1. Partes, objeto y duración
Este acuerdo vincula a la Agencia cliente (el «Responsable del tratamiento») y a TECH APP STUDIO, SAS de derecho francés, RCS Nice 106 518 152, 19 Avenue des Diables Bleus, 06300 Nice, France (el «Encargado del tratamiento»), para los datos personales tratados en Velora. Forma parte de las condiciones de venta y se aplica durante toda la vigencia del contrato y después hasta la eliminación completa de los datos.
Completa la política de privacidad. En caso de contradicción en materia de protección de datos, este acuerdo prevalece sobre las condiciones de venta.
2. Descripción del tratamiento
- Naturaleza y finalidad: alojamiento, almacenamiento, visualización y transmisión de los datos necesarios para el servicio descrito en las condiciones de venta (seguimiento de ventas, contenidos, mensajes, sesiones, contratos, app de las Modelos).
- Interesados: las Modelos de la Agencia y los miembros de su equipo.
- Datos: identidad y datos de contacto, cuentas de las plataformas conectadas (sesiones y claves cifradas), ventas, contenidos, mensajes, respuestas a formularios, contratos, muestras de voz si se usa la función, datos del dispositivo y de conexión, registros de seguridad.
- Categorías especiales: el seguimiento «Mi ciclo» (datos de salud), opcional, activado solo con el consentimiento explícito de la Modelo recabado en la app, cifrado y no visible para la Agencia.
- Duración: la del contrato, más el periodo de exportación de 30 días.
3. Instrucciones de la Agencia
El Encargado trata los datos únicamente siguiendo instrucciones documentadas de la Agencia. Las condiciones de venta, este acuerdo y los ajustes que la Agencia hace en la consola constituyen sus instrucciones. El Encargado avisa a la Agencia si considera que una instrucción infringe el RGPD.
El Encargado nunca usa los datos para fines propios, no los vende y no los usa para entrenar modelos de IA.
4. Confidencialidad
Solo las personas autorizadas del Encargado acceden a los datos, cuando es necesario para el servicio. Están sujetas a confidencialidad por contrato o por una obligación legal.
5. Seguridad (artículo 32 del RGPD)
- Aislamiento de las agencias en la base de datos (Row Level Security), verificado por pruebas automáticas.
- Cifrado AES-256-GCM de los secretos con una clave por agencia, a su vez cifrada por una clave maestra fuera de la base de datos.
- Cifrado de las comunicaciones (TLS) y de los datos en reposo en los proveedores de alojamiento.
- Contraseñas con hash (Argon2id), autenticación en dos pasos obligatoria para propietarios y administradores.
- Medios privados, accesibles solo mediante enlaces firmados válidos 5 minutos.
- Registro de auditoría de las acciones sensibles, copias de seguridad cifradas, límites de peticiones contra la extracción de datos.
- App de iPhone verificada con App Attest, sesiones guardadas en el llavero del dispositivo.
El Encargado puede actualizar estas medidas sin reducir el nivel de protección.
6. Subencargados
La Agencia autoriza de forma general el recurso a los subencargados enumerados en la política de privacidad. El Encargado les impone por contrato las mismas obligaciones de protección de datos y sigue siendo responsable de su cumplimiento.
El Encargado avisa a la Agencia por correo al menos 30 días antes de añadir o sustituir un subencargado. La Agencia puede oponerse por un motivo razonable relacionado con la protección de datos. Si no se encuentra solución, puede resolver el contrato sin coste antes del cambio.
7. Servicios conectados por la Agencia
Los servicios de terceros que la propia Agencia conecta (plataformas de venta, mensajería, firma electrónica, redes sociales, proveedores de IA) no son subencargados del Encargado. Los datos se les envían por instrucción de la Agencia, que elige esos servicios, acepta sus condiciones y regula su relación con ellos.
8. Transferencias fuera de la UE
Los datos se alojan en la Unión Europea. Una transferencia a un tercer país, incluido un acceso remoto de un subencargado, solo se produce con garantías adecuadas: decisión de adecuación (incluido el Marco de Privacidad de Datos UE-EE. UU.) o cláusulas contractuales tipo de la Comisión Europea.
9. Asistencia a la Agencia
El Encargado ayuda a la Agencia a atender las solicitudes de ejercicio de derechos: la consola permite exportar y eliminar los datos, y cualquier solicitud recibida directamente de un interesado se transmite a la Agencia sin dilación indebida.
Previa solicitud, también ayuda a la Agencia en sus evaluaciones de impacto y consultas a la autoridad de control, facilitándole la información de la que dispone.
10. Violación de datos
El Encargado notifica a la Agencia cualquier violación de datos personales sin dilación indebida y, a más tardar, 48 horas después de tener conocimiento de ella. La notificación describe, en la medida de lo posible, la naturaleza de la violación, las categorías y el número aproximado de personas y registros afectados, las consecuencias probables y las medidas adoptadas o propuestas.
11. Fin del contrato
Al finalizar el contrato, la Agencia puede exportar sus datos durante 30 días. Después, el Encargado los elimina. Las copias presentes en las copias de seguridad desaparecen con su rotación, en un plazo de 30 días. El Encargado confirma la eliminación por escrito si se le solicita. Solo se conservan los datos que la ley le obliga a guardar, como las facturas.
12. Auditoría
El Encargado pone a disposición de la Agencia la información necesaria para demostrar el cumplimiento de este acuerdo. La Agencia puede encargar una auditoría una vez al año, con un preaviso de 30 días, a su cargo, a un auditor independiente sujeto a confidencialidad, sin perturbar el servicio ni acceder a los datos de otros clientes.
13. Compromisos de la Agencia
La Agencia garantiza que dispone de una base jurídica para cada tratamiento, que informa a sus Modelos y a su equipo, que recaba los consentimientos necesarios (en particular para la voz y la imagen) y que solo invita a personas mayores de edad. Puede publicar su propia política de privacidad en la app de sus Modelos desde la consola (Personalizar).