Para los efectos de este DPA:
El Encargado tratará los Datos Personales de Leads únicamente para prestar los servicios descritos en los Términos de Servicio, siguiendo las instrucciones documentadas del Controlador. La vigencia de este DPA es coextensiva con la de los Términos de Servicio. La terminación de los Términos implica la terminación de este DPA.
| Elemento | Descripción |
|---|---|
| Categorías de datos personales | Nombre comercial, nombre de contacto, teléfono, email de contacto, dirección física, URL y datos visuales públicos del sitio web del negocio |
| Categorías de titulares | Representantes, personas de contacto y propietarios de negocios B2B |
| Finalidades del tratamiento | Extracción, enriquecimiento, almacenamiento estructurado y facilitación del envío de comunicaciones comerciales B2B, según instrucción explícita del Controlador |
| Duración del tratamiento | Vigencia de la suscripción activa del Controlador + 30 días adicionales para exportación |
| Naturaleza del tratamiento | Recolección, almacenamiento, enriquecimiento, organización, visualización y facilitación de envío |
El Encargado tratará los Datos Personales únicamente conforme a las instrucciones documentadas del Controlador, salvo que una obligación legal imponga un tratamiento distinto. En tal caso, informará al Controlador antes de proceder, salvo que la ley lo prohíba por razones de interés público.
El Encargado se asegurará de que el personal con acceso a Datos Personales esté sujeto a obligaciones de confidencialidad adecuadas, de naturaleza contractual o legal.
El Encargado implementará y mantendrá medidas técnicas y organizativas apropiadas al nivel de riesgo, incluyendo:
El Encargado no contratará nuevos sub-encargados sin autorización previa del Controlador. La autorización general para los sub-encargados listados en el Artículo 5 de este DPA queda otorgada por el Controlador al aceptar los Términos de Servicio.
El Encargado impondrá a cada sub-encargado obligaciones de protección de datos equivalentes a las de este DPA. Si un sub-encargado incumple sus obligaciones, el Encargado mantiene frente al Controlador la misma responsabilidad que si hubiera incumplido él directamente.
El Encargado asistirá razonablemente al Controlador para:
El Encargado notificará al Controlador, sin dilación indebida y en todo caso en el plazo máximo de 72 horas desde que tenga conocimiento, cuando ocurra una Brecha de Seguridad que afecte a Datos Personales de Leads. La notificación incluirá, en la medida de lo disponible:
Si no toda la información está disponible en el plazo de 72 horas, el Encargado la irá completando en notificaciones posteriores.
A la finalización del Servicio (por cancelación, terminación o vencimiento), el Encargado, a elección del Controlador expresada dentro del período de 30 días posterior a la terminación, procederá a:
salvo que la ley aplicable exija conservarlos por un período adicional.
El Encargado proporcionará al Controlador toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones de este DPA. Previa notificación con al menos 30 días de antelación, facilitará auditorías realizadas por el Controlador o un tercero auditor designado por este, bajo condiciones razonables de confidencialidad y sin interrumpir la operación del servicio a otros clientes.
El Controlador autoriza al Encargado a utilizar los siguientes sub-encargados para la prestación del Servicio:
| Sub-encargado | País de procesamiento | Función | Garantía de protección |
|---|---|---|---|
| Google LLC | Estados Unidos | API de Google Maps/Places para extracción de leads; API de Gmail OAuth para envío de emails | Cláusulas Contractuales Estándar (SCCs) — Decisión 2021/914/UE |
| Paddle BV | Países Bajos (UE) | Procesamiento de pagos y gestión fiscal | GDPR nativo (EEE) |
| Proveedores de IA (según configuración activa) | Estados Unidos | Generación de presentaciones y propuestas con IA | SCCs o DPA específico |
| Proveedor de infraestructura VPS (según configuración) | Según región del servidor | Hosting, base de datos PostgreSQL, red y almacenamiento | Contrato de procesamiento de datos + medidas técnicas equivalentes |
Si el Encargado desea agregar o sustituir sub-encargados, notificará al Controlador con 30 días de antelación por email. El Controlador puede objetar razonablemente el nuevo sub-encargado dentro de ese plazo. Si el Controlador no objeta, se considerará que da su autorización. Si objeta y el Encargado no puede prestar el Servicio sin el nuevo sub-encargado, el Controlador puede terminar el Servicio sin penalización.
Las transferencias de Datos Personales desde el EEE/UK a países sin decisión de adecuación de la Comisión Europea se realizan mediante las Cláusulas Contractuales Estándar (SCCs) aprobadas por la Comisión Europea (Decisión de Ejecución 2021/914/UE), que se incorporan a este DPA por referencia. Los Módulos aplicables son Módulo 2 (responsable a encargado) y Módulo 3 (encargado a encargado), según corresponda.
El Controlador reconoce, acepta y garantiza:
Las partes acuerdan que cada parte es responsable frente a los titulares de datos en la medida en que sea responsable por el daño o infracción específica que aleguen dichos titulares. Si una parte paga una indemnización por daños que corresponden total o parcialmente a la otra parte, la primera tendrá derecho a reclamar a la segunda la parte correspondiente, conforme al Artículo 82 GDPR.
Este DPA puede modificarse para reflejar cambios en el GDPR, decisiones de la Comisión Europea u otras regulaciones aplicables. El Encargado notificará al Controlador con al menos 30 días de antelación sobre cambios materiales. El uso continuado del Servicio implica aceptación.
Este DPA se rige por las leyes de la República de Colombia. Para cuestiones específicamente cubiertas por el GDPR, aplica el Reglamento (UE) 2016/679 como norma especial de rango superior.
Para cuestiones relacionadas con este Acuerdo o el tratamiento de datos como encargado:
privacy@leadgen-agent.com LeadGen-Agent — Sergio Jauregui Bogotá D.C., Colombia