Acuerdo de Procesamiento de Datos (DPA)

1. Introducción

Este Acuerdo de Procesamiento de Datos ("DPA") forma parte de los Términos de Servicio de Consentiam y establece las obligaciones de protección de datos entre:

• Responsable del tratamiento: El cliente que utiliza Consentiam
• Encargado del tratamiento: Consentiam (operador de la plataforma)

2. Datos procesados

Consentiam procesa los siguientes datos en nombre del cliente:

2.1 Datos de consentimiento

• Estado del consentimiento (aceptado/rechazado por categoría)
• Fecha y hora del consentimiento
• Versión del banner mostrado
• Identificador anónimo de sesión

2.2 Datos técnicos

• Dirección IP (anonimizada: últimos octetos eliminados)
• User-Agent del navegador
• URL de la página visitada
• País/región (derivado de IP)

2.3 Datos NO procesados

• Nombres o datos identificativos
• Emails de visitantes
• Datos de pago de visitantes
• Contenido de cookies de terceros

3. Finalidad del tratamiento

Los datos se procesan exclusivamente para:

• Registrar y demostrar el consentimiento del usuario (requisito GDPR)
• Proporcionar analytics de consentimiento al cliente
• Mejorar el rendimiento y funcionamiento del servicio

4. Subencargados

Consentiam utiliza proveedores de servicios terceros que actúan como subencargados del tratamiento. Estos proveedores:

• Operan centros de datos con certificación ISO 27001 y/o SOC 2 Type II
• Almacenan datos exclusivamente en la Unión Europea
• Tienen firmadas Cláusulas Contractuales Tipo (SCCs) vigentes
• Cumplen con los requisitos del RGPD

Categorías de subencargados

• Infraestructura cloud: Hosting, CDN y servicios de computación
• Almacenamiento de datos: Bases de datos y sistemas de cache
• Procesamiento de pagos: Gestión de suscripciones y facturación

Para obtener una lista actualizada de subencargados específicos, contacta con dpo@consentiam.eu.

5. Transferencias internacionales

Consentiam almacena todos los datos en la Unión Europea. No realizamos transferencias de datos fuera del EEE excepto cuando:

• El destino tiene decisión de adecuación de la Comisión Europea
• Existen Cláusulas Contractuales Tipo (SCCs) vigentes
• El usuario ha dado su consentimiento explícito

6. Medidas de seguridad

Implementamos las siguientes medidas técnicas y organizativas:

• Cifrado TLS 1.3 en tránsito
• Cifrado AES-256 en reposo
• Autenticación de dos factores para administradores
• Auditorías de seguridad periódicas
• Backups cifrados diarios
• Monitorización 24/7 de incidentes

7. Retención de datos

Los datos de consentimiento se conservan durante:

• Datos de consentimiento: Mientras el cliente mantenga su cuenta activa + 3 años (requisito GDPR para demostrar compliance)
• Analytics agregados: 24 meses
• Logs técnicos: 90 días

8. Derechos de los interesados

Asistiremos al cliente en el cumplimiento de solicitudes de derechos ARCO:

• Acceso: Exportación de datos en formato JSON
• Rectificación: Corrección de datos inexactos
• Supresión: Eliminación de datos bajo solicitud
• Portabilidad: Exportación en formato estándar

9. Notificación de brechas

En caso de brecha de seguridad que afecte datos personales:

• Notificaremos al cliente en un máximo de 24 horas
• Proporcionaremos información detallada del incidente
• Colaboraremos en la notificación a autoridades si procede

10. Auditorías

El cliente tiene derecho a verificar el cumplimiento de este DPA mediante:

• Solicitud de informes de auditoría existentes
• Cuestionarios de seguridad
• Auditorías in situ con aviso previo de 30 días (planes Agency)

11. Contacto DPO

Para cualquier consulta relacionada con protección de datos:

Email: dpo@consentiam.eu