Acuerdo de encargo de tratamiento

1. Partes

Responsable: el cliente que ha creado la cuenta de Flowgration y que acepta los Términos del servicio. Encargado:

2. Objeto, naturaleza y finalidad

El encargado tratará los datos personales que el cliente almacene en Flowgration (contactos, oportunidades, pedidos, actividades, mensajes, facturas, registros de tiempo y contenidos asociados) únicamente para prestar el servicio contratado: alojar, organizar, enviar comunicaciones, automatizar, analizar y facturar según las instrucciones del cliente.

3. Duración

El tratamiento dura mientras la cuenta del cliente esté activa. Tras la cancelación se aplica lo previsto en el apartado de supresión y devolución.

4. Tipos de datos y categorías de interesados

• Tipos de datos: identificativos y de contacto (nombre, correo, teléfono, empresa), datos comerciales y transaccionales (pedidos, presupuestos, facturas), comunicaciones (correos, SMS, WhatsApp), datos de uso y de navegación (si el cliente activa la analítica web) y cualquier otro dato que el cliente decida introducir.
• Categorías de interesados: clientes, clientes potenciales, proveedores, empleados y otros contactos del cliente, y los usuarios de su equipo.
• El cliente no debe introducir categorías especiales de datos (art. 9 RGPD) salvo que sea necesario y cuente con base legitimadora; en ese caso es el único responsable de ello.

5. Obligaciones del encargado

• Tratar los datos solo siguiendo las instrucciones documentadas del cliente, incluidas las que resultan de los Términos, de la configuración del servicio y del uso de la API; si considera que una instrucción infringe la normativa, lo comunicará al cliente.
• Garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad.
• Aplicar medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD: cifrado en tránsito (TLS), credenciales de integración cifradas en reposo, control de acceso por roles y aislamiento de datos entre organizaciones. Se describen en la página de seguridad.
• Asistir al cliente, en la medida de lo posible, para atender el ejercicio de derechos de los interesados (acceso, rectificación, supresión, limitación, portabilidad y oposición), las evaluaciones de impacto y las consultas a la autoridad de control.
• Notificar al cliente sin dilaciones indebidas cualquier violación de la seguridad de los datos personales de la que tenga conocimiento, con la información disponible para que el cliente cumpla sus propias obligaciones de notificación.
• Poner a disposición del cliente la información necesaria para demostrar el cumplimiento de este DPA y permitir auditorías razonables, previa solicitud y con preaviso, sin afectar a la seguridad de otros clientes.

6. Subencargados

El cliente da una autorización general para recurrir a los subencargados indicados en la lista pública de subencargados. El encargado informará de cualquier alta o sustitución con antelación razonable, de modo que el cliente pueda oponerse por motivos fundados; si no hay acuerdo, el cliente podrá cancelar el servicio. El encargado impondrá a cada subencargado obligaciones equivalentes a las de este DPA y responde ante el cliente de su cumplimiento.

Ver la lista de subencargados

7. Transferencias internacionales

Cuando un subencargado trate datos fuera del Espacio Económico Europeo, la transferencia se ampara en las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión 2021/914), en una decisión de adecuación o en otra garantía válida conforme al capítulo V del RGPD.

8. Supresión y devolución

Al finalizar el servicio, el cliente puede exportar sus datos. Transcurridos como máximo 90 días desde la cancelación, el encargado suprime los datos personales, salvo que la normativa aplicable exija conservarlos (por ejemplo, documentación contable y fiscal), en cuyo caso los mantendrá bloqueados durante el plazo legal.

9. Responsabilidad y ley aplicable

La responsabilidad de las partes se rige por los Términos del servicio. Este DPA se rige por la legislación española y el RGPD.

10. Contacto

Para solicitar una copia firmada de este DPA, ejercer derechos o resolver dudas, escribe a info@flowgration.com.