Acuerdo de Tratamiento de Datos.

Esta traducción se ofrece únicamente a título informativo. En caso de discrepancia entre esta versión en español y la versión original en inglés, prevalecerá esta última.

Este Acuerdo de Tratamiento de Datos («Acuerdo») forma parte de los Términos y Condiciones entre Unspam.email («Unspam», «nosotros», «nos» o «nuestro») y el cliente que los acepta («Cliente», «tú» o «tu»). Se aplica siempre que tratamos Datos Personales por tu cuenta en el marco de la prestación del Servicio.

Este Acuerdo surte efecto cuando aceptas los Términos y Condiciones y no requiere una firma aparte. Si tu proceso de compras necesita una copia firmada, escribe a dpo@unspam.email indicando el nombre y la dirección de la entidad a cuyo nombre debe emitirse.

Cuando tratamos Datos Personales para nuestros propios fines y no para los tuyos, por ejemplo los datos de tu cuenta y de facturación, o los datos de visitante descritos en nuestra Política de Privacidad, actuamos como responsables del tratamiento y rige esa Política en lugar de este Acuerdo.

1. DEFINICIONES

• Normativa de Protección de Datos Aplicable: toda norma sobre protección de Datos Personales aplicable al tratamiento que una parte realiza en virtud de este Acuerdo, incluidos el Reglamento General de Protección de Datos de la Unión Europea 2016/679 («RGPD»), el RGPD tal como ha quedado incorporado al derecho del Reino Unido junto con la Data Protection Act 2018 («RGPD del Reino Unido»), la Ley Federal Suiza de Protección de Datos y las leyes de privacidad de los estados de Estados Unidos, entre ellas la California Consumer Privacy Act, en su versión modificada («CCPA»).
• Datos Personales del Cliente: los Datos Personales que tratamos por tu cuenta en virtud de este Acuerdo. Incluyen el contenido de cualquier email que envíes a analizar, los resultados que producen nuestras comprobaciones sobre él y los datos de cuenta y de soporte de las personas a las que autorizas a usar el Servicio.
• Responsable del tratamiento, encargado del tratamiento, interesado, Datos Personales, violación de la seguridad de los Datos Personales y tratamiento: con el significado que les da el RGPD. En este Acuerdo, la referencia a un responsable incluye a una «empresa» y la referencia a un encargado incluye a un «proveedor de servicios», en el sentido en que la CCPA emplea esos términos.
• CCT: las Cláusulas Contractuales Tipo para la transferencia de Datos Personales a terceros países adoptadas por la Comisión Europea mediante la Decisión de Ejecución (UE) 2021/914, de 4 de junio de 2021.
• Adenda del Reino Unido: la International Data Transfer Addendum a las CCT de la UE emitida por el Information Commissioner en virtud del artículo 119A(1) de la Data Protection Act 2018.
• Subencargado: cualquier encargado del tratamiento al que recurrimos para tratar Datos Personales del Cliente.

Los términos no definidos aquí tienen el significado que les dan nuestros Términos y Condiciones o nuestra Política de Privacidad.

2. FUNCIONES DE LAS PARTES

Respecto de los Datos Personales del Cliente, tú eres el responsable del tratamiento y nosotros tu encargado del tratamiento.

Si tú mismo eres encargado del tratamiento por cuenta de un tercero, por ejemplo una agencia que analiza el email de su propio cliente, entonces tú eres el encargado, nosotros somos tu subencargado y confirmas que tu propio responsable ha autorizado nuestra intervención y la de los subencargados del Anexo III. Todo lo que este Acuerdo nos obliga a hacer frente a ti, lo debemos sobre esa base.

Cada parte responde por separado de su propio cumplimiento de la Normativa de Protección de Datos Aplicable.

3. ALCANCE Y DURACIÓN DEL TRATAMIENTO

El objeto, la duración, la naturaleza y la finalidad del tratamiento, así como las categorías de Datos Personales y de interesados, se describen en el Anexo I. Tratamos los Datos Personales del Cliente mientras tu contrato con nosotros esté en vigor y, después, únicamente en la medida en que lo permite el apartado 14.

