DPA
LeadGen Agent | Versión 1.0 | Vigente desde: 21 de mayo de 2026
1. Definiciones
Para los efectos de este DPA:
- "Responsable del Tratamiento" / "Controlador": el Usuario de LeadGen Agent que determina los fines y los medios del tratamiento de datos personales de terceros (leads).
- "Encargado del Tratamiento" / "Procesador": LeadGen Agent, operado por Sergio Jauregui, que trata datos personales de leads por cuenta y bajo instrucción del Controlador.
- "Datos Personales de Leads": datos de contacto de negocios y personas de contacto que el Controlador extrae, almacena y gestiona a través de la Plataforma (nombres, teléfonos, emails, direcciones, URLs, datos de sitios web).
- "RGPD" / "GDPR": Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales.
- "Brecha de Seguridad": violación de la seguridad que ocasione la destrucción, pérdida, alteración, comunicación no autorizada o acceso no autorizado a datos personales.
- "Sub-encargado": cualquier tercero contratado por el Encargado para realizar tratamientos de datos personales en nombre del Controlador.
2. Objeto y vigencia
El Encargado tratará los Datos Personales de Leads únicamente para prestar los servicios descritos en los Términos de Servicio, siguiendo las instrucciones documentadas del Controlador. La vigencia de este DPA es coextensiva con la de los Términos de Servicio. La terminación de los Términos implica la terminación de este DPA.
3. Descripción del tratamiento
| Elemento | Descripción |
|---|---|
| Categorías de datos personales | Nombre comercial, nombre de contacto, teléfono, email de contacto, dirección física, URL y datos visuales públicos del sitio web del negocio |
| Categorías de titulares | Representantes, personas de contacto y propietarios de negocios B2B |
| Finalidades del tratamiento | Extracción, enriquecimiento, almacenamiento estructurado y facilitación del envío de comunicaciones comerciales B2B, según instrucción explícita del Controlador |
| Duración del tratamiento | Vigencia de la suscripción activa del Controlador + 30 días adicionales para exportación |
| Naturaleza del tratamiento | Recolección, almacenamiento, enriquecimiento, organización, visualización y facilitación de envío |
4. Obligaciones del Encargado del Tratamiento (LeadGen Agent)
4.1 Seguimiento de instrucciones
El Encargado tratará los Datos Personales únicamente conforme a las instrucciones documentadas del Controlador, salvo que una obligación legal imponga un tratamiento distinto. En tal caso, informará al Controlador antes de proceder, salvo que la ley lo prohíba por razones de interés público.
4.2 Confidencialidad del personal
El Encargado se asegurará de que el personal con acceso a Datos Personales esté sujeto a obligaciones de confidencialidad adecuadas, de naturaleza contractual o legal.
4.3 Medidas de seguridad — Artículo 32 GDPR
El Encargado implementará y mantendrá medidas técnicas y organizativas apropiadas al nivel de riesgo, incluyendo:
- Cifrado en tránsito: TLS 1.2 o superior para todas las comunicaciones.
- Cifrado en reposo: para datos sensibles almacenados en base de datos (tokens OAuth, contraseñas).
- Control de acceso: acceso basado en roles; solo el personal con necesidad operativa legítima puede acceder a datos de leads.
- Principio de mínimo privilegio: cada componente del sistema solo accede a los datos estrictamente necesarios.
- Copias de seguridad: backups cifrados con verificación de integridad.
- Monitoreo: registro de accesos y detección de anomalías.
- Gestión de incidentes: procedimiento documentado de respuesta ante brechas de seguridad.
4.4 Sub-encargados
El Encargado no contratará nuevos sub-encargados sin autorización previa del Controlador. La autorización general para los sub-encargados listados en el Artículo 5 de este DPA queda otorgada por el Controlador al aceptar los Términos de Servicio.
El Encargado impondrá a cada sub-encargado obligaciones de protección de datos equivalentes a las de este DPA. Si un sub-encargado incumple sus obligaciones, el Encargado mantiene frente al Controlador la misma responsabilidad que si hubiera incumplido él directamente.
4.5 Asistencia al Controlador
El Encargado asistirá razonablemente al Controlador para:
- Responder solicitudes de ejercicio de derechos de titulares (acceso, rectificación, supresión, portabilidad, oposición, limitación).
- Cumplir obligaciones bajo los Artículos 32–36 del GDPR (seguridad, notificación de brechas, evaluaciones de impacto, consultas previas).
- La asistencia que genere costos operativos significativos podrá ser facturada al Controlador por acuerdo previo.
4.6 Notificación de brechas de seguridad
El Encargado notificará al Controlador, sin dilación indebida y en todo caso en el plazo máximo de 72 horas desde que tenga conocimiento, cuando ocurra una Brecha de Seguridad que afecte a Datos Personales de Leads. La notificación incluirá, en la medida de lo disponible:
- La naturaleza de la Brecha (qué ocurrió, cómo).
