Acuerdo de encargo del tratamiento de datos

Skeyon Lab S.L. — VerificarEmails, Pop-ups y Automation

1. Partes y objeto

Este acuerdo de encargo del tratamiento, en adelante «DPA», regula el tratamiento de datos personales realizado por Skeyon Lab S.L., con NIF B65911679 y domicilio en Zamora 105, 6.º 3.ª, 08018 Barcelona, España, en adelante «Skeyon», por cuenta de la persona física o jurídica identificada como cliente en la cuenta y en la contratación del servicio, en adelante «Cliente».

El contacto para cuestiones de protección de datos, instrucciones y solicitudes relacionadas con este DPA es contactar@verificaremails.com.

El DPA se aplica exclusivamente a los servicios contratados y utilizados por el Cliente de entre los descritos en el anexo I. Su finalidad es establecer las condiciones del tratamiento por cuenta del Cliente conforme al Reglamento (UE) 2016/679, en adelante «RGPD», y la normativa española de protección de datos aplicable.

Los datos utilizados por Skeyon para sus propias finalidades de gestión de cuentas, facturación y cumplimiento de obligaciones legales se regulan por la política de privacidad correspondiente. Esta distinción no permite reutilizar para esas finalidades los contactos entregados para verificar o gestionar campañas.

2. Roles y clientes que actúan por cuenta de terceros

El Cliente actúa como responsable del tratamiento cuando determina las finalidades y los medios esenciales del tratamiento. En ese caso, Skeyon actúa como encargado del tratamiento.

Si el Cliente es una agencia u otro prestador que actúa como encargado por cuenta de un tercero, Skeyon actuará como subencargado. El Cliente deberá contar con la autorización necesaria del responsable y trasladar instrucciones compatibles con el encargo recibido. El uso de la plataforma no constituye una comprobación por Skeyon de las relaciones contractuales del Cliente con sus propios clientes.

Las referencias de este DPA a las instrucciones y obligaciones del Cliente se entienden adaptadas a su papel efectivo. El Cliente facilitará, cuando resulte necesario, la información que permita atender las obligaciones del responsable final.

3. Instrucciones y finalidad del tratamiento

Skeyon tratará los datos únicamente para prestar los servicios contratados, siguiendo las instrucciones documentadas del Cliente. Constituyen instrucciones el presente DPA, la configuración de la cuenta, las operaciones solicitadas mediante la plataforma o API y las solicitudes verificadas remitidas por los canales de soporte.

Las instrucciones comprenden, cuando proceda, las comunicaciones a integraciones o destinatarios que el Cliente configure. Ninguna integración amplía por sí sola las finalidades autorizadas.

Skeyon no reutiliza los contactos ni los resultados de las verificaciones para otros clientes, para crear bases de contactos propias ni para entrenar modelos de inteligencia artificial.

Si una norma de la Unión Europea o de un Estado miembro exige un tratamiento distinto, Skeyon informará previamente al Cliente, salvo prohibición legal. Si considera que una instrucción infringe la normativa aplicable, lo comunicará inmediatamente al Cliente y solicitará su aclaración o corrección antes de ejecutar la parte afectada.

4. Obligaciones del Cliente y minimización

Corresponde al Cliente determinar y acreditar la licitud del tratamiento, facilitar la información exigible a los interesados, atender sus derechos y dar instrucciones lícitas. El Cliente deberá disponer de la base jurídica necesaria para las operaciones que solicite, sin que este DPA presuponga que dicha base deba ser siempre el consentimiento.

El Cliente solo aportará los datos adecuados, pertinentes y necesarios para el servicio. Deberá evitar archivos con columnas innecesarias y revisar los campos personalizados, formularios e integraciones que configure.

Skeyon no examina de forma sistemática todos los contenidos para determinar su naturaleza o procedencia. Esta circunstancia no excluye sus obligaciones como encargado respecto de los datos personales que efectivamente trate.

Los servicios cubiertos por este DPA no se contratan para tratar categorías especiales de datos ni datos de condenas e infracciones penales. Su tratamiento requerirá un acuerdo previo específico que establezca las condiciones y garantías aplicables. Si el Cliente detecta que los ha incorporado accidentalmente, deberá solicitar su retirada o eliminarlos mediante las funciones disponibles.

