Acuerdo de Tratamiento de Datos

Esta es una traducción de cortesía. La versión original y oficial de este documento es la versión en inglés, que prevalece en caso de discrepancia (Cláusula 16.1).

El presente Acuerdo de Tratamiento de Datos ("DPA") forma parte de los Términos de Uso y los complementa, y se celebra entre Clakta LLC, sociedad de responsabilidad limitada (limited liability company) constituida conforme a las leyes del Estado de Wyoming, Estados Unidos, con domicilio social en 30 N Gould St, STE R, Sheridan, Wyoming 82801, Estados Unidos ("Clakta"), y el cliente que contrata los Servicios (el "Cliente"), conjuntamente las "Partes".

Este DPA se aplica siempre que Clakta trate datos personales por cuenta del Cliente en la prestación de los Servicios. Al aceptar los Términos de Uso, el Cliente acepta también este DPA. No se requiere una firma independiente; el Cliente que necesite una copia firmada puede solicitarla en support@clakta.com.

---

1. Definiciones

"Normativa de Protección de Datos" significa toda la legislación en materia de protección de datos y privacidad aplicable al tratamiento de los Datos Personales del Cliente, incluidos, según proceda, el Reglamento (UE) 2016/679 (RGPD), el UK GDPR, la Ley brasileña n.º 13.709/2018 (LGPD) y las leyes federales y estatales de privacidad de los Estados Unidos, como la California Consumer Privacy Act, modificada por la California Privacy Rights Act (CCPA).

"Datos Personales del Cliente" significa los datos personales contenidos en los Datos del Cliente, según se definen en los Términos de Uso, que Clakta trata por cuenta del Cliente en la prestación de los Servicios.

"Interesado", "responsable del tratamiento", "encargado del tratamiento", "tratamiento" y "violación de la seguridad de los datos personales" tienen el significado que les atribuye la Normativa de Protección de Datos. Conforme a la LGPD, el "responsable del tratamiento" corresponde al controlador y el "encargado del tratamiento" al operador; conforme a la CCPA, el "encargado del tratamiento" corresponde al service provider.

"Subencargado" significa un tercero contratado por Clakta para tratar Datos Personales del Cliente en la prestación de los Servicios.

"Servicios", "Plataforma Conectada", "Proyecto", "Propiedades", "Usuario Autorizado" y "Usuario Final" tienen el significado que se les atribuye en los Términos de Uso.

Los términos no definidos en este DPA tienen el significado que se les atribuye en los Términos de Uso.

---

2. Funciones de las Partes y objeto

2.1. En relación con los Datos Personales del Cliente, el Cliente actúa como responsable del tratamiento y Clakta como encargado del tratamiento. Cuando el propio Cliente sea encargado del tratamiento de un tercero —por ejemplo, una agencia que opera los Servicios en nombre de sus clientes—, Clakta actúa como subencargado, y las obligaciones de este DPA se aplican en la misma medida.

2.2. Clakta actúa como responsable del tratamiento en relación con los datos de cuenta, facturación, soporte, marketing, seguridad y de los visitantes de su propio sitio web, según se describe en la Política de Privacidad. Dichos datos quedan fuera del ámbito de este DPA.

2.3. El objeto, la naturaleza, la finalidad y la duración del tratamiento, las categorías de datos personales y las categorías de interesados se establecen en el Anexo I.

---

3. Instrucciones de tratamiento

3.1. Clakta tratará los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, salvo que la ley le obligue a hacer otra cosa, en cuyo caso Clakta informará previamente al Cliente, salvo que la ley prohíba dicha información por razones importantes de interés público.

3.2. Las instrucciones documentadas del Cliente consisten en: (a) este DPA y los Términos de Uso; (b) la configuración de los Servicios realizada por el Cliente y sus Usuarios Autorizados, incluidos el modo de seguimiento, la gestión del consentimiento, la conservación, las integraciones y el envío de señales de conversión a las Plataformas Conectadas; y (c) las instrucciones adicionales dadas por escrito y aceptadas por Clakta. Las instrucciones que requieran cambios en los Servicios podrán estar sujetas a un acuerdo independiente y a cargos adicionales.

