SEO Guard — Acuerdo de Encargo de Tratamiento (DPA)
En breve. Cuando accedemos a su sitio o a su CMS, actuamos como encargado del tratamiento de los datos personales que allí se encuentren (por ejemplo, cuentas de usuario o datos de pedidos visibles en el CMS). Seguimos sus instrucciones, mantenemos la confidencialidad, aplicamos las medidas de seguridad del Anexo II y no usamos esos datos para entrenar modelos de inteligencia artificial. Le informaremos de una violación de datos personales dentro de las 48 horas de haber tomado conocimiento. Los nuevos subencargados se anuncian con al menos 30 días de antelación, y usted puede oponerse. Este Acuerdo incorpora las Cláusulas Contractuales Tipo de la UE (2021/914) y el Addendum IDTA del Reino Unido como salvaguardia subsidiaria para transferencias a países sin decisión de adecuación. Argentina cuenta con una decisión de adecuación de la UE. Este Acuerdo forma parte de los Términos del Servicio. Véase también la Política de Privacidad para el tratamiento que realizamos como responsable.
1. Objeto, partes y prelación
1.1 Este Acuerdo de Encargo de Tratamiento (el DPA) es un addendum a los Términos del Servicio de SEO Guard (los Términos) celebrado entre Nicolas Schmidt, monotributista en Argentina, CUIT 20-32600187-3, domicilio fiscal Córdoba 41, Villaguay, Entre Ríos, CP 3240, Argentina, bajo el nombre comercial SEO Guard (el Prestador), y el Cliente que acepta los Términos (el Cliente). Juntos son las partes.
1.2 Este DPA se aplica cuando el Prestador trata Datos Personales como encargado por cuenta del Cliente, quien actúa como responsable (o como encargado de un responsable tercero, en cuyo caso el Prestador es subencargado y se aplica la cláusula 2.3).
1.3 Este DPA forma parte del Contrato definido en los Términos. Los términos en mayúscula que no se definen aquí tienen el significado que les dan los Términos. Normativa de Protección de Datos significa, según corresponda, el Reglamento (UE) 2016/679 (RGPD), el UK GDPR y la Data Protection Act 2018 (UK GDPR), la Ley 25.326 de Argentina y sus reglamentaciones, y cualquier norma similar que se aplique al tratamiento.
1.4 Si hay un conflicto en materia de tratamiento de Datos Personales, este DPA prevalece sobre los Términos. Las Cláusulas Contractuales Tipo o el Addendum del Reino Unido, cuando se apliquen, prevalecen sobre este DPA respecto de la transferencia internacional que cubren.
2. Roles e instrucciones
2.1 Las partes reconocen que:
(a) el Prestador es responsable de los datos de contacto comercial, de cuenta, de facturación y de prospectos, según se describe en la Política de Privacidad; ese tratamiento no está sujeto a este DPA, salvo las disposiciones de transferencia internacional que el Prestador aplica a sus propios proveedores;
(b) el Prestador es encargado de los Datos Personales presentes en el Sitio o visibles a través del CMS o de su API (por ejemplo, nombres de cuentas, direcciones de correo, comentarios o información de pedidos que aparezcan en páginas, bibliotecas de medios, registros de productos o respuestas del CMS mientras el Prestador rastrea, diagnostica, monitorea o aplica Correcciones automáticas). El Cliente es el responsable de esos datos (o un encargado, según la cláusula 2.3).
2.2 El Prestador tratará los Datos Personales del Encargo únicamente: (a) para prestar el Servicio; (b) conforme a las instrucciones documentadas del Cliente, que constan en el Contrato, en el alta del Cliente y en las instrucciones escritas (incluido el correo electrónico); y (c) cuando lo exija la ley, en cuyo caso el Prestador lo informará al Cliente antes del tratamiento, salvo que la ley prohíba ese aviso.
2.3 Si el Cliente es a su vez un encargado (por ejemplo, una agencia cuyo cliente es titular del Sitio), el Cliente declara que su responsable ha autorizado este DPA, incluido el nombramiento del Prestador y de los subencargados del Anexo III. El Cliente es responsable de reenviar las notificaciones y de la licitud de las instrucciones que imparta.
