Acuerdo de tratamiento de datos (DPA)

Encargado del tratamiento: Opus Growth, marca comercial de Talat KOÇ, empresa individual registrada en Turquía (Oficina Tributaria de Gökalp). Contacto: support@opus-growth.com

Este Acuerdo de Tratamiento de Datos ("DPA") forma parte de las Condiciones de uso de Opus Growth (el "Contrato") y se aplica automáticamente a todo cliente que las acepte (el "Cliente"). Regula los datos personales que Opus Growth trata por cuenta del Cliente al prestar el servicio Opus Growth (el "Servicio"). No hace falta una firma aparte. Si necesitas una copia firmada por ambas partes para tus registros, escribe a support@opus-growth.com.

Esta es una traducción. En caso de diferencias prevalece el texto en inglés.

1. Definiciones#

Términos como "datos personales", "tratamiento", "responsable", "encargado", "interesado", "violación de la seguridad de los datos personales" y "autoridad de control" tienen el significado que les da el Reglamento (UE) 2016/679 ("RGPD"). "CCT" son las cláusulas contractuales tipo anexas a la Decisión de Ejecución (UE) 2021/914 de la Comisión.

2. Funciones y alcance#

• El Cliente es el responsable de los datos personales descritos en el Anexo I y Opus Growth los trata como encargado. Cuando el propio Cliente actúa como encargado de su cliente, Opus Growth actúa como subencargado del Cliente y el Cliente confirma que su cliente lo ha autorizado.
• Las plataformas de publicidad y analítica que el Cliente conecta (como Google, Meta, Microsoft, TikTok, LinkedIn y ChatGPT Ads de OpenAI) y el asistente de IA con el que el Cliente usa el Servicio (como Claude de Anthropic o ChatGPT de OpenAI) prestan sus servicios al Cliente según los acuerdos propios del Cliente con ellas. No son subencargados de Opus Growth. Opus Growth intercambia datos con ellas solo por instrucción del Cliente.
• Este DPA no cubre los datos que Opus Growth trata como responsable independiente, como los datos de cuenta, facturación y soporte de los propios usuarios del Cliente. Esos datos se rigen por nuestra Política de privacidad.

3. Instrucciones#

Opus Growth trata los datos personales solo siguiendo instrucciones documentadas del Cliente, también en lo relativo a transferencias, salvo que la ley aplicable le obligue a ello; en ese caso informa al Cliente antes del tratamiento, salvo que la ley lo prohíba. El Contrato, este DPA y el uso y la configuración del Servicio por el Cliente, incluidas las solicitudes hechas a través de su asistente de IA y las aprobaciones dadas en él, son las instrucciones documentadas del Cliente. Los cambios en las cuentas publicitarias conectadas solo se aplican después de que el Cliente haya visto una vista previa y aprobado el cambio. Opus Growth informa al Cliente sin demora si, a su juicio, una instrucción infringe el RGPD u otra normativa de protección de datos.

4. Confidencialidad#

Opus Growth garantiza que toda persona autorizada a tratar los datos personales está sujeta a una obligación de confidencialidad adecuada y solo accede a ellos en la medida necesaria para prestar, proteger y dar soporte al Servicio.

5. Seguridad#

Opus Growth aplica las medidas técnicas y organizativas descritas en el Anexo II. Puede actualizarlas siempre que no se reduzca el nivel general de seguridad.

6. Subencargados#

• El Cliente otorga a Opus Growth una autorización general para recurrir a los subencargados indicados en el Anexo III.
• Opus Growth actualiza el Anexo III en esta página e informa a los Clientes por correo electrónico al menos 30 días antes de añadir o sustituir un subencargado. El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo. Si las partes no resuelven la objeción, el Cliente puede dar por terminada la parte afectada del Servicio y recibe el reembolso proporcional de las cuotas pagadas por adelantado para el periodo restante.
• Opus Growth impone a cada subencargado obligaciones de protección de datos no menos protectoras que las de este DPA y sigue siendo responsable ante el Cliente del cumplimiento de sus subencargados.

7. Asistencia#

• Teniendo en cuenta la naturaleza del tratamiento, Opus Growth ayuda al Cliente, mediante medidas técnicas y organizativas apropiadas, a responder a las solicitudes de los interesados que ejerzan sus derechos del Capítulo III del RGPD. Si Opus Growth recibe directamente una solicitud de este tipo, la remite al Cliente sin demora indebida y no responde por sí mismo salvo instrucción.
• Opus Growth ayuda al Cliente, teniendo en cuenta la información de que dispone, a cumplir sus obligaciones de los artículos 32 a 36 del RGPD, incluidas las evaluaciones de impacto y las consultas previas.