3.3. Clakta informará al Cliente si, en su opinión, una instrucción infringe la Normativa de Protección de Datos, y podrá suspender la ejecución de dicha instrucción hasta que se resuelva la cuestión.

3.4. Clakta no venderá los Datos Personales del Cliente, no los utilizará para su propia publicidad dirigida, no los combinará con datos de otros clientes para crear perfiles o grafos de identidad y no los utilizará para entrenar modelos fundacionales disponibles públicamente. Clakta podrá generar datos agregados y anonimizados que no puedan utilizarse razonablemente para identificar al Cliente, a sus Usuarios Autorizados ni a los Usuarios Finales, y utilizarlos según lo previsto en los Términos de Uso.

3.5. Las instrucciones relativas a las funciones de inteligencia artificial, incluido el Asistente, se limitan a responder a las solicitudes del Cliente y a realizar las acciones que el Cliente haya aprobado expresamente. Los proveedores de IA enumerados en el Anexo III tienen prohibido contractualmente utilizar los datos enviados a través de los Servicios para entrenar sus modelos.

---

4. Obligaciones del Cliente

4.1. El Cliente declara y garantiza que: (a) dispone de una base jurídica válida para tratar los Datos Personales del Cliente y para transferirlos a Clakta; (b) obtiene, registra y respeta el consentimiento de los Usuarios Finales cuando se requiera, incluido el relativo a cookies y tecnologías similares; (c) mantiene un aviso de privacidad exacto y accesible que describe la recopilación mediante tecnologías de analítica y atribución, la transmisión de datos a Clakta y a las Plataformas Conectadas y los derechos de los interesados; y (d) sus instrucciones a Clakta cumplen la Normativa de Protección de Datos.

4.2. El Cliente es responsable de configurar los Servicios de forma coherente con sus obligaciones legales y con los avisos que publica, incluidos el modo de seguimiento, la gestión del consentimiento, el tratamiento de las direcciones IP y de los identificadores y los plazos de conservación.

4.3. El Cliente no enviará a los Servicios categorías especiales de datos personales, números de tarjetas de pago ni credenciales completas de cuentas financieras, números de documentos de identidad oficiales, datos de geolocalización precisa ni datos relativos a niños y adolescentes, salvo acuerdo expreso y por escrito de Clakta. Clakta no es responsable de los datos de este tipo enviados en incumplimiento de esta Cláusula.

4.4. El Cliente es responsable de evaluar si los Servicios, incluida la región de almacenamiento seleccionada y los subencargados enumerados en el Anexo III, satisfacen sus propias obligaciones legales.

4.5. El Cliente es responsable de las medidas de seguridad bajo su control descritas en la Cláusula 10.8 de los Términos de Uso. Clakta no es responsable de una violación de la seguridad de los datos personales en la medida en que se deba a que el Cliente o sus Usuarios Autorizados no hayan aplicado dichas medidas, al uso de credenciales bajo su control o a una Plataforma Conectada, sin perjuicio del deber de Clakta de notificar al Cliente y asistirle conforme a la Cláusula 9.

---

5. Confidencialidad

Clakta garantiza que las personas autorizadas para tratar los Datos Personales del Cliente están sujetas a un deber de confidencialidad contractual o legal y reciben una formación adecuada en protección de datos y seguridad de la información. El acceso se concede según el principio de mínimo privilegio y queda registrado.

---

6. Seguridad de la información

6.1. Clakta aplica y mantiene las medidas técnicas y organizativas establecidas en el Anexo II, adecuadas al riesgo, teniendo en cuenta el estado de la técnica, los costes de aplicación y la naturaleza, el alcance y los fines del tratamiento.