5. Confidencialidad y personal autorizado

El acceso del personal de Skeyon a los datos se limita al personal de soporte y, como segundo nivel, a los desarrolladores cuando una solicitud del Cliente requiera revisar una incidencia o elemento del servicio. El acceso se limitará a lo necesario para la tarea autorizada.

El personal de Skeyon accede desde España y está sujeto a compromisos de confidencialidad, que seguirán vigentes tras finalizar su relación con Skeyon. Esta localización del personal no constituye una declaración sobre todas las ubicaciones de tratamiento de los proveedores del anexo III.

El borrado excepcional directo en base de datos queda reservado a la persona autorizada por Skeyon para esa función, denominada internamente «responsable del tratamiento de datos». Esta denominación interna no modifica los roles jurídicos definidos en la cláusula 2 ni equivale a la designación de un delegado de protección de datos.

6. Seguridad

Skeyon aplicará medidas técnicas y organizativas apropiadas al riesgo y mantendrá las medidas descritas en el anexo II. Revisará su adecuación a la naturaleza de los datos y al funcionamiento de los servicios.

La evolución técnica de las medidas no podrá reducir la protección comprometida. El Cliente deberá proteger sus credenciales, limitar los permisos de sus usuarios y utilizar las funciones disponibles conforme a sus propias obligaciones de seguridad.

7. Subencargados

El Cliente otorga autorización general para utilizar los subencargados identificados en el anexo III, dentro de las funciones descritas. Skeyon les impondrá por escrito obligaciones de protección de datos equivalentes a las aplicables al tratamiento que les encomiende y seguirá siendo responsable frente al Cliente del cumplimiento de esas obligaciones por los subencargados.

Skeyon comunicará previamente cualquier incorporación o sustitución prevista, identificando al proveedor, su función y las ubicaciones pertinentes. El Cliente podrá formular una oposición fundada en protección de datos antes de que el nuevo proveedor trate sus datos. Se concederá un plazo razonable para examinar el cambio; no se considerará suficiente la mera actualización silenciosa de una página web.

Las partes estudiarán una alternativa viable ante una oposición fundada. Si no puede resolverse, podrá terminarse el servicio afectado, aplicando las obligaciones de devolución y supresión de este DPA.

Según el alcance declarado para esta versión, no se utilizan proveedores externos para ejecutar las comprobaciones de verificación por encargo de Skeyon. Los proveedores de infraestructura se relacionan en el anexo III. Esta previsión no excluye las interacciones técnicas necesarias con los sistemas de destino para realizar las comprobaciones solicitadas.

8. Ubicaciones y transferencias internacionales

Las ubicaciones de tratamiento y los proveedores se describen en el anexo III. La dirección social de un proveedor no determina por sí sola el lugar en el que trata los datos.

Cuando un tratamiento, acceso remoto o comunicación constituya una transferencia internacional, Skeyon se asegurará de que se cumplan los requisitos del capítulo V del RGPD. Según corresponda, se utilizará una decisión de adecuación aplicable o garantías apropiadas, incluidas cláusulas contractuales tipo, con las evaluaciones y medidas complementarias necesarias.

Este DPA no incorpora por sí solo cláusulas contractuales tipo para transferencias internacionales ni sustituye los instrumentos que deban formalizarse con los destinatarios. Su aceptación tampoco constituye consentimiento general para transferencias no amparadas por la normativa.

9. Derechos y asistencia al Cliente

Skeyon asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información disponible, para responder a solicitudes de ejercicio de derechos y cumplir sus obligaciones en materia de seguridad, evaluación de impacto y consulta previa.

Si recibe directamente una solicitud relativa a datos tratados por cuenta del Cliente, la trasladará a este sin dilación indebida y no decidirá sobre su fondo de manera independiente, salvo obligación legal o instrucciones expresas.

Las solicitudes se atenderán mediante las funciones del panel o, cuando sea necesario, a través de soporte. El borrado selectivo excepcional en base de datos requerirá una solicitud verificada y los identificadores necesarios para localizar la cuenta y los registros, y será ejecutado por la persona autorizada de Skeyon.