2.4 El Prestador informará al Cliente sin dilación indebida si, a su juicio, una instrucción infringe la Normativa de Protección de Datos. El Prestador no está obligado a prestar asesoramiento jurídico. Puede suspender el tratamiento afectado hasta que la instrucción se confirme, se retire o se modifique.
2.5 Datos Personales del Encargo son los Datos Personales descritos en el Anexo I.B.
3. Detalles del tratamiento
El objeto, la duración, la naturaleza, la finalidad, los tipos de Datos Personales y las categorías de interesados se describen en el Anexo I.B. La duración es la vigencia del Contrato más el plazo de supresión o devolución de la cláusula 10.
4. Confidencialidad
El Prestador se asegurará de que toda persona autorizada a tratar Datos Personales del Encargo (incluido el personal y los subencargados) esté sujeta a un deber de confidencialidad, por contrato o por ley, que sobreviva al fin de su vinculación, y de que trate los datos solo en la medida necesaria para cumplir el Contrato.
5. Seguridad
5.1 Teniendo en cuenta el estado de la técnica, los costos de aplicación, la naturaleza, el alcance, el contexto y los fines del tratamiento, así como los riesgos para las personas, el Prestador implementará las medidas técnicas y organizativas apropiadas del Anexo II (las MTO), incluidas las exigidas por el artículo 32 del RGPD y la disposición equivalente del UK GDPR, para garantizar un nivel de seguridad adecuado al riesgo.
5.2 El Cliente es responsable de la seguridad del propio Sitio, del CMS y de las credenciales que emite, y de decidir si las MTO son adecuadas para los datos que puedan estar presentes en el Sitio.
5.3 El Prestador no usará Datos Personales del Encargo, Informes que aún identifiquen al Cliente o a una persona, ni contenido del Sitio, para entrenar modelos de inteligencia artificial, propios o de terceros. Las consultas de diagnóstico enviadas a un proveedor de modelos se limitan a metadatos técnicos compactos de la auditoría, según el Anexo II, y están sujetas a una instrucción de no entrenamiento.
6. Subencargados
6.1 El Cliente otorga una autorización general al Prestador para contratar a los subencargados enumerados en el Anexo III, y para contratar nuevos subencargados conforme a esta cláusula 6.
6.2 El Prestador celebrará un contrato escrito con cada subencargado que imponga obligaciones de protección de datos no menos protectoras que este DPA, incluidas seguridad, confidencialidad, supresión y asistencia en materia de derechos de los interesados y de violaciones, y, cuando corresponda, las Cláusulas Contractuales Tipo o el Addendum del Reino Unido. El Prestador sigue siendo responsable frente al Cliente del desempeño de cada subencargado.
6.3 El Prestador dará al Cliente un preaviso de al menos treinta (30) días de la incorporación o el reemplazo de un subencargado, por correo electrónico y mediante la actualización del Anexo III o de una lista de subencargados enlazada desde https://seoguardhq.com. El aviso identificará al subencargado, su ubicación y su función.
6.4 El Cliente puede oponerse a un subencargado nuevo o de reemplazo por motivos razonables de protección de datos, mediante aviso dentro de los quince (15) días del aviso del Prestador. Las partes discutirán entonces de buena fe una alternativa (por ejemplo, no usar ese subencargado para ese Cliente). Si no hay una alternativa razonablemente disponible antes de que el cambio surta efecto, el Cliente puede terminar el Servicio afectado mediante aviso, y el Servicio continuará solo hasta el final del Período Pagado en curso, sin Tarifas adicionales. Esa terminación es el único remedio del Cliente frente a una oposición que no pueda resolverse.
6.5 Un cambio forzado por una reorganización societaria del subencargado bajo el mismo grupo, sin cambio material del tratamiento o de la ubicación, puede notificarse tan pronto como sea practicable, en lugar de con treinta días de antelación.
7. Asistencia con los derechos de los interesados y el cumplimiento
7.1 Teniendo en cuenta la naturaleza del tratamiento, el Prestador asistirá al Cliente, mediante medidas técnicas y organizativas apropiadas, en la medida de lo posible, para responder a las solicitudes de los interesados de ejercer sus derechos bajo la Normativa de Protección de Datos (acceso, rectificación, supresión, limitación, oposición, portabilidad y el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado).