6.2. Clakta podrá actualizar dichas medidas con el tiempo, siempre que no reduzca el nivel de protección contratado.

---

7. Subencargados

7.1. El Cliente otorga una autorización general para que Clakta recurra a subencargados. La lista actual se publica en https://www.clakta.com/legal/subprocessors y se resume en el Anexo III.

7.2. Clakta celebrará con cada subencargado un acuerdo por escrito que le imponga obligaciones de protección de datos sustancialmente equivalentes a las de este DPA, y seguirá siendo plenamente responsable ante el Cliente de los actos y omisiones de sus subencargados.

7.3. Clakta notificará con al menos 30 días de antelación la incorporación o sustitución de un subencargado, mediante correo electrónico al contacto de privacidad o administrativo del Cliente o mediante un aviso en el producto.

7.4. El Cliente podrá oponerse por motivos razonables, por escrito a support@clakta.com, en un plazo de 15 días desde la notificación. Si el Cliente se opone, las Partes negociarán de buena fe una alternativa razonable. Si no existe ninguna, el Cliente podrá dar por terminados los Servicios afectados mediante notificación escrita, con el reembolso proporcional de las tarifas prepagadas no utilizadas como remedio exclusivo. La falta de respuesta en dicho plazo constituye aceptación.

7.5. Cuando exista un riesgo inminente para la seguridad o la continuidad de los Servicios, Clakta podrá recurrir a un nuevo subencargado con notificación inmediata, y el derecho de oposición se aplicará a posteriori.

---

8. Derechos de los interesados

8.1. Teniendo en cuenta la naturaleza del tratamiento, Clakta asistirá al Cliente mediante medidas técnicas y organizativas apropiadas, siempre que sea razonablemente posible, para responder a las solicitudes de los interesados relativas a la confirmación, el acceso, la rectificación, la anonimización, el bloqueo, la supresión, la portabilidad, la información sobre las comunicaciones de datos, la retirada del consentimiento y la oposición.

8.2. Los Servicios ofrecen funciones de consulta, exportación y supresión que permiten al Cliente gestionar por sí mismo la mayoría de dichas solicitudes.

8.3. Si Clakta recibe directamente de un interesado una solicitud relativa a Datos Personales del Cliente, no responderá sobre el fondo y la remitirá al Cliente sin dilación indebida, salvo que la ley le obligue a responder.

8.4. En la mayoría de las configuraciones, Clakta no puede identificar a un interesado únicamente a partir de los datos de analítica. El Cliente debe facilitar un identificador suficiente —como una referencia de pedido, una dirección de correo electrónico o un identificador de usuario— para localizar los registros.

---

9. Violaciones de la seguridad de los datos personales

9.1. Clakta notificará al Cliente cualquier violación de la seguridad de los datos personales que afecte a los Datos Personales del Cliente sin dilación indebida y, cuando sea posible, en un plazo de 48 horas desde que tenga conocimiento de ella.

9.2. La notificación incluirá, en la medida en que se disponga de la información: la naturaleza de la violación, las categorías y el volumen aproximado de datos e interesados afectados, las consecuencias probables, las medidas adoptadas o propuestas para mitigar sus efectos y un punto de contacto para obtener más información. Se facilitará información adicional a medida que avance la investigación.

9.3. Clakta adoptará medidas razonables para contener, investigar y mitigar la violación y cooperará con el Cliente en el cumplimiento de sus obligaciones de notificación a la ANPD, a otras autoridades y a los interesados. La notificación a las autoridades y a los interesados en relación con los Datos Personales del Cliente corresponde al Cliente como responsable del tratamiento.

9.4. La notificación de una violación no constituye un reconocimiento de culpa ni de responsabilidad por parte de Clakta.

---

10. Evaluaciones de impacto y cooperación con las autoridades

Previa solicitud razonable, y teniendo en cuenta la información de que disponga, Clakta asistirá al Cliente en las evaluaciones de impacto relativas a la protección de datos y en cualquier consulta previa a una autoridad competente relacionada con el tratamiento realizado a través de los Servicios. Las solicitudes que vayan más allá de la documentación estándar de Clakta podrán facturarse por tiempo y materiales, previo presupuesto.

