Acuerdo de Encargo del Tratamiento
Conforme al art. 28 del RGPD · versión [FECHA]
Este Acuerdo regula el tratamiento de datos personales que [RAZÓN SOCIAL] («Encargado», epk.show) realiza por cuenta del cliente («Responsable») al prestarle el servicio epk.show, y forma parte de los Términos del servicio.
1. Objeto, naturaleza y finalidad
El Encargado trata datos personales únicamente para prestar el servicio epk.show (publicación de EPK, envíos con seguimiento, inteligencia de contratación, notificaciones y facturación) siguiendo las instrucciones documentadas del Responsable.
2. Duración
El tratamiento dura mientras esté vigente la relación de servicio, más los plazos de conservación y supresión previstos en este Acuerdo.
3. Categorías de interesados y de datos
- Interesados: destinatarios de los envíos (promotores y contactos profesionales) y personas que envían solicitudes de contratación.
- Datos: datos de contacto (nombre, organización, email); datos de interacción con los envíos (tipo de evento, fecha/hora, IP en forma de hash, agente de usuario, país/ciudad aproximados, tiempo de permanencia); contenido de las solicitudes de contratación.
- No se tratan categorías especiales de datos (art. 9 RGPD).
4. Obligaciones del Encargado
- Tratar los datos solo conforme a instrucciones documentadas del Responsable, incluido lo relativo a transferencias internacionales, salvo obligación legal.
- Garantizar la confidencialidad de las personas autorizadas a tratar los datos.
- Aplicar las medidas técnicas y organizativas del art. 32 (ver Anexo II).
- Asistir al Responsable para responder a las solicitudes de ejercicio de derechos de los interesados.
- Ayudar al Responsable a cumplir los arts. 32 a 36 (seguridad, notificación de brechas y evaluaciones de impacto).
- Notificar al Responsable sin dilación indebida cualquier violación de seguridad de la que tenga conocimiento.
- A elección del Responsable, suprimir o devolver los datos al finalizar la prestación, salvo obligación legal de conservación.
- Poner a disposición del Responsable la información necesaria para demostrar el cumplimiento y permitir auditorías razonables.
5. Subencargados
El Responsable autoriza el uso de los subencargados listados en el Anexo I. El Encargado informará de cualquier alta o sustitución con antelación razonable para que el Responsable pueda oponerse por motivos justificados. El Encargado impondrá a los subencargados obligaciones equivalentes a las de este Acuerdo.
6. Transferencias internacionales
Los datos personales en reposo se alojan en la Unión Europea. Cuando un subencargado trate datos fuera del EEE, la transferencia se amparará en cláusulas contractuales tipo u otra garantía adecuada del RGPD.
7. Supresión
Al eliminar la cuenta se ejecuta el borrado real de los datos (incluidos los archivos) tras un plazo de gracia de 30 días. Los eventos de seguimiento se conservan según la ventana de retención configurada y se eliminan automáticamente al vencer.
Anexo I — Subencargados
| Subencargado | Función | Ubicación |
|---|---|---|
| Supabase | Base de datos y autenticación | Unión Europea |
| Cloudflare | CDN, edge, almacenamiento (R2) y caché (KV) | Red global (edge) |
| Stripe | Pagos y facturación | UE / EE. UU. (garantías adecuadas) |
| Resend | Emails transaccionales | EE. UU. (garantías adecuadas) |
| Google (YouTube Data API) | Métricas públicas | Global |
Anexo II — Medidas de seguridad (art. 32)
- Cifrado en tránsito (HTTPS/TLS) en toda la plataforma.
- Direcciones IP almacenadas siempre en forma de hash con sal; nunca en claro.
- Control de acceso por roles y aislamiento por cuenta a nivel de base de datos (RLS).
- Cookies de sesión firmadas; secretos gestionados fuera del código.
- Alojamiento de datos personales en la Unión Europea; copias de seguridad gestionadas por el proveedor de base de datos.
- Registro de auditoría de las acciones administrativas privilegiadas.
[Nombre y firma]
[Fecha]
[Nombre y firma]
[Fecha]