4. TUS INSTRUCCIONES

Tratamos los Datos Personales del Cliente únicamente siguiendo tus instrucciones documentadas. Tus instrucciones son: este Acuerdo, los Términos y Condiciones y tu uso de las funcionalidades del Servicio. No tratamos Datos Personales del Cliente para ninguna finalidad propia y, en particular, no utilizamos el contenido de los emails que envías para entrenar modelos propios ni para elaborar perfiles sobre ti o sobre tus destinatarios.

Si consideramos que una de tus instrucciones infringiría la Normativa de Protección de Datos Aplicable, te lo comunicaremos y podremos suspender el tratamiento afectado hasta que la instrucción se retire, se modifique o se confirme. Si una obligación legal nos exige tratar Datos Personales del Cliente más allá de tus instrucciones, te lo comunicaremos antes de hacerlo, salvo que la ley lo prohíba.

Eres responsable de la licitud de los Datos Personales que envías y de las instrucciones que nos das, incluido el hecho de contar con una base jurídica para el tratamiento, de facilitar cualquier información o recabar cualquier consentimiento que corresponda a tus propios destinatarios y de la exactitud de lo que envías.

5. LO QUE NO DEBES ENVIAR

El Servicio existe para comprobar cómo tratan un mensaje los filtros y los proveedores de correo, lo que casi nunca requiere datos reales de destinatarios. Envía los menos Datos Personales que la prueba necesite y utiliza preferentemente tus propias direcciones semilla y de prueba en lugar de listas de destinatarios reales.

No envíes a través del Servicio:

• categorías especiales de Datos Personales conforme al artículo 9 del RGPD, es decir, datos que revelen el origen racial o étnico, las opiniones políticas, las convicciones religiosas o filosóficas, la afiliación sindical, datos genéticos o biométricos, datos relativos a la salud o datos relativos a la vida sexual o la orientación sexual;
• Datos Personales relativos a condenas e infracciones penales;
• identificadores oficiales, como números de la seguridad social, de pasaporte o de documento nacional de identidad;
• números de tarjetas de pago, datos de cuentas bancarias u otras credenciales de cuentas financieras;
• Datos Personales de menores, ni datos sujetos a un régimen sectorial cuyo tratamiento no hayamos aceptado por escrito, como la información sanitaria protegida por la HIPAA.

El Servicio no está diseñado para estas categorías y no las solicitamos. Si necesitas analizar un mensaje que las contiene, oculta o sustituye esos valores antes de enviarlo. Si envías tales datos a pesar de este apartado, lo haces fuera del ámbito de este Acuerdo y sigues siendo responsable de ellos.

6. CONFIDENCIALIDAD Y PERSONAL

Tratamos los Datos Personales del Cliente como información confidencial. Damos acceso a ellos únicamente al personal que los necesita para prestar, mantener o proteger el Servicio, esas personas están sujetas a obligaciones de confidencialidad que subsisten tras el fin de su relación con nosotros, y el acceso se retira cuando deja de ser necesario.

7. MEDIDAS DE SEGURIDAD

Aplicamos y mantenemos las medidas técnicas y organizativas descritas en el Anexo II, atendiendo al estado de la técnica, los costes de aplicación y la naturaleza, el alcance, el contexto y los fines del tratamiento, así como al riesgo para los interesados.

Podemos modificar una medida concreta a medida que cambian la tecnología y las amenazas, siempre que no se reduzca el nivel general de seguridad.

Eres responsable de las decisiones de seguridad que corresponden a tu lado: mantener en secreto las credenciales de la cuenta y las claves de API, retirar el acceso a quien deja tu organización, decidir quién puede lanzar pruebas y leer resultados y decidir qué Datos Personales incluyes en un email antes de enviarlo.

8. SUBENCARGADOS

Nos concedes una autorización general por escrito para recurrir a subencargados. Los subencargados con los que contamos en la fecha de este Acuerdo se enumeran en el Anexo III, con la actividad de cada uno y el lugar donde trata los datos.

Antes de que un subencargado comience a tratar Datos Personales del Cliente, le imponemos por contrato obligaciones de protección de datos no menos protectoras que las de este Acuerdo, y seguimos siendo responsables ante ti de su actuación como si el tratamiento fuera nuestro.