---

11. Auditoría y derechos de información

11.1. Clakta pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA, incluida su documentación de seguridad, la descripción de las medidas del Anexo II y las respuestas a un cuestionario de seguridad estándar.

11.2. El Cliente podrá solicitar una auditoría una vez cada 12 meses, con 30 días de preaviso, en horario laboral, sin perturbar las operaciones de Clakta y con sujeción a confidencialidad. Las auditorías se realizarán principalmente mediante documentación, cuestionarios y una reunión técnica a distancia.

11.3. Solo se realizará una auditoría presencial, o una auditoría a cargo de un tercero independiente, cuando lo exija una autoridad competente o cuando la documentación facilitada sea manifiestamente insuficiente. En tal caso, el auditor no podrá ser un competidor de Clakta y deberá firmar un compromiso de confidencialidad. Los costes correrán a cargo del Cliente, salvo que la auditoría revele un incumplimiento sustancial de este DPA por parte de Clakta.

11.4. Ninguna auditoría dará acceso a datos de otros clientes, a información de terceros ni a información cuya divulgación comprometa la seguridad de Clakta.

---

12. Residencia de los datos y transferencias internacionales

12.1. Al crear un equipo, el Cliente selecciona la región en la que se almacenan los datos de sus proyectos: la Unión Europea o los Estados Unidos. Esa selección es definitiva y no puede modificarse, y no existe ninguna vía de migración. Cada proyecto hereda la región de su equipo.

12.2. Determinados registros se almacenan en los Estados Unidos con independencia de la región seleccionada, incluidas las cuentas de usuario, los datos del equipo y de facturación, las claves de API, las credenciales de las plataformas de venta, los comentarios sobre el producto y las conversaciones de soporte. El desglose completo figura en Ubicación de los datos y en el apartado 9 de la Política de Privacidad.

12.3. El equipo de Clakta trabaja desde Brasil y accede a ambas regiones para operar, proteger, dar soporte y diagnosticar los Servicios, con controles de mínimo privilegio y registro de accesos. Determinados subencargados también operan fuera de la región seleccionada.

12.4. Para las transferencias internacionales desde Brasil, las Partes adoptan las cláusulas contractuales tipo aprobadas por la ANPD, que se incorporan a este DPA cuando proceda.

12.5. Para las transferencias desde el Espacio Económico Europeo, el Reino Unido o Suiza a un país que no cuente con una decisión de adecuación, se incorporan a este DPA las Cláusulas Contractuales Tipo de la Comisión Europea (Decisión de Ejecución (UE) 2021/914), utilizando el Módulo Dos cuando el Cliente sea responsable y Clakta encargado del tratamiento, y el Módulo Tres cuando el Cliente sea encargado y Clakta subencargado, junto con el Addendum del Reino Unido o la variante suiza cuando proceda. A efectos de dichas cláusulas: el Cliente es el exportador de datos y Clakta el importador de datos; se aplica la opción de autorización general de subencargados con un plazo de preaviso de 30 días (cláusula 9, letra a); y la ley aplicable y el foro se rigen por la Cláusula 16 de este DPA en la medida en que lo permitan dichas cláusulas.

12.6. Cuando el Cliente indique a Clakta que envíe datos a una Plataforma Conectada, dicha plataforma los recibe como responsable independiente conforme a sus propios términos, y la configuración de residencia no la limita.

---

13. Devolución y supresión

13.1. Durante la vigencia del Contrato, el Cliente puede exportar sus datos en cualquier momento a través de los Servicios y de las API.

13.2. A la terminación del Contrato, los Datos Personales del Cliente permanecen disponibles para su exportación durante 30 días, transcurridos los cuales se suprimen, salvo que la cuenta se haya cancelado por actividades ilícitas o por incumplimiento de la Cláusula 13 de los Términos de Uso, en cuyo caso la supresión podrá producirse de inmediato.

