Acuerdo de tratamiento de datos

El DPA regula el tratamiento de los datos personales que el Encargado realiza por cuenta del Cliente para prestarle FeatureLoop, conforme a la normativa de protección de datos aplicable, incluido el Reglamento General de Protección de Datos (RGPD) cuando corresponda.

• Naturaleza y finalidad: alojar y mostrar la página pública de ideas del Cliente; registrar ideas y votos; verificar emails; enviar emails transaccionales en nombre del producto del Cliente; prevenir el abuso; y permitir al Cliente gestionar y exportar sus datos.
• Interesados: los usuarios finales y visitantes de la página pública del Cliente.
• Categorías de datos: email y, si se facilita, nombre; contenido de las ideas y votos; identificador aleatorio de visitante; hash de la IP en los votos anónimos; y datos técnicos (IP, navegador) en los registros.
• Categorías especiales: el servicio no está pensado para tratarlas y el Cliente se compromete a no solicitarlas a sus usuarios.
• Duración: la del uso del servicio por el Cliente, más los plazos de borrado del apartado «Devolución y supresión».

• Contar con una base legal para el tratamiento y dar instrucciones lícitas.
• Informar a sus usuarios finales, incluido el uso del almacenamiento local de su navegador para el identificador de visitante y la sesión.
• Configurar el servicio (moderación, votos anónimos, dominios) de acuerdo con sus obligaciones.

• Tratar los datos solo siguiendo las instrucciones documentadas del Cliente (estos términos, este DPA y la configuración del panel), salvo que la ley le obligue a otra cosa, e informar al Cliente si considera que una instrucción infringe la ley.
• No usar los datos para fines propios ni venderlos.
• Garantizar que las personas autorizadas a tratarlos se han comprometido a respetar la confidencialidad.
• Aplicar las medidas de seguridad descritas abajo.
• Ayudar al Cliente a atender los derechos de los interesados. El panel permite exportar los datos y eliminarlos; para lo demás, el Encargado prestará una ayuda razonable.
• Notificar al Cliente cualquier violación de la seguridad de los datos sin dilación indebida y, cuando sea posible, en un plazo de 48 horas desde que tenga conocimiento, con la información disponible.
• Ayudar al Cliente, en la medida razonable, con evaluaciones de impacto y consultas a la autoridad de control.

El Cliente autoriza al Encargado a recurrir a los siguientes subencargados:

• Cloudflare, Inc.: red, proxy y DNS delante de nuestros servidores, protección antiabuso (Turnstile) y almacenamiento de archivos (R2).
• Hetzner Online GmbH: servidores (sitio, panel y API) y base de datos, en Estados Unidos.
• Amazon Web Services, Inc. (Amazon SES): envío de emails.

El Encargado avisará de cualquier subencargado nuevo con al menos 30 días de antelación, en esta página y por email. El Cliente puede oponerse por motivos razonables; si no se llega a un acuerdo, puede dejar de usar el servicio. El Encargado impone a sus subencargados obligaciones de protección de datos equivalentes y responde de su cumplimiento.

Los datos se alojan en Estados Unidos. Cuando se traten fuera del país del Cliente, el Encargado se apoyará en mecanismos adecuados, como decisiones de adecuación o cláusulas contractuales tipo.

• Cifrado de todo el tráfico (HTTPS).
• Aislamiento de los datos de cada cliente en todas las consultas.
• Tokens de sesión y enlaces de acceso guardados solo como hash; enlaces de un solo uso que caducan a los 15 minutos.
• IP de los votos anónimos guardada solo como hash con sal rotativa y borrada a los 90 días.
• Protección antiabuso (Turnstile) y límites de uso.
• Acceso restringido a los sistemas de producción y registro de auditoría de las acciones en el panel.
• Borrado programado de los datos que ya no se necesitan.

El Cliente puede exportar los datos de cada producto en JSON en cualquier momento antes de eliminarlo. Un producto eliminado deja de estar accesible al momento y sus datos se borran de forma definitiva a los 30 días. Al terminar el servicio, el Encargado suprime los datos, salvo que la ley le obligue a conservarlos.

El Encargado pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA, preferentemente mediante documentación o cuestionarios. El Cliente podrá solicitar una auditoría como máximo una vez al año, con 30 días de aviso, a su cargo y sin comprometer la confidencialidad de otros clientes.

Se aplica la limitación de responsabilidad de los Términos de servicio, salvo en lo que la ley no permita limitar. En materia de datos personales, este DPA prevalece sobre los Términos en caso de conflicto.

Logical Design · [email protected].