Anexo de tratamiento de datos

1. Funciones y ámbito

Este anexo forma parte de las Condiciones del servicio. El Cliente es el responsable del tratamiento y THEFOCUS LTD es el encargado del tratamiento de los datos personales tratados en el espacio de trabajo del cliente, en las cuentas publicitarias, gestores de etiquetas y herramientas de analítica del Cliente, y en las exportaciones de CRM que se nos faciliten («Datos Personales del Cliente»). El Anexo 1 describe el tratamiento. Cuando el propio Cliente sea encargado del tratamiento de otro responsable, actuaremos como su subencargado en las mismas condiciones.

Este anexo cumple el artículo 28 del RGPD del Reino Unido y, cuando sean aplicables, el artículo 28 del RGPD de la UE y las disposiciones sobre encargados del tratamiento de otras leyes de protección de datos de los mercados que cubrimos.

2. Nuestras obligaciones como encargado del tratamiento

• Tratar los Datos Personales del Cliente únicamente siguiendo las instrucciones documentadas del Cliente, incluidos el contrato y el uso que el Cliente haga de la aplicación, salvo que la ley exija otra cosa. En ese caso, informaremos al Cliente antes del tratamiento, salvo que la ley lo prohíba. Comunicaremos al Cliente si consideramos que una instrucción infringe la legislación de protección de datos.
• Garantizar que todas las personas autorizadas para tratarlos estén sujetas a confidencialidad.
• Aplicar las medidas técnicas y organizativas del Anexo 2.
• Recurrir a subencargados del tratamiento únicamente conforme a lo establecido en la sección 3.
• Asistir al Cliente, teniendo en cuenta la naturaleza del tratamiento, en las solicitudes de los interesados y en sus obligaciones de seguridad, notificación de violaciones, evaluaciones de impacto y consulta previa a los reguladores.
• Notificar al Cliente sin dilación indebida, y en un plazo de 48 horas, tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a los Datos Personales del Cliente, con la información que el Cliente necesite para cumplir sus propias obligaciones de notificación.
• Al finalizar los servicios, suprimir o devolver los Datos Personales del Cliente, a elección del Cliente, en un plazo de 30 días y suprimir las copias existentes, salvo que la ley nos exija conservarlas.
• Poner a disposición la información necesaria para demostrar el cumplimiento y permitir auditorías por parte del Cliente o de un auditor designado por este, con un preaviso de 30 días, bajo confidencialidad y no más de una vez al año, salvo que una violación de seguridad o un regulador lo exija.

3. Subencargados del tratamiento

El Cliente otorga una autorización general a los subencargados del tratamiento descritos en nuestra página de Subencargados del tratamiento; la lista nominal vigente está disponible en el panel del cliente y previa solicitud. Avisamos con al menos 30 días de antelación, a través de la aplicación, de la incorporación de un nuevo subencargado. El Cliente puede oponerse por motivos razonables de protección de datos; si no podemos resolver la objeción, el Cliente puede poner fin al servicio afectado sin penalización. Imponemos a cada subencargado cláusulas de protección de datos que no ofrezcan menos protección que este anexo y seguimos siendo responsables de su cumplimiento.

4. Transferencias internacionales

Solo transferimos Datos Personales del Cliente fuera del Reino Unido al amparo de los reglamentos de adecuación del Reino Unido, la Extensión del Reino Unido al Marco de Privacidad de Datos UE-EE. UU., el Acuerdo de Transferencia Internacional de Datos del ICO o el Anexo del Reino Unido a las Cláusulas Contractuales Tipo de la UE.

Cuando el Cliente esté en el EEE, las transferencias hacia nosotros se basan en la decisión de adecuación de la Comisión Europea para el Reino Unido; si esa decisión deja de aplicarse, se incorporan por referencia las Cláusulas Contractuales Tipo de la UE (módulo dos, o módulo tres cuando el Cliente sea encargado del tratamiento), con Irlanda como ley aplicable y foro únicamente para dichas cláusulas. Cuando el Cliente esté en Suiza, se aplican las mismas cláusulas con las adaptaciones suizas. Para otros mercados, firmamos previa solicitud las cláusulas de transferencia que exija la legislación del Cliente, como los contratos tipo de la KVKK de Turquía o de la PIPL de China.

5. Categorías especiales de datos y segmentación sensible

El Cliente no debe subir a la aplicación categorías especiales de datos (por ejemplo, datos de salud), datos sobre infracciones penales ni datos de menores, y no debe ordenar una segmentación basada en características sensibles.

6. Responsabilidad y duración

La responsabilidad en virtud de este anexo está sujeta a los límites de las Condiciones del servicio. Este anexo se mantiene vigente mientras tratemos Datos Personales del Cliente.

Anexo 1: Descripción del tratamiento

• Objeto y duración: prestación de los servicios durante la vigencia del contrato y el periodo de salida de 30 días.
• Naturaleza y finalidad: planificación y gestión de campañas, señales de optimización en tiempo real para las campañas del Cliente, configuración de medición y seguimiento, informes y soporte.
• Interesados: los usuarios que forman parte del personal del Cliente, y sus clientes potenciales y clientes tal como figuran en los datos de publicidad, analítica y CRM.
• Categorías de datos: nombres y datos de contacto profesionales de los usuarios del Cliente; identificadores en línea, datos de contacto cifrados con hash utilizados para la correspondencia de conversiones en las plataformas, métricas agregadas de campañas y etapas de los leads en el CRM.
• Conservación: según lo establecido en el Aviso de privacidad y en la sección 2.

Anexo 2: Medidas técnicas y organizativas

• Autenticación multifactor obligatoria para todas las cuentas, con códigos de recuperación de un solo uso almacenados únicamente como hashes.
• Acceso del personal basado en funciones y en el mínimo privilegio, revisado cuando cambian las funciones.
• Aislamiento entre los espacios de trabajo de los clientes, aplicado en la aplicación y en la capa de base de datos.
• Cifrado en tránsito con TLS actual y cifrado en reposo de bases de datos, archivos y copias de seguridad.
• Prestación del servicio distribuida y cifrada en más de 125 países.
• Registros de auditoría de solo anexión para las acciones relevantes para la seguridad.
• No se almacenan contraseñas de cuentas publicitarias; el acceso se realiza únicamente mediante permisos de usuario o de partner de la plataforma.
• Webhooks e ingesta de datos firmados y protegidos contra la repetición.
• Análisis automatizado de secretos y pruebas antes de cada versión.
• Procedimiento de respuesta a incidentes con escalado definido y notificación al cliente.