Acuerdo de tratamiento de datos (DPA)

1. Partes y objeto#

Este Acuerdo de tratamiento de datos («DPA») se celebra entre el cliente que acepta los Términos del servicio («Cliente» o «Responsable») y Markeos, operador de OneMetrics («Markeos» o «Encargado»). Forma parte de los Términos y se aplica siempre que Markeos trate Datos personales del Cliente al prestar el Servicio.

Su objeto es establecer las condiciones en que Markeos trata esos datos, conforme al Reglamento (UE) 2016/679 (RGPD) y su equivalente del Reino Unido cuando sean aplicables, la Ley 1581 de 2012 y el Decreto 1377 de 2013 de Colombia (incluido el artículo 25 del Decreto 1377, relativo a los contratos de transmisión de datos), la CCPA/CPRA y demás normas de protección de datos aplicables («Normativa de protección de datos»).

2. Definiciones#

Datos personales del Cliente

Datos personales incluidos en los Datos del Cliente que Markeos trata por cuenta del Cliente al prestar el Servicio.

Responsable, Encargado, Titular/Interesado, Tratamiento

Tienen el significado que les da la Normativa de protección de datos. «Encargado» incluye al «service provider» de la CCPA y al encargado del tratamiento de la Ley 1581.

Subencargado

Tercero contratado por Markeos que trata Datos personales del Cliente.

Incidente de seguridad

Toda violación de la seguridad que ocasione la destrucción, pérdida, alteración, comunicación o acceso no autorizados, accidentales o ilícitos, a Datos personales del Cliente.

CCT

Cláusulas Contractuales Tipo aprobadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión Europea, y el adenda internacional del Reino Unido cuando corresponda.

Los términos en mayúscula no definidos aquí tienen el significado de los Términos del servicio.

3. Roles de las partes#

El Cliente es el Responsable (o, cuando actúa por cuenta de sus propios clientes, por ejemplo como agencia, un encargado que contrata a Markeos como subencargado) de los Datos personales del Cliente. Markeos es el Encargado. Para los datos de cuenta, facturación, uso y seguridad, Markeos actúa como responsable independiente conforme a la Política de privacidad, y ese tratamiento queda fuera de este DPA.

El Cliente garantiza que tiene una base legal válida y las autorizaciones necesarias para el tratamiento, incluidas las de las Plataformas de origen y, cuando corresponda, de sus propios clientes, y que sus instrucciones cumplen la Normativa de protección de datos.

4. Objeto, duración, naturaleza y finalidad#

• Objeto: la prestación del Servicio: conexión con Plataformas de origen, sincronización, almacenamiento, normalización, consulta y entrega de datos a los Destinos configurados por el Cliente.
• Duración: la vigencia de los Términos, más el periodo de eliminación previsto en la sección Eliminación y devolución.
• Naturaleza: recopilación mediante API autorizadas, almacenamiento, organización, agregación, consulta, transmisión a Destinos y supresión.
• Finalidad: exclusivamente prestar el Servicio al Cliente, darle soporte cuando lo solicite, y mantener su seguridad.

El detalle se recoge en el Anexo I.

5. Instrucciones del Cliente#

Markeos tratará los Datos personales del Cliente solo según las instrucciones documentadas del Cliente, incluidas las que se derivan de los Términos, de este DPA y de la configuración que el Cliente realiza en el Servicio (por ejemplo, qué cuentas conecta, qué fuentes crea y a qué Destinos envía los datos). Markeos informará al Cliente si, en su opinión, una instrucción infringe la Normativa de protección de datos, y podrá suspender su ejecución hasta que se confirme o modifique.

Markeos no venderá ni compartirá los Datos personales del Cliente en el sentido de la CCPA/CPRA, no los conservará, usará ni divulgará para ningún fin distinto de prestar el Servicio, no los combinará con datos de otras fuentes salvo lo permitido por la ley, y no los usará para publicidad ni para entrenar modelos de inteligencia artificial. Si la ley obliga a Markeos a tratar datos de otra forma, informará al Cliente antes, salvo que la ley lo prohíba.

6. Confidencialidad del personal#

Markeos garantiza que las personas autorizadas para tratar los Datos personales del Cliente se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, reciben formación adecuada y acceden solo cuando es necesario para prestar el Servicio, dar soporte solicitado por el Cliente o atender una obligación legal o de seguridad.

7. Medidas de seguridad#

Markeos aplicará las medidas técnicas y organizativas descritas en el Anexo II, adecuadas al riesgo y teniendo en cuenta el estado de la técnica, los costos y la naturaleza del tratamiento. Markeos podrá actualizarlas siempre que no reduzca el nivel general de protección.

8. Subencargados#

• El Cliente otorga una autorización general para que Markeos contrate a los subencargados del Anexo III.
• Markeos impondrá a cada subencargado, por contrato, obligaciones de protección de datos al menos equivalentes a las de este DPA, y seguirá siendo responsable frente al Cliente por su cumplimiento.
• Markeos avisará con al menos 30 días de antelación de cualquier alta o sustitución de subencargados, actualizando el Anexo III y notificando por correo al propietario del espacio de trabajo.
• El Cliente podrá oponerse por motivos razonables relacionados con la protección de datos dentro de ese plazo, escribiendo a legal@markeos.com. Las partes buscarán de buena fe una solución; si no la hay, el Cliente podrá terminar el Servicio afectado y recibir el reembolso proporcional de los importes prepagados no consumidos.

