Acuerdo de encargo del tratamiento

Partes y ámbito de aplicación

Este Acuerdo de encargo del tratamiento (DPA) complementa las Condiciones del servicio entre el cliente identificado en los datos de la cuenta y del contrato y:

Se aplica cuando ChannelCockpit trata datos personales por cuenta del cliente. El cliente es el responsable del tratamiento o, cuando actúa por cuenta de su propio cliente, un encargado debidamente autorizado. ChannelCockpit actúa como encargado o subencargado, según corresponda. Las funciones dependen del tratamiento real, no del plan ni de la denominación de la cuenta.

Este acuerdo forma parte del contrato y no requiere un plan para grandes empresas. ChannelCockpit puede actuar como responsable para la administración de cuentas y contratos, la facturación, la seguridad y las obligaciones legales propias, según se explica en la Política de privacidad. Este acuerdo no convierte el tratamiento independiente de plataformas sociales o proveedores de pagos en un tratamiento por cuenta de ChannelCockpit.

Objeto, duración y categorías de datos

Objeto y finalidad: prestar las funciones seleccionadas de analítica, publicación e interacción para las cuentas de plataformas conectadas por el cliente. Las operaciones incluyen consulta, transmisión, organización, visualización, almacenamiento temporal, actualización, exportación y supresión, con la protección técnica y el soporte necesarios.

Duración: durante el tratamiento encargado y la posterior devolución o supresión acordada. Los datos que ya no sean necesarios no se conservan simplemente hasta que finalice el contrato.

Interesados: el cliente y los usuarios autorizados de la cuenta, las personas a las que corresponden los perfiles conectados, los autores de comentarios, los participantes en conversaciones y las personas representadas o nombradas en los contenidos subidos.

Categorías de datos: identificadores de plataformas y perfiles, nombres e imágenes de perfil, metadatos y métricas de publicaciones y vídeos, archivos multimedia y borradores, comentarios, respuestas y mensajes compatibles, marcas de tiempo, metadatos de conversaciones y archivos adjuntos y registros relacionados de conexión y tratamiento. El alcance real depende de las conexiones, los permisos y las funciones seleccionadas.

El servicio no está destinado al tratamiento deliberado de categorías especiales de datos ni de datos sobre condenas penales. Si el cliente facilita dicha información en los contenidos, sigue siendo responsable de contar con una base jurídica válida, las garantías necesarias y de comprobar la idoneidad del servicio; este acuerdo no autoriza de forma general esos usos.

Instrucciones documentadas

ChannelCockpit solo trata datos siguiendo instrucciones documentadas del cliente, incluidas las transferencias internacionales, salvo que el derecho de la Unión o de un Estado miembro exija el tratamiento. Informamos al cliente antes de dicho tratamiento salvo prohibición legal. El contrato, este acuerdo y las acciones en la aplicación realizadas por un cliente autorizado constituyen las instrucciones iniciales. Pueden enviarse instrucciones adicionales por escrito a support@channelcockpit.app.

Informamos sin demora al cliente si consideramos que una instrucción infringe la legislación de protección de datos y, cuando sea necesario, suspendemos el tratamiento afectado hasta aclararlo. Los datos tratados por cuenta del cliente no se utilizan para publicidad propia, venta de datos personales ni entrenamiento de modelos de IA. El cliente es responsable de la recogida lícita, de la información y los consentimientos exigidos y de su facultad para dar instrucciones.

Confidencialidad y medidas de seguridad

Garantizamos que las personas autorizadas a acceder a los datos estén sujetas a confidencialidad o a una obligación legal equivalente. El acceso se limita a lo necesario y autorizado. El operador restringe el acceso administrativo; recurrir a proveedores no sustituye esa responsabilidad.

• Acceso y separación: autenticación, autorización vinculada al usuario y reglas de acceso del servidor; entornos separados y cuentas de servicio restringidas.
• Transporte y almacenamiento: transporte cifrado, acceso restringido a archivos multimedia privados, almacenamiento protegido de credenciales de plataformas en el servidor y gestión separada de secretos.
• Integridad del tratamiento: validación de entradas, consultas limitadas, tareas repetibles protegidas frente al procesamiento duplicado y barreras contra nuevas escrituras durante la eliminación de una cuenta.
• Funcionamiento: registros limitados de errores y seguridad, actualizaciones y pruebas controladas y supervisión y gestión de fallos técnicos. No se incorporan de forma habitual contenidos personales a los registros de diagnóstico.
• Supresión y minimización: límites de conservación específicos por ámbito, exportaciones de corta duración, cachés limitadas de mensajes y procesos centrales de eliminación y desconexión.

Las medidas reflejan la naturaleza, el alcance, el contexto, los fines y los riesgos del tratamiento. Se actualizan sin reducir sustancialmente la protección acordada. Esto no supone afirmar que ChannelCockpit tenga una certificación ISO o SOC propia.

Subencargados del tratamiento

El cliente autoriza con carácter general a los siguientes subencargados en la medida en que reciban efectivamente datos tratados por su cuenta. Los proveedores de soporte y correo electrónico solo se incluyen cuando una solicitud pertinente contiene dichos datos; nuestra administración contractual propia es independiente.

Informamos al cliente de las incorporaciones o sustituciones previstas con una antelación razonable, normalmente al menos 30 días antes de un nuevo acceso. El cliente puede oponerse por motivos fundamentados de protección de datos. En ese caso, buscamos una alternativa o solución adecuada. Si no existe, el cliente puede poner fin al servicio afectado antes de que comience el nuevo acceso, sin cargo adicional por resolución y con un reembolso adecuado de los anticipos no utilizados. Actualizar únicamente una lista poco visible no sustituye la notificación.