- Las categorías y el número aproximado de titulares afectados.
- Las categorías y el número aproximado de registros de datos afectados.
- Las posibles consecuencias de la Brecha.
- Las medidas adoptadas o propuestas para remediar la Brecha y mitigar sus efectos.
Si no toda la información está disponible en el plazo de 72 horas, el Encargado la irá completando en notificaciones posteriores.
4.7 Eliminación o devolución de datos
A la finalización del Servicio (por cancelación, terminación o vencimiento), el Encargado, a elección del Controlador expresada dentro del período de 30 días posterior a la terminación, procederá a:
- Devolver los Datos Personales al Controlador en formato exportable (CSV u otro formato estructurado disponible), o
- Eliminar de forma permanente todos los Datos Personales de los sistemas del Encargado y sus sub-encargados,
salvo que la ley aplicable exija conservarlos por un período adicional.
4.8 Cooperación en auditorías
El Encargado proporcionará al Controlador toda la información razonablemente necesaria para demostrar el cumplimiento de las obligaciones de este DPA. Previa notificación con al menos 30 días de antelación, facilitará auditorías realizadas por el Controlador o un tercero auditor designado por este, bajo condiciones razonables de confidencialidad y sin interrumpir la operación del servicio a otros clientes.
5. Sub-encargados autorizados
El Controlador autoriza al Encargado a utilizar los siguientes sub-encargados para la prestación del Servicio:
| Sub-encargado | País de procesamiento | Función | Garantía de protección |
|---|---|---|---|
| Google LLC | Estados Unidos | API de Google Maps/Places para extracción de leads; API de Gmail OAuth para envío de emails | Cláusulas Contractuales Estándar (SCCs) — Decisión 2021/914/UE |
| Paddle BV | Países Bajos (UE) | Procesamiento de pagos y gestión fiscal | GDPR nativo (EEE) |
| Proveedores de IA (según configuración activa) | Estados Unidos | Generación de presentaciones y propuestas con IA | SCCs o DPA específico |
| Proveedor de infraestructura VPS (según configuración) | Según región del servidor | Hosting, base de datos PostgreSQL, red y almacenamiento | Contrato de procesamiento de datos + medidas técnicas equivalentes |
Si el Encargado desea agregar o sustituir sub-encargados, notificará al Controlador con 30 días de antelación por email. El Controlador puede objetar razonablemente el nuevo sub-encargado dentro de ese plazo. Si el Controlador no objeta, se considerará que da su autorización. Si objeta y el Encargado no puede prestar el Servicio sin el nuevo sub-encargado, el Controlador puede terminar el Servicio sin penalización.
6. Transferencias internacionales
Las transferencias de Datos Personales desde el EEE/UK a países sin decisión de adecuación de la Comisión Europea se realizan mediante las Cláusulas Contractuales Estándar (SCCs) aprobadas por la Comisión Europea (Decisión de Ejecución 2021/914/UE), que se incorporan a este DPA por referencia. Los Módulos aplicables son Módulo 2 (responsable a encargado) y Módulo 3 (encargado a encargado), según corresponda.
7. Obligaciones del Controlador (Usuario)
El Controlador reconoce, acepta y garantiza:
- Ser el único responsable de determinar la base legal adecuada para el tratamiento de los Datos Personales de Leads (interés legítimo B2B, consentimiento, ejecución de contrato u otra base del Art. 6 GDPR).
- Cumplir con todas las obligaciones que el GDPR y la legislación aplicable le imponen como Controlador.
- Proporcionar avisos de privacidad apropiados a los titulares de datos cuando la ley así lo requiera.
- Respetar y honrar los derechos de los titulares (opt-out, supresión, acceso) en los plazos establecidos.
- No instruir al Encargado a realizar tratamientos que violen el GDPR u otras leyes aplicables.
8. Responsabilidad entre las partes
Las partes acuerdan que cada parte es responsable frente a los titulares de datos en la medida en que sea responsable por el daño o infracción específica que aleguen dichos titulares. Si una parte paga una indemnización por daños que corresponden total o parcialmente a la otra parte, la primera tendrá derecho a reclamar a la segunda la parte correspondiente, conforme al Artículo 82 GDPR.
9. Modificaciones
Este DPA puede modificarse para reflejar cambios en el GDPR, decisiones de la Comisión Europea u otras regulaciones aplicables. El Encargado notificará al Controlador con al menos 30 días de antelación sobre cambios materiales. El uso continuado del Servicio implica aceptación.
10. Ley aplicable
Este DPA se rige por las leyes de la República de Colombia. Para cuestiones específicamente cubiertas por el GDPR, aplica el Reglamento (UE) 2016/679 como norma especial de rango superior.
11. Contacto DPA
Para cuestiones relacionadas con este Acuerdo o el tratamiento de datos como encargado:
privacy@leadgen-agent.com LeadGen Agent — Sergio Jauregui Bogotá D.C., Colombia