Acuerdo de tratamiento de datos
Esta es una traducción de cortesía; la versión en inglés es la única vinculante.
Última revisión: 14 de octubre de 2026
Cuando tu organización conecta a Ascripto su directorio, sus firmas y su correo, tratamos datos personales por cuenta tuya. Este acuerdo establece cómo lo hacemos, tal como exige el artículo 28 del Reglamento General de Protección de Datos, Reglamento (UE) 2016/679 (“RGPD”). Forma parte de nuestros Términos del servicio y no requiere una firma aparte.
1. Partes y roles
El cliente que aceptó los Términos del servicio es el responsable del tratamiento. El encargado del tratamiento es Andrii Koptiukh Software Developer, empresario individual inscrito en el CEIDG (el registro polaco de actividades económicas), ul. Dąbska 20 lok. 39, 31-572 Kraków, Poland, NIP 5213970831, NIF-IVA PL5213970831. Los términos definidos en el RGPD tienen aquí el mismo significado. Cuando sea aplicable el RGPD del Reino Unido, las referencias al RGPD lo incluyen.
2. Objeto, duración, naturaleza y finalidad
Tratamos los datos personales del cliente únicamente para prestarte Ascripto: leer tu directorio, auditar e implementar firmas de correo electrónico, añadir firmas al correo enrutado a través de nuestra retransmisión de correo saliente (relay SMTP), mantener el registro de mensajes, alojar los recursos de marca, medir las campañas y prestarte soporte. El tratamiento dura lo mismo que los Términos del servicio, más el plazo de supresión de la sección 10. Las categorías de datos y de interesados figuran en el Anexo 1.
3. Tus instrucciones
Tratamos los datos personales del cliente únicamente siguiendo tus instrucciones documentadas. Los Términos del servicio, este acuerdo y la configuración y el uso que haces del servicio constituyen esas instrucciones. Si consideramos que una instrucción infringe la normativa de protección de datos, te lo comunicamos. Si la ley nos obliga a tratar los datos de otro modo, te lo comunicamos antes, salvo que la ley lo prohíba.
4. Confidencialidad
Todas las personas a las que autorizamos a tratar datos personales del cliente están sujetas a una obligación de confidencialidad. Nuestro personal no accede a los datos del cliente salvo mediante una autorización de soporte limitada en el tiempo, que indica un motivo, queda registrada y es visible para ti.
5. Seguridad
Aplicamos las medidas técnicas y organizativas del Anexo 2 y las mantenemos adecuadas al riesgo a medida que evoluciona el servicio. Podemos modificarlas siempre que el nivel general de protección no disminuya.
6. Subencargados del tratamiento
Nos otorgas una autorización general para recurrir a los subencargados del tratamiento que figuran en el Anexo 3. Te avisamos con al menos 30 días de antelación antes de añadir o sustituir alguno, por correo electrónico al propietario de tu espacio de trabajo y actualizando el Anexo 3. Si te opones por motivos razonables relacionados con la protección de datos, lo discutiremos de buena fe; si no podemos resolverlo, puedes terminar el acuerdo respecto del servicio afectado y no pagar nada por él a partir de entonces. Imponemos a cada subencargado obligaciones de protección de datos que no sean menos protectoras que estas, y seguimos siendo responsables ante ti del cumplimiento de sus obligaciones.
Google y Microsoft, cuyas plataformas conectas, son tus proveedores, no subencargados nuestros.
7. Transferencias internacionales
Los datos personales del cliente se almacenan y se tratan en el Espacio Económico Europeo. No los transferimos fuera del EEE salvo en los casos que indica el Anexo 3, y en tal caso solo con un mecanismo de transferencia lícito, como las cláusulas contractuales tipo de la Comisión Europea o una decisión de adecuación.
8. Cómo te ayudamos
Teniendo en cuenta la naturaleza del tratamiento, te ayudamos a responder a los interesados que ejercen sus derechos, principalmente a través del propio servicio; si una solicitud nos llega directamente, te la trasladamos sin dilación indebida y no la respondemos nosotros salvo que nos lo pidas. También te facilitamos la información que razonablemente necesites para las evaluaciones de impacto relativas a la protección de datos y las consultas a una autoridad de control.
9. Violaciones de la seguridad de los datos personales
Te notificamos cualquier violación de la seguridad de los datos personales que afecte a datos personales del cliente sin dilación indebida y, en cualquier caso, en un plazo de 48 horas desde que tengamos conocimiento de ella. Te comunicamos lo que sabemos —su naturaleza, los datos y las personas que probablemente se vean afectados, sus posibles consecuencias y las medidas adoptadas o propuestas— y lo completamos a medida que sabemos más. Notificártela no supone un reconocimiento de culpa.
10. Supresión y devolución
Cuando terminan los Términos del servicio, puedes exportar tus datos durante 30 días. Dentro de los 30 días siguientes a ese plazo suprimimos los datos personales del cliente, salvo que la ley nos obligue a conservarlos. Las copias de seguridad se hacen cada noche, se conservan durante 30 días y después se eliminan, y no se restauran salvo para recuperar el servicio.