Imponemos a los subencargados obligaciones de protección de datos sustancialmente equivalentes y seguimos siendo responsables frente al cliente de su cumplimiento. Los subencargados posteriores de estos proveedores figuran en las listas enlazadas. Las plataformas sociales elegidas por el cliente no son subencargados de ChannelCockpit respecto de sus tratamientos propios.

Tratamiento fuera del EEE

Los proveedores indicados pueden tratar datos fuera del EEE. Garantizamos el cumplimiento del capítulo V del RGPD, por ejemplo, mediante una decisión de adecuación aplicable o cláusulas contractuales tipo apropiadas con las medidas complementarias necesarias. La autorización general de proveedores no exime de estos requisitos. Cuando el cliente actúa como encargado y necesita una autorización adicional, la obtiene de su responsable. Facilitamos, previa solicitud, información sobre destinatarios, ubicaciones y garantías pertinentes.

Asistencia para los derechos y el cumplimiento

Teniendo en cuenta la naturaleza del tratamiento, ayudamos al cliente mediante medidas técnicas y organizativas apropiadas a atender las solicitudes de los interesados. Las solicitudes relativas a datos tratados por cuenta del cliente se le remiten sin dilación indebida cuando sea posible y lícito. No respondemos en contra de sus instrucciones salvo obligación legal.

Teniendo en cuenta la información disponible, asistimos en las obligaciones de seguridad, las evaluaciones de impacto, las consultas previas y las notificaciones obligatorias. Se mantienen las responsabilidades del cliente como responsable del tratamiento. La asistencia ordinaria conforme a este acuerdo no está condicionada a un plan adicional. El esfuerzo excepcional se acuerda previamente; esto no puede frustrar la asistencia obligatoria ni sus plazos.

Violaciones de la seguridad de los datos personales

Notificamos al cliente sin dilación indebida cuando tenemos conocimiento de una violación de la seguridad de los datos personales que afecte a los datos tratados por su cuenta. Según la información disponible, la notificación describe el incidente, los datos y personas afectados, las consecuencias probables, las medidas adoptadas o propuestas y un punto de contacto. La información que falte se facilita sin dilación indebida; la notificación inicial no se pospone hasta que termine la investigación. Conservamos las pruebas necesarias, contenemos el incidente y ayudamos al cliente a cumplir sus propias obligaciones de notificación.

Devolución y supresión

Cuando finalice el tratamiento encargado, devolvemos o suprimimos los datos personales a elección del cliente y eliminamos las copias existentes salvo que la ley exija conservarlas. La aplicación ofrece una exportación de alcance limitado; las devoluciones adicionales necesarias se organizan a través de support@channelcockpit.app. La exportación del producto por sí sola no limita esta obligación ni los derechos de los interesados.

Durante el uso, el cliente puede utilizar los controles existentes de eliminación y conexión o dar instrucciones adicionales. Las copias de seguridad se eliminan conforme al ciclo aplicable, permanecen protegidas mientras tanto y no se utilizan de otro modo. Los registros de cuenta, pago o legales exigidos de forma independiente para los que ChannelCockpit es responsable se rigen por la Política de privacidad. Los contenidos originales conservados por una plataforma no son copias de seguridad controladas por ChannelCockpit.

Otras leyes de privacidad aplicables

Cuando el cliente sea responsable de los datos cuyo tratamiento encarga conforme a la legislación de privacidad de Estados Unidos, Canadá, Nueva Zelanda, Singapur u otra aplicable, nuestras obligaciones de instrucciones, confidencialidad, seguridad, asistencia, supresión y auditoría también se aplican a ese tratamiento según lo exija la ley. No vendemos ni compartimos esos datos para publicidad comportamental entre contextos, no los utilizamos fuera de la relación comercial acordada ni los combinamos con datos de otros clientes o de nuestra propia recogida para fines propios. Informamos al cliente si dejamos de poder cumplir las obligaciones exigidas; el cliente puede detener el tratamiento afectado y exigir su subsanación.

El cliente facilita la información obligatoria a las personas cuyos comentarios, mensajes o contenidos nos encarga gestionar y documenta cualquier excepción efectivamente aplicable. Esto incluye la información sobre recogida indirecta conforme al IPP 3A de Nueva Zelanda cuando corresponda. Asistimos en estas obligaciones y en las evaluaciones apropiadas de impacto y transferencias. Ni una autorización de plataforma ni este acuerdo sustituyen la base jurídica ni la información exigidas al cliente. Cumplimos nuestras propias obligaciones de información para el tratamiento necesario para nuestros propios fines.

Pruebas, auditoría y disposiciones finales

Facilitamos la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permitimos las auditorías pertinentes, incluidas las inspecciones del cliente o de un auditor designado por él. Una coordinación proporcionada del alcance, la confidencialidad, la seguridad y los plazos protege a otros clientes y al funcionamiento sin restringir los derechos legales de auditoría o supervisión. Pueden utilizarse primero los informes existentes adecuados, pero no sustituyen todas las pruebas necesarias en un caso concreto.

El contacto para instrucciones y privacidad es support@channelcockpit.app. Los datos de contacto del cliente son los de los registros actuales de cuenta y contrato; el cliente mantiene un contacto de privacidad localizable. Este acuerdo prevalece sobre las condiciones generales respecto del tratamiento por cuenta del cliente. La legislación imperativa de privacidad y las cláusulas contractuales tipo aplicables prevalecen sobre ambos.