Acuerdo de Tratamiento de Datos

El presente Acuerdo de Tratamiento de Datos (“DPA”) forma parte del contrato celebrado entre usted (el “Responsable del tratamiento”) y ROASSensor (el “Encargado del tratamiento”) para el uso del Servicio. Resulta de aplicación siempre que tratemos datos personales por cuenta de usted y surte efecto de forma automática al conectar una fuente de datos: no hay nada que firmar.

Los términos no definidos en este documento tendrán el significado que se les atribuye en nuestros Términos del Servicio y en nuestra Política de Privacidad. En caso de contradicción entre este DPA y dichos documentos en materia de tratamiento de datos, prevalecerá este DPA.

Usted es el Responsable del tratamiento: usted decide qué redes publicitarias y fuentes de ingresos conectar y con qué finalidad. Nosotros somos el Encargado del tratamiento: actuamos únicamente conforme a sus instrucciones documentadas, y la conexión de una fuente en su espacio de trabajo constituye una instrucción de esa naturaleza.

Respecto de nuestros propios registros de negocio —su cuenta, la facturación y el historial de soporte— actuamos como Responsable del tratamiento por derecho propio, y dicho tratamiento se describe en la Política de Privacidad y no en este documento.

Tratamos datos personales con la finalidad de prestar el Servicio: sincronizar la inversión y los ingresos procedentes de las plataformas que usted autorice, conciliar ambos, atribuir los ingresos a campañas y creatividades y presentar el resultado en su panel.

El tratamiento se prolongará mientras su cuenta permanezca activa. Cuando usted desconecte una fuente, elimine su cuenta o el contrato finalice, serán de aplicación las cláusulas de conservación y supresión que figuran más abajo.

Los datos personales que tratamos por cuenta de usted se limitan a los que el Servicio necesita para calcular la atribución. En función de las fuentes que conecte, pueden incluir:

• Identificadores seudonimizados: identificadores de visitante, de clic y de sesión, así como identificadores de dispositivo o de aplicación recabados por el fragmento de seguimiento o por el SDK.
• Identificadores de contacto con hash: las direcciones de correo electrónico y los números de teléfono se normalizan y se someten a hash antes de incorporarse a nuestras tablas de seguimiento; no los conservamos en claro.
• Datos técnicos: dirección IP, agente de usuario, referente y página o pantalla visualizada.
• Datos de transacción: identificadores de pedido, importes, divisa y estado de reembolso recibidos de su procesador de pagos o comunicados por su servidor.

Los interesados son los visitantes, los usuarios de la aplicación y los clientes del Responsable del tratamiento. No tratamos conscientemente categorías especiales de datos personales, y el Servicio no debe utilizarse para remitírnoslas.

Tratamos los datos personales exclusivamente conforme a sus instrucciones documentadas, incluidas las relativas a transferencias internacionales, salvo que la normativa aplicable exija otra cosa, en cuyo caso se lo comunicaremos antes de proceder al tratamiento, salvo que dicha normativa lo prohíba.

Garantizamos que el personal autorizado para tratar datos personales se ha comprometido a respetar la confidencialidad, y limitamos el acceso a quienes lo necesitan para operar o dar soporte al Servicio.

No vendemos datos personales ni utilizamos los datos que tratamos por cuenta de usted para desarrollar o mejorar productos destinados a terceros. La única excepción son las estadísticas agregadas y anonimizadas que no puedan vincularse razonablemente con usted ni con ningún interesado.

Mantenemos medidas técnicas y organizativas adecuadas al riesgo, entre ellas el cifrado en tránsito y en reposo de los campos sensibles, tokens de acceso acotados y revocables para las plataformas conectadas, control de acceso basado en roles dentro de un espacio de trabajo y acceso interno conforme al principio de mínimo privilegio.

Los tokens de acceso de las fuentes conectadas se almacenan cifrados y se utilizan en modo de solo lectura: no publicamos nada ni modificamos nada en sus cuentas conectadas.

Usted nos otorga una autorización general para recurrir a subencargados del tratamiento a efectos de la prestación del Servicio, por ejemplo, para alojamiento en la nube, envío de correo electrónico, monitorización de errores y procesamiento de pagos.

Todo subencargado queda vinculado por cláusulas escritas que le imponen obligaciones de protección de datos no menos protectoras que las previstas en este DPA, y seguimos siendo responsables frente a usted de su actuación. Le notificaremos cualquier incorporación o sustitución prevista de un subencargado, y usted podrá oponerse por motivos razonables de protección de datos.

Podemos tratar y almacenar datos personales en países distintos del suyo. Cuando transferimos datos personales fuera del EEE, el Reino Unido o Suiza a un país que no cuente con una decisión de adecuación, nos amparamos en garantías adecuadas, como las Cláusulas Contractuales Tipo, junto con las medidas adicionales que la transferencia requiera.

Teniendo en cuenta la naturaleza del tratamiento, le asistiremos mediante medidas técnicas y organizativas apropiadas para responder a las solicitudes de los interesados que ejerzan sus derechos de acceso, rectificación, supresión, limitación, portabilidad u oposición.

Cuando un interesado se dirija directamente a nosotros en relación con datos que tratamos por cuenta de usted, no responderemos sobre el fondo: lo remitiremos a usted y se lo comunicaremos sin demora.

La supresión de los datos de una persona puede solicitarse en cualquier momento y se describe en nuestra página de Eliminación de Datos.

Le notificaremos sin dilación indebida, tras tener conocimiento de ella, cualquier violación de la seguridad que afecte a los datos personales tratados por cuenta de usted, y le facilitaremos la información que razonablemente necesite para cumplir sus propias obligaciones de notificación.

La notificación no constituye reconocimiento alguno de culpa ni de responsabilidad.

Pondremos a su disposición la información razonablemente necesaria para acreditar el cumplimiento de este DPA y permitiremos y contribuiremos a la realización de auditorías por parte de usted o de un auditor por usted designado.

Para que las auditorías resulten proporcionadas, podremos atender una solicitud aportando documentación ya existente o informes de terceros cuando estos den respuesta razonable a la misma. Las auditorías se realizarán a su costa, en horario laboral, con sujeción al deber de confidencialidad y no más de una vez al año, salvo que lo exija una autoridad de control o que se haya producido una violación de la seguridad.

La desconexión de una fuente elimina el token de acceso almacenado de esa fuente, detiene toda sincronización posterior y suprime las métricas sincronizadas desde ella. La eliminación de su cuenta suprime su perfil, todas las fuentes conectadas y sus tokens, así como sus métricas sincronizadas.

A la finalización del contrato, suprimiremos o devolveremos los datos personales tratados por cuenta de usted, salvo que la normativa exija su conservación. Pueden subsistir copias residuales durante un breve periodo en copias de seguridad cifradas, que se sobrescriben en nuestro ciclo habitual de rotación de copias.

La responsabilidad de cada parte en virtud de este DPA queda sujeta a las limitaciones y exclusiones de responsabilidad establecidas en los Términos del Servicio.

¿Tiene dudas sobre este DPA o desea solicitar una copia firmada por ambas partes para sus archivos? Escríbanos a [email protected] y estaremos encantados de ayudarle.