7.2 Si el Prestador recibe una solicitud claramente referida a Datos Personales del Encargo, no responderá por sí mismo salvo para indicar a la persona que se dirija al Cliente, y reenviará la solicitud al Cliente sin dilación indebida.
7.3 El Prestador asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento y la información de que disponga, en las evaluaciones de impacto, las consultas previas a las autoridades de control y las obligaciones de seguridad del artículo 32 del Cliente, en cada caso únicamente en relación con el tratamiento del Prestador. Las solicitudes razonables que excedan el Servicio habitual podrán facturarse a una tarifa acordada de antemano.
8. Violaciones de Datos Personales
8.1 El Prestador notificará al Cliente una violación de Datos Personales que afecte Datos Personales del Encargo sin dilación indebida y, en cualquier caso, dentro de las cuarenta y ocho (48) horas de haber tomado conocimiento, por correo electrónico a la dirección de notificación del Cliente. Ese compromiso es más estricto que, y en todo caso no posterior a, el plazo máximo de setenta y dos (72) horas que suele usarse para las notificaciones del responsable a una autoridad de control.
8.2 El aviso describirá, en la medida en que entonces se conozca: (a) la naturaleza de la violación, incluidas las categorías y el número aproximado de interesados y de registros afectados; (b) las consecuencias probables; (c) las medidas adoptadas o propuestas para hacer frente a la violación y mitigar sus efectos; (d) el punto de contacto del Prestador (por defecto, [email protected]). El Prestador actualizará al Cliente a medida que disponga de más información.
8.3 El Prestador adoptará medidas razonables para contener, investigar y remediar la violación, y cooperará con las notificaciones lícitas del Cliente a las autoridades y a los interesados. El Prestador no notificará a una autoridad de control ni a los interesados en nombre del Cliente, salvo que el Cliente se lo pida o la ley lo obligue.
9. Transferencias internacionales
9.1 El Prestador está establecido en Argentina. La Comisión Europea ha reconocido que Argentina garantiza un nivel adecuado de protección de los Datos Personales (Decisión 2003/490/CE, en cuanto sigue vigente). El Reino Unido también considera adecuada a Argentina. Las transferencias de Datos Personales desde el EEE o el Reino Unido hacia el Prestador en Argentina pueden realizarse, por tanto, sobre la base de esa adecuación, sin herramientas adicionales de transferencia entre el Cliente y el Prestador.
9.2 Algunos subencargados están en países que pueden no beneficiarse de una decisión de adecuación. Para esas transferencias, las partes incorporan lo siguiente, que se aplica de forma automática cuando una transferencia requiere una salvaguardia bajo la Normativa de Protección de Datos:
(a) las Cláusulas Contractuales Tipo adoptadas por la Decisión de Ejecución (UE) 2021/914 de la Comisión, de 4 de junio de 2021 (las CCT), incluidos:
- el Módulo 2 (de responsable a encargado), cuando el Cliente es un responsable en el EEE (o está sujeto de otro modo al RGPD) y el Prestador o un subencargado es el importador;
- el Módulo 3 (de encargado a encargado), cuando el Cliente es un encargado y transfiere al Prestador, o cuando el Prestador transfiere a un subencargado;
(b) el International Data Transfer Addendum a las Cláusulas Contractuales Tipo de la Comisión Europea, emitido por el Information Commissioner del Reino Unido y vigente desde el 21 de marzo de 2022, en su versión eventualmente revisada (el Addendum del Reino Unido), para las transferencias sujetas al UK GDPR.
9.3 Respecto de las CCT: se incorpora la cláusula opcional de adhesión (cláusula 7); en la cláusula 9 de los Módulos 2 y 3, se aplica la Opción 2 (autorización general escrita), con el plazo de preaviso de la cláusula 6.3 de este DPA; en la cláusula 11, no se usa el procedimiento opcional de reclamación; en la cláusula 17, Opción 1, la ley aplicable es la de Irlanda; en la cláusula 18, los tribunales son los de Irlanda. Los Anexos I, II y III de las CCT se completan con los Anexos I, II y III de este DPA. La autoridad de control competente para la cláusula 13 se determina según el Anexo I.C.
