Acuerdo de Tratamiento de Datos (DPA)

El presente Acuerdo de Tratamiento de Datos («DPA») forma parte integrante de los Términos y Condiciones de la plataforma Optimads y regula el tratamiento de datos personales conforme al Reglamento (UE) 2016/679 («RGPD»), art. 28, y a la Ley rumana n.º 190/2018. Se aplica automáticamente a todo Cliente que utilice el Servicio.

1. Definiciones

Los términos «datos personales», «tratamiento», «responsable del tratamiento», «encargado del tratamiento», «interesado» y «violación de la seguridad de los datos» tienen el significado que les da el RGPD. «Servicio» = la plataforma Optimads. «Subencargado» = tercero que trata datos por cuenta nuestra.

2. Objeto y finalidad

Tratamos los datos exclusivamente para prestar el Servicio contratado por el Cliente: seguimiento de conversiones (en servidor y en navegador), atribución, informes y envío de eventos a las plataformas publicitarias elegidas por el Cliente, así como las respuestas del asistente de IA (Finny) y la entrega de alertas por los canales elegidos por el Cliente (email, WhatsApp, Telegram), que pueden contener datos de las cuentas publicitarias y de las tiendas del Cliente. Las operaciones incluyen recogida, registro, organización, almacenamiento y supresión, conforme a las instrucciones del Cliente.

3. Funciones y responsabilidades

• El Cliente = Responsable — garantiza la base jurídica de la recogida (incluido el consentimiento de los visitantes antes del seguimiento) y la licitud de los datos.
• Optimads = Encargado — trata los datos únicamente siguiendo las instrucciones documentadas del Cliente (la configuración en la plataforma) e informa al Cliente si una instrucción infringe el RGPD.

4. Obligaciones del Encargado

• Confidencialidad: las personas con acceso a los datos están obligadas a la confidencialidad.
• Seguridad adecuada (véase la sección 8).
• Asiste al Cliente, en la medida de lo posible, para responder a las solicitudes de los interesados (acceso, supresión, etc.).
• Notifica las violaciones de seguridad (véase la sección 10).

5. Datos tratados

Categorías de datos

• Datos de identificación de compradores y visitantes (email, teléfono, nombre, apellidos, ciudad, código postal, provincia, país y, si el sitio los envía, género y fecha de nacimiento) — enviados a las plataformas publicitarias solo como hash SHA-256. El hash es una seudonimización, no una anonimización: los datos siguen siendo datos personales.
• Identificadores técnicos: dirección IP, tipo de dispositivo/navegador, marcas de tiempo, identificadores de cookies (p. ej. fbc/fbp, ttclid), ID de visitante.
• Datos de comportamiento publicitario y de conversión: eventos (PageView, ViewContent, AddToCart, Purchase), valor del pedido, ID del pedido.
• Datos de campañas y de la tienda incluidos en las alertas y en las respuestas del asistente (nombres de campañas y cuentas, cifras de rendimiento, pedidos agregados).

Interesados

Los visitantes y clientes de las tiendas/sitios web del Cliente.

Plazo de conservación

Durante la vigencia del contrato. A su término, los datos de seguimiento se eliminan en un máximo de 30 días (salvo obligaciones legales de conservación). Los registros del servidor se conservan de 7 a 30 días para diagnóstico y seguridad.

6. Datos sensibles

El Servicio no está destinado ni debe usarse para recoger categorías especiales de datos (salud, religión, opiniones políticas, orientación sexual — art. 9 RGPD).

7. Subencargados y transferencias internacionales

El Cliente autoriza de forma general el uso de los subencargados indicados a continuación, que aplican normas de protección equivalentes. Anunciaremos los cambios con al menos 15 días de antelación (actualizando esta página / por email); las objeciones se envían a contact@optimads.ai.

Las transferencias fuera de la UE/EEE se realizan con garantías adecuadas (Cláusulas Contractuales Tipo o decisiones de adecuación, incluido el EU-U.S. Data Privacy Framework para los proveedores certificados).

Telegram, si un usuario del Cliente decide conectarlo, entrega los mensajes como responsable independiente según sus propios términos; no es nuestro subencargado.

8. Medidas técnicas y organizativas

• Control de acceso por roles + autenticación; tokens almacenados de forma segura, nunca mostrados ni registrados.
• Cifrado en tránsito (HTTPS/TLS); los datos de identificación de visitantes y compradores (email, teléfono, nombre, dirección) se envían a las plataformas publicitarias solo como hash SHA-256.
• Aislamiento lógico de los datos entre clientes (RLS), registro de accesos.
• Infraestructura en proveedores con certificaciones reconocidas; pruebas antes de la implantación.

9. Derecho de auditoría

Previa solicitud razonable, facilitamos la documentación de seguridad pertinente. Puede realizarse una auditoría presencial con un preaviso mínimo de 14 días, como máximo una vez al año, en horario laboral, sin perturbar la actividad, previa firma de un acuerdo de confidencialidad y a cargo del Cliente.

10. Notificación de violaciones

Notificamos al Cliente sin dilación indebida y en un máximo de 72 horas desde la confirmación de una violación de la seguridad de los datos, con la información disponible y las medidas adoptadas.

11. Supresión de los datos

Al término del contrato, eliminamos los datos de los sistemas activos en un máximo de 30 días. Previa solicitud, podemos facilitar una exportación estructurada (JSON/CSV) en 30 días. Los interesados pueden solicitar la supresión en cualquier momento (véase también la página Eliminación de datos).

12. Ley aplicable

Se aplica la ley rumana. Los litigios se resuelven de forma amistosa; en su defecto, son competentes los tribunales de Rumanía.

13. Modificaciones

Podemos actualizar este DPA para reflejar cambios en el tratamiento o en la normativa; los cambios importantes se anuncian mediante su publicación en esta página.

Esta versión en español es una traducción ofrecida por comodidad; en caso de discrepancia, prevalece la versión en rumano.