Acuerdo de tratamiento de datos

1. Partes y ámbito de aplicación

Este acuerdo complementa las condiciones de uso donde MAXKEN, en Bureau 3, 34 place du Général de Gaulle, 59800 Lille, France, trata datos personales por cuenta del cliente identificado por la cuenta o su organización. El cliente es el responsable o un encargado autorizado que actúa por cuenta de su cliente; MAXKEN es su encargado o subencargado. Estas disposiciones prevalecen en el tratamiento de datos del cliente.

La gestión de cuentas, la facturación, la seguridad y la analítica del sitio público son actividades separadas del responsable, descritas en la política de privacidad. Este acuerdo no constituye una certificación ni garantiza que todos los usos del cliente sean lícitos.

2. Qué tratamos y durante cuánto tiempo

• Finalidad y operaciones: recibir, guardar, organizar, buscar, mostrar y eliminar mensajes; enviar respuestas, notificaciones y resultados del asistente activados por el cliente.
• Personas: visitantes, remitentes, clientes, posibles clientes, contactos y miembros autorizados.
• Datos: nombres, datos de contacto, asuntos y contenido, ID de conversaciones, fechas, estados de lectura y entrega y los campos facilitados por el cliente.
• Duración: mientras se usa el servicio, sujeto a conservación, eliminación y finalización indicadas abajo. El tratamiento es continuo o repetido al llegar mensajes y solicitudes.

El servicio es para contacto y soporte ordinarios. No se diseña para categorías especiales, antecedentes penales, tarjetas, contraseñas ni historiales médicos regulados. No configures esos usos sin evaluación aparte y acuerdo escrito adecuado.

3. Instrucciones del cliente

El acuerdo, los ajustes y las solicitudes y eliminaciones del cliente son instrucciones documentadas. Solo tratamos según ellas, incluidas transferencias, salvo obligación de la UE o de un Estado miembro. Informamos antes de esa obligación salvo prohibición legal y advertimos sin demora de instrucciones que consideremos ilícitas.

No vendemos mensajes ni los usamos para publicidad propia o entrenamiento de IA.

El cliente establece su base legal, informa, responde solicitudes y está autorizado para facilitar datos y designar encargados. Controla formularios, acceso compartido, destinatarios y permisos de asistentes. Las instrucciones adicionales pueden enviarse a Mostrar dirección de email; los cambios sustanciales del servicio requieren un acuerdo aparte.

Activar Slack, Discord, un webhook o un asistente MCP nos instruye para transmitir los datos pertinentes a ese destinatario. El cliente debe evaluar al proveedor, los accesos y las transferencias internacionales. Revocar detiene accesos o entregas futuros cuando sea técnicamente posible; no retira transferencias completadas ni respuestas en curso.

4. Confidencialidad y seguridad

Las personas autorizadas para acceder a datos deben guardar confidencialidad y limitarse a sus funciones. Aplicamos medidas adecuadas al riesgo según el artículo 32 del RGPD y las revisamos al cambiar el servicio.

• HTTPS en endpoints públicos, contraseñas con hash y verificación de email.
• Acceso autenticado, controles de propiedad y rol en el servidor y comprobación de permisos de las herramientas del asistente.
• Límites de peticiones, comprobaciones de destinos y registros administrativos.
• Acceso restringido a infraestructura, copias cifradas externas de Postal y procedimientos de recuperación.

Estas medidas no ofrecen cifrado de extremo a extremo, entrega garantizada ni nivel contractual de disponibilidad. Seguimos respondiendo de nuestras obligaciones de seguridad.

5. Subencargados y transferencias

El cliente autoriza por escrito de forma general a estos proveedores para los tratamientos descritos, sujetos a obligaciones equivalentes. MAXKEN sigue respondiendo de sus subencargados según el acuerdo.

• OVH SAS, Francia: alojamiento de la aplicación, la base de datos y el correo. Postal es software operado en esa infraestructura, no una empresa destinataria independiente.
• Cloudflare: Proxy HTTPS para la aplicación, incluidos formularios y consultas de bandeja, DNS y CDN de recursos públicos; enrutamiento de emails y contenido mediante Email Routing. Las API y páginas privadas evitan la caché compartida.
• Scaleway SAS, Francia: almacenamiento externo de copias cifradas de Postal.

El país identifica a la empresa, no garantiza que todos los accesos ocurran allí. Los contactos y políticas están enlazados en la lista de proveedores. Facilitamos, previa solicitud, información sobre las entidades, ubicaciones y garantías pertinentes. Una transferencia fuera del EEE exige una decisión de adecuación aplicable o las garantías adecuadas del capítulo V del RGPD; este acuerdo por sí solo no constituye un mecanismo de transferencia.

Avisamos por escrito al menos 30 días antes de añadir o sustituir subencargados. El cliente puede oponerse por motivos razonables de protección de datos. Buscamos una solución; si no la hay, el tratamiento afectado termina antes de transferir datos y se devuelve el servicio pagado no utilizado.

Los proveedores de notificaciones y asistentes elegidos por el cliente son sus destinatarios. Stripe y Google prestan servicios independientes de cuenta o facturación; su presencia no autoriza recibir el contenido de los mensajes.

6. Solicitudes, incidentes y asistencia

Según el tratamiento y la información disponible, ayudamos con derechos de interesados, seguridad, evaluaciones de impacto y consultas previas. Transmitimos las solicitudes sobre contenido al cliente; no respondemos en su nombre sin instrucciones salvo obligación legal.

Cuando tengamos conocimiento de una violación de datos personales del cliente, se lo notificaremos sin demora indebida. Facilitaremos la información disponible sobre el incidente, los datos y personas afectados, los posibles efectos, las medidas y un contacto, actualizándola durante la investigación. El cliente decide las notificaciones a autoridades y afectados; colaboramos con la información que poseemos.

7. Información y auditorías

Facilitamos información para acreditar obligaciones y permitimos y colaboramos en auditorías, incluidas inspecciones del cliente o auditor designado. Contacta con Mostrar dirección de email para acordar medidas proporcionadas que protejan otros clientes, confidencialidad y seguridad. No impiden auditorías exigidas por ley o autoridad competente.

8. Devolución y eliminación

Al finalizar el tratamiento, el cliente elige la devolución o eliminación de sus datos y la eliminación de las copias, salvo que la legislación de la UE o de un Estado miembro exija conservarlos. Solicita la devolución antes de eliminar la cuenta o de la caducidad automática: facilitaremos una copia electrónica utilizable. No se promete una función de exportación de autoservicio.

Los mensajes Free siguen la conservación de 30 días y el periodo de gracia al volver de pago a Free descritos en las política de conservación. Los registros de transporte de Postal tienen límites separados de siete días para el contenido y 30 días para los metadatos. Los documentos de facturación o reclamaciones conservados por otra base legal se restringen a esa finalidad.

Las copias de seguridad pueden conservarse hasta dos años según la política vigente. Deben permanecer aisladas del uso habitual, limitadas a recuperaciones autorizadas y eliminarse antes de ese plazo máximo. Si se restaura una copia, se aplicarán de nuevo las instrucciones previas de eliminación. Evaluamos las solicitudes de supresión anticipada según la ley; la política no anula derechos obligatorios de eliminación.

Finalizar el acceso no elimina copias ya transmitidas a destinatarios elegidos por el cliente. Este las gestiona según sus propios acuerdos.