9.4 Respecto del Addendum del Reino Unido: la Tabla 1 se completa con las partes del Anexo I.A; la Tabla 2 selecciona las CCT según esta cláusula 9, incluidos los módulos y opciones anteriores; la Tabla 3 se completa con los Anexos I, II y III de este DPA; la Tabla 4, sobre la terminación del Addendum cuando cambia el Addendum aprobado, se completa de modo que ninguna parte pueda terminar el Addendum del Reino Unido únicamente porque el Information Commissioner publique una nueva versión, salvo que esa nueva versión lo exija. No se usan las cláusulas alternativas de la Parte 2. El Addendum se rige por las leyes de Inglaterra y Gales, y los tribunales de Inglaterra y Gales tienen competencia, según lo previsto en el propio Addendum.
9.5 Si una herramienta de transferencia es declarada inválida o insuficiente, las partes adoptarán de buena fe una salvaguardia de reemplazo para que el tratamiento pueda continuar de forma lícita. El Prestador puede suspender la transferencia afectada hasta que ello ocurra.
9.6 Para las transferencias desde Argentina hacia otros países, el Prestador usa las salvaguardias exigidas por la Ley 25.326 y la Disposición AAIP 60-E/2016 (o la que la reemplace), incluidas cláusulas modelo o adecuación, según corresponda.
10. Supresión o devolución
10.1 Cuando termine el Contrato, o antes si el Cliente lo indica por escrito y es factible sin menoscabar el Servicio que aún deba prestarse, el Prestador, a elección del Cliente, suprimirá o devolverá los Datos Personales del Encargo, y suprimirá las copias existentes, dentro de los treinta (30) días.
10.2 Si el Cliente no hace una elección dentro de los quince (15) días posteriores al fin del Contrato, el Prestador suprimirá los Datos Personales del Encargo en el resto del plazo de treinta días.
10.3 El Prestador puede conservar copias en la medida y durante el plazo que exija la ley aplicable (por ejemplo, registros fiscales o contables, o un registro de exclusión necesario para respetar una baja). Los datos conservados siguen sujetos a los deberes de confidencialidad y seguridad de este DPA, y se aislarán del uso activo.
10.4 La supresión incluye instruir a los subencargados para que supriman los mismos datos, e incluye las copias de seguridad en un ciclo razonable de rotación que no exceda de treinta (30) días adicionales, salvo las copias que no sea factible editar de forma individual, que caducarán en el ciclo ordinario y no se restaurarán salvo que lo exija la ley.
11. Auditorías
11.1 El Prestador pondrá a disposición del Cliente toda la información razonablemente necesaria para demostrar el cumplimiento de este DPA y del artículo 28 del RGPD (y de la disposición equivalente del UK GDPR).
11.2 En primer término, esa información será documentación: una descripción de las MTO, la lista vigente de subencargados, certificaciones relevantes o resúmenes de auditorías de terceros si el Prestador las tiene, y respuestas escritas a cuestionarios razonables de seguridad, no más de una vez en un período de doce meses, salvo que una violación de Datos Personales o una sospecha genuina y documentada de incumplimiento material requiera razonablemente otra.
11.3 Si el Cliente, actuando de forma razonable, considera que la documentación no es suficiente para demostrar el cumplimiento, puede realizar una auditoría presencial o remota, por sí o a través de un auditor independiente sujeto a confidencialidad, en Días Hábiles, con un preaviso escrito de al menos treinta (30) días (o menor si una autoridad de control o una violación de Datos Personales lo requiere razonablemente), de un modo que no perturbe de forma irrazonable las operaciones del Prestador ni ponga en riesgo la seguridad u otra Información Confidencial de otros clientes. El Cliente asume sus propios costos y los costos razonables del Prestador de una auditoría presencial, salvo que la auditoría revele un incumplimiento material de este DPA por el Prestador, en cuyo caso esos costos razonables corren por cuenta del Prestador.
11.4 El Prestador puede oponerse a un auditor que sea un competidor o que no sea razonablemente independiente o calificado. Las partes acordarán entonces un auditor alternativo.
11.5 Una autoridad de control con derecho legal a auditar el tratamiento puede hacerlo de conformidad con la Normativa de Protección de Datos. El Prestador cooperará con esa auditoría en relación con los Datos Personales del Encargo.
12. Responsabilidad
La responsabilidad que surja de este DPA está sujeta a las limitaciones y exclusiones de los Términos, sin perjuicio de cualquier responsabilidad imperativa bajo la Normativa de Protección de Datos que no pueda limitarse entre una parte y un interesado o una autoridad de control. Nada en este DPA limita las obligaciones de una parte frente a los interesados bajo las CCT o el Addendum del Reino Unido, cuando esos instrumentos se apliquen.
13. Vigencia, cambios y disposiciones generales
13.1 Este DPA entra en vigor en la fecha en que entra en vigor el Contrato y dura hasta que el Prestador haya suprimido o devuelto los Datos Personales del Encargo de conformidad con la cláusula 10.
13.2 Los cambios a este DPA siguen la cláusula 21 de los Términos. Un cambio exigido por la Normativa de Protección de Datos o por una autoridad de control puede entrar en vigor en el plazo de preaviso necesario para cumplir.
13.3 Las cláusulas 4, 8, 10, 11, 12 y 13, y cualquier deber que por su naturaleza deba sobrevivir, sobreviven a la terminación hasta su cumplimiento.
13.4 La ley aplicable, la resolución de controversias, el idioma, las notificaciones y las cláusulas generales de los Términos se aplican a este DPA, salvo cuando las CCT o el Addendum del Reino Unido exijan otra cosa para una transferencia que cubran.
Anexo I — Partes y descripción del tratamiento
A. Lista de partes
Exportador (Cliente)
- Nombre, dirección y contacto: los que consten en el pedido, la factura, el registro de alta o el registro de aceptación.
- Rol: responsable, o encargado según la cláusula 2.3.
- Actividades: operar el Sitio y contratar el Servicio.
- Firma y fecha: la aceptación del Contrato por el Cliente según la cláusula 27 de los Términos constituye la firma de este DPA y, cuando corresponda, de las CCT y del Addendum del Reino Unido.
Importador (Prestador)
- Nombre: Nicolas Schmidt, bajo el nombre comercial SEO Guard.
- Dirección: Córdoba 41, Villaguay, Entre Ríos, CP 3240, Argentina.
- CUIT: 20-32600187-3.
- Contacto: [email protected].
- Rol: encargado (o subencargado, cuando se aplica la cláusula 2.3).
- Actividades: prestar el Servicio descrito en los Términos.
- Firma y fecha: la publicación de este DPA por el Prestador y su celebración del Contrato con el Cliente constituyen la firma.
B. Descripción de la transferencia y del tratamiento
| Elemento | Descripción |
|---|---|
| Objeto | Tratamiento de Datos Personales presentes en el Sitio o visibles a través del CMS o de su API, como incidente necesario de la prestación del Servicio. |
| Duración | La vigencia del Contrato, más el plazo de supresión o devolución de la cláusula 10. |
| Naturaleza | Recogida (mediante el rastreo de páginas de acceso público del Sitio y la lectura de respuestas del CMS o de la API), organización, almacenamiento, consulta, uso para el diagnóstico, alteración limitada mediante Correcciones automáticas, comunicación a subencargados autorizados, y supresión o devolución. No hay elaboración de perfiles de usuarios finales ni toma de decisiones sobre un interesado con efectos jurídicos o de importancia similar. |
| Finalidad | Prestar el Servicio: auditoría técnica de SEO, monitoreo, Informes, alertas de disponibilidad y Correcciones automáticas que el Cliente haya autorizado. |
| Categorías de interesados | Personas cuyos Datos Personales aparecen en el Sitio o en el CMS, que pueden incluir personal, clientes, prospectos, comentaristas, titulares de cuentas y otros visitantes del Cliente. El Prestador no busca datos de categorías especiales ni datos de menores, pero esos datos podrían aparecer de forma incidental si el Cliente los ha colocado en el Sitio. |
| Categorías de Datos Personales | Datos que aparecen en las páginas rastreadas, en metadatos de medios, en registros de productos o de contenido y en respuestas de la API del CMS. Pueden incluir nombres, direcciones de correo, nombres de usuario, texto de perfiles o comentarios, información de pedidos o de direcciones visible en esos sistemas, URL y contenido similar que el Cliente haya almacenado. No incluye datos de tarjetas de pago: el Prestador no solicita ni necesita acceso al entorno de tarjetas del Cliente. Las credenciales que el Cliente otorga al Prestador (tokens de API, contraseñas de aplicación) se tratan como datos confidenciales de seguridad, no como una categoría que se analice. |
| Categorías especiales | No está previsto. Si aparecen de forma incidental, se tratan solo como parte de las mismas operaciones técnicas y no se usan para ningún otro fin. |
| Frecuencia | Continua o periódica durante la vigencia, alineada con los rastreos semanales, las comprobaciones de monitoreo, los Informes mensuales y las ejecuciones de Correcciones automáticas. |
| Conservación | Según la cláusula 10. Los archivos de auditoría, las copias de datos de Correcciones automáticas y los Informes se conservan durante la vigencia y luego se suprimen o se devuelven. El Cliente conserva su propia copia de los Informes bajo la licencia de los Términos. |
| Transferencias a subencargados | Según el Anexo III, para las finalidades allí indicadas. |
C. Autoridad de control competente
Para las CCT, la autoridad de control competente es: (a) la autoridad de control del Estado miembro de la UE en el que está establecido el exportador; o (b) si el exportador no está establecido en el EEE, la autoridad de control del Estado miembro en el que está establecido el representante del exportador según el artículo 27 del RGPD; o (c) si no se aplican (a) ni (b), la autoridad de control del Estado miembro donde se encuentren predominantemente los interesados cuyos datos se transfieren. Si ello no puede determinarse, se designa como predeterminada para esta cláusula a la Comisión de Protección de Datos de Irlanda (Irish Data Protection Commission).
Anexo II — Medidas técnicas y organizativas (MTO)
El Prestador implementa las medidas siguientes, que puede actualizar siempre que el nivel general de protección no se reduzca de forma material (una reducción material es un cambio bajo la cláusula 21 de los Términos).
1. Cifrado en tránsito. Todo acceso a la Plataforma, al sitio web del Prestador y a los puntos de acceso del CMS o de la API que el Prestador invoque usa TLS/HTTPS. El correo electrónico se transmite con TLS cuando el servidor receptor lo admite.
2. Tokens de API con el menor privilegio. El Prestador solicita solo los permisos de CMS y de API razonablemente necesarios para el Servicio (según los Términos). Los tokens se usan únicamente para cumplir el Contrato. El Cliente puede revocarlos en cualquier momento.
3. Almacenamiento protegido de secretos. Los secretos de producción de la propia infraestructura del Prestador (por ejemplo, secretos de Cloudflare Workers y tokens de despliegue) se almacenan en depósitos de secretos cifrados. Los tokens de CMS y credenciales similares del Cliente se almacenan en un entorno de acceso restringido, disponible solo para los sistemas y el personal autorizado que prestan el Servicio, y no se incluyen en repositorios públicos de código. El Prestador cifrará en reposo esas credenciales del Cliente.
4. Control de acceso y registro. El acceso a las credenciales del Cliente, a los almacenes de auditoría y a los Informes está limitado al Prestador y al personal o subencargados que lo necesiten. El acceso a los sistemas de producción queda registrado. El personal está sujeto a confidencialidad.
5. Sin entrenamiento de IA con datos del Cliente. Los Datos Personales del Encargo, los Informes identificables y el contenido del Sitio no se usan para entrenar modelos de inteligencia artificial. Cuando se usa un proveedor de modelos (actualmente xAI, Inc., para el diagnóstico en lenguaje claro), el Prestador envía únicamente metadatos técnicos compactos de la auditoría (un conjunto limitado de campos, como tipos de incidencia, listas acotadas de URL y resúmenes técnicos breves), no credenciales de CMS, no datos de pago ni un volcado completo del contenido del Sitio, e instruye al proveedor para que no use la entrada para entrenar modelos.
6. Seguridad de las Correcciones automáticas. Antes de aplicar una Corrección automática, se respalda el dato que está por modificarse. El cambio se verifica (respuesta HTTP exitosa) y se revierte si la verificación falla. El Cliente puede exigir el modo de solo vista previa, según los Términos.
7. Seguridad de red y de la Plataforma. El sitio público se sirve por HTTPS con cabeceras de seguridad. Los formularios de entrada usan medidas de prevención de abusos (incluido un campo trampa, un tiempo mínimo de completar y un límite de intentos sobre un hash unidireccional de la dirección IP, conservado por un período breve). El Prestador aplica el menor privilegio en las cuentas de nube.
8. Separación. Las credenciales, los archivos de auditoría y los Informes de cada Cliente se almacenan asociados al identificador del Sitio de ese Cliente y no se usan para prestar el Servicio a otro cliente.
9. Disponibilidad y resiliencia. Monitoreo de disponibilidad de los Sitios de los Clientes y de la Plataforma, copias de seguridad de los datos de Correcciones automáticas, y el objetivo de disponibilidad y el proceso de soporte del ANS.
10. Personal y dispositivos. El personal que puede acceder a Datos Personales del Encargo usa dispositivos razonablemente protegidos y credenciales únicas. No hay un equipo operativo de gran escala: el acceso se limita a las personas que prestan el Servicio.
11. Respuesta a incidentes. El Prestador mantiene un proceso para detectar, contener, investigar y notificar violaciones de Datos Personales dentro del plazo de la cláusula 8.
12. Supresión. Las credenciales se revocan o se eliminan al terminar el Contrato. Los Datos Personales del Encargo se suprimen o se devuelven según la cláusula 10.
13. Transferencias internacionales. Las transferencias se realizan sobre las bases de la cláusula 9, incluida la adecuación de Argentina y las CCT / el Addendum del Reino Unido para los subencargados que los requieran.
Anexo III — Subencargados autorizados
El Cliente autoriza a los siguientes subencargados. Las ubicaciones indican el establecimiento principal del subencargado y el lugar habitual de tratamiento; un proveedor también puede tratar en otras regiones según sus propias condiciones.
| Subencargado | País | Función | Datos Personales habitualmente involucrados |
|---|---|---|---|
| Cloudflare, Inc. | Estados Unidos | Hosting, CDN, seguridad, Cloudflare Pages y Workers, enrutamiento de correo, y almacenamiento de envíos de formularios y de registros de baja en Workers KV | Direcciones IP y registros de solicitudes (según el registro estándar de Cloudflare), datos de formularios y de bajas, metadatos de enrutamiento de correo |
| Sendinblue SAS (Brevo) | Francia (UE) | Envío de correos transaccionales y de servicio o prospección B2B | Dirección de correo del destinatario, nombre si se proporciona, contenido del mensaje y estado de entrega; datos de interacción si la API de envío los registra |
| Google LLC (API de PageSpeed Insights) | Estados Unidos | Medición de rendimiento de laboratorio y de campo de las URL públicas del Sitio | URL públicas del Sitio, y cualquier Dato Personal que esas URL públicas expongan por sí mismas |
| xAI, Inc. (proveedor de modelos de IA, modelos Grok) | Estados Unidos | Diagnóstico en lenguaje claro de los hallazgos de la auditoría | Únicamente metadatos técnicos compactos de la auditoría, según el Anexo II.5 |
| Google LLC / Google Ireland Limited (Gmail) | Estados Unidos / Irlanda | Buzón que recibe el correo reenviado desde [email protected] (Cloudflare Email Routing) | El contenido de los correos que el Cliente o un interesado envía al Prestador |
| Telegram Messenger Inc. / Telegram FZ-LLC | Opcional, solo si el Cliente habilita alertas por Telegram | Entrega de alertas operativas o de disponibilidad que el Cliente haya solicitado | Contenido de la alerta (habitualmente el dominio del Sitio y el estado de disponibilidad) y el identificador de chat que el Cliente proporciona |
Wise Payments Limited y sus afiliadas (Wise) tratan los datos de facturación y de pago del Cliente como proveedor de servicios de pago. El Prestador es el responsable de esos datos de facturación, de modo que Wise no es un subencargado bajo este DPA. Wise figura en la Política de Privacidad.
El Prestador también puede comunicar datos si lo exige la ley, un tribunal o una autoridad competente, según la cláusula 11.3 de los Términos.
Nicolas Schmidt, bajo el nombre comercial SEO Guard CUIT 20-32600187-3 Córdoba 41, Villaguay, Entre Ríos, CP 3240, Argentina [email protected] · https://seoguardhq.com