Acuerdo de tratamiento de datos (DPA)

1. Ámbito de aplicación y aplicabilidad

Este Acuerdo de tratamiento de datos («DPA») forma parte de los Términos de uso entre Cemile Ceylan («encargado del tratamiento») y el cliente («responsable del tratamiento»), y se aplica cuando el encargado del tratamiento trata datos personales por cuenta del responsable del tratamiento en la prestación de los servicios de MobVex. Este DPA cumple el artículo 28 del Reglamento General de Protección de Datos (RGPD).

Este DPA se aplica a los clientes empresariales y profesionales. Para formalizar este DPA, contacta con nosotros en info@mobvex.io.

2. Definiciones

• Datos personales: toda información relativa a una persona física identificada o identificable.
• Tratamiento: cualquier operación realizada sobre datos personales (recogida, almacenamiento, uso, etc.).
• Responsable del tratamiento: el cliente que determina los fines y los medios del tratamiento.
• Encargado del tratamiento: Cemile Ceylan, que trata datos por cuenta del responsable del tratamiento.
• Interesado: la persona física cuyos datos personales se tratan.
• Subencargado: un tercero contratado por el encargado del tratamiento para tratar datos personales.

3. Naturaleza y finalidad del tratamiento

El encargado del tratamiento trata datos personales con el fin de prestar el Servicio MobVex al responsable del tratamiento. Las actividades de tratamiento incluyen:

• Datos de la cuenta: direcciones de correo electrónico, nombres y tokens de autenticación para la gestión de las cuentas.
• Datos de facturación: información de pago tratada a través de Paddle (subencargado).
• Datos de uso: registros de uso de las herramientas, consumo de créditos y métricas de interacción con las funciones.
• Inventario de aplicaciones: nombres de paquetes e identificadores de aplicaciones proporcionados por el responsable del tratamiento.
• Resultados de análisis: informes, clasificaciones de palabras clave y análisis de reseñas generados para el responsable del tratamiento.

4. Duración del tratamiento

El tratamiento continúa durante toda la vigencia de la cuenta del responsable del tratamiento y hasta 30 días después de la terminación de la cuenta, salvo que la ley exija una conservación más prolongada.

5. Obligaciones del encargado del tratamiento

El encargado del tratamiento se compromete a:

• Tratar los datos personales únicamente siguiendo instrucciones documentadas del responsable del tratamiento, incluidas las relativas a las transferencias.
• Garantizar que las personas autorizadas para tratar datos personales estén sujetas a obligaciones de confidencialidad.
• Aplicar medidas de seguridad técnicas y organizativas adecuadas (véase la sección 7).
• Ayudar al responsable del tratamiento a responder a las solicitudes de ejercicio de los derechos de los interesados.
• Ayudar al responsable del tratamiento a cumplir las obligaciones del RGPD en materia de seguridad, notificación de violaciones de seguridad y evaluación de impacto relativa a la protección de datos (EIPD).
• Notificar al responsable del tratamiento, sin dilación indebida y en todo caso en un plazo de 72 horas, cualquier violación de seguridad de datos personales de la que tenga conocimiento.
• Suprimir o devolver al responsable del tratamiento todos los datos personales al finalizar los servicios.
• Poner a disposición del responsable del tratamiento toda la información necesaria para demostrar el cumplimiento.
• Permitir las auditorías realizadas por el responsable del tratamiento o por un auditor autorizado, y contribuir a ellas.

6. Subencargados

El responsable del tratamiento autoriza al encargado del tratamiento a recurrir a los siguientes subencargados:

El encargado del tratamiento informará al responsable del tratamiento de cualquier cambio previsto relativo a la incorporación o a la sustitución de subencargados, dando al responsable del tratamiento la oportunidad de oponerse.

7. Medidas de seguridad

El encargado del tratamiento aplica y mantiene las siguientes medidas técnicas y organizativas:

• Cifrado de los datos en tránsito (TLS 1.2+) y en reposo (AES-256)
• Firebase Authentication para el control de acceso, con una gestión segura de las sesiones
• Content Security Policy (CSP) y cabeceras de seguridad (X-Frame-Options, protección XSS)
• Actualizaciones de seguridad periódicas y análisis de vulnerabilidades de las dependencias
• Cortafuegos y protección DDoS mediante la infraestructura de Google Cloud
• Registro de accesos y supervisión de las acciones administrativas
• Principio de mínimo privilegio para el acceso interno a los sistemas de producción
• Datos almacenados exclusivamente en la región us-central1, salvo indicación en contrario

8. Derechos de los interesados

El encargado del tratamiento ayudará al responsable del tratamiento, teniendo en cuenta la naturaleza del tratamiento, mediante medidas técnicas y organizativas adecuadas, a cumplir su obligación de responder a las solicitudes de los interesados en virtud del RGPD (artículos 12-23).

Las solicitudes de los interesados deben dirigirse a info@mobvex.io.

9. Transferencias internacionales de datos

Los datos personales se tratan y se almacenan en Estados Unidos. Para las transferencias del EEE a Estados Unidos, el encargado del tratamiento se basa en las cláusulas contractuales tipo (SCC) y en medidas complementarias cuando proceda. Las condiciones de tratamiento de datos conformes con el RGPD de Google Cloud Platform se aplican a los servicios de Firebase.

10. Responsabilidad

La responsabilidad de cada parte en virtud de este DPA está sujeta a las limitaciones establecidas en los Términos de uso. Nada de lo dispuesto en este DPA limita la responsabilidad de ninguna de las partes por las violaciones de seguridad causadas por su negligencia o dolo, ni en los casos en que la responsabilidad no pueda limitarse por ley.

11. Formalización

Este DPA se incorpora por referencia a los Términos de uso para los clientes que cumplan los requisitos. Para un acuerdo firmado por separado, los clientes empresariales pueden contactar con nosotros en info@mobvex.io.

12. Contacto