Contrato de encargo del tratamiento (DPA)

El presente contrato regula el tratamiento de datos personales que realiza METEORA, editor de Brandesk, por cuenta de sus clientes, de conformidad con el artículo 28 del Reglamento (UE) 2016/679 («RGPD»).

Versión

1.0

Fecha de entrada en vigor

22 de octubre de 2026

Esta traducción se facilita a título informativo. En caso de discrepancia, prevalece la versión francesa.

Partes

El Cliente: la persona jurídica que ha contratado una suscripción a Brandesk, que actúa en calidad de responsable del tratamiento.

METEORA, SARL con un capital social de 500 €, inscrita en el RCS (Registro Mercantil francés) de Annecy con el número 807 875 315, editor de Brandesk, que actúa en calidad de encargado del tratamiento.

El presente contrato forma parte integrante de las condiciones generales de Brandesk (el «Contrato»). En caso de contradicción en una cuestión relativa a la protección de datos, prevalece sobre el Contrato.

1. Definiciones

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado» y «violación de la seguridad de los datos personales» tienen el significado que les atribuye el artículo 4 del RGPD. Además:

• Servicio: la plataforma Brandesk (firmas de correo electrónico, tarjetas de visita digitales, tarjetas NFC, captación de leads, campañas, estadísticas) accesible en app.brandesk.io.
• Empleados: las personas cuya ficha crea el Cliente en el Servicio, mediante sincronización del directorio, aprovisionamiento SCIM, importación CSV o introducción manual.
• Contactos: las personas que dejan sus datos de contacto a través del formulario «Intercambiar mis datos» de una tarjeta digital.
• Subencargado: todo proveedor al que METEORA confíe la totalidad o parte del tratamiento.

2. Objeto y duración

METEORA trata los datos personales descritos en el artículo 3 únicamente para prestar el Servicio al Cliente. El presente contrato se aplica durante toda la vigencia del Contrato y, posteriormente, hasta la supresión de los datos en las condiciones del artículo 12.

3. Descripción del tratamiento

4. Obligaciones del Cliente

• Documenta sus instrucciones, que están constituidas por el Contrato, el presente contrato y la configuración del Servicio (campos sincronizados, campos modificables por los Empleados, reglas de asignación, conexión con el CRM, webhooks, plazo de conservación de las estadísticas).
• Dispone de una base jurídica para cada tratamiento e informa a los Empleados del tratamiento de sus datos.
• Redacta el texto de consentimiento que se presenta a los Contactos y se asegura de su conformidad.
• Vela por la seguridad de sus propios accesos (gestión de cuentas, autenticación de dos factores, SSO).

5. Obligaciones de METEORA

METEORA se compromete a:

• tratar los datos únicamente siguiendo instrucciones documentadas del Cliente, incluidas las relativas a las transferencias, e informarle inmediatamente si una instrucción le parece contraria al RGPD;
• no utilizar los datos para otros fines, en particular comerciales, y no venderlos ni alquilarlos;
• garantizar que las personas autorizadas para tratar los datos estén sujetas a una obligación de confidencialidad;
• aplicar las medidas de seguridad descritas en el anexo 1;
• asistir al Cliente en el cumplimiento de sus obligaciones (derechos de los interesados, seguridad, notificación de violaciones, evaluación de impacto);
• llevar un registro de las actividades de tratamiento efectuadas por cuenta de sus clientes (artículo 30.2 del RGPD).

6. Seguridad

METEORA aplica medidas técnicas y organizativas apropiadas al riesgo, descritas en el anexo 1. Pueden evolucionar, siempre que no reduzcan el nivel global de protección.

7. Subencargados

El Cliente autoriza a METEORA a recurrir a los subencargados enumerados en el anexo 2. METEORA impone contractualmente a cada uno de ellos obligaciones de protección de datos equivalentes a las del presente contrato, y sigue siendo responsable ante el Cliente de su cumplimiento.

METEORA informa al Cliente de cualquier incorporación o sustitución con al menos 30 días de antelación. El Cliente puede oponerse por un motivo legítimo relacionado con la protección de datos; a falta de solución, puede resolver el Servicio afectado sin penalización.

8. Ubicación y transferencias

Los datos del Servicio están alojados en Francia. METEORA no transfiere datos fuera de la Unión Europea, salvo cuando así lo prevea un subencargado enumerado en el anexo 2; en tal caso, la transferencia se ampara en una decisión de adecuación o en las cláusulas contractuales tipo de la Comisión Europea.

