Contrato DPA (Encargado de Tratamiento)

El presente documento constituye el contrato de encargado de tratamiento exigido por el artículo 28.3 del Reglamento (UE) 2016/679 (RGPD), y se incorpora automáticamente a la relación contractual entre el cliente que contrata Moovint Reviews (en adelante, "el Responsable") y Santiago Núñez Valenzuela, titular de Moovint Reviews, con NIF 44789560G (en adelante, "el Encargado"), desde el momento en que el Responsable acepta los Términos y Condiciones del Servicio.

El Encargado tratará, por cuenta del Responsable, los datos personales contenidos en las reseñas públicas recibidas en la ficha de Google Business Profile del Responsable, con la única finalidad de: sincronizarlas automáticamente, generar mediante inteligencia artificial una propuesta de respuesta, remitir dicha propuesta al número de WhatsApp designado por el Responsable para su aprobación, y publicar la respuesta aprobada en la ficha de Google del Responsable. El tratamiento tiene naturaleza de procesamiento automatizado de texto y comunicación electrónica, y se realiza durante toda la vigencia de la suscripción del Responsable al Servicio.

Categorías de interesados: autores de reseñas públicas de Google (clientes o visitantes del negocio del Responsable) y, en su caso, empleados o representantes del Responsable mencionados en dichas reseñas.

Tipo de datos: nombre público mostrado por el autor de la reseña, valoración (número de estrellas), texto de la reseña, fecha de publicación, y menciones a empleados o productos que puedan aparecer en el texto. No se tratan categorías especiales de datos (art. 9 RGPD) de forma intencional; si un interesado incluyera este tipo de información en el texto libre de su reseña, el Encargado la trata únicamente en la medida en que forma parte del contenido público ya facilitado por el propio interesado a través de Google.

El Encargado se compromete a: (a) tratar los datos personales únicamente siguiendo instrucciones documentadas del Responsable, plasmadas en la configuración que este define en el panel (tono, idioma, políticas de aprobación automática); (b) garantizar que las personas autorizadas a tratar los datos se comprometen a respetar la confidencialidad; (c) adoptar las medidas de seguridad exigidas por el artículo 32 RGPD; (d) respetar las condiciones para recurrir a otro encargado de tratamiento (subencargado) descritas en la cláusula 5; (e) asistir al Responsable en el cumplimiento de sus obligaciones de responder a solicitudes de ejercicio de derechos y de notificación de violaciones de seguridad; (f) poner a disposición del Responsable la información necesaria para demostrar el cumplimiento de estas obligaciones; y (g) suprimir o devolver los datos al finalizar la prestación del Servicio, conforme a la cláusula 9.

El Responsable autoriza de forma general al Encargado a recurrir a los siguientes subencargados para la prestación del Servicio, cada uno vinculado por su propio contrato de encargo o cláusulas contractuales equivalentes: Google LLC (Google Business Profile API, para la recepción y publicación de reseñas), OpenAI, L.L.C. o el proveedor de inteligencia artificial configurado en cada momento (generación de las propuestas de respuesta a partir del texto de la reseña), Meta Platforms, Inc. (WhatsApp Business Platform, para el envío de la propuesta de respuesta al número designado), y el proveedor de infraestructura y hosting donde se ejecuta la aplicación. El Encargado informará al Responsable de cualquier cambio previsto en estos subencargados, dándole la oportunidad de oponerse a dicho cambio.

El Encargado aplica, entre otras, las siguientes medidas: cifrado de los tokens de acceso a Google Business Profile en reposo, verificación de firma HMAC en las comunicaciones automatizadas recibidas de WhatsApp, control de acceso basado en roles dentro de la plataforma, y aislamiento lógico de los datos de cada Responsable (arquitectura multi-tenant) para impedir el acceso cruzado entre distintos clientes.

El Encargado pondrá a disposición del Responsable, en el propio panel o a solicitud dirigida a santiago@sendamarketing.com, la información necesaria para atender solicitudes de ejercicio de derechos de los interesados, evaluaciones de impacto relativas a la protección de datos, y consultas previas a la autoridad de control, en la medida en que dicha asistencia sea razonablemente posible dada la naturaleza del tratamiento.

El Encargado notificará al Responsable, sin dilación indebida y en todo caso dentro de las 72 horas siguientes a tener constancia de ello, cualquier violación de la seguridad de los datos personales tratados por cuenta del Responsable, junto con la información disponible necesaria para que el Responsable pueda, en su caso, cumplir su propio deber de notificación a la autoridad de control y a los interesados conforme a los artículos 33 y 34 RGPD.

Al finalizar la prestación del Servicio, ya sea por baja voluntaria del Responsable o por resolución del contrato, el Encargado suprimirá los datos personales tratados por cuenta del Responsable, salvo que una norma de la Unión Europea o de un Estado miembro exija su conservación, en cuyo caso el Encargado los conservará bloqueados durante el plazo legalmente exigido y con el único fin de atender dicha obligación.

El Responsable podrá solicitar al Encargado la información razonablemente necesaria para verificar el cumplimiento de las obligaciones descritas en este documento. Dada la naturaleza y escala del Servicio, dicha verificación se realizará preferentemente mediante cuestionarios o documentación escrita, sin perjuicio del derecho del Responsable a solicitar una auditoría más amplia con causa justificada y previo acuerdo sobre su alcance y coste.

Este contrato de encargado de tratamiento estará vigente mientras el Responsable mantenga una suscripción activa al Servicio, y quedará automáticamente sin efecto, salvo en lo relativo a las obligaciones de conservación bloqueada descritas en la cláusula 9, cuando dicha suscripción finalice.