Acuerdo de encargo del tratamiento

1. Las partes

Este acuerdo es el contrato del artículo 28 del RGPD entre el cliente, responsable del tratamiento («tú»), y Ismael Eduardo Gomez (MDS Digital), encargado del tratamiento («Teory»). Es el anexo de los Términos de servicio: forma parte de ellos y se acepta con ellos, por escrito y en formato electrónico (artículo 28.9). Si firmamos contigo un acuerdo de encargo aparte, manda ese; y, si lo pides, te damos este firmado.

2. Qué tratamos y para qué

Tratamos datos personales por tu cuenta para prestarte el servicio de los Términos: buscar personas en LinkedIn con tus criterios y juzgar si encajan y si dicen que sí, interactuar con lo que publican, invitarlas, escribirles y contestarles, copiar en Teory la bandeja de tus cuentas, traducir una conversación para tu equipo, pasar a texto sus notas de voz, mandar el correo que pide un contacto, escribir en tu CRM a quien dice que sí y reconocer en tu Calendly sus reservas. Los interesados y los datos, en el anexo I. Dura lo que dure el contrato.

Para dar soporte y diagnosticar y arreglar fallos, quien opera el servicio puede revisar el contenido de tu espacio, y no lo usa para otra cosa.

3. Tus instrucciones

Tratamos los datos solo según tus instrucciones documentadas, también sobre transferencias: las que das en el producto —campañas, criterios, listas y lo que pides a Teory AI— y las que nos des por escrito, a contact@teory.ai. Si una nos parece contraria a la ley, te lo decimos en el acto y podemos negarnos a seguirla. Si una ley nos obliga a tratarlos de otra forma, te lo decimos antes de tratarlos, salvo que esa ley lo prohíba.

4. Lo que nos toca

• Confidencialidad: quien trata estos datos por nuestra parte tiene deber de secreto, también después.
• Seguridad: las medidas del anexo II, conforme al artículo 32.
• Los derechos de los interesados: te ayudamos a atenderlos en la medida en que el producto lo permite, y si alguno nos escribe, te pasamos su petición en los 5 días siguientes y no decidimos por ti. Hoy el producto no deja borrar a una persona, pero sí dejarla fuera de toda campaña: a quien está en la lista de no contactar de tu espacio, ninguna campaña le vuelve a escribir mientras no la quites de ella. Entra sola quien pide que no le escriban más, y entra quien nos pidas que apuntemos. A quien solo dice que no le interesa, ninguna campaña de tu espacio le vuelve a escribir en los 6 meses siguientes, y pasado ese plazo Teory no lo impide por sí solo.
• Una evaluación de impacto o una consulta previa a la autoridad: te damos la información que tengamos.
• Una brecha que afecte a datos tratados por tu cuenta: te avisamos en las 48 horas siguientes a conocerla, con lo que sepamos —qué pasó, a quién afecta, qué consecuencias puede tener y qué estamos haciendo—, para que puedas avisar a la autoridad en las 72 horas del artículo 33.

5. Subencargados

Nos das una autorización general para contar con los subencargados del anexo III. Si añadimos o cambiamos uno, te lo decimos por correo, como tarde el día en que empiece a tratar datos por tu cuenta; si te opones con un motivo razonable de protección de datos y no damos con una solución, puedes terminar el contrato sin penalización por lo que no se haya prestado. A cada uno le imponemos las mismas obligaciones que este acuerdo nos impone, y respondemos de él ante ti como de nosotros mismos.

6. Transferencias

Lo que sale del Espacio Económico Europeo sale con la garantía que dice su fila del anexo III; donde son las cláusulas contractuales tipo de la Decisión (UE) 2021/914, nos autorizas a celebrarlas en tu nombre con el subencargado que haga falta.

7. Al terminar

Al terminar el contrato, lo termine quien lo termine, borramos los datos tratados por tu cuenta o te los devolvemos, como elijas —si no eliges, los borramos—, en los 30 días siguientes, salvo lo que una ley nos obligue a conservar; hoy se hace a mano. Las copias de seguridad los guardan hasta que caducan, como dice el anexo II.

8. Lo que te toca, y las auditorías

Te toca tener una base jurídica para contactar a quien decides contactar, y poder demostrarlo; informar a esas personas en los plazos del artículo 14.3 del RGPD y atender sus derechos y su oposición; no meter en Teory datos obtenidos de forma ilícita, categorías especiales ni datos de menores; y darnos instrucciones lícitas. Respondes de tus instrucciones, y nosotros, de seguirlas y de cumplir este acuerdo.

Te damos la información necesaria para demostrar que lo cumplimos, y aceptamos auditorías e inspecciones tuyas o de un auditor que designes, con 30 días de aviso, una vez al año salvo incidente, en horario laboral y sin alterar el servicio; cada parte asume sus costes.

En protección de datos, si este acuerdo y los Términos dicen cosas distintas, manda este acuerdo.

Anexo I. Detalles del tratamiento

Anexo II. Medidas de seguridad

Las que se aplican hoy, una a una:

• Las cookies de LinkedIn, las credenciales de los proxies y las claves de correo, CRM y Calendly viven en un almacén de secretos cifrado, nunca en una columna, un registro o una respuesta; la sesión de LinkedIn, también en el disco cifrado del motor.
• Todo viaja cifrado, y la base está cifrada en reposo.
• Cada cuenta de LinkedIn tiene su IP, que no comparte, y su huella de navegador.
• Cada cliente ve solo lo suyo, y un miembro solo lo de sus cuentas: lo impone la base, fila a fila.
• La contraseña de LinkedIn no se recoge ni se guarda, y lo que se teclea al entrar no se registra.
• Hay copias: las de la base de datos, según el plan de su proveedor, y una instantánea diaria del disco del motor, que dura cinco días.
• Quien opera el servicio accede a producción, también con herramientas de inteligencia artificial.

Anexo III. Subencargados

Los que tocan datos tratados por tu cuenta, por categoría, con dónde están y con qué garantía:

La lista completa —quién es cada uno, su dirección, su contacto, qué hace por nosotros, dónde trata los datos y con qué garantía— te la mandamos por correo al empezar, con cada cambio y cuando nos la pidas.