Contrato de encargo de tratamiento

Entre la agencia cliente y titular del servicio pendiente, titular de Tintaki (artículo 28 del Reglamento (UE) 2016/679, RGPD, y artículo 33 de la Ley Orgánica 3/2018, LOPDGDD).

Partes

De una parte, «la Agencia»: la empresa que se da de alta en Tintaki y acepta este contrato, con los datos que constan en su cuenta.

De otra parte, «el Encargado»: titular del servicio pendiente, con NIF NIF pendiente y domicilio en domicilio pendiente, titular del servicio Tintaki.

1. Objeto

1.1. Este contrato regula el tratamiento de datos personales que el Encargado realiza por cuenta de la Agencia al prestarle el servicio Tintaki, descrito en las condiciones del servicio.

1.2. No cubre los datos que el Encargado trata como responsable (los de los Usuarios de la Agencia para gestionar su cuenta y los de facturación), que se rigen por la política de privacidad.

2. Papel de cada parte

2.1. La Agencia actúa como responsable del tratamiento o, cuando trata los datos por cuenta de sus propios clientes (las marcas), como encargada del tratamiento de esos clientes.

2.2. En el segundo caso, el Encargado actúa como subencargado de la Agencia, y:

• la Agencia garantiza que su contrato con cada marca le permite recurrir a Tintaki y a los subencargados del Anexo II;
• las instrucciones de la Agencia se entienden dadas también en nombre de la marca;
• la Agencia trasladará a la marca la información que el Encargado le dé sobre este tratamiento.

3. Descripción del tratamiento

4. Obligaciones del Encargado

El Encargado se compromete a:

a) Seguir instrucciones. Tratar los datos solo según las instrucciones documentadas de la Agencia. Este contrato, las condiciones del servicio y la configuración que la Agencia hace en Tintaki (qué publicar, dónde, cuándo, a quién enviar el enlace) son esas instrucciones. Si una instrucción le parece contraria a la ley, avisará a la Agencia de inmediato.

b) No usar los datos para otra cosa. En particular, no usarlos para fines propios, para publicidad ni para entrenar modelos de inteligencia artificial.

c) Confidencialidad. Garantizar que las personas autorizadas a tratar los datos se han comprometido por escrito a mantenerlos en secreto, también después de dejar de trabajar para el Encargado.

d) Seguridad. Aplicar las medidas del Anexo I, adecuadas al riesgo según el art. 32 RGPD.

e) Subencargados. Cumplir la cláusula 5.

f) Ayudar con los derechos. Si un interesado ejerce sus derechos ante el Encargado, se lo trasladará a la Agencia en 5 días hábiles como máximo y le ayudará a responder. Tintaki ofrece herramientas para que la Agencia pueda consultar, exportar y borrar los datos por sí misma.

g) Ayudar con las obligaciones de la Agencia. Colaborar, en lo que le corresponda, en evaluaciones de impacto, consultas previas a la autoridad y notificación de brechas.

h) Brechas de seguridad. Notificar a la Agencia cualquier brecha que afecte a sus datos sin dilación indebida y, en todo caso, en un máximo de 48 horas desde que tenga conocimiento, con la información disponible: qué ha pasado, datos y personas afectadas aproximadas, consecuencias probables y medidas tomadas o propuestas. Irá completando la información según la tenga.

i) Registro. Llevar el registro de actividades de tratamiento como encargado (art. 30.2 RGPD).

j) Demostrar cumplimiento. Poner a disposición de la Agencia la información necesaria para demostrar que cumple este contrato, y permitir auditorías según la cláusula 7.

5. Subencargados

5.1. La Agencia da autorización general para que el Encargado recurra a los subencargados del Anexo II.

5.2. Antes de añadir o sustituir un subencargado, el Encargado avisará a la Agencia por correo y en el panel con al menos 30 días de antelación (o el plazo menor que sea imprescindible por seguridad o por cese de un proveedor), indicando quién es, qué hará y dónde.

5.3. La Agencia puede oponerse por motivos razonables relacionados con la protección de datos, por escrito y dentro de ese plazo. Si no se encuentra una alternativa, la Agencia podrá resolver el contrato sin penalización y con devolución de la parte proporcional ya pagada del periodo no disfrutado.

5.4. El Encargado impondrá a cada subencargado, por contrato, las mismas obligaciones de protección de datos que este contrato le impone a él, y seguirá siendo responsable frente a la Agencia de lo que haga cada subencargado.

5.5. Meta no es subencargado. Cuando la Agencia ordena publicar, el Encargado envía el contenido a Meta Platforms Ireland Limited, que lo trata como responsable independiente según sus propias condiciones, aceptadas por la marca al conectar su cuenta. Lo mismo ocurre con Stripe respecto de los datos de pago.