13.3. Clakta podrá conservar los Datos Personales del Cliente en la medida y durante el periodo que exija la ley, o que sean necesarios para formular, ejercer o defender reclamaciones, limitando su tratamiento a dichos fines. Las copias de seguridad se eliminan en el ciclo normal de sobrescritura.

13.4. Previa solicitud por escrito realizada en los 30 días siguientes a la terminación, Clakta confirmará la supresión por escrito.

---

14. Responsabilidad

La responsabilidad derivada de este DPA está sujeta a las limitaciones y exclusiones de la Cláusula 18 de los Términos de Uso, y dichos límites no se aplican de forma acumulativa entre el Contrato y este DPA. Nada de lo dispuesto en este DPA limita la responsabilidad que no pueda limitarse conforme a la Normativa de Protección de Datos ni afecta a los derechos de los interesados frente al responsable del tratamiento.

---

15. Vigencia y prelación

15.1. Este DPA permanecerá en vigor mientras Clakta trate Datos Personales del Cliente, y seguirá vigente durante el tiempo necesario para cumplir las obligaciones que por su naturaleza deban subsistir.

15.2. En caso de conflicto entre este DPA y los Términos de Uso en relación con el tratamiento de datos personales, prevalecerá este DPA. En caso de conflicto entre este DPA y las cláusulas contractuales tipo aplicables, prevalecerán dichas cláusulas.

15.3. Las demás disposiciones de los Términos de Uso no se modifican.

---

16. Idioma y ley aplicable

16.1. Este DPA se ha redactado en inglés, que es su versión oficial. Cualquier traducción, incluida esta versión en español (España), se facilita únicamente por cortesía y, en caso de discrepancia, prevalecerá la versión en inglés.

16.2. Este DPA se rige por las leyes del Estado de Wyoming, Estados Unidos, y las controversias que se deriven de él se resolverán de conformidad con la Cláusula 22 de los Términos de Uso, con sujeción a las cláusulas contractuales tipo aplicables a las transferencias internacionales.

---

Anexo I — Descripción del tratamiento

A. Partes

B. Descripción del tratamiento

---

Anexo II — Medidas técnicas y organizativas

• Cifrado — TLS en tránsito y cifrado en reposo; credenciales OAuth y secretos de webhook almacenados cifrados; hash SHA-256 de los identificadores de contacto transmitidos a las Plataformas Conectadas.
• Control de acceso — acceso basado en funciones, autenticación multifactor para el acceso administrativo, principio de mínimo privilegio, revisiones periódicas de los accesos y revocación en caso de baja.
• Segregación — separación lógica de los datos por equipo y Proyecto; separación física de los datos de los proyectos por región de almacenamiento.
• Red e infraestructura — aislamiento de redes, endpoints protegidos, controles de dominios permitidos por fuente de seguimiento y limitación de solicitudes.
• Registro y supervisión — registros de auditoría de los cambios en los Proyectos, registros de autenticación y de uso de claves de API, y supervisión de errores y de la disponibilidad.
• Resiliencia — copias de seguridad periódicas, procedimientos de recuperación y una página pública de estado en https://status.clakta.com.
• Minimización — modo de seguimiento respetuoso con la privacidad sin cookies ni almacenamiento en el navegador, gestión del consentimiento, truncamiento o hash de las direcciones IP y conservación configurable por Proyecto.
• Gestión de proveedores — revisión de seguridad antes de la contratación y contratos que imponen obligaciones equivalentes a las de este DPA.
• Personas y procesos — obligaciones de confidencialidad, formación en protección de datos y un proceso documentado de respuesta a incidentes.

---

Anexo III — Subencargados

La lista actual, que identifica a cada subencargado, su finalidad y la ubicación del tratamiento, se publica en https://www.clakta.com/legal/subprocessors y forma parte de este DPA. Las categorías utilizadas actualmente son: