Acuerdo de tratamiento de datos — OAZEE

Este Acuerdo de tratamiento de datos (DPA) forma parte de los Términos de servicio de OAZEE entre Arti Group s.r.o., número de identificación de empresa (IČO) 27930432, número de IVA (DIČ) CZ27930432, con domicilio social en Schulhoffova 793/3, Háje, 149 00 Prague 4, Czech Republic (OAZEE), y el cliente que utiliza OAZEE para tratar datos personales por cuenta del cliente (Cliente).

Se aplica cuando OAZEE trata datos personales incluidos en el contenido del sitio web, las consultas de los visitantes o el alojamiento y envío relacionados exclusivamente por cuenta del Cliente. El Cliente es normalmente el responsable del tratamiento; si el Cliente es una agencia que actúa por cuenta de un responsable, OAZEE actúa como su subencargado del tratamiento. El Cliente debe estar facultado para dar las instrucciones correspondientes.

Se aplican las definiciones del RGPD de responsable del tratamiento, encargado del tratamiento, datos personales, tratamiento y violación de la seguridad de los datos personales. Este DPA prevalece sobre las condiciones generales contradictorias para los tratamientos incluidos en su ámbito. No regula las finalidades propias de OAZEE como responsable en relación con las cuentas, la facturación, la seguridad o el soporte, descritas en la Política de privacidad. La legislación aplicable sobre protección de datos prevalece sobre cualquier limitación contractual.

• Objeto: alojar y gestionar el sitio web del Cliente y tratar los datos personales que el Cliente decida incluir o recoger mediante las funciones admitidas.
• Naturaleza y finalidad: almacenamiento, recuperación, visualización y publicación del contenido del sitio conforme a las instrucciones; recepción, filtrado de spam, almacenamiento y envío por correo electrónico de las consultas de los visitantes; soporte técnico, seguridad y supresión o devolución necesarias para prestar esas funciones.
• Interesados: visitantes del sitio web del Cliente, clientes potenciales y actuales, personas de contacto, personal y otras personas cuyos datos facilite lícitamente el Cliente.
• Tipos de datos: textos e imágenes del sitio sujetos a las instrucciones, nombres, datos de contacto profesionales, direcciones de correo electrónico, números de teléfono, mensajes, detalles de servicios o citas cuando se utilicen, horas de envío, información de IP sometida a hash, información del navegador/agente de usuario e indicadores pertinentes de seguridad o spam. Los proveedores de infraestructura y protección pueden tratar los datos de conexión necesarios para la entrega y la seguridad.
• Duración: mientras continúen el servicio de tratamiento correspondiente y las instrucciones lícitas de conservación, seguido de la devolución o supresión conforme a la sección 10. La conservación en la cuenta no autoriza otros usos ajenos a esa finalidad.

El servicio estándar no está diseñado para recoger categorías especiales de datos, datos relativos a infracciones penales, documentos de identidad u otra información altamente sensible mediante formularios de uso general o instrucciones para la IA. El Cliente no debe ordenar ese tratamiento sin una base jurídica y un acuerdo adecuado expresamente pactado. Un mensaje sensible no solicitado sigue siendo un dato personal protegido y no queda disponible para un uso independiente.

El Cliente encarga a OAZEE tratar los datos únicamente para prestar las funciones seleccionadas en el contrato, conforme a la configuración y las solicitudes registradas del Cliente y a este DPA. Una solicitud de publicar contenido del sitio es una instrucción para hacerlo público; una consulta privada de un formulario no es una instrucción para publicarla.

OAZEE trata los datos únicamente siguiendo instrucciones lícitas y documentadas, incluidas las relativas a transferencias internacionales, salvo que el Derecho aplicable de la UE o de un Estado miembro exija lo contrario. En ese caso, OAZEE informa al Cliente antes del tratamiento, salvo prohibición legal. OAZEE informa sin demora al Cliente si una instrucción parece infringir la legislación aplicable sobre protección de datos y puede suspender la instrucción afectada mientras se aclara.

OAZEE no utiliza los datos de visitantes controlados por el Cliente para publicidad propia, entrenamiento independiente de modelos, venta ni desarrollo de productos ajeno a la finalidad acordada. El permiso para alojar un formulario no autoriza a enviar sus mensajes a un proveedor de IA para las finalidades independientes de ese proveedor. El tratamiento mediante IA dentro de este DPA requiere una instrucción aplicable del Cliente y un acuerdo con el proveedor coherente con este DPA.

El Cliente determina la base jurídica, facilita a los visitantes la información exigida, limita la recogida a los datos necesarios y proporciona instrucciones lícitas de conservación. Estas responsabilidades no eximen a OAZEE de sus propias obligaciones como encargado del tratamiento.

OAZEE garantiza que las personas autorizadas para tratar datos estén sujetas a obligaciones de confidencialidad y reciban acceso solo en la medida necesaria para sus funciones. OAZEE aplica medidas técnicas y organizativas apropiadas conforme al artículo 32 del RGPD, teniendo en cuenta los riesgos, el alcance, el contexto, el estado de la técnica y el coste de aplicación.

Las medidas incluyen restricción de acceso y autenticación, protección de los datos en tránsito, gestión segura de credenciales, separación del acceso de los clientes, protección proporcionada frente a abusos y spam, registro adecuado de eventos y gestión de incidentes, y medidas para mantener la disponibilidad y restaurar los datos cuando proceda. Las protecciones de la infraestructura gestionada y la conservación se evalúan para el tratamiento correspondiente. Este DPA no declara ninguna certificación concreta, región exclusiva de almacenamiento, plazo fijo de recuperación de copias de seguridad ni garantía absoluta de seguridad.

OAZEE proporciona al Cliente la información razonablemente necesaria para evaluar las medidas aplicables y no reduce sustancialmente la protección general exigida por la ley durante el servicio de tratamiento.

El Cliente concede una autorización general por escrito para los subencargados debidamente identificados para el tratamiento correspondiente. La relación de proveedores de la sección 12 debe identificar los proveedores reales, las funciones, las ubicaciones y los mecanismos de transferencia aplicables antes de encomendarles el tratamiento correspondiente. Una integración de software no utilizada no significa por sí misma que el proveedor reciba los datos del Cliente.

Antes de añadir o sustituir un subencargado para los datos del Cliente, OAZEE informa del cambio propuesto al contacto registrado del Cliente con al menos 30 días de antelación, cuando sea viable, para que el Cliente tenga una oportunidad real de oponerse por motivos razonables de protección de datos. Un cambio verdaderamente urgente por motivos de seguridad o legales se notifica lo antes posible y no elimina la exigencia de autorización y protección lícitas.

El Cliente puede oponerse durante el plazo de preaviso. Las partes buscarán una alternativa o medida de protección razonable. Si la objeción no puede resolverse y no existe una alternativa lícita, el Cliente puede poner fin al servicio de tratamiento afectado antes de que el cambio entre en vigor sin cargos por terminación anticipada y recibir cualquier reembolso legal o contractualmente debido por la parte no utilizada del servicio afectado. Esto no garantiza el uso continuado de un proveedor ilícito o no disponible.

OAZEE impone a los subencargados obligaciones por escrito que ofrezcan la misma protección pertinente de los datos que este DPA y sigue siendo responsable ante el Cliente de su cumplimiento conforme al artículo 28 del RGPD. Un proveedor de modelos de IA que intervenga posteriormente en la cadena no queda exento por el mero hecho de que se acceda a él a través de otra plataforma.

La instrucción del Cliente no supone una renuncia a las restricciones del RGPD sobre transferencias fuera del EEE. Antes de una transferencia sujeta a restricciones, OAZEE debe establecer y documentar un mecanismo válido para el destinatario y el tratamiento reales, junto con las evaluaciones y medidas complementarias necesarias.

El tratamiento de la sección 12 incluye transferencias a Estados Unidos. Estas transferencias se basan en el Marco de Privacidad de Datos UE-EE. UU. (DPF) cuando el destinatario y la actividad estén cubiertos por una certificación vigente, y/o en las cláusulas contractuales tipo (SCC) aplicables bajo el DPA del proveedor correspondiente. La Política de privacidad, secciones 8–9 detalla las ubicaciones, entidades destinatarias y enlaces a sus condiciones de transferencia. Una entidad contratante europea no excluye el acceso o tratamiento en Estados Unidos.

Solo puede utilizarse una decisión de adecuación cuando se cumplan sus condiciones. El recurso al EU-U.S. Data Privacy Framework exige que el destinatario y la actividad correspondientes estén cubiertos por una certificación vigente. Cuando se utilicen cláusulas contractuales tipo, deben completarse las partes adecuadas, el módulo, los anexos, la descripción del tratamiento y las medidas; una referencia general en este DPA no constituye un conjunto de cláusulas de transferencia formalizadas.

OAZEE facilita, previa solicitud, información sobre el mecanismo real y acceso a las garantías, con sujeción a la protección lícita de la información confidencial y de los datos personales de terceros. Si una transferencia no puede mantenerse lícitamente, debe interrumpirse o adoptarse otra solución lícita.

Teniendo en cuenta el tratamiento, OAZEE ayuda al Cliente mediante medidas apropiadas a responder a las solicitudes de acceso, rectificación, supresión, limitación, oposición y portabilidad cuando sean aplicables. Las solicitudes pueden coordinarse a través de Mostrar email.

Si OAZEE recibe una solicitud relativa a datos controlados por el Cliente, la remite al Cliente sin dilación indebida y no decide de forma independiente la respuesta del Cliente, salvo obligación legal. El Cliente sigue siendo responsable de evaluar la solicitud; OAZEE presta asistencia a tiempo para facilitar el cumplimiento del plazo legal aplicable. La devolución de los datos puede gestionarse previa solicitud y no se limita a la información visible en un panel de control.

OAZEE notifica al Cliente sin dilación indebida después de tener conocimiento de una violación de la seguridad de los datos personales que afecte a datos tratados conforme a este DPA. La notificación incluye, según la información disponible, la naturaleza del incidente, las categorías afectadas y las cifras aproximadas, un punto de contacto, las consecuencias probables y las medidas adoptadas o propuestas.

La información puede facilitarse por etapas sin dilación indebida mientras se investigan los hechos. OAZEE colabora en la contención, la subsanación y las obligaciones de evaluación y notificación del Cliente. El posible plazo de 72 horas del responsable para notificar a la autoridad de control no es un período contractual durante el cual OAZEE pueda retrasar la información al Cliente.

Teniendo en cuenta la naturaleza del tratamiento y la información disponible, OAZEE ayuda al Cliente con las obligaciones de seguridad, las notificaciones de violaciones, las evaluaciones de impacto relativas a la protección de datos y las consultas previas cuando sean necesarias.

OAZEE pone a disposición la información necesaria para demostrar el cumplimiento del artículo 28 del RGPD y permite y contribuye a las auditorías, incluidas las inspecciones del Cliente o de un auditor independiente autorizado por él. Las partes acuerdan un preaviso razonable, el alcance, la confidencialidad y la protección de los datos de otros clientes; estos acuerdos no pueden anular un derecho legal de auditoría ni obstaculizar a una autoridad competente. Pueden utilizarse informes independientes existentes cuando sean adecuados, pero no se presentan falsamente como certificaciones que OAZEE posea.

La cooperación ordinaria forma parte de las obligaciones legales correspondientes. Cualquier cargo acordado por separado por trabajo realmente adicional debe ser razonable y no debe obstaculizar derechos imperativos ni la corrección de incumplimientos propios de OAZEE.

Al finalizar el servicio de tratamiento correspondiente, el Cliente puede elegir la devolución o supresión de sus datos personales, incluidas las copias, salvo que el Derecho de la UE o de un Estado miembro exija su conservación. Las solicitudes se presentan a través de Mostrar email; OAZEE presta asistencia sin dilación indebida y, cuando se solicita la devolución, proporciona un formato utilizable, de uso común y apropiado para los datos. Tras la devolución, OAZEE elimina las copias restantes, salvo que el Derecho de la UE o de un Estado miembro exija conservarlas, con sujeción al ciclo limitado de copias de seguridad descrito más abajo.

Si el Cliente mantiene una cuenta e instruye la conservación para restaurar los datos, esa finalidad definida de almacenamiento puede continuar conforme a este DPA. Finalizar el alojamiento de pago y conservar contenido recuperable no equivale a ordenar la supresión de todo el contenido almacenado. Los plazos operativos de conservación de la Política de privacidad siguen sujetos a las instrucciones lícitas del Cliente y al requisito de necesidad del RGPD.

Los registros que deban conservarse por ley se aíslan para la finalidad exigida. Las copias de seguridad pendientes del ciclo de supresión aplicable permanecen protegidas, no se utilizan para nuevas finalidades y se eliminan o anonimizan cuando esa conservación limitada deja de ser necesaria. OAZEE explica previa solicitud la excepción o el ciclo de conservación aplicable.

El contacto para las instrucciones al encargado y los asuntos de protección de datos es Mostrar email. Las notificaciones relativas a los datos del Cliente se dirigen al contacto actual de la cuenta del Cliente, salvo que se acuerde otro contacto. El Cliente debe mantenerlo actualizado.

Este DPA sigue la disposición sobre la ley checa de los Términos de servicio sin restringir el RGPD, las autoridades de control competentes, los derechos de los interesados ni otras protecciones imperativas. No obliga a un consumidor a acudir exclusivamente a un tribunal checo en contra de la legislación aplicable.

La Política de privacidad, sección 8 identifica las marcas y funciones de los proveedores de servicios pertinentes. Para el tratamiento real del Cliente, la relación debe distinguir:

• Vercel Inc. (Estados Unidos): alojamiento, almacenamiento Blob y protección relacionada con BotID, incluido cualquier tratamiento pertinente de Kasada;
• Neon: almacenamiento de bases de datos; las condiciones públicas actuales identifican a Databricks, Inc. y su filial Neon, LLC (Estados Unidos);
• Resend / Plus Five Five, Inc. (Estados Unidos): envío de consultas y correos de servicio, incluido el almacenamiento en Estados Unidos de los datos de mensajes;
• proveedores de IA o voz configurados cuando se incluyan lícitamente datos del Cliente: Google (incluida Google Cloud EMEA Limited, Irlanda, para Gemini API Paid Services con dirección de facturación checa), OpenAI, OpenRouter con el proveedor pertinente que intervenga posteriormente, o Recraft;
• otros proveedores únicamente en la medida en que se utilicen realmente por cuenta del Cliente con la autorización exigida.

El tratamiento independiente de pagos de Stripe, las comunicaciones registrales a Gransy / Subreg o al registro de dominios correspondiente, y las notificaciones de soporte propias de OAZEE se evalúan según sus funciones reales; no todos son automáticamente subencargados para los datos de los formularios de visitantes.

La región de la base de datos es AWS US East 1, Virginia del Norte, Estados Unidos (us-east-1). La región predeterminada de las funciones de Vercel para OAZEE es Washington, D.C., Estados Unidos (iad1), con contenido estático distribuido mediante una CDN mundial. Los logotipos, fotos y archivos subidos usan Vercel Blob; la región de las funciones no determina todas las ubicaciones de Blob, cachés, copias de seguridad o acceso remoto. Resend almacena los datos de correo en Estados Unidos; elegir una región de envío no cambia esa ubicación de almacenamiento.

Los destinatarios y las condiciones de transferencia de la Política de privacidad, secciones 8–9 forman parte de esta relación. Para cada subencargado activo, OAZEE facilita en Mostrar email la entidad contractual pertinente, la función, las categorías de datos, las ubicaciones aplicables de tratamiento y acceso remoto y las garantías de transferencia, y notifica los cambios conforme a la sección 5. Deben identificarse los proveedores adicionales o posteriores para el tratamiento real; las regiones de infraestructura indicadas no implican que todo el tratamiento se limite a esas regiones.