado ayudará al cliente a responder las solicitudes de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad) y, en la medida de lo posible, a cumplir con la seguridad, la notificación de brechas, las evaluaciones de impacto y las consultas previas. Si un interesado se dirige al encargado, este le pasará la solicitud al cliente.

Al eliminar la cuenta o la organización con «Eliminar mi cuenta», el encargado borra en ese momento los datos del cliente (clientes, campañas, métricas, contactos, avisos y trabajos, informes) y desconecta las cuentas de Meta y Google. Si el cliente quiere antes una copia, debe pedirla a info@multiatlas.net. Las copias de restauración de la base de datos caducan solas en un plazo que no supera los 30 días. Se conservan solo las estadísticas agregadas y anónimas de la cláusula de aprendizaje y lo que una ley obligue a conservar.

El encargado pondrá a disposición del cliente la información necesaria para demostrar que cumple este contrato y permitirá auditorías razonables, avisadas con antelación y sin acceso a datos de otros clientes, realizadas por el cliente o por un auditor que él designe.

El cliente garantiza que tiene una base legal para tratar los datos de sus clientes y contactos, para cruzarlos con sus avisos y trabajos y para encargar su tratamiento; que informa a los interesados, y que cumple las políticas de Meta y Google sobre los datos de sus formularios. Ver también el aviso de privacidad.

Al dar de alta cada cliente en CaptaLeads, quien lo hace declara con una casilla que tiene permiso de ese cliente para conectar sus cuentas publicitarias y tratar los datos de sus contactos según este contrato; la declaración queda anotada en la bitácora con la versión del contrato.