Contrato de encargado del tratamiento

Al usar Taidlix, el Cliente conecta sus cuentas de redes sociales y el Encargado accede a datos personales de terceros de los que el Cliente es responsable. Este contrato fija las condiciones en que el Encargado los trata. No cubre los datos del Cliente como usuario de Taidlix, que se rigen por la Política de privacidad.

Naturaleza y finalidad: almacenar, consultar, organizar y mostrar los datos para publicar contenido, analizar resultados, gestionar la bandeja de mensajes y comentarios, responder reseñas, preparar informes, seguir a competidores y redactar textos con inteligencia artificial, siempre a petición del Cliente.

Tipos de datos:

• De las personas que escriben o comentan en las redes del Cliente: nombre de usuario, nombre, foto de perfil, identificador en la plataforma y el texto y los archivos de sus mensajes y comentarios.
• Reseñas de Google: nombre del autor, valoración y texto. Se consultan en la plataforma y no se guardan.
• Datos agregados de la audiencia (edad, sexo, país o ciudad), que no identifican a nadie.
• Perfiles públicos de competidores: nombre de usuario, nombre, cifras públicas y publicaciones.
• Los datos personales que el Cliente incluya en el contenido que sube o publica.

Categorías de interesados:

• Seguidores y audiencia de las cuentas del Cliente.
• Personas que envían mensajes, comentan o dejan reseñas.
• Responsables de las cuentas que el Cliente sigue como competencia.
• Personas que aparecen en el contenido del Cliente.

Duración: mientras el Cliente tenga la cuenta abierta, más los plazos de borrado del apartado «Fin del encargo».

El Encargado trata los datos solo siguiendo las instrucciones documentadas del Cliente. Son instrucciones el uso que el Cliente hace de las funciones de Taidlix y lo que las partes acuerden por escrito. El Encargado no usará los datos para fines propios y avisará al Cliente si cree que una instrucción infringe la normativa de protección de datos.

Las personas que el Encargado autoriza a acceder a los datos están obligadas a mantenerlos en secreto, también después de terminar su relación con él.

El Encargado aplica medidas técnicas y organizativas adecuadas al riesgo (art. 32 del RGPD), entre ellas:

• Cifrado de todas las conexiones (HTTPS).
• Cifrado de las claves de acceso a las redes (AES-256-GCM) y de las contraseñas (bcrypt).
• Control de acceso por cuenta: cada cliente solo puede ver y modificar sus propios datos.
• Copias de seguridad diarias, que se conservan 14 días.
• Acceso a los servidores limitado al personal que lo necesita.
• Límites de uso contra abusos y registro de errores sin datos identificativos.

El Cliente autoriza de forma general al Encargado a recurrir a los subencargados que figuran en la política de privacidad. El Encargado avisará al Cliente con antelación de cualquier cambio en esa lista y el Cliente podrá oponerse; si no se llega a un acuerdo, podrá darse de baja del servicio. El Encargado impondrá a cada subencargado las mismas obligaciones de protección de datos que asume en este contrato.

Cuando un subencargado esté fuera del Espacio Económico Europeo, la transferencia se hará con las garantías del RGPD: una decisión de adecuación, como el Marco de Privacidad de Datos UE-EE. UU., o las cláusulas contractuales tipo de la Comisión Europea.

El Encargado ayudará al Cliente a atender los derechos de los interesados (acceso, rectificación, supresión, oposición, limitación y portabilidad). Si un interesado se dirige al Encargado, este se lo trasladará al Cliente sin demora. También le ayudará, en la medida de lo razonable, a cumplir sus obligaciones de seguridad, notificación de brechas, evaluación de impacto y consulta previa (arts. 32 a 36 del RGPD).

Si el Encargado detecta una violación de seguridad que afecte a los datos del Cliente, se lo notificará sin dilación indebida y en un plazo máximo de 48 horas desde que tenga conocimiento de ella, con la información disponible sobre su naturaleza, los datos e interesados afectados, sus posibles consecuencias y las medidas adoptadas o propuestas (art. 33.3 del RGPD).

El Cliente puede descargar sus datos en cualquier momento desde Ajustes de la cuenta. Cuando borra su cuenta, el Encargado suprime todos los datos a los 30 días, y las copias de seguridad que los contienen desaparecen en los 14 días siguientes. Si el Cliente desconecta una red, los datos de esa red se borran al momento. Solo se conservarán, bloqueados, los datos que la ley obligue a guardar.

El Encargado pondrá a disposición del Cliente la información necesaria para demostrar que cumple este contrato y permitirá auditorías, del Cliente o de un auditor que este designe, con un preaviso razonable y sin comprometer la seguridad ni los datos de otros clientes.

El Cliente garantiza que tiene una base legal para tratar los datos que Taidlix trata por su cuenta, que informa a los interesados cuando corresponde y que cumple las normas de las plataformas que conecta.

Cada parte responde de los daños que cause por incumplir este contrato o la normativa de protección de datos. Este contrato dura lo mismo que la relación del Cliente con Taidlix y se rige por la ley española, igual que las Condiciones de uso.