Acuerdo de Tratamiento de Datos

1. Objeto y detalles del tratamiento

• Finalidad: prestar el Servicio según las Condiciones y las instrucciones documentadas del Cliente (incluidas las configuraciones que el Cliente hace en el Servicio).
• Personas afectadas: lectores, suscriptores, personas que llenan formularios, anunciantes y sus contactos, y usuarios del Cliente.
• Categorías de datos: datos de contacto (nombre, correo, teléfono, ciudad), respuestas de formularios, consentimientos, datos de anunciantes y contratos, y estadísticas de lectura con identificadores anónimos y ubicación aproximada.
• Datos sensibles: ninguno; el Cliente no debe enviarlos.
• Duración: mientras dure el Servicio y el plazo de eliminación de la sección 8.

2. Obligaciones de MagPlatt

• Tratar los datos solo según las instrucciones documentadas del Cliente, salvo que la ley exija otra cosa (en cuyo caso avisaremos al Cliente si está permitido). Avisaremos si creemos que una instrucción infringe la ley.
• Garantizar que las personas autorizadas a tratar los datos tengan deber de confidencialidad.
• Aplicar las medidas de seguridad del Anexo.
• No vender los datos, no usarlos para fines propios y no combinarlos con datos de otros clientes, salvo en forma agregada y anónima para operar y mejorar el Servicio, cuando la ley lo permita.
• Ayudar al Cliente, de forma razonable y considerando la naturaleza del tratamiento, a responder solicitudes de los titulares, a hacer evaluaciones de impacto y a cumplir sus obligaciones de seguridad y notificación.

3. Obligaciones del Cliente

El Cliente garantiza que tiene base legal, avisos de privacidad y consentimientos necesarios para que MagPlatt trate los datos según este DPA, que sus instrucciones cumplen la ley y que no enviará datos sensibles ni de menores. El Cliente es responsable de la exactitud de los datos y de las transferencias que configure hacia terceros (webhooks, Kreatt u otras herramientas).

4. Subencargados

El Cliente autoriza de forma general a MagPlatt a usar los subencargados listados en /legal/subencargados. MagPlatt les impone obligaciones de protección de datos sustancialmente equivalentes y responde por ellos.

Avisaremos los cambios de subencargados actualizando esa página con al menos 15 días de anticipación (salvo urgencia por seguridad o continuidad). El Cliente puede oponerse por motivos razonables de protección de datos dentro de ese plazo; si no encontramos una solución, el Cliente podrá terminar el Servicio afectado y recibir el reembolso proporcional prepagado no usado, como único remedio.

5. Incidentes de seguridad

MagPlatt notificará al Cliente sin demora indebida, y cuando sea posible dentro de las 72 horas desde que confirme un incidente que afecte datos personales del Cliente, con la información razonablemente disponible (naturaleza, datos y personas afectadas, consecuencias probables y medidas tomadas). La notificación no implica admisión de responsabilidad.

6. Transferencias internacionales

Los datos se tratan principalmente en los Estados Unidos. Cuando una ley exija garantías para transferir datos desde el Espacio Económico Europeo, el Reino Unido, Suiza u otro país, las partes acuerdan que aplican las cláusulas contractuales tipo correspondientes (Módulo 2 o 3, según el caso), que se incorporan por referencia, y el Cliente obtendrá las autorizaciones que su ley local exija para la transferencia.

7. Información y auditorías

A pedido escrito del Cliente, y como máximo una vez al año, MagPlatt responderá un cuestionario razonable de seguridad y entregará la información necesaria para demostrar el cumplimiento de este DPA. Las auditorías presenciales solo procederán si una autoridad lo exige o tras un incidente relevante, con aviso de 30 días, en horario hábil, sin afectar a otros clientes, bajo confidencialidad y a costo del Cliente.

8. Devolución y eliminación

Al terminar el Servicio, el Cliente puede exportar sus datos durante 30 días. Luego MagPlatt eliminará los datos personales del Cliente, salvo lo que la ley obligue a conservar. Las copias de seguridad se eliminan en sus ciclos normales y, mientras existan, siguen protegidas por este DPA.

9. Leyes estatales de EE. UU.

En la medida en que apliquen la CCPA/CPRA u otras leyes estatales de privacidad, MagPlatt actúa como “proveedor de servicios” o “encargado”: no vende ni comparte los datos personales, no los conserva, usa ni divulga fuera de la relación comercial directa con el Cliente ni para fines distintos de los indicados, y no los combina con otros datos salvo lo permitido por esas leyes. MagPlatt certifica que entiende estas restricciones.

10. Responsabilidad y prevalencia

La responsabilidad de cada parte bajo este DPA está sujeta a las limitaciones de las Condiciones. En materia de datos personales, este DPA prevalece sobre las Condiciones en caso de conflicto.

Anexo: medidas de seguridad

• Cifrado en tránsito (HTTPS/TLS) y cifrado en reposo de base de datos y archivos por los proveedores de infraestructura.
• Aislamiento lógico de los datos de cada Cliente mediante políticas de seguridad a nivel de fila en la base de datos.
• Control de acceso por roles, principio de mínimo privilegio y autenticación gestionada por un proveedor especializado, con opción de verificación en dos pasos.
• Columnas sensibles (como precios) sin acceso directo para usuarios sin permiso; claves de servicio solo en el servidor.
• Limitación de solicitudes, validación de entradas y protección contra solicitudes a direcciones internas.
• Copias de seguridad gestionadas por el proveedor de base de datos.
• Registro de cambios y actividad, y revisión de incidentes.
• Acceso del personal de MagPlatt a datos de clientes solo cuando es necesario para soporte, seguridad o cumplimiento legal.