NetSendo Logo

Contrato de encargo del tratamiento de datos personales — NetSendo Cloud

Anexo n.º 1 a las Condiciones de venta de las suscripciones de NetSendo y del servicio NetSendo Cloud · versión 1.0 de 7 de noviembre de 2026

Esta es una traducción. La versión polaca es la vinculante.

§ 1. Partes y celebración del contrato

  1. Son partes del contrato:
    1. el Cliente que ha contratado el Servicio Cloud, como responsable del tratamiento (en lo sucesivo, el «Responsable del tratamiento»);
    2. NETSENDO PSA, con domicilio social en Katowice, ul. Jana III Sobieskiego 11, lok. E6, 40-082 Katowice (Polonia), KRS 0001216341, NIP 6343067171, como encargado del tratamiento (en lo sucesivo, el «Encargado del tratamiento»).
  2. El contrato se celebra junto con el contrato del Servicio Cloud, mediante su aceptación en el formulario de pedido. El contrato es un contrato en el sentido del art. 28, apdo. 3 del Reglamento (UE) 2016/679 (en lo sucesivo, el «RGPD»), celebrado en formato electrónico (art. 28, apdo. 9 del RGPD).
  3. Los términos escritos con mayúscula inicial que no se definen en el contrato tienen el significado que se les atribuye en las Condiciones de venta de las suscripciones de NetSendo y del servicio NetSendo Cloud (en lo sucesivo, las «Condiciones»).
  4. Si el Responsable del tratamiento utiliza la Instancia exclusivamente para fines personales o domésticos, a los que no se aplica el RGPD (art. 2, apdo. 2, letra c) del RGPD), el Encargado del tratamiento aplica igualmente a sus datos las medidas descritas en el contrato.

§ 2. Objeto, naturaleza y finalidad del tratamiento

  1. El Responsable del tratamiento encarga al Encargado del tratamiento el tratamiento de los datos personales contenidos en los Datos del Cliente, en la medida y con la finalidad necesarias para prestar el Servicio Cloud.
  2. El tratamiento consiste en: almacenar los datos en servidores, realizar copias de seguridad y restaurarlas, instalar y actualizar el Software, supervisar y resolver averías, poner en Hibernación y reanudar las Instancias (incluido el almacenamiento de los datos durante el periodo de Hibernación), ejecutar las operaciones iniciadas por el Responsable del tratamiento en el Software (en particular, altas, importaciones, envíos, automatizaciones y estadísticas), así como exportar y eliminar los datos.
  3. El Encargado del tratamiento trata los datos durante la prestación del Servicio Cloud, durante el periodo de Hibernación de la Instancia (§ 9, apdo. 14 de las Condiciones) y durante el tiempo necesario para ejecutar el § 10.

§ 3. Tipos de datos y categorías de interesados

  1. Categorías de interesados:
    1. suscriptores y contactos del Responsable del tratamiento, incluidas las personas que se dan de alta a través de los formularios del Responsable del tratamiento;
    2. usuarios del panel de la Instancia (el Responsable del tratamiento, sus empleados y colaboradores);
    3. otras personas cuyos datos el Responsable del tratamiento introduzca en la Instancia, por ejemplo en el contenido de los mensajes.
  2. Tipos de datos:
    1. datos de los suscriptores: dirección de correo electrónico, nombre, apellidos, número de teléfono para SMS, dirección IP, datos del dispositivo y del navegador (user agent), ubicación aproximada determinada a partir de la dirección IP, datos de actividad (altas y bajas, confirmaciones, aperturas, clics, rebotes, quejas), etiquetas, segmentos, valores de campos personalizados, historial de consentimientos y origen del alta;
    2. datos de los usuarios del panel: nombre, apellidos, dirección de correo electrónico, datos de acceso (contraseña almacenada en forma de hash), dirección IP, registro de actividad en el panel;
    3. otros datos que el Responsable del tratamiento introduzca en campos personalizados o en el contenido de los mensajes.
  3. El Responsable del tratamiento no encarga el tratamiento de categorías especiales de datos (art. 9 del RGPD) ni de datos relativos a condenas penales (art. 10 del RGPD). Si, pese a ello, los introduce en la Instancia, es responsable de la base jurídica de su tratamiento y de evaluar si las medidas del Apéndice A son suficientes para ellos.

