Acuerdo de tratamiento de datos (marcas)

Borrador pendiente de revisión jurídica. Versión 2026-10-draft-1, con efectos desde el 19 octubre 2026. Plantilla para marcas que actúan como responsables del tratamiento; descargue el archivo independiente para firmarlo. El anexo de cláusulas contractuales tipo es un marcador de posición hasta su formalización con el asesor jurídico.

Acuerdo de tratamiento de datos

entre la Marca identificada en los ajustes de su organización en ProvenReel («Responsable») y Start Learn LLC, 3402, 1603 Capitol Avenue, Suite 413A, Cheyenne, WY 82001, United States of America, que opera bajo el nombre comercial ProvenReel («Encargado»). Este acuerdo forma parte de las condiciones de servicio para marcas y se aplica siempre que el Encargado trate datos personales por cuenta del Responsable a través de la plataforma.

1. Objeto, duración, naturaleza y finalidad

1.1 Objeto: los datos personales que el Responsable introduce, importa o genera en su espacio de trabajo sobre creadores, contactos y sus propios miembros: contactos de CRM, notas de preselección, fuentes de la relación, aprobaciones del kit de marca, candidaturas a campañas que revisa, mensajes que envía, comentarios de revisión y evidencia de publicación.

1.2 Duración: el periodo de uso de la plataforma por el Responsable, más el plazo de conservación aplicable a cada registro.

1.3 Naturaleza y finalidad: alojamiento, almacenamiento, visualización, búsqueda, emparejamiento, notificación, exportación y supresión de los datos según las instrucciones dadas a través de las funciones de la plataforma.

1.4 Interesados: los creadores y sus representantes, los miembros del Responsable y las personas que este registra como contactos. Categorías: datos de identificación y de contacto, datos profesionales y de canales, contenido de comunicaciones, notas de relación, resultados de verificación. No se prevén categorías especiales de datos; el Responsable no debe introducirlas.

2. Instrucciones y responsabilidades del Responsable

El Responsable instruye al Encargado mediante su uso de la plataforma y por escrito para cualquier otra cuestión. El Responsable es responsable de la licitud de los datos que introduce (incluida una base jurídica para los contactos importados y para las acciones de contacto), de la exactitud de sus instrucciones y de informar a los interesados.

3. Obligaciones del Encargado (art. 28(3) RGPD)

El Encargado deberá:

• tratar los datos personales únicamente siguiendo instrucciones documentadas, incluso en lo relativo a las transferencias internacionales, salvo que la ley lo exija (en cuyo caso informará al Responsable, salvo que esté prohibido);
• garantizar que las personas autorizadas para tratar los datos estén sujetas a confidencialidad;
• aplicar las medidas técnicas y organizativas del anexo 2;
• respetar las condiciones de la sección 4 para recurrir a subencargados;
• asistir al Responsable, mediante medidas técnicas apropiadas, en la respuesta a las solicitudes de los interesados (las funciones de exportación, rectificación y supresión de la plataforma y el buzón de privacidad);
• asistir en materia de seguridad, notificación de violaciones de seguridad, evaluaciones de impacto relativas a la protección de datos y consultas previas, teniendo en cuenta la información de que disponga;
• a elección del Responsable, suprimir o devolver los datos al finalizar el servicio y suprimir las copias existentes, salvo que la ley exija su conservación (registros financieros y contractuales, enumerados en la política de privacidad);
• poner a disposición la información necesaria para demostrar el cumplimiento y permitir y contribuir a la realización de auditorías, incluidas inspecciones, por parte del Responsable o de un auditor autorizado por este, como máximo una vez al año y con preaviso razonable, salvo que una violación de seguridad o una autoridad exijan otra cosa.

4. Subencargados

El Responsable otorga una autorización general para los subencargados del anexo 3 (el registro de encargados publicado en la política de privacidad). El Encargado informará al Responsable al menos 30 días antes de añadir o sustituir un subencargado; el Responsable podrá oponerse por motivos razonables de protección de datos, en cuyo caso las partes buscarán una solución y, a falta de ella, el Responsable podrá resolver el servicio afectado. El Encargado impone las mismas obligaciones a cada subencargado y sigue siendo responsable de su cumplimiento.

5. Transferencias internacionales

El Encargado trata los datos en los Estados Unidos. Para los interesados de la UE/EEE, el Reino Unido y Suiza, las partes se basan en las cláusulas contractuales tipo (módulo 2, de responsable a encargado) del anexo 4 — marcador de posición: pendiente de formalización con el asesor jurídico — junto con la evaluación de impacto de la transferencia del Encargado y las medidas complementarias (cifrado en reposo y en tránsito, registro de accesos, minimización de datos).

6. Violaciones de la seguridad de los datos personales

El Encargado notificará al Responsable sin dilación indebida, y a más tardar en un plazo de 48 horas, desde que tenga conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del Responsable, con la información disponible en ese momento, y documentará las violaciones según exige el artículo 33(5) del RGPD.

7. Responsabilidad

Cada parte responde conforme a lo dispuesto en el artículo 82 del RGPD y en las condiciones de servicio. Limitación de responsabilidad: pendiente de alinear con las condiciones aprobadas.

8. Duración y terminación

Este acuerdo tiene la misma duración que las condiciones de servicio. A su terminación, el Encargado suprime o devuelve los datos conforme a la sección 3, en un plazo de 30 días, y confirma la supresión a petición.

9. Ley aplicable

[Ley aplicable — pendiente de confirmación por el fundador]; las disposiciones exigidas por el RGPD prevalecen para los datos de los interesados de la UE.

Anexo 1 — Detalles del tratamiento

Véase la sección 1. El Responsable puede indicar detalles adicionales en los ajustes de su organización.

Anexo 2 — Medidas técnicas y organizativas

• Cifrado en tránsito (TLS) y en reposo; cifrado a nivel de aplicación para credenciales e instrucciones de acceso a productos.
• Acceso basado en roles con aislamiento de espacios de trabajo garantizado mediante políticas y pruebas; el acceso de los operadores requiere autenticación de dos factores y está limitado en el tiempo y auditado.
• Registro con ocultación de correos electrónicos y secretos; identificadores de correlación; limitación de frecuencia en los puntos de acceso sensibles.
• Análisis de malware de los archivos subidos; enlaces de descarga firmados y con caducidad.
• Copias de seguridad nocturnas de la base de datos con ensayos de restauración; manual de respuesta a incidentes con responsables designados.
• Supresión mediante anonimización con excepciones legales documentadas; exportación en formato legible por máquina.

Anexo 3 — Subencargados

Anexo 4 — Cláusulas contractuales tipo

Marcador de posición. Las cláusulas de la Decisión de Ejecución (UE) 2021/914 de la Comisión, módulo 2, con los datos del Encargado y los anexos anteriores, se adjuntarán una vez formalizadas.

Firmas

Responsable: ______________________ (nombre, cargo, fecha)

Encargado: Start Learn LLC — ______________________ (nombre, cargo, fecha)