Acuerdo de encargo del tratamiento (DPA)

Se aplica a los datos personales que el cliente incorpora al servicio o hace tratar mediante sus workflows, analítica, funciones e instrucciones al asistente de IA, incluidos los de los visitantes de sus webs. No se aplica al tratamiento que Plaka Studio S.L. realiza como responsable para gestionar cuentas, facturación, seguridad y sus obligaciones propias, descrito en la Política de privacidad.

El cliente es el responsable del tratamiento: decide para qué y cómo se tratan los datos de sus visitantes. Plaka Studio S.L. es el encargado del tratamiento y solo los trata para prestarle el servicio.

El objeto es prestar las funciones contratadas: crear y ejecutar workflows, tests A/B y personalizaciones, medir resultados y asistir al cliente mediante IA. El tratamiento puede incluir recogida, registro, organización, almacenamiento, consulta, transmisión a proveedores autorizados, agregación, devolución y supresión. Dura mientras se presta el servicio y, después, solo durante la devolución, supresión o conservación legalmente exigible.

Interesados: visitantes de las webs del cliente y, si el cliente lo configura, sus usuarios o clientes finales.

Categorías de datos:

• identificador aleatorio del visitante y variantes asignadas;
• dirección IP, navegador, sistema operativo, dispositivo e idioma;
• país y región (comunidad autónoma o estado) desde los que se conecta, calculados en nuestros servidores a partir de su dirección IP;
• páginas visitadas, referrer, parámetros UTM, eventos y conversiones;
• los datos adicionales que el cliente decida capturar en sus workflows (por ejemplo, respuestas a formularios), así como los datos personales que incluya en recursos, archivos o instrucciones de IA.

El cliente no debe enviar a Bixlow categorías especiales de datos (salud, ideología, etc.) ni datos de menores.

Plaka Studio S.L. trata los datos conforme a las instrucciones documentadas del cliente, incluidas las relativas a transferencias: el contrato, la configuración autorizada y las instrucciones escritas. Informará inmediatamente si considera que una instrucción infringe la normativa de protección de datos. Si una norma exige otro tratamiento, informará al cliente antes, salvo prohibición legal. El personal autorizado está sujeto a confidencialidad.

El cliente autoriza de forma general a Plaka Studio S.L. a recurrir a los subencargados de la lista pública. Plaka Studio S.L. impone a cada uno obligaciones de protección de datos equivalentes a las de este acuerdo y responde de su cumplimiento. Avisaremos de cualquier alta o sustitución con al menos 15 días de antelación; el cliente puede oponerse por motivos razonables y, si no se encuentra una solución, darse de baja sin penalización.

Las transferencias internacionales se realizarán siguiendo instrucciones documentadas del cliente y con un mecanismo válido conforme al capítulo V del RGPD. La contratación de un proveedor estadounidense no acredita por sí sola una garantía. La entidad receptora, los tratamientos cubiertos, los países y el mecanismo aplicable deben verificarse antes de transferir los datos; el cliente puede solicitar información y copia de las garantías en bixlow@plakastudio.com.

Plaka Studio S.L. aplica medidas técnicas y organizativas adecuadas al riesgo (art. 32 RGPD), entre ellas:

• cifrado en tránsito (TLS) en los accesos públicos al servicio;
• aislamiento de cada cliente en la base de datos con row-level security;
• acceso a producción limitado al personal que lo necesita y separación de roles en la base de datos;
• cifrado de los secretos de Bixlow Functions;
• límites de peticiones por IP y una prueba anti-bots (proof-of-work) que se resuelve en el navegador y se comprueba en nuestros servidores, sin terceros;
• un runtime público que no tiene acceso a credenciales ni a datos de otros clientes.

Plaka Studio S.L. ayudará al cliente, en la medida de lo posible, a atender las peticiones de los interesados, a hacer evaluaciones de impacto y consultas previas, y a cumplir sus obligaciones de seguridad. Si un interesado se dirige directamente a Plaka Studio S.L., se lo trasladará al cliente.

Plaka Studio S.L. notificará al cliente sin dilación indebida, y en todo caso en un plazo de 48 horas desde que tenga constancia, cualquier brecha que afecte a sus datos, con la información disponible para que el cliente pueda cumplir su obligación de notificar a la autoridad en 72 horas.

Plaka Studio S.L. facilitará la información necesaria para demostrar el cumplimiento y permitirá y contribuirá a auditorías e inspecciones del cliente o de un auditor autorizado. Se coordinarán alcance, confidencialidad, costes razonables y aviso previo sin impedir el ejercicio efectivo de este derecho. Una brecha, indicios de incumplimiento o un requerimiento de la autoridad pueden exigir una revisión urgente o adicional. Se protegerán los datos de otros clientes.

Al terminar el servicio, el cliente podrá elegir la devolución o la supresión de sus datos personales. Plaka Studio S.L. ejecutará esa instrucción y suprimirá las copias restantes en un plazo máximo de 90 días, salvo conservación exigida por ley. Las copias pendientes de eliminación quedarán protegidas y no se usarán para otros fines. Solicita la devolución antes de ordenar el borrado irreversible desde la aplicación. La obligación de confidencialidad subsiste tras la terminación.

El cliente garantiza que tiene una base legal para el tratamiento, que informa a sus visitantes en su política de privacidad y de cookies, y que obtiene su consentimiento cuando la ley lo exige (por ejemplo, para el almacenamiento en el navegador con fines de analítica o de tests A/B) antes de cargar bixlow.js.

La responsabilidad de cada parte se rige por los Términos de servicio, sin perjuicio de lo que establece el RGPD. En caso de contradicción en materia de protección de datos, prevalece este acuerdo.