§ 4. Instrucciones del Responsable del tratamiento

  1. El Encargado del tratamiento trata los datos únicamente siguiendo instrucciones documentadas del Responsable del tratamiento. Constituyen instrucciones: las Condiciones, el presente contrato, la configuración y las acciones realizadas por el Responsable del tratamiento en la Instancia y las instrucciones enviadas por correo electrónico desde la dirección indicada en el pedido. Al aceptar el contrato, el Responsable del tratamiento da instrucciones al Encargado del tratamiento para que almacene los datos durante el periodo de Hibernación de la Instancia y gestione las bajas durante ese periodo, en las condiciones del § 10.
  2. El Encargado del tratamiento puede tratar los datos sin instrucciones si así lo exige el Derecho de la Unión o de un Estado miembro. En ese caso, informa al Responsable del tratamiento de esa exigencia antes de iniciar el tratamiento, salvo que dicho Derecho prohíba tal información.
  3. Si, en opinión del Encargado del tratamiento, una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos, el Encargado del tratamiento informa de ello inmediatamente al Responsable del tratamiento y puede dejar en suspenso la ejecución de la instrucción hasta que esta se confirme o se modifique.
  4. El Encargado del tratamiento no trata los datos para fines propios; en particular, no los utiliza para marketing ni para entrenar modelos de IA.

§ 5. Obligaciones del Encargado del tratamiento

  1. El Encargado del tratamiento garantiza que las personas autorizadas para tratar los datos se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad.
  2. El Encargado del tratamiento aplica las medidas técnicas y organizativas descritas en el Apéndice A (art. 32 del RGPD). El Encargado del tratamiento puede modificar estas medidas si las nuevas garantizan al menos el mismo nivel de seguridad.
  3. Teniendo en cuenta la naturaleza del tratamiento, el Encargado del tratamiento asiste al Responsable del tratamiento:
    1. en la respuesta a las solicitudes de los interesados (arts. 15 a 22 del RGPD); el Responsable del tratamiento atiende la mayoría de ellas por sí mismo en el Software (búsqueda, modificación, exportación y eliminación de un contacto); en lo demás le asiste el Encargado del tratamiento; durante la Hibernación, cuando el Responsable del tratamiento no tiene acceso a la Instancia, el Encargado del tratamiento registra las bajas realizadas desde los enlaces de los mensajes enviados y, a solicitud del Responsable del tratamiento, exporta o elimina los datos;
    2. en el cumplimiento de las obligaciones de los arts. 32 a 36 del RGPD, incluida la evaluación de impacto relativa a la protección de datos.
  4. Si un interesado se dirige al Encargado del tratamiento, este remite la solicitud al Responsable del tratamiento sin dilación indebida y no la responde por sí mismo, salvo que el Responsable del tratamiento le autorice a ello.

§ 6. Violaciones de la seguridad de los datos

  1. El Encargado del tratamiento notifica al Responsable del tratamiento las violaciones de la seguridad de los datos personales sin dilación indebida y, a más tardar, en un plazo de 48 horas desde que tenga constancia de ellas, por correo electrónico a la dirección indicada en el pedido.
  2. La notificación incluye, en la medida en que se disponga de la información: la descripción de la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables y las medidas adoptadas o propuestas para poner remedio a la violación y mitigar sus efectos. La información que no pueda facilitarse de inmediato la facilita el Encargado del tratamiento de manera gradual.
  3. Las notificaciones a la autoridad de control y las comunicaciones a los interesados (arts. 33 y 34 del RGPD) las realiza el Responsable del tratamiento. El Encargado del tratamiento le facilita la información necesaria para prepararlas.

§ 7. Subencargados del tratamiento

  1. El Responsable del tratamiento otorga al Encargado del tratamiento una autorización general para recurrir a subencargados del tratamiento (art. 28, apdo. 2 del RGPD).

  2. En la fecha de celebración del contrato, el Encargado del tratamiento recurre a los siguientes subencargados del tratamiento:

    Entidad Alcance Ubicación de los datos
    ADERLO PSA (Aderlo Cloud), ul. Nowogrodzka 50/54 lok. 515, 00-695 Warszawa (Polonia), KRS 0000955282, NIP 5492466214 mantenimiento de los servidores de las Instancias, copias de seguridad, red Alemania (UE)
    Hetzner Online GmbH, Industriestr. 25, 91710 Gunzenhausen (Alemania), como entidad a la que recurre Aderlo centro de datos, servidores físicos, servidor de copias de seguridad Falkenstein, Alemania (UE)

  3. El Encargado del tratamiento informa al Responsable del tratamiento por correo electrónico, con al menos 14 días de antelación, de la intención de añadir o sustituir un subencargado del tratamiento. En ese plazo, el Responsable del tratamiento puede formular una oposición motivada. Si las Partes no encuentran una solución, el Responsable del tratamiento puede rescindir el contrato del Servicio Cloud con efectos en la fecha de introducción del cambio y recibe el reembolso del precio correspondiente a la parte no utilizada del Periodo de facturación.

