Contrato de encargo del tratamiento

El presente contrato de encargo del tratamiento (el «Contrato») forma parte de las Condiciones entre usted, titular de sitios creados con Lepka (el responsable del tratamiento), y MDMA RACINGTEAM OU, Harju maakond, Tallinn, Kesklinna linnaosa, Narva mnt 7-634, 10117, Estonia (el encargado del tratamiento, «nosotros»). Se aplica siempre que tratemos datos personales por su cuenta en relación con sus sitios y cumple los requisitos del artículo 28 del RGPD. Usted lo acepta al aceptar las Condiciones. Si este Contrato y las Condiciones se contradicen en materia de protección de datos, prevalece este Contrato.

1. Objeto y duración

1. Tratamos datos personales por su cuenta para prestar el Servicio: alojar sus sitios y aplicaciones, almacenar y mostrarle los datos que recogen sus sitios, enviar correos y notificaciones, hacer funcionar el asistente de IA de sus sitios, contar las visitas y transmitir datos a los servicios de terceros que usted conecte. Los detalles figuran en el anexo 1.
2. Este Contrato se aplica mientras tratemos datos personales por su cuenta, incluso después de la terminación del contrato hasta la supresión de los datos (apartado 9).

2. Sus instrucciones

1. Tratamos los datos personales únicamente siguiendo sus instrucciones documentadas, también en lo relativo a las transferencias a terceros países, salvo que estemos obligados a ello por el Derecho de la Unión o de un Estado miembro; en tal caso, le informaremos de esa exigencia legal antes del tratamiento, salvo que la ley lo prohíba.
2. Sus instrucciones son las Condiciones y este Contrato, la configuración de sus sitios y proyectos y las acciones que realiza en el Servicio (por ejemplo, conectar un servicio, exportar o eliminar datos). Puede dar otras instrucciones por escrito (basta un correo electrónico).
3. Si consideramos que una instrucción infringe la normativa de protección de datos, se lo comunicaremos de inmediato.
4. No utilizamos los datos personales para fines propios. Podemos elaborar estadísticas anónimas y agregadas sobre el uso del Servicio (por ejemplo, cuántas conversaciones atienden los asistentes de IA), que no contienen datos personales.

3. Confidencialidad

Garantizamos que las personas autorizadas para tratar los datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad adecuada. Nuestro equipo solo accede al contenido de sus proyectos para ayudarle cuando lo solicita, analizar errores y hacer cumplir las Condiciones; los accesos a través de nuestras herramientas de administración quedan registrados.

4. Seguridad

Aplicamos las medidas técnicas y organizativas descritas en el anexo 2 para garantizar un nivel de seguridad adecuado al riesgo (artículo 32 del RGPD). Podemos actualizar estas medidas conforme al avance técnico, siempre que no se reduzca el nivel de protección.

5. Subencargados

1. Usted nos otorga una autorización general para recurrir a los subencargados indicados en la página Encargados del tratamiento.
2. Le informaremos por correo electrónico al menos 30 días antes de añadir o sustituir un subencargado. Durante ese plazo puede oponerse por motivos razonables de protección de datos. Si no podemos resolver su objeción, puede poner fin al servicio afectado sin coste antes de que el cambio surta efecto, y le reembolsaremos los importes pagados por adelantado correspondientes al periodo posterior.
3. Imponemos por contrato a cada subencargado las mismas obligaciones de protección de datos que establece este Contrato, en particular garantías suficientes de aplicar medidas técnicas y organizativas apropiadas. Seguimos siendo responsables ante usted del cumplimiento de las obligaciones de nuestros subencargados.

6. Transferencias internacionales

Nuestros servidores están en la UE. Algunos subencargados tratan datos personales fuera de la UE/EEE, en particular en Estados Unidos (véase la página Encargados del tratamiento). Solo les transferimos datos personales sobre la base de una decisión de adecuación de la Comisión Europea o de las cláusulas contractuales tipo de la Comisión Europea (artículo 46.2.c) del RGPD). Usted nos encarga realizar estas transferencias en la medida en que sean necesarias para las funciones que utiliza.

7. Asistencia

1. Solicitudes de los interesados. Teniendo en cuenta la naturaleza del tratamiento, le ayudamos a responder a las solicitudes de ejercicio de derechos (acceso, rectificación, supresión, limitación, portabilidad, oposición). El Servicio le permite consultar, exportar y eliminar por sí mismo los datos de sus sitios. Si un interesado se dirige directamente a nosotros, le trasladamos la solicitud sin demora indebida y no la respondemos nosotros, salvo que usted nos lo indique.
2. Otras obligaciones. Teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, le ayudamos a cumplir sus obligaciones de los artículos 32 a 36 del RGPD (seguridad, notificación de violaciones de datos, evaluaciones de impacto, consulta previa).