11. Demostración del cumplimiento y auditorías
Ponemos a tu disposición la información necesaria para demostrar el cumplimiento de este acuerdo y respondemos a cuestionarios de seguridad razonables. Si eso no basta, puedes auditar nuestro cumplimiento, directamente o a través de un auditor independiente sujeto a confidencialidad, una vez al año, con un preaviso de 30 días, en horario laboral y sin perturbar el servicio ni los datos de otros clientes, a tu cargo. Una autoridad de control siempre puede realizar auditorías conforme a lo previsto por la ley.
12. Responsabilidad y prelación
Las disposiciones sobre responsabilidad de los Términos del servicio se aplican a este acuerdo, salvo cuando el RGPD disponga otra cosa. Si este acuerdo contradice los Términos del servicio en lo relativo al tratamiento de datos personales, prevalece este acuerdo.
Anexo 1 — Interesados y categorías de datos
| Interesados | Datos personales | Plazo de conservación |
|---|---|---|
| Tu personal y otras personas de tu directorio | Nombres, direcciones de correo electrónico, identificadores del directorio y los demás campos del directorio que usan las firmas (como el cargo, el departamento, los números de teléfono o la oficina); los cambios que hacen en ellos los administradores; sus firmas actuales y aprobadas; los hallazgos de la auditoría sobre esas personas | Mientras estén en tu directorio; 7 días en la papelera de reciclaje después de salir de él, o el plazo que establezcas |
| Personas de tu directorio en un plan de pago | Si cada persona se ha contabilizado en la factura del mes y cuándo fue la última vez: un mensaje que nuestra retransmisión firmó para ella, o su firma, escrita o encontrada vigente | 70 días |
| Tus administradores y los usuarios de Ascripto | Nombres, direcciones de correo electrónico y las acciones que realizan en tu espacio de trabajo | Auditoría de acciones: 13 meses |
| Remitentes y destinatarios del correo enrutado a través de nuestra retransmisión | Direcciones del remitente y de los destinatarios, Message-ID, hora y resultado de la entrega. El contenido de los mensajes pasa en tránsito y no se almacena | 10 días con posibilidad de búsqueda; un archivo que controles tú puede conservarlo más tiempo |
| Destinatarios que hacen clic en un enlace con seguimiento o cargan un banner | El evento, su hora, la campaña y el remitente, el destinatario como hash unidireccional y el tipo de cliente (navegador, proxy de correo o escáner). No se almacena ninguna dirección IP | 90 días; totales mensuales durante 25 meses |
| Cualquier persona que aparezca en tus recursos de marca | Imágenes que subes, servidas públicamente para que los clientes de correo de los destinatarios puedan cargarlas | Hasta que las elimines |
No solicitamos categorías especiales de datos personales. No las incluyas en las firmas ni en los campos del directorio que lee Ascripto.
Anexo 2 — Medidas técnicas y organizativas
- Ubicación: el servicio funciona en la región Germany West Central de Microsoft Azure (Frankfurt).
- Cifrado: TLS para todo el tráfico hacia nuestros servicios y entre ellos; datos cifrados en reposo por la plataforma de almacenamiento. El correo entre Exchange Online y nuestra retransmisión usa TLS y se autentica mediante certificado.
- Credenciales: los tokens de directorio, las claves de firma criptográfica y las claves de cuentas de servicio se guardan en Azure Key Vault, nunca en una base de datos ni en el código. Los registros de un espacio de trabajo solo contienen una referencia a ellos.
- Separación: los datos de cada espacio de trabajo se delimitan por su identificador en cada lectura y escritura. Las aplicaciones solo acceden a las bases de datos a través de rutinas definidas, nunca mediante acceso directo a las tablas.
- Acceso: el acceso del personal requiere autenticación multifactor. El acceso a los datos de un cliente requiere una autorización de soporte limitada en el tiempo, motivada y registrada, visible para el cliente. El acceso a producción se limita a las personas que operan el servicio.
- Cuentas: contraseñas almacenadas solo como hashes unidireccionales; segundos factores disponibles para todas las cuentas; sesiones que su titular puede consultar y revocar.
- Minimización: la retransmisión nunca almacena el contenido ni el asunto de los mensajes; el seguimiento no almacena direcciones IP; el acceso a los directorios de Google y Microsoft es de solo lectura.
- Registros: las acciones administrativas en un espacio de trabajo y las acciones del personal quedan recogidas en registros de auditoría que las propias acciones no pueden alterar.
- Resiliencia: se supervisa el estado de todas las partes del servicio; las bases de datos se copian cada noche y las copias se conservan durante 30 días; el comportamiento de la retransmisión cuando no puede firmar el correo se configura por espacio de trabajo.
Anexo 3 — Subencargados del tratamiento
| Subencargado | Qué hace | Dónde |
|---|---|---|
| Microsoft Ireland Operations Limited (Microsoft Azure) | Alojamiento: servidores, bases de datos, almacenamiento, gestión de claves | Germany (Frankfurt) |
El correo transaccional se envía a través de un servidor de correo que operamos nosotros, por lo que no interviene ningún subencargado. Nuestro proveedor de pagos, Stripe, recibe el número de personas por las que se factura a un espacio de trabajo y nunca quiénes son, por lo que no trata datos personales del cliente en virtud de este acuerdo; los datos de facturación que sí gestiona son nuestros, como describe la política de privacidad.