Contrato de encargado del tratamiento

Este contrato forma parte de las condiciones de contratación y licencia de uso de Secuenza y se acepta con ellas. Regula el tratamiento que Tude hace, por cuenta del cliente, de los datos de los destinatarios de sus correos, conforme al artículo 28 del Reglamento (UE) 2016/679 (RGPD).

1. Partes

• Responsable del tratamiento: el cliente que usa Secuenza y decide a quién escribe y para qué.
• Encargado del tratamiento: TUDE CONSULTORES INFORMÁTICOS, S.L. («Tude»), NIF B71466502, Avda. Zaragoza, 67 · 31500 Tudela (Navarra), España.

2. Qué trata Tude y para qué

Los contactos y los correos del cliente están en su PC: Tude no los recibe. Para que el cliente sepa qué pasa con sus correos, el programa añade a cada uno un píxel de apertura, enlaces y un enlace de baja que apuntan al servicio de seguimiento de Tude (secuenza.eu). Por cuenta del cliente, Tude:

• registra las aperturas, los clics y las bajas, y los entrega al programa del cliente;
• sirve la versión de cada correo para «verlo en el navegador»;
• sirve la página de baja con el nombre, el logotipo y el color del cliente;
• recibe las altas que llegan por el formulario de la web del cliente o desde su sistema por la API, y las guarda hasta que el programa del cliente las recoge;
• guarda y sirve las imágenes que el cliente sube para sus correos;
• guarda una copia de seguridad de las huellas de las direcciones dadas de baja, para que el cliente no pierda su lista de supresión;
• si el cliente lo envía desde Ayuda, trata el diagnóstico del programa para darle soporte.

Tude no guarda las direcciones de correo de los destinatarios. Cada evento va asociado a un código aleatorio que solo el programa del cliente sabe relacionar con un contacto. La única excepción son las altas: los datos de quien se apunta se guardan solo de paso, hasta que el programa del cliente los recoge.

3. Interesados y datos

• Interesados: los destinatarios de los correos del cliente, y quienes se apuntan a sus campañas por un formulario o por la API.
• Datos: el código del envío; el tipo de evento y su fecha; si la apertura fue automática (la de algunos proveedores de correo); el tipo de dispositivo (móvil u ordenador); el enlace pulsado; el motivo de la baja, si el destinatario lo da; las huellas (SHA-256) de las direcciones dadas de baja; y el contenido de los correos para «ver en el navegador», en su versión general, sin los datos de cada destinatario. En los diagnósticos, los registros del programa, con las direcciones de correo tapadas. En las altas, los datos que da quien se apunta o que manda el sistema del cliente (la dirección de correo, el nombre y los demás datos de contacto), la página del formulario sin sus parámetros, si aceptó recibir los correos y la fecha.
• No se guardan la dirección IP ni el navegador de los destinatarios ni de quien se apunta.
• No se tratan categorías especiales de datos. El cliente no debe incluirlas en sus correos.

4. Duración

• Eventos: hasta que el programa del cliente los recoge, y como mucho 90 días.
• Bajas, para el control de abuso: el código del correo, la fecha y si el motivo fue «No recuerdo haberme apuntado», 90 días.
• Versiones para el navegador: mientras el correo forme parte de una campaña del cliente.
• Huellas de las bajas: mientras exista la instalación.
• Diagnósticos: 30 días.
• Altas: hasta que el programa del cliente las recoge, y como mucho 30 días.
• Imágenes de los correos: hasta que el cliente las borra o termina la relación.

Cuando termina la relación, Tude suprime en un plazo de 30 días lo que conserve por cuenta del cliente, salvo que la ley obligue a guardarlo. A petición del cliente, Tude certificará la supresión.

5. Obligaciones de Tude

Tude se compromete a:

• tratar los datos solo para lo descrito en este contrato y según las instrucciones del cliente, que se concretan en el uso del programa; si una instrucción le parece contraria al RGPD, se lo dirá al cliente;
• garantizar que las personas autorizadas a tratar los datos se han comprometido a la confidencialidad;
• aplicar las medidas de seguridad del apartado 8;
• no recurrir a otros encargados sin la autorización del cliente, según el apartado 7;
• ayudar al cliente a atender los derechos de los interesados (apartado 10) y a cumplir sus obligaciones de seguridad, notificación de violaciones y evaluación de impacto;
• suprimir los datos al terminar, según el apartado 4;
• poner a disposición del cliente la información necesaria para demostrar que cumple, y permitir auditorías con un preaviso de 30 días. El coste de la auditoría lo asume el cliente, salvo que revele un incumplimiento grave de Tude.

6. Obligaciones del cliente

El cliente se compromete a:

• tener una base legal para escribir a cada destinatario y para el seguimiento de sus correos;
• informar a sus destinatarios del tratamiento, conforme a los artículos 13 y 14 del RGPD;
• respetar las bajas y no volver a escribir a quien se dio de baja;
• no incluir en sus correos categorías especiales de datos;
• cumplir la política de uso aceptable.

7. Otros encargados (subencargados)

El cliente autoriza a Tude a recurrir a los subencargados del anexo. Tude avisará de cualquier cambio con 30 días de antelación, y el cliente podrá oponerse en un plazo de 15 días; si no se resuelve, podrá cancelar su suscripción sin penalización. Tude impondrá a cada subencargado las mismas obligaciones que este contrato y responderá de su cumplimiento.

8. Medidas de seguridad

• Conexiones cifradas (HTTPS) en todos los servicios.
• Sin direcciones de los destinatarios en el servidor: códigos aleatorios y huellas criptográficas. Las altas, solo hasta que el programa del cliente las recoge.
• Enlaces de seguimiento firmados, para que nadie pueda usarlos para redirigir a otro sitio.
• Peticiones del programa firmadas con una clave propia de cada instalación.
• Acceso a la base de datos restringido, y doble factor obligatorio en la administración.
• Registros técnicos sin datos personales, que se borran a los 14 días.
• Suspensión de las instalaciones que abusen del servicio, para proteger a todos los clientes.

Tude revisará estas medidas cuando cambien los riesgos o el estado de la técnica.

9. Violaciones de seguridad

Tude avisará al cliente sin dilación, y en un máximo de 48 horas desde que tenga conocimiento, de cualquier violación de seguridad que afecte a estos datos. Le dirá qué ha pasado, qué datos e interesados afecta, sus posibles consecuencias y qué se ha hecho para remediarlo, y le ayudará a notificarla a la autoridad de control cuando corresponda.

10. Derechos de los interesados

El enlace de baja de cada correo funciona siempre, también si la instalación del cliente está suspendida. Si un destinatario se dirige a Tude para ejercer otros derechos, Tude se lo comunicará al cliente en un máximo de 48 horas y no le responderá directamente, salvo que el cliente se lo pida.

11. Transferencias internacionales

Los datos se tratan en la Unión Europea. Tude no los transferirá fuera del Espacio Económico Europeo sin autorización del cliente y sin las garantías que exige el RGPD.

12. Vigencia

Este contrato está vigente mientras el cliente use Secuenza y mientras Tude conserve datos por su cuenta.

13. Contacto

Para cualquier cuestión sobre este contrato: info@secuenza.com.

Anexo · Subencargados

Subencargado	Qué hace	Datos	Dónde
MonsterASP.NET (Praga, República Checa)	Alojamiento del servicio de seguimiento, de los servicios del programa y de la base de datos	Todos los descritos en el apartado 3	Unión Europea