9. Asistencia al Cliente#

• Derechos de los titulares: Markeos ofrece herramientas en el Servicio para consultar, exportar y eliminar datos. Si Markeos recibe directamente una solicitud de un titular relativa a Datos personales del Cliente, la trasladará al Cliente sin demora y no la responderá por sí misma salvo instrucción del Cliente o obligación legal. Markeos ayudará razonablemente al Cliente a atender las solicitudes dentro de los plazos legales (incluidos los de 10 y 15 días hábiles de la Ley 1581).
• Evaluaciones de impacto y consultas previas: Markeos facilitará la información razonablemente necesaria para que el Cliente realice evaluaciones de impacto (EIPD/DPIA) y, en su caso, consultas a la autoridad de control.
• Autoridades: Markeos colaborará razonablemente con las autoridades de protección de datos en relación con el tratamiento cubierto por este DPA.

10. Notificación de incidentes de seguridad#

Markeos notificará al Cliente sin demora indebida y, en todo caso, dentro de las 72 horas siguientes a tener conocimiento de un Incidente de seguridad. La notificación se enviará al correo del propietario del espacio de trabajo e incluirá, en la medida en que esté disponible: la naturaleza del incidente, las categorías y el número aproximado de titulares y registros afectados, las consecuencias probables, las medidas adoptadas o propuestas para mitigarlo y un punto de contacto. Si no es posible facilitar toda la información a la vez, se proporcionará de forma gradual.

Markeos tomará de inmediato medidas razonables para contener el incidente y reducir sus efectos, y ayudará al Cliente a cumplir sus propias obligaciones de notificación a las autoridades (incluida la SIC en Colombia) y a los titulares. La notificación de un incidente no implica reconocimiento de responsabilidad.

11. Eliminación y devolución de los datos#

• Durante la vigencia, el Cliente puede exportar sus datos (desde el Servicio, la API o los Destinos) y eliminarlos en cualquier momento.
• Los datos sincronizados se conservan en una ventana móvil de 365 días y los más antiguos se eliminan automáticamente.
• Al eliminar una conexión, se borran de inmediato sus tokens. Al eliminar el espacio de trabajo o al terminar el Servicio, los datos se eliminan lógicamente de inmediato (se revoca todo acceso y las claves de API) y se purgan definitivamente a los 30 días; durante ese plazo el Cliente puede restaurarlos o solicitar una exportación.
• Las copias de seguridad que pudieran contener los datos rotan y se eliminan en un plazo adicional máximo de 30 días.
• Markeos solo conservará datos cuando la ley lo exija, protegiéndolos conforme a este DPA y únicamente para esa finalidad. A petición del Cliente, Markeos certificará por escrito la eliminación.

12. Auditorías#

Markeos pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA. Las auditorías se realizarán, en primer lugar, mediante la documentación de seguridad de Markeos, los informes de auditoría o certificaciones de sus proveedores de infraestructura y la respuesta a cuestionarios de seguridad razonables (una vez al año, salvo incidente). Si esto no fuera suficiente para cumplir una obligación legal o un requerimiento de una autoridad, el Cliente podrá realizar una auditoría adicional, con aviso previo de al menos 30 días, en horario laboral, sin acceso a datos de otros clientes, bajo confidencialidad, a su costo y mediante un auditor independiente aceptado razonablemente por Markeos.

13. Transferencias internacionales#

Los Datos personales del Cliente se alojan en Estados Unidos. El Cliente autoriza las transferencias necesarias para prestar el Servicio, con las siguientes garantías:

• Desde la UE/EEE, el Reino Unido o Suiza: cuando no exista una decisión de adecuación aplicable (incluido el EU-U.S. Data Privacy Framework respecto de destinatarios certificados), las partes incorporan por referencia las CCT, Módulo 2 (responsable a encargado) o Módulo 3 (encargado a encargado) según corresponda, con la opción de la cláusula 7 excluida, la opción 2 de la cláusula 9 (autorización general, con el plazo de aviso de este DPA), la cláusula 17 regida por la ley de Irlanda y la cláusula 18 con los tribunales de Irlanda; los Anexos de las CCT se completan con los Anexos I a III de este DPA. Para el Reino Unido aplica el Adenda de Transferencia Internacional de Datos (UK Addendum) emitido por la ICO, y para Suiza, las adaptaciones requeridas por la FADP.
• Desde Colombia: las partes declaran que este DPA constituye el contrato de transmisión de datos personales previsto en el artículo 25 del Decreto 1377 de 2013, y que las transferencias se realizan conforme al artículo 26 de la Ley 1581 de 2012 y a las instrucciones de la Superintendencia de Industria y Comercio.
• Medidas complementarias: cifrado en tránsito y en reposo, control de acceso estricto y la política de Markeos de impugnar solicitudes de acceso de autoridades que no sean legalmente válidas e informar al Cliente cuando la ley lo permita.

14. Responsabilidad#

La responsabilidad de cada parte derivada de este DPA está sujeta a las limitaciones y exclusiones de los Términos del servicio, salvo en la medida en que la Normativa de protección de datos o las CCT no permitan limitarla frente a los titulares.

15. Vigencia y prelación#

Este DPA estará vigente mientras Markeos trate Datos personales del Cliente. En caso de conflicto, prevalecerán, en este orden: las CCT (cuando apliquen), este DPA y los Términos del servicio. Markeos podrá actualizar este DPA para reflejar cambios legales o del Servicio, sin reducir el nivel de protección, avisando conforme a los Términos.

Anexo I — Detalles del tratamiento#

Anexo II — Medidas técnicas y organizativas#

Anexo III — Subencargados autorizados#

Los procesadores de pago (Stripe, Wompi, Bold y dLocal) tratan datos de facturación como responsables independientes o como encargados de Markeos para sus propios fines de facturación, y no reciben Datos personales del Cliente procedentes de las Plataformas de origen.