Legal

Acuerdo de Tratamiento de Datos

Vigente desde 2026-10-01 · Versión dpa-2026-10-v1

1. Funciones y ámbito

Este Acuerdo de Tratamiento de Datos (el "DPA", por sus siglas en inglés) se aplica siempre que CAMF Solutions Inc. ("CAMF") trate datos personales por cuenta del cliente indicado en el pedido ("tú") al prestar un servicio, incluidos el alojamiento de una landing page y los datos que recogen sus formularios, y el trabajo en un sitio Drupal, su monitorización o sus copias de seguridad. Tú eres el responsable del tratamiento y CAMF es el encargado del tratamiento, en el sentido en que se usan esos términos en el Reglamento General de Protección de Datos (RGPD) de la UE y del Reino Unido. Cuando tú mismo seas encargado del tratamiento por cuenta de otra persona, CAMF es tu subencargado y confirmas que tu responsable del tratamiento lo ha autorizado. El Anexo 1 describe el tratamiento.

2. Tus instrucciones

CAMF trata los datos personales únicamente siguiendo tus instrucciones documentadas, que son los Términos del Servicio, las condiciones del plan, este DPA y las solicitudes que nos envías por nuestros canales de soporte, salvo que la ley exija otra cosa, en cuyo caso te informamos primero cuando la ley lo permita. Si consideramos que una instrucción infringe la normativa de protección de datos, te lo comunicamos y podemos pausar ese trabajo. Eres responsable de contar con una base jurídica para el tratamiento y de los avisos y consentimientos que requiera.

3. Confidencialidad y seguridad

Todas las personas de CAMF que pueden acceder a los datos personales están obligadas a mantener su confidencialidad. Aplicamos las medidas técnicas y organizativas del Anexo 2, que podemos mejorar con el tiempo pero no rebajar.

4. Subencargados

Autorizas a CAMF a recurrir a los subencargados del Anexo 3. Te avisamos por correo electrónico al menos 30 días antes de añadir o sustituir alguno. Si te opones por motivos razonables de protección de datos, intentaremos encontrar una alternativa; si no podemos, puedes cancelar el servicio afectado y te reembolsamos las cuotas pagadas por el periodo posterior al cambio. Cada subencargado está obligado por un contrato escrito con obligaciones de protección de datos equivalentes a las de este DPA, y CAMF sigue siendo responsable ante ti de su cumplimiento.

5. Ayuda para cumplir tus obligaciones

• Si una persona se pone en contacto con nosotros para ejercer sus derechos sobre datos que tratamos por cuenta tuya, te trasladamos la solicitud y no la respondemos nosotros salvo que nos lo pidas.
• Te ayudamos a responder a esas solicitudes y a cumplir tus obligaciones en materia de seguridad, notificación de violaciones de seguridad, evaluaciones de impacto relativas a la protección de datos y consulta previa, teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos. La ayuda que vaya más allá del plan consume horas de soporte o se presupuesta.

6. Violaciones de la seguridad de los datos personales

Te notificamos sin dilación indebida, y en todo caso en un plazo de 48 horas, tras tener conocimiento de una violación de la seguridad de los datos personales que afecte a datos que tratamos por cuenta tuya. Te comunicamos lo que sepamos sobre su naturaleza, los datos y las personas afectados, sus consecuencias probables y las medidas adoptadas o propuestas, y te mantenemos al día a medida que sepamos más. Notificar una violación de seguridad no supone admitir culpa.

7. Transferencias internacionales

CAMF tiene su sede en Estados Unidos, y nuestro principal subencargado almacena los datos en Estados Unidos. Cuando se transfieran datos personales sujetos al RGPD de la UE a CAMF, o desde CAMF a un tercer país sin decisión de adecuación, se aplican las Cláusulas Contractuales Tipo adoptadas por la Comisión Europea en la Decisión (UE) 2021/914, que se incorporan a este DPA por referencia: el Módulo 2 cuando eres responsable del tratamiento y el Módulo 3 cuando eres encargado del tratamiento. A efectos de esas cláusulas: se aplica la cláusula opcional de incorporación; conforme a la cláusula 9, se aplican la autorización general por escrito y el preaviso de 30 días de la sección 4; no se aplica la redacción opcional de la cláusula 11; conforme a la cláusula 13, la autoridad de control competente es la que corresponda según tu establecimiento o tu representante en la UE; las cláusulas 17 y 18 designan la ley y los tribunales de Irlanda; y los Anexos 1