Los servicios de terceros conectados por el Cliente (Google Workspace, Microsoft 365, proveedor de identidad SSO o SCIM, HubSpot, Salesforce, Pipedrive, destinatarios de webhooks) son elegidos y contratados por el Cliente. Los intercambios con estos servicios se realizan siguiendo sus instrucciones y se rigen por sus propios contratos.

9. Derechos de los interesados

El Servicio permite al Cliente exportar y suprimir los datos de un Empleado o de un Contacto. Si una persona se dirige directamente a METEORA, METEORA transmite su solicitud al Cliente en un plazo de 5 días hábiles y no la tramita sin sus instrucciones.

10. Violaciones de datos

METEORA notifica al Cliente cualquier violación de la seguridad de los datos personales sin dilación indebida y, a más tardar, 48 horas después de haber tenido conocimiento de ella, en la dirección de contacto del administrador de la cuenta. La notificación describe, en la medida de lo posible, la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o previstas. El Cliente sigue siendo el único responsable de la notificación a la autoridad de control y a los interesados.

11. Evaluación de impacto

METEORA facilita al Cliente, a petición de este, la información necesaria para realizar una evaluación de impacto relativa a la protección de datos y, en su caso, para la consulta previa a la autoridad de control.

12. Destino de los datos al finalizar el contrato

Al finalizar el Contrato, el Cliente puede exportar sus datos durante 30 días. A continuación, METEORA suprime la totalidad de los datos personales del Cliente, salvo obligación legal de conservación, en un plazo de 30 días; las copias de seguridad se borran al término de su ciclo de rotación, a más tardar 30 días después. METEORA confirma la supresión por escrito si se le solicita.

13. Auditoría

METEORA pone a disposición del Cliente toda la información necesaria para demostrar el cumplimiento del presente contrato. El Cliente puede realizar una auditoría, por sí mismo o a través de un auditor independiente sujeto a confidencialidad, como máximo una vez al año, con un preaviso de 30 días, sin perturbar el funcionamiento del Servicio y a su cargo.

14. Responsabilidad y legislación aplicable

La responsabilidad de cada parte se rige por el Contrato y por el artículo 82 del RGPD. El presente contrato se rige por el derecho francés. Cualquier litigio será competencia de los tribunales competentes de Annecy.

15. Contacto

Para cualquier pregunta relativa al presente contrato o a la protección de datos: hello@brandesk.io.

Anexo 1 — Medidas técnicas y organizativas

• Cifrado en tránsito: todas las comunicaciones con el Servicio se realizan mediante HTTPS.
• Cifrado en reposo de los secretos: los tokens OAuth, las credenciales de conexión al directorio y al CRM, los secretos de autenticación de dos factores y los secretos de SSO y de webhooks están cifrados (libsodium). Las contraseñas y los códigos de recuperación se almacenan con hash.
• Aislamiento de los datos: cada solicitud está vinculada a la organización del usuario, lo que se verifica en cada llamada; los datos de una organización nunca son accesibles para otra.
• Control de acceso: roles y permisos por organización y por departamento; autenticación de dos factores, con opción de hacerla obligatoria; SSO SAML 2.0 y OpenID Connect, con opción de hacerlo obligatorio.
• Registro de auditoría: las acciones de administración (empleados, firmas, reglas, tarjetas, NFC, facturación, seguridad) se registran con su autor y una dirección IP anonimizada, y el Cliente puede consultarlas y exportarlas.
• Protección contra abusos: limitación del número de intentos de inicio de sesión, de solicitudes de enlace mágico y de envíos de formularios; protección CSRF; filtrado de bots.
• Minimización: estadísticas sin cookies; la dirección IP se anonimiza y después solo se utiliza, localmente, para deducir el país, sin conservarse; solo se registran el país y el tipo de dispositivo. Los archivos CSV importados se suprimen tras su procesamiento.
• Conservación: los eventos estadísticos se suprimen automáticamente al cabo de 13 meses (plazo configurable).
• Páginas públicas: por defecto, las tarjetas digitales no son indexadas por los motores de búsqueda. Una tarjeta NFC solo contiene una dirección de redirección; puede desactivarse o declararse perdida en cualquier momento, y un Empleado que se ha ido deja de ser accesible.
• Copias de seguridad: copia de seguridad diaria y cifrada de la base de datos, conservada durante 30 días en OVHcloud Object Storage, en Francia.
• Organización: accesos de producción limitados a las personas autorizadas de METEORA, sujetas a confidencialidad.

Anexo 2 — Subencargados

La facturación de la suscripción se confía a Stripe. METEORA actúa en ese ámbito como responsable del tratamiento únicamente respecto de los datos de facturación del Cliente; no se transmite a Stripe ningún dato de Empleados ni de Contactos.