8. Violaciones de seguridad#

Opus Growth notifica al Cliente sin demora indebida y, en todo caso, en un plazo de 48 horas desde que tenga conocimiento de una violación de la seguridad que afecte a los datos personales del Cliente. La notificación describe, en la medida en que se conozca, la naturaleza de la violación, las categorías y el número aproximado de interesados y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas. Opus Growth facilita más información a medida que la obtiene y toma medidas razonables para contener y remediar la violación.

9. Supresión y devolución#

Al terminar el Servicio, o antes a petición del Cliente, Opus Growth suprime los datos personales del Cliente en un plazo de 30 días, salvo que la ley exija conservarlos. Desconectar una plataforma suprime de inmediato el token de acceso guardado para ella. Los datos suprimidos desaparecen de las copias de seguridad cifradas de Opus Growth a medida que rotan, en un máximo de 12 meses, y solo se restauran desde ellas para recuperar el Servicio. Antes de la supresión, el Cliente puede exportar los datos disponibles en el Servicio a través de su asistente de IA o del panel.

10. Información y auditorías#

Opus Growth pone a disposición del Cliente la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y de este DPA. El Cliente acepta solicitar primero esta información por escrito, por ejemplo con un cuestionario de seguridad, que Opus Growth responde en un plazo razonable. Si la información no basta, el Cliente o un auditor independiente sujeto a confidencialidad puede realizar una auditoría una vez cada 12 meses o tras una violación de seguridad, con al menos 30 días de preaviso, en horario laboral, sin interrumpir el Servicio ni comprometer la seguridad o confidencialidad de los datos de otros clientes, y a cargo del Cliente.

11. Transferencias internacionales#

• Opus Growth aloja los datos personales del Cliente en la Unión Europea, en Alemania y Finlandia (Anexo III).
• Opus Growth está establecida en Turquía, por lo que el acceso a los datos personales desde Turquía puede constituir una transferencia a un tercer país. En la medida en que el RGPD se aplique a dicha transferencia, las partes celebran las CCT, que se incorporan a este DPA por referencia: Módulo Dos (de responsable a encargado) o Módulo Tres (de encargado a encargado) cuando el Cliente actúe como encargado, con el Cliente como exportador de datos y Opus Growth como importador de datos.
• Para las CCT: se aplica la cláusula 7 (cláusula de adhesión); según la cláusula 9(a) se aplica la opción 2 (autorización general por escrito) con el plazo de 30 días de la sección 6; no se aplica la redacción opcional de la cláusula 11; según la cláusula 13, la autoridad de control competente es la determinada en el Anexo I.C; según la cláusula 17, las CCT se rigen por el derecho del Estado miembro de la UE en el que esté establecido el Cliente, siempre que reconozca derechos a terceros beneficiarios, y en otro caso por el derecho de Irlanda; según la cláusula 18, las controversias se resuelven ante los tribunales de ese mismo Estado miembro. Los Anexos I, II y III de este DPA completan los Anexos I, II y III de las CCT.
• Opus Growth solo transfiere datos personales a un subencargado fuera del Espacio Económico Europeo si existe una decisión de adecuación u otro mecanismo de transferencia del Capítulo V del RGPD.

12. Responsabilidad, duración y prelación#

• La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones del Contrato, salvo cuando el RGPD o las CCT no las permitan.
• Este DPA se aplica mientras Opus Growth trate datos personales por cuenta del Cliente.
• En caso de conflicto, las CCT prevalecen sobre este DPA y este DPA prevalece sobre el Contrato.

Anexo I: Descripción del tratamiento#

A. Partes. Exportador de datos: el Cliente, como responsable (o encargado, ver sección 2), que usa el Servicio para gestionar su propia publicidad y analítica digital o la de sus clientes. Importador de datos: Opus Growth, identificada arriba, como encargado (o subencargado) que presta el Servicio.