Te avisaremos con al menos 30 días de antelación antes de que un nuevo subencargado empiece a tratar Datos Personales del Cliente, o antes de que uno existente asuma una función sustancialmente distinta. Para recibir esos avisos, envía la dirección a la que deben dirigirse a dpo@unspam.email. Dentro del plazo de aviso puedes oponerte por motivos razonables de protección de datos, y en tal caso trabajaremos contigo de buena fe para encontrar una forma de evitar el tratamiento al que te opones. Si no es posible, podrás resolver la parte afectada del Servicio mediante aviso por escrito y te devolveremos las cuotas que hayas pagado por anticipado correspondientes al periodo posterior a la resolución.

Cuando un cambio de subencargado sea necesario con urgencia para proteger la seguridad o la disponibilidad del Servicio, podremos realizarlo de inmediato y te lo notificaremos sin dilación indebida después.

9. ASISTENCIA CON LAS SOLICITUDES DE LOS INTERESADOS

El Servicio te da los medios para acceder, corregir, exportar y eliminar por ti mismo los Datos Personales del Cliente que están en tu cuenta, que para la mayoría de las solicitudes es la vía más rápida. Cuando una solicitud no pueda atenderse así, prestaremos una asistencia razonable, a tu cargo cuando esa asistencia vaya más allá de lo que el Servicio ya ofrece.

Si un interesado se dirige directamente a nosotros sobre Datos Personales del Cliente, no responderemos al fondo de la solicitud. Le indicaremos que se dirija a ti y, cuando podamos identificarte, te trasladaremos la solicitud sin dilación indebida.

10. VIOLACIONES DE LA SEGURIDAD DE LOS DATOS PERSONALES

Te notificaremos sin dilación indebida después de tener conocimiento de una violación de la seguridad de los Datos Personales que afecte a Datos Personales del Cliente. La notificación describirá, en la medida en que se conozca entonces, la naturaleza de la violación, las categorías y el número aproximado de Datos Personales e interesados afectados, las consecuencias probables y las medidas adoptadas o propuestas. Si no podemos facilitar todo ello de una vez, lo haremos por fases a medida que esté disponible.

Adoptaremos medidas razonables para contener y remediar la violación y te asistiremos en cualquier notificación que debas hacer a una autoridad de control o a un interesado. Nuestra notificación no constituye un reconocimiento de culpa.

11. EVALUACIONES DE IMPACTO Y AUDITORÍAS

Cuando lo solicites, te facilitaremos la información que razonablemente necesites para demostrar el cumplimiento de este Acuerdo, y una asistencia razonable con una evaluación de impacto relativa a la protección de datos o con una consulta previa a una autoridad de control, cuando se refieran a nuestro tratamiento y no puedas obtener la información por otra vía.

Puedes auditar nuestro cumplimiento de este Acuerdo como máximo una vez al año, salvo que la Normativa de Protección de Datos Aplicable o una autoridad de control exijan más, o salvo que hayamos notificado una violación de la seguridad de los Datos Personales que te afecte. Toda auditoría queda sujeta a un aviso por escrito de al menos 30 días, a un alcance razonable, al horario laboral, a la confidencialidad y a la ausencia de acceso a los datos de otro cliente o a cualquier elemento que comprometiera la seguridad del Servicio. Cuando un informe o una certificación vigente de un tercero responda a tu pregunta, facilitarlo cumple este apartado.

12. TRANSFERENCIAS INTERNACIONALES

Estamos establecidos en Estados Unidos y los Datos Personales del Cliente se tratan allí, como indica nuestra Política de Privacidad en TRANSFERENCIA DE DATOS PERSONALES. Una parte se sitúa en la Unión Europea: el email que envías a analizar lo recibe un servidor de correo en Alemania, operado por uno de los proveedores enumerados en el Anexo III, y el mensaje se trata allí antes de la prueba y mientras esta se ejecuta.