  4. El Encargado del tratamiento impone a los subencargados del tratamiento las mismas obligaciones de protección de datos que las establecidas en el presente contrato, en particular la obligación de aplicar medidas de seguridad adecuadas (art. 28, apdo. 4 del RGPD). El Encargado del tratamiento responde ante el Responsable del tratamiento del cumplimiento de las obligaciones por parte de los subencargados del tratamiento.

  5. Los proveedores que el Responsable del tratamiento elige y conecta por sí mismo a la Instancia (proveedores de correo, pasarelas de SMS, proveedores de modelos de IA, otras integraciones) no son subencargados del tratamiento del Encargado del tratamiento. El Responsable del tratamiento celebra con ellos los contratos, incluidos los contratos de encargo del tratamiento, por sí mismo. El Encargado del tratamiento les transmite datos únicamente siguiendo las instrucciones del Responsable del tratamiento que derivan de la configuración de la Instancia.

§ 8. Lugar del tratamiento y transferencias de datos

  1. El Encargado del tratamiento almacena los datos en el Espacio Económico Europeo, en un centro de datos situado en Falkenstein (Alemania).
  2. El Encargado del tratamiento no transfiere los datos a terceros países ni a organizaciones internacionales. Si en el futuro fuera necesario, lo comunicará previamente al Responsable del tratamiento por el procedimiento del § 7, apdo. 3 y aplicará uno de los mecanismos del capítulo V del RGPD.
  3. La transmisión de datos por la Instancia a los proveedores elegidos por el Responsable del tratamiento (§ 7, apdo. 5) constituye una transmisión realizada por el Responsable del tratamiento.

§ 9. Auditoría e información

  1. El Encargado del tratamiento pone a disposición del Responsable del tratamiento la información necesaria para demostrar el cumplimiento de las obligaciones establecidas en el art. 28 del RGPD. Por regla general, lo hace respondiendo a las preguntas y cuestionarios del Responsable del tratamiento en un plazo de 14 días.
  2. El Responsable del tratamiento puede realizar una auditoría, incluida una inspección, por sí mismo o a través de un auditor sujeto a confidencialidad. Debe notificar la auditoría con al menos 30 días de antelación, y no puede realizarla más de una vez al año, salvo que se haya producido una violación de la seguridad de los datos o lo exija la autoridad de control. La auditoría no puede perturbar el funcionamiento de la infraestructura ni vulnerar la confidencialidad de los datos de otros clientes.
  3. La auditoría en un subencargado del tratamiento se realiza a través del Encargado del tratamiento, en las condiciones del contrato entre el Encargado del tratamiento y dicho subencargado. En su lugar, el Encargado del tratamiento puede facilitar los resultados de auditorías o los certificados del subencargado, si permiten evaluar las medidas de seguridad.
  4. Los costes de la auditoría corren a cargo del Responsable del tratamiento, salvo que la auditoría revele un incumplimiento significativo del contrato por parte del Encargado del tratamiento.

§ 10. Fin del contrato: Hibernación, devolución y eliminación de los datos

  1. El contrato se extingue en el momento de la eliminación de los datos en las condiciones del apdo. 4. Las disposiciones sobre confidencialidad siguen vigentes también después de su extinción.
  2. Al finalizar el contrato del Servicio Cloud, la Instancia pasa a Hibernación durante 90 días (§ 9, apdo. 14 de las Condiciones). Durante ese tiempo, el Encargado del tratamiento:
    1. almacena los datos sin cambios en un servidor en el EEE y no realiza con ellos ninguna operación distinta de las descritas en este apartado;
    2. mantiene en funcionamiento los enlaces de baja de los mensajes enviados desde la Instancia antes de la Hibernación y registra las bajas en los datos del Responsable del tratamiento;
    3. a solicitud del Responsable del tratamiento, le entrega la exportación de los datos (devolución de los datos en el sentido del art. 28, apdo. 3, letra g) del RGPD) en las condiciones del § 9, apdo. 14, punto 4 de las Condiciones;
    4. restaura la Instancia con los datos si el Responsable del tratamiento reanuda el Servicio Cloud.
  3. El Responsable del tratamiento puede solicitar en cualquier momento la eliminación de los datos antes de que transcurran los 90 días. En ese caso, el Encargado del tratamiento los elimina en un plazo de 5 Días hábiles.
  4. Transcurridos los 90 días, o en el plazo del apdo. 3, el Encargado del tratamiento elimina los datos del servidor de producción. Las copias de seguridad que contienen los datos expiran en los 2 días siguientes (§ 9, apdo. 9 de las Condiciones) y no se utilizan durante ese tiempo. A solicitud del Responsable del tratamiento, el Encargado del tratamiento confirma la eliminación por correo electrónico.
  5. El Encargado del tratamiento solo puede conservar los datos durante más tiempo si así lo exige el Derecho de la Unión o de un Estado miembro, y únicamente en la medida de dicha exigencia.