B. Descripción del tratamiento.

• Interesados: el personal del Cliente que usa el Servicio; personas cuyos datos están en las cuentas de publicidad y analítica que el Cliente conecta, como quienes han enviado un formulario de clientes potenciales y quienes figuran en listas de clientes subidas para segmentación o medición de conversiones; visitantes de los sitios web del Cliente donde este instala la etiqueta de protección de clics de Opus Growth o que aloja en Opus Growth.
• Datos personales: nombres, correos electrónicos y teléfonos de formularios de clientes potenciales y listas de clientes, a menudo como hashes unidireccionales; identificadores en línea como ID de clic, direcciones IP e información del navegador; datos de conversión e interacción; datos de contacto y formularios en sitios que el Cliente aloja en Opus Growth; nombres y correos de los usuarios del Cliente.
• Categorías especiales: no previstas. El Cliente no debe usar el Servicio para tratar categorías especiales de datos personales.
• Frecuencia: continua, mientras el Cliente use el Servicio.
• Naturaleza del tratamiento: leer datos de las plataformas conectadas cuando el Cliente o su asistente de IA lo piden; estructurarlos y resumirlos; transmitirlos al asistente de IA y a los informes que el Cliente elija; hacer cambios en las plataformas conectadas tras la aprobación del Cliente; almacenar los datos limitados descritos abajo; alojar sitios web cuando el Cliente usa AI Server.
• Finalidad: prestar el Servicio según el Contrato.
• Conservación: los datos de publicidad y medición se leen de la plataforma cuando se solicitan y no se guarda una copia completa. Opus Growth solo guarda lo que necesita una función, como los últimos resúmenes de informes, los enlaces de informes que el Cliente comparte y los datos guardados en caché para Data Studio durante un máximo de 30 minutos, y los suprime con la cuenta. Los registros de protección de clics se conservan 90 días. Los tokens de acceso se conservan hasta desconectar la plataforma o suprimir la cuenta. La lista completa está en la sección 4 de la Política de privacidad.
• Subencargados: los indicados en el Anexo III, con la misma naturaleza, finalidad y duración.

C. Autoridad de control competente. La autoridad de control del Estado miembro de la UE en el que esté establecido el Cliente o, si no está establecido en la UE, la del Estado miembro en el que esté establecido su representante conforme al artículo 27, apartado 1, del RGPD.

Anexo II: Medidas técnicas y organizativas#

• Cifrado en tránsito: todo acceso al Servicio, a su API y al conector usa HTTPS con TLS.
• Cifrado en reposo: los tokens de acceso y actualización y las claves de API de las plataformas conectadas se guardan cifrados con cifrado simétrico autenticado (Fernet), con rotación de claves. Las copias de seguridad se cifran antes de salir del servidor.
• Minimización de datos: los datos publicitarios se leen bajo petición y no se copian por completo; solo se guardan los resúmenes que necesita una función.
• Alojamiento: servidores en centros de datos de Hetzner en Alemania, con una base de datos de reserva de solo lectura replicada de forma continua y copias de seguridad cifradas en Finlandia.
• Control de acceso: acceso administrativo a los servidores solo con claves SSH desde equipos autorizados y detrás de cortafuegos; replicación de la base de datos por una red privada; mínimo privilegio para el personal.
• Autenticación de usuarios: acceso con Google o con contraseña y un código de un solo uso enviado por correo; los códigos son válidos 15 minutos y se usan una sola vez; los usuarios pueden ver y desconectar desde el panel las aplicaciones de IA conectadas.
• Control de cambios en las cuentas: cada cambio en una cuenta publicitaria conectada se muestra como vista previa y solo se aplica tras una aprobación expresa; los cambios de presupuesto están limitados por cambio y por 24 horas; todas las acciones quedan en un registro de actividad que el Cliente puede revisar.
• Aislamiento de sitios alojados: cada AI Server funciona en su propio contenedor aislado con límites de recursos, acceso de red saliente restringido y sistema base de solo lectura.
• Disponibilidad y resiliencia: despliegues sin interrupción con comprobaciones de estado, base de datos de reserva en caliente y copias de seguridad periódicas y supervisadas con restauraciones probadas.
• Supervisión y respuesta a incidentes: el estado del servicio y los errores se registran con el contenido personal enmascarado, y las violaciones de seguridad se gestionan según la sección 8.
• Supresión: supresión de la cuenta en 30 días, supresión inmediata de tokens al desconectar y rotación de copias de seguridad en 12 meses.

Anexo III: Subencargados#

• Hetzner Online GmbH (Alemania): servidores, base de datos, alojamiento web, base de datos de reserva y copias de seguridad. Ubicación: Falkenstein, Alemania y Helsinki, Finlandia. Mecanismo de transferencia: no necesario, tratamiento dentro de la UE.
• Cloudflare, Inc. (EE. UU.): distribución en red, terminación TLS y protección frente a ataques para el sitio web, el panel y el conector (datos en tránsito). Ubicación: red global de Cloudflare; cada solicitud se atiende en el centro de datos más cercano al visitante. Mecanismo de transferencia: Marco de Privacidad de Datos UE-EE. UU. y CCT.
• Google LLC / Google Ireland Limited: correo de Google Workspace para mensajes del servicio, como enlaces a informes y notificaciones. Ubicación: UE y EE. UU. Mecanismo de transferencia: Marco de Privacidad de Datos UE-EE. UU. y CCT.