8. Violaciones de la seguridad de los datos personales

Le notificamos sin demora indebida, y a más tardar 48 horas después de tener conocimiento de ella, cualquier violación de la seguridad que afecte a los datos personales que tratamos por su cuenta. La notificación se envía a la dirección de correo de su cuenta y contiene, en la medida en que esté disponible, la información que necesita para su propia notificación conforme al artículo 33.3 del RGPD: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. Documentamos cada violación y adoptamos las medidas necesarias para contenerla y mitigar sus consecuencias.

9. Supresión y devolución de los datos

1. Mientras utiliza el Servicio, puede exportar y eliminar en cualquier momento los datos de sus sitios.
2. Tras la terminación del contrato conservamos los datos durante 30 días para que pueda exportarlos (cláusula 16 de las Condiciones) y después los suprimimos, salvo que el Derecho de la Unión o de un Estado miembro exija conservarlos. Las copias de seguridad se sobrescriben en un plazo de 14 días según su calendario habitual.

10. Información y auditorías

Ponemos a su disposición toda la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitimos y contribuimos a la realización de auditorías, incluidas inspecciones, por parte de usted o de un auditor autorizado por usted. Las auditorías deben anunciarse con al menos 30 días de antelación, realizarse en horario laboral habitual, no perturbar nuestra actividad ni poner en riesgo los datos de otros clientes y corren de su cuenta; antes, intentaremos responder a sus preguntas por escrito.

11. Responsabilidad

A este Contrato se aplican las disposiciones de responsabilidad de las Condiciones, sin perjuicio del artículo 82 del RGPD.

Anexo 1 — Descripción del tratamiento

Categorías de interesados: visitantes de sus sitios; personas que envían formularios, hacen pedidos o reservan citas en sus sitios; usuarios que inician sesión en aplicaciones creadas con Lepka; personas que conversan con el asistente de IA de sus sitios; destinatarios de los correos que envían sus sitios; otras personas cuyos datos usted añada a sus proyectos.

Categorías de datos personales: datos de contacto (por ejemplo, nombre, dirección de correo, número de teléfono), contenido de formularios, pedidos, reservas y mensajes, conversaciones con el asistente de IA, cuentas de usuario de sus aplicaciones (dirección de correo, nombre, rol), archivos subidos por los visitantes y cualquier otro dato que sus sitios estén configurados para recoger. Los datos técnicos (dirección IP, información del navegador) solo se usan para la seguridad y para elaborar estadísticas de visitas anónimas; no se guardan.

Categorías especiales de datos: el Servicio no está diseñado para tratar categorías especiales de datos personales (artículo 9 del RGPD) ni datos relativos a condenas penales. Si su sitio recoge esos datos, usted es responsable de la licitud del tratamiento y de las garantías necesarias.

Naturaleza y finalidad del tratamiento: almacenamiento y alojamiento; visualización de los datos para usted; envío de correos y notificaciones en su nombre; generación de las respuestas del asistente de IA (por nuestro subencargado de IA); transmisión a los servicios de terceros que usted conecte; recuento anónimo de visitas; copias de seguridad; supresión.

Conservación: según lo que usted decida, hasta que elimine los datos o el proyecto. Las conversaciones con el asistente de IA se eliminan como máximo un año después del último mensaje; las estadísticas de visitas anónimas se conservan 13 meses.

Anexo 2 — Medidas técnicas y organizativas

• Cifrado: todas las conexiones están cifradas con TLS (HTTPS); las claves de acceso a servicios de terceros se almacenan cifradas.
• Ubicación: servidores de producción en un centro de datos en Alemania (UE).
• Control de acceso: acceso a los sistemas de producción solo para los miembros autorizados del equipo; autenticación en dos pasos para el acceso de administración; registro de los accesos al contenido de los proyectos de los clientes a través de las herramientas de administración; principio de mínimo privilegio.
• Separación: el código de los clientes se construye y ejecuta en entornos aislados; los datos de cada sitio se mantienen separados.
• Disponibilidad y copias de seguridad: copia de la base de datos cada hora (se conserva 2 días) y copia completa cada noche (se conserva 14 días); supervisión del servicio.
• Minimización de datos: estadísticas de visitas sin cookies y sin guardar direcciones IP; ningún dato personal en la analítica de uso.
• Desarrollo seguro: actualizaciones de seguridad periódicas, revisión de dependencias, protección frente a abusos (límites de solicitudes, control de los sitios publicados frente al phishing).
• Gestión de incidentes: un procedimiento documentado para tratar y notificar violaciones de datos.

Anexo 3 — Subencargados

La lista actualizada de subencargados está en la página Encargados del tratamiento.