Acuerdo de Tratamiento de Datos

Este Acuerdo de Tratamiento de Datos ("DPA") forma parte de los Términos del Servicio entre el cliente (el "Responsable") e Innovafour, operadora de IForevents (el "Encargado"), para el tratamiento de los datos personales contenidos en los Datos del Cliente. Se aplica siempre que el RGPD, el RGPD del Reino Unido o una ley similar rija el uso del Servicio por el Responsable.

Descripción del tratamiento

• Objeto: alojar, almacenar, agregar y mostrar los eventos de analítica que el Responsable envía mediante los SDK, la API HTTP o integraciones.
• Duración: la vigencia del acuerdo de Servicio más el plazo de eliminación de la Política de Privacidad.
• Naturaleza y finalidad: recopilación por instrucción del Responsable, almacenamiento en su proyecto, agregación para paneles, exportaciones y respuestas MCP; ningún otro uso.
• Categorías de interesados: usuarios finales, clientes y personal del Responsable cuyas acciones este rastrea.
• Categorías de datos: nombres de eventos, marcas de tiempo, propiedades elegidas por el Responsable, atributos de dispositivo y navegador, la dirección del cliente de las solicitudes de ingesta y los identificadores que el Responsable asigne.
• Instrucciones: el Responsable instruye al Encargado mediante la configuración y las API del Servicio; el Encargado trata los datos solo según instrucciones documentadas e informa al Responsable si una instrucción parece infringir la ley.

Subencargados

El Encargado notifica a los Responsables los nuevos subencargados con al menos 30 días de antelación por correo a los propietarios de la organización; el Responsable puede oponerse por motivos razonables de protección de datos, en cuyo caso las partes buscan una solución o el Responsable puede resolver el Servicio afectado.

Medidas de seguridad implantadas

Cifrado en tránsito (TLS 1.2+), copias de seguridad en almacenamiento con acceso controlado, aislamiento de inquilinos verificado con pruebas automáticas en cada versión, acceso basado en roles con registro de auditoría de acciones de seguridad, credenciales con hash, secretos custodiados en una bóveda con calendario de rotación, límites de tasa y cuotas, análisis de vulnerabilidades de dependencias, copias de seguridad nocturnas con simulacro de restauración trimestral y monitorización con alertas. El Encargado mantiene y actualiza una lista de verificación de revisión de seguridad con sus hallazgos.

Procedimientos de respuesta a incidentes

El Encargado notifica al Responsable cualquier violación de datos personales que afecte a los Datos del Cliente sin dilación indebida y dentro de las 72 horas desde que tenga conocimiento, con la información disponible en ese momento (naturaleza, categorías y número aproximado de interesados y registros, consecuencias probables, medidas adoptadas), seguida de actualizaciones a medida que avance la investigación. El Encargado mantiene un registro de incidentes y sigue su procedimiento documentado de gravedad y escalado.

Proceso de solicitudes de los interesados

Las solicitudes de interesados sobre Datos del Cliente se remiten al Responsable en 5 días hábiles sin responderlas directamente. El Servicio ofrece al Responsable las herramientas para responder: exportación de todos los eventos de un identificador de usuario y supresión de los datos de ese identificador mediante los puntos de privacidad de la API, y el registro de auditoría para evidenciar la acción. El Encargado asiste en evaluaciones de impacto y consultas a autoridades de control cuando el Responsable lo solicite razonablemente.

Estado de certificaciones

Aún no se ha obtenido ninguna certificación de terceros (SOC 2, ISO 27001). El Encargado aplica los controles descritos y pone a disposición de los Responsables, bajo confidencialidad y previa solicitud, su revisión de seguridad, los manuales de alertas y los registros de simulacros de restauración. Los planes de certificación se anuncian en las notas de versión.

Derechos de auditoría e inspección

Una vez al año, o tras una violación de datos, el Responsable puede auditar el cumplimiento de este DPA mediante cuestionario escrito o, cuando este sea insuficiente, mediante inspección presencial o remota a su costa, con 30 días de aviso, en horario laboral, bajo confidencialidad y sin perturbar a otros clientes.

Eliminación y devolución

Al finalizar el Servicio el Encargado elimina los Datos del Cliente en 30 días (las copias de seguridad en los 30 días siguientes) salvo que la ley exija su conservación; antes de la eliminación el Responsable puede exportar sus datos mediante la API.

Transferencias internacionales

Las transferencias fuera de la UE/EEE o del Reino Unido se amparan en las Cláusulas Contractuales Tipo (módulo dos, responsable a encargado) y el anexo del Reino Unido, incorporados por referencia a este DPA.