5.6. Metricool tampoco lo es. Si la Agencia conecta su propia cuenta de Metricool, el Encargado le envía las publicaciones que la Agencia ordena programar. Metricool las trata según el contrato que tiene con la Agencia, no por cuenta del Encargado.

6. Transferencias internacionales

6.1. El Encargado no transfiere datos fuera del Espacio Económico Europeo salvo a los subencargados del Anexo II que lo indiquen, y solo con una de estas garantías:

• decisión de adecuación de la Comisión Europea, incluida la del Marco de Privacidad de Datos UE-EE. UU. para entidades adheridas;
• cláusulas contractuales tipo de la Comisión (Decisión 2021/914), con evaluación de impacto de la transferencia y medidas adicionales cuando hagan falta.

6.2. En las funciones de IA, el Encargado minimiza los datos personales enviados: no incluye datos de contacto de las personas de las marcas ni registros de aprobación en las peticiones.

7. Auditorías

7.1. La Agencia puede pedir información sobre el cumplimiento de este contrato una vez al año, o en cualquier momento tras una brecha. El Encargado responderá en 30 días, normalmente con documentación, certificaciones o informes propios y de sus subencargados.

7.2. Si eso no basta, la Agencia puede hacer o encargar una auditoría, avisando con 30 días de antelación, en horario laboral, sin acceder a datos de otros clientes y con un auditor sujeto a confidencialidad. Cada parte asume sus propios costes, salvo que la auditoría revele un incumplimiento grave del Encargado.

8. Obligaciones de la Agencia

La Agencia se compromete a:

• tener base legal para los datos que introduce en Tintaki y haber informado a los interesados (por ejemplo, a quienes enviará el enlace de aprobación);
• tener la autorización de cada marca para conectar sus cuentas y publicar en ellas;
• tener los permisos de las personas que aparecen en las imágenes que sube;
• no introducir datos sensibles ni de menores salvo lo previsto en la cláusula 3;
• dar instrucciones conformes con la ley.

9. Responsabilidad

Cada parte responde de sus incumplimientos según el art. 82 RGPD. Si el Encargado trata datos fuera de las instrucciones, será considerado responsable de ese tratamiento (art. 28.10 RGPD). Los límites de responsabilidad son los de las condiciones del servicio, salvo que la ley no lo permita.

10. Duración

Este contrato dura lo mismo que la relación de servicio entre la Agencia y Tintaki.

11. Fin del encargo: devolución y borrado

11.1. Al terminar el servicio, la Agencia dispone de 30 días para exportar su contenido y datos desde el panel.

11.2. Pasado ese plazo, el Encargado borrará los datos personales tratados por cuenta de la Agencia, también de las copias de seguridad en un máximo de 30 días más, y lo certificará por escrito si la Agencia lo pide.

11.3. Los tokens de acceso a Instagram, Facebook y Metricool se borran en el momento en que termina el servicio o se desconecta la cuenta.

11.4. El Encargado solo conservará datos bloqueados cuando una ley lo exija, y durante el tiempo que lo exija.

12. Ley y tribunales

Ley española. Tribunales de ciudad pendiente, salvo que la ley imponga otros.

Anexo I. Medidas de seguridad

Organizativas

• Acceso a los datos solo para el personal que lo necesita, con compromiso de confidencialidad firmado.
• Política de contraseñas y doble factor obligatorio para el acceso de administración.
• Procedimiento escrito de gestión de brechas.
• Revisión anual de estas medidas y de los subencargados.

Técnicas

• Servidores en Alemania (UE), en Hetzner Online GmbH.
• Cifrado en tránsito con TLS 1.2 o superior.
• Tokens de Meta y de Metricool cifrados en la base de datos con clave guardada fuera de ella; nunca en registros ni en el navegador.
• Contraseñas con algoritmo de hash robusto (por ejemplo, Argon2 o bcrypt).
• Separación de los datos de cada Agencia en la propia base de datos (seguridad por fila).
• Imágenes enviadas a Meta y a Metricool mediante enlaces firmados, no públicos de forma permanente.
• Copias de seguridad cifradas, diarias, con retención de 30 días, y pruebas de restauración periódicas.
• Registros de acceso y de acciones administrativas conservados 12 meses.
• Actualizaciones de seguridad aplicadas en un plazo razonable; cortafuegos y acceso por clave SSH.

Anexo II. Subencargados autorizados

Lista vigente a 28 de octubre de 2026.

No son subencargados (ver las cláusulas 5.5 y 5.6):