10. Violaciones de seguridad

Skeyon dispone de un procedimiento de gestión de incidentes. El equipo de soporte recibe las comunicaciones y las canaliza para su gestión.

Skeyon notificará al Cliente, sin dilación indebida desde que tenga conocimiento, las violaciones de seguridad de datos personales que afecten a los datos tratados por su cuenta. La comunicación incluirá la información disponible sobre la naturaleza del incidente, los datos y personas afectados, las consecuencias probables, las medidas adoptadas o propuestas y un contacto para seguimiento.

Si no dispone inicialmente de todos los detalles, facilitará actualizaciones sin dilación indebida. Colaborará con el Cliente en las actuaciones de contención, evaluación y comunicación que correspondan. La notificación no se retrasará hasta disponer de una investigación definitiva.

11. Conservación y fin del tratamiento

Se aplican los plazos diferenciados del anexo I. La conservación temporal para verificación no equivale a la conservación continuada que el Cliente solicita al utilizar Pop-ups o Automation.

Al finalizar el servicio, el Cliente podrá solicitar la devolución de los datos disponibles o su supresión. La devolución se realizará mediante descarga o un procedimiento acordado antes de que venza el plazo de eliminación. No será posible devolver datos ya eliminados conforme a las instrucciones y plazos aplicables.

Las copias de seguridad pendientes de eliminación permanecerán protegidas y no se utilizarán para explotación ordinaria. Si fuera necesaria una restauración, deberán respetarse las órdenes de supresión anteriores para evitar reintroducir datos borrados en el uso activo.

Cuando una obligación legal exija conservar determinados datos, se conservarán únicamente los necesarios, restringiendo su tratamiento a esa obligación y suprimiéndolos al finalizar el plazo exigible.

12. Información y auditorías

Skeyon pondrá a disposición del Cliente la información necesaria para acreditar el cumplimiento de este DPA y permitirá y contribuirá a auditorías e inspecciones realizadas por el Cliente o un auditor autorizado por este.

Las partes coordinarán el alcance, el calendario y las medidas de confidencialidad para proteger los datos de otros clientes y la seguridad del servicio. Podrá recurrirse inicialmente a información documental cuando sea suficiente, sin impedir verificaciones adicionales justificadas ni las facultades de las autoridades de control.

13. Vigencia y aceptación electrónica

El DPA formará parte de las condiciones contractuales cuando se facilite al Cliente antes de contratar y quede expresamente incorporado a su aceptación. La identidad del Cliente será la consignada en la cuenta y contratación; quien acepte en su nombre declara estar facultado para vincularlo.

La aceptación podrá realizarse electrónicamente, conservando evidencia de la cuenta, fecha y versión aceptada. La mera disponibilidad pública del documento no sustituye su incorporación al contrato. Para clientes existentes se documentará la adhesión correspondiente.

El DPA permanecerá vigente mientras Skeyon trate datos por cuenta del Cliente, incluidas las obligaciones posteriores de confidencialidad, devolución y eliminación. Los cambios materiales se comunicarán y formalizarán conforme al contrato y a la normativa aplicable.

14. Relación con las condiciones generales

En caso de contradicción, este DPA prevalecerá sobre las condiciones generales en materia de tratamiento de datos por cuenta del Cliente. Ninguna limitación contractual excluirá obligaciones o responsabilidades imperativas, derechos de los interesados ni competencias de las autoridades.

Se aplicará la legislación española y el RGPD. La resolución de controversias se regirá por las previsiones válidas del contrato principal, respetando las normas imperativas aplicables.

Anexo I Descripción de los tratamientos y conservación

A Verificación de datos

Productos: verificación de emails, teléfonos, nombres y direcciones postales, mediante las modalidades contratadas, incluidas API y archivos.

Finalidad y operaciones: recepción, lectura, comprobación, normalización o corrección cuando forme parte del producto, generación y entrega de resultados y supresión. El resultado se utiliza para atender la solicitud del Cliente.