§ 11. Responsabilidad

  1. La responsabilidad de las Partes frente a los interesados se rige por el art. 82 del RGPD.
  2. En las relaciones entre las Partes, la responsabilidad del Encargado del tratamiento derivada del presente contrato está sujeta a las reglas del § 13 de las Condiciones.

§ 12. Disposiciones finales

  1. En lo no previsto en el presente contrato se aplican el RGPD, el Derecho polaco y las Condiciones. En caso de contradicción entre las Condiciones y el presente contrato en materia de protección de datos personales, prevalece el presente contrato.
  2. El Encargado del tratamiento introduce modificaciones en el contrato por el procedimiento previsto para la modificación de las Condiciones (§ 14 de las Condiciones).
  3. Contacto para los asuntos relativos al contrato, incluidas las comunicaciones relativas a datos personales: contact@netsendo.com. Asistencia técnica: support@netsendo.com.

Apéndice A. Medidas técnicas y organizativas

Las medidas describen la situación en la fecha de celebración del contrato. El Encargado del tratamiento garantiza que también las aplique el Subcontratista de alojamiento, en virtud del contrato celebrado con él.

  1. Cifrado de las transmisiones. El acceso al panel de la Instancia y a su API se realiza exclusivamente mediante HTTPS (TLS). El dominio netsendo.app figura en la lista HSTS preload, por lo que los navegadores se conectan a él únicamente mediante HTTPS.
  2. Separación de las Instancias. Cada Instancia funciona en contenedores independientes y tiene una base de datos independiente. El Cliente no tiene acceso al servidor ni a otras Instancias.
  3. Control de acceso. Solo tienen acceso a los servidores las personas de NETSENDO y de Aderlo autorizadas nominalmente, mediante cuentas y claves individuales. Los paneles de administración de la infraestructura exigen autenticación multifactor. Las autorizaciones se retiran al finalizar la colaboración.
  4. Bloqueo del SMTP saliente. El servidor de la Instancia no envía correo directamente; los envíos se realizan a través del proveedor elegido por el Cliente.
  5. Copias de seguridad. Copia diaria y cifrada de toda la Instancia (archivos y base de datos) en un servidor físicamente separado del servidor de la Instancia, en la UE. Se conservan las dos últimas copias diarias; la más antigua solo se elimina una vez guardada correctamente la nueva, por lo que siempre existe al menos una copia. La restauración de una Instancia elegida al azar a partir de una copia se comprueba al menos una vez por trimestre.
  6. Infraestructura. Servidores en el centro de datos de Hetzner en Falkenstein, con memoria ECC y discos NVMe en configuración RAID1.
  7. Actualizaciones. El Software y el sistema operativo se mantienen actualizados y los parches de seguridad se instalan sin dilación indebida.
  8. Supervisión. La disponibilidad de las Instancias y el estado del servidor se supervisan automáticamente. Los registros de acceso administrativo se conservan durante 90 días.
  9. Contraseñas. Las contraseñas de los usuarios del panel se almacenan en forma de hash criptográfico.
  10. Confidencialidad. Las personas con acceso a los datos están obligadas a mantener la confidencialidad.
  11. Hibernación. Durante el periodo de Hibernación, los contenedores de la Instancia están detenidos; solo funcionan la página informativa y la gestión de las bajas (§ 10, apdo. 2).
  12. Eliminación de datos. Los datos se eliminan del servidor al finalizar la Hibernación o a solicitud del Responsable del tratamiento (§ 10); los soportes retirados de uso son destruidos o borrados por el centro de datos.
  13. Gestión de incidentes. Aderlo notifica a NETSENDO los incidentes que afecten a las Instancias en un plazo de 24 horas desde que tenga constancia de ellos, lo que permite a NETSENDO respetar el plazo del § 6, apdo. 1.