Acuerdo de tratamiento de datos

El presente acuerdo de tratamiento de datos («DPA») forma parte de las condiciones generales de Delyst celebradas entre E for connection («el encargado del tratamiento») y el cliente («el responsable del tratamiento»). Regula el tratamiento de los datos personales relativos a los suscriptores y usuarios finales del cliente. Los términos que empiezan por mayúscula y no se definen aquí tienen el significado que les atribuye el Reglamento General de Protección de Datos (RGPD).

1. Objeto y duración

El encargado del tratamiento trata los datos personales por cuenta del responsable del tratamiento, con el único fin de prestar la plataforma de automatización de marketing Delyst. El tratamiento dura mientras exista la cuenta del responsable del tratamiento, como se describe en el artículo 9.

2. Categorías de datos y de interesados

• Interesados: los suscriptores del responsable del tratamiento y los miembros de su equipo que utilizan el servicio.

• Categorías de datos: dirección de email, número de teléfono, nombre, campos personalizados definidos por el responsable del tratamiento (por ejemplo empresa, país, historial de compras), dirección IP, metadatos del dispositivo y del cliente de correo, aperturas, clics, rebotes y bajas.

• Categorías especiales: no se trata ninguna por defecto. El responsable del tratamiento no debe subir datos sensibles (salud, religión, orientación sexual, etc.) sin un acuerdo escrito independiente.

3. Obligaciones del encargado del tratamiento

• Tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable del tratamiento.

• Garantizar que las personas autorizadas para tratar los datos estén sujetas a confidencialidad.

• Aplicar las medidas técnicas y organizativas apropiadas (véase el artículo 6 y la política de privacidad).

• Ayudar al responsable del tratamiento a responder a las solicitudes de los interesados y a cumplir sus obligaciones en virtud de los artículos 32 a 36 del RGPD.

• Notificar al responsable del tratamiento cualquier violación de datos personales sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tenga conocimiento de ella.

4. Subencargados

El responsable del tratamiento autoriza al encargado del tratamiento a recurrir a los subencargados enumerados en la política de privacidad. El encargado del tratamiento informará al responsable del tratamiento de cualquier incorporación o sustitución prevista con al menos 14 días de antelación. El responsable del tratamiento puede oponerse por escrito; si la objeción no puede resolverse, puede cancelar la parte del servicio afectada.

5. Transferencias internacionales

Cuando se transfieren datos personales fuera del EEE, el encargado del tratamiento se basa en las cláusulas contractuales tipo adoptadas por la Comisión Europea (Decisión 2021/914), incorporadas aquí por referencia. Una copia de las cláusulas firmadas para un subencargado determinado está disponible previa solicitud en support@delyst.com.

6. Medidas de seguridad

• TLS 1.2 o superior para los datos en tránsito.

• Cifrado AES-256-GCM de los secretos y las claves almacenados.

• Hash de las contraseñas con bcrypt.

• Autenticación en dos pasos disponible para todas las cuentas.

• Segmentación de red, cortafuegos, acceso a producción según el principio de mínimo privilegio.

• Registro de auditoría de las acciones de administración.

• Copias de seguridad de la base de datos realizadas por OVH, que se borran al final de su plazo de conservación.

7. Derechos de los interesados

Dentro de los límites técnicos del servicio, el encargado del tratamiento ayuda al responsable del tratamiento a responder a las solicitudes de acceso, rectificación, supresión, limitación, portabilidad y oposición. La mayoría de estas operaciones pueden realizarse directamente desde el panel de Delyst.

8. Auditorías

El responsable del tratamiento puede auditar el cumplimiento del presente DPA una vez por año natural, con un preaviso por escrito de 30 días, en horario laboral y con sujeción a obligaciones razonables de confidencialidad. Previa solicitud, el encargado del tratamiento facilita informes de auditoría independientes, cuando existan, en lugar de una auditoría in situ.

9. Supresión o devolución de los datos

El responsable del tratamiento puede exportar sus contactos en cualquier momento desde la aplicación (CSV). Los datos se conservan mientras exista la cuenta, incluso después de la cancelación de la suscripción. Cuando el responsable del tratamiento elimina su cuenta (Configuración, o support@delyst.com), el encargado del tratamiento borra de forma inmediata y definitiva los datos personales de los sistemas activos; las copias de seguridad se borran al final de su plazo de conservación. Solo se conservan las pruebas que la ley obliga a guardar.

10. Cómo firmarlo

La mayoría de los clientes no necesita firmar un DPA independiente. Las estipulaciones de este documento se aplican automáticamente en el marco de las condiciones generales. Si el departamento jurídico de su organización exige un ejemplar firmado por ambas partes, escriba a support@delyst.com y le enviaremos un PDF firmado en un plazo de 5 días hábiles.