Datos: direcciones de correo electrónico, teléfonos, nombres, apellidos, direcciones postales, identificadores aportados por el Cliente, resultados de validación y otros campos incorporados al archivo que resulten necesarios para su procesamiento. El Cliente deberá excluir campos ajenos a la finalidad.

Interesados: personas cuyos datos facilite el Cliente para verificar, como clientes, prospectos, contactos profesionales o empleados, según el uso que este determine.

Conservación: archivos y resultados conservados para el servicio durante un máximo de 30 días desde la fecha de verificación, tras lo cual se eliminan.

No se reutilizan los contactos ni las validaciones para otros clientes o entrenamiento de modelos de IA.

B Pop-ups y Automation

Productos: plataforma de Pop-ups y plataforma Automation, según las funcionalidades contratadas y activadas.

Finalidad y operaciones: captación, registro, almacenamiento, organización, consulta, actualización, segmentación y ejecución de las acciones o comunicaciones que configure el Cliente, así como exportación y supresión. Las funcionalidades específicas activadas concretan las instrucciones del Cliente.

Datos: datos identificativos y de contacto, campos de formularios y campos personalizados necesarios, preferencias y estados de suscripción, y datos de interacción o actividad generados por las funcionalidades utilizadas. Los datos de productos y transacciones, cuando una integración activada los aporte y estén vinculados a personas, se tratarán solo dentro de las instrucciones del Cliente.

Interesados: visitantes que interactúan con los formularios o pop-ups, suscriptores, clientes, prospectos y otras personas cuyos datos gestione el Cliente lícitamente.

Conservación: los datos permanecen mientras el Cliente mantenga el servicio y no ordene su supresión. Ante baja o cese de pago del servicio correspondiente, se eliminarán en un máximo de 30 días desde dicho evento, incluidas las copias dentro de ese plazo global. La regla de cese de pago no se aplica a un plan gratuito por el mero hecho de ser gratuito.

C Reglas comunes

Anexo II Medidas técnicas y organizativas

Las medidas confirmadas para esta versión son:

• Uso de HTTPS/TLS en las comunicaciones de acceso a los servicios.
• Cifrado de archivos y copias de seguridad.
• Acceso por roles, limitado a las funciones autorizadas.
• Autenticación multifactor para administradores.
• Acceso del personal de Skeyon desde España.
• Compromisos de confidencialidad del personal con acceso.
• Atención de incidencias por soporte y acceso de segundo nivel por desarrolladores cuando sea necesario para una petición del Cliente.
• Procedimiento de gestión de incidentes.
• Borrado de cuentas mediante el panel y procedimiento excepcional de borrado selectivo con acceso restringido a base de datos.
• Rotación de logs y eliminación de copias conforme al anexo I.

Este anexo no declara certificaciones, auditorías externas anuales ni algoritmos concretos de cifrado que no hayan sido confirmados.

Anexo III Subencargados e infraestructura

Hostalia

Entidad: TELEFÓNICA SOLUCIONES DE INFORMÁTICA Y COMUNICACIONES DE ESPAÑA S.A.U.
Marca: Hostalia.
NIF: A78053147.
Domicilio: Ronda de la Comunicación S/N, Distrito C, Edificio Norte 2, 28050 Madrid, España.
Función: alojamiento, almacenamiento y gestión de datos de Automation.
Ubicación de los datos: Madrid, España.

Noraina

Entidad: Noraina Ltd.
Domicilio: Unit 3D North Point House, North Business Park, Cork, Co. Cork, T23 AT2P, Irlanda.
Número de registro: 614532.
VAT ID: IE3505981KH.
Función: alojamiento, almacenamiento y gestión de datos de los servicios de verificación y Pop-ups.
Centros de datos:

Cloudflare

Entidad: Cloudflare, Inc.
Domicilio: 101 Townsend Street, San Francisco, California 94107, Estados Unidos.
US EIN facilitado: 270805829.
Función: servicios de caché y proxy para la infraestructura del servicio.
Configuración declarada: utilización de región europea.

La referencia a región europea no constituye una garantía de tratamiento exclusivamente dentro del Espacio Económico Europeo. Las transferencias internacionales, cuando procedan, se regirán por la cláusula 8.