Cuando nos transfieres Datos Personales protegidos por el RGPD, las CCT se incorporan a este Acuerdo y se aplican del siguiente modo:

• tú eres el exportador de datos y nosotros el importador de datos;
• el Módulo Dos (responsable a encargado) se aplica cuando eres responsable del tratamiento, y el Módulo Tres (encargado a subencargado) cuando eres un encargado que actúa por cuenta de otro responsable;
• no se aplica la cláusula facultativa de adhesión de la cláusula 7;
• en la cláusula 9 se aplica la Opción 2, autorización general por escrito, con el plazo de aviso del apartado 8 anterior;
• en la cláusula 11 no se aplica el párrafo facultativo de resolución independiente de litigios;
• en la cláusula 17 la ley aplicable es la de Irlanda y, en la cláusula 18(b), el foro son los tribunales de Irlanda;
• los Anexos I, II y III de este Acuerdo cumplimentan los Anexos I, II y III de las CCT.

Para los Datos Personales protegidos por el RGPD del Reino Unido, las CCT se aplican con las modificaciones de la Adenda del Reino Unido, tomando la información que exigen sus Tablas del Anexo I de este Acuerdo, y sin que ninguna de las partes pueda poner fin a la Adenda conforme a su artículo 19 salvo en la forma que la propia Adenda exige.

Para los Datos Personales protegidos por el derecho suizo, las CCT se aplican entendiendo las referencias al RGPD como referencias a la Ley Federal Suiza de Protección de Datos, con el Comisionado Federal Suizo de Protección de Datos y Transparencia como autoridad de control, y con las cláusulas que protegen a las personas jurídicas en la medida en que el derecho suizo las protege.

Si un mecanismo de transferencia en el que se ampara este Acuerdo queda invalidado o sustituido, adoptaremos sin dilación indebida un mecanismo lícito alternativo, que se aplicará en su lugar.

13. SOLICITUDES DE AUTORIDADES Y DE LAS FUERZAS DEL ORDEN

Si una autoridad pública nos pide que comuniquemos Datos Personales del Cliente, te lo comunicaremos salvo que la ley nos lo prohíba, en cuyo caso emplearemos esfuerzos razonables para obtener una dispensa de esa prohibición y dejaremos constancia de las gestiones realizadas. Revisaremos la licitud de cada solicitud, impugnaremos la que parezca ilícita o excesiva y comunicaremos únicamente el mínimo que la solicitud realmente exija.

14. SUPRESIÓN Y DEVOLUCIÓN

Puedes eliminar en cualquier momento, desde el Servicio, los resultados de las pruebas y otros Datos Personales del Cliente que estén en tu cuenta, y eliminar la cuenta elimina los Datos Personales del Cliente que contiene.

Al finalizar tu contrato, suprimiremos o te devolveremos, a tu elección, los Datos Personales del Cliente que aún conservemos, y suprimiremos las copias restantes, salvo en la medida en que la Normativa de Protección de Datos Aplicable nos obligue a conservarlos. Cuando una copia subsista en una copia de seguridad realizada antes de la supresión, seguirá sujeta a este Acuerdo hasta que esa copia de seguridad expire en el curso ordinario.

15. LEYES DE PRIVACIDAD DE LOS ESTADOS DE ESTADOS UNIDOS

Cuando la CCPA o una ley comparable de otro estado de Estados Unidos se aplique a los Datos Personales del Cliente, actuamos como tu proveedor de servicios o encargado del tratamiento y no:

• vendemos ni compartimos Datos Personales del Cliente, en el sentido en que esa ley define dichos términos;
• los conservamos, utilizamos ni comunicamos con fines distintos de la prestación del Servicio, o de aquellos que esa ley permita por lo demás a un proveedor de servicios;
• los combinamos con Datos Personales recibidos de terceros, salvo en lo que esa ley permita a un proveedor de servicios;
• los utilizamos para publicidad conductual en contextos cruzados.

Te avisaremos si determinamos que ya no podemos cumplir estas obligaciones y te reconocemos el derecho a adoptar medidas razonables para comprobar que utilizamos los Datos Personales del Cliente de forma coherente con ellas.

16. RESPONSABILIDAD, PRELACIÓN Y CAMBIOS

Las limitaciones y exclusiones de responsabilidad de nuestros Términos y Condiciones se aplican a este Acuerdo y a las CCT en la medida en que las CCT lo permitan. Nada en este Acuerdo limita los derechos de un interesado en virtud de las CCT o de la Normativa de Protección de Datos Aplicable.

Si este Acuerdo entra en conflicto con los Términos y Condiciones, prevalece este Acuerdo en cuanto al tratamiento de los Datos Personales del Cliente. Si este Acuerdo entra en conflicto con las CCT, prevalecen las CCT.

Podemos actualizar este Acuerdo cuando lo exija la Normativa de Protección de Datos Aplicable, una autoridad de control o una resolución judicial, o para reflejar un cambio en la forma en que el Servicio trata los Datos Personales del Cliente, siempre que el cambio no reduzca la protección que este Acuerdo otorga a dichos datos. Indicaremos la fecha de la versión vigente en la parte superior de esta página.

17. CONTACTO

Para cualquier cuestión relativa a este Acuerdo, incluidos los avisos sobre subencargados, una copia firmada, una solicitud de auditoría o una consulta de protección de datos:

• Email: dpo@unspam.email

ANEXO I: DESCRIPCIÓN DEL TRATAMIENTO

A. Las partes

Exportador de datos. El Cliente: la entidad que aceptó los Términos y Condiciones, identificada por la cuenta registrada en el Servicio, con los datos de contacto que constan en esa cuenta. Función: responsable del tratamiento, o encargado cuando se aplique el apartado 2. Actividades relevantes para la transferencia: uso del Servicio para analizar la entregabilidad de su propio email.

Importador de datos. Unspam.email, 167 Madison Avenue, Suite 205, New York, NY 10016, Estados Unidos, con una sede europea en Avenida Diagonal 82, pl. 8, 08019 Barcelona, España. Contacto: dpo@unspam.email. Función: encargado del tratamiento, o subencargado cuando se aplique el apartado 2. Actividades relevantes para la transferencia: prestación del Servicio.

B. Descripción del tratamiento

Categorías de interesados.

• el personal y los contratistas del propio Cliente que tienen cuenta en el Servicio o contactan con nuestro soporte;
• los remitentes y destinatarios identificados en el email que el Cliente envía a analizar, incluida cualquier persona nombrada o mencionada en el cuerpo de un mensaje;
• cualquier otra persona cuyos Datos Personales el Cliente decida incluir en un mensaje enviado.

Categorías de Datos Personales.

• datos de identificación y de contacto: nombre y apellidos, dirección de email, nombre de la empresa, país, dirección postal y número de teléfono;
• el contenido del email enviado: asunto, cabeceras, incluidas From, Reply-To, Return-Path y las de autenticación, el cuerpo en HTML y en texto plano, y los enlaces e imágenes a los que hacen referencia;
• datos técnicos del envío y de su entorno: dirección IP de envío, dominio de envío, resultados de autenticación e identificadores de mensaje;
• resultados que generamos sobre un envío: puntuaciones de los filtros, ubicación en bandeja, capturas de pantalla, mapas de calor y el informe generado por IA;
• la correspondencia de soporte y su contenido.

Categorías especiales de Datos Personales. Ninguna. El Servicio no las solicita y el apartado 5 indica al Cliente que no las envíe.

Frecuencia de la transferencia. Continua, mientras el contrato del Cliente esté en vigor.

Naturaleza y finalidad del tratamiento. Recibir, almacenar, representar y evaluar automáticamente el email que el Cliente envía, con el fin de informar de cómo es probable que lo traten los filtros y los proveedores de correo y de qué conviene cambiar; generar informes escritos sobre esos resultados, incluso con el proveedor de IA indicado en el Anexo III; mantener la cuenta y la suscripción del Cliente; y prestar soporte.

Conservación. Durante la vigencia del contrato, según se describe en CONSERVACIÓN DE LOS DATOS PERSONALES de nuestra Política de Privacidad. El resultado de una prueba y los informes asociados se eliminan cuando el Cliente los elimina o elimina la cuenta. El contenido enviado al proveedor de IA está sujeto además a la conservación descrita en INFORMES GENERADOS POR IA de esa Política.

Transferencias a subencargados. A los subencargados enumerados en el Anexo III, para los fines descritos más arriba y mientras cada uno esté contratado.

C. Autoridad de control competente

Cuando el Cliente esté establecido en el Espacio Económico Europeo, la autoridad de control del Estado miembro de ese establecimiento. Cuando el Cliente no esté establecido en el Espacio Económico Europeo pero haya designado un representante conforme al artículo 27 del RGPD, la autoridad del Estado miembro de ese representante. En los demás casos, la autoridad del Estado miembro en el que se encuentren los interesados cuyos Datos Personales se transfieren.

ANEXO II: MEDIDAS TÉCNICAS Y ORGANIZATIVAS

Estas son las medidas que aplicamos a los Datos Personales del Cliente. Se extienden a los subencargados a través de las obligaciones contractuales descritas en el apartado 8.

• Cifrado en tránsito. El sitio web, la aplicación con sesión iniciada y la API se sirven por HTTPS, y las conexiones con los subencargados están cifradas en tránsito.
• Infraestructura certificada. Los Datos Personales del Cliente se almacenan en servicios y proveedores certificados conforme a ISO/IEC 27001:2013, PCI DSS, SOC 1 Type II y SOC 2 Type II o superior, que es también donde se administran el cifrado en reposo y la seguridad física.
• Los datos de pago nunca llegan a nosotros. Los datos de la tarjeta se introducen en nuestro subencargado de pagos y no se almacenan ni transitan por nuestros sistemas. Solo conservamos los datos de contacto de facturación y el registro de la suscripción.
• Control de acceso. El acceso a los datos de producción se limita al personal que lo necesita, mediante cuentas individuales con nombre y no credenciales compartidas, y se retira cuando cesa la necesidad.
• Separación entre clientes. Los resultados de las pruebas y los informes asociados están vinculados a la cuenta que los creó, y una cuenta no puede leer los resultados de otra.
• Minimización de datos en la ruta de IA. Al subencargado de IA se envía únicamente la prueba concreta sobre la que se informa: el mensaje enviado y los resultados de nuestras propias comprobaciones sobre él. No se envían la identidad de la cuenta, los datos de facturación ni otras pruebas.
• Supresión a petición. Los clientes pueden eliminar resultados de pruebas concretos y su cuenta desde el propio Servicio, lo que elimina los Datos Personales del Cliente que contienen.
• Registro y supervisión de errores. Se registran los errores de la aplicación y los accesos al Servicio para poder detectar e investigar fallos y usos indebidos.
• Respuesta ante incidentes. Una violación de la seguridad de los Datos Personales se gestiona conforme al apartado 10, incluida la notificación al Cliente y a las autoridades cuando la ley lo exija.
• Personal. Toda persona con acceso está sujeta a obligaciones de confidencialidad que subsisten tras el fin de su relación, según el apartado 6.
• Diligencia con los subencargados. Solo se recurre a un subencargado mediante contrato escrito que imponga protecciones no menos protectoras que este Acuerdo, y queda enumerado en el Anexo III.

ANEXO III: SUBENCARGADOS

Estos son los subencargados a los que recurrimos para tratar Datos Personales del Cliente en la fecha que figura en la parte superior de esta página. Cada uno actúa al amparo de un contrato escrito como se describe en el apartado 8.

• OpenAI (OpenAI OpCo, LLC, Estados Unidos): generación del informe escrito por IA sobre una prueba.
• ETH-Services (ETH-Services, Inh. Lennart Seitz, Alemania): alojamiento de correo electrónico.
• Stripe (Stripe, Inc., Estados Unidos): procesamiento de pagos y suscripciones.
• Brevo (Sendinblue SAS, Francia): entrega de email transaccional y de marketing.
• Help Scout (Help Scout PBC, Estados Unidos): correspondencia de atención al cliente.
• Sentry (Functional Software, Inc., Estados Unidos): notificación de errores de aplicación.
• OVHcloud (OVH US LLC, Estados Unidos): infraestructura de alojamiento y de base de datos.

Las medidas del Anexo II se aplican a todos ellos, a través de las obligaciones contractuales del apartado 8. Para confirmar que esta lista está vigente antes de basarte en ella, o para que te avisemos cuando cambie, escribe a dpo@unspam.email.

Los proveedores que utilizamos para análisis web y medición del consentimiento no son subencargados en virtud de este Acuerdo: tratan datos de visitante de los que somos responsables, y están enumerados en nuestra Política de Privacidad y en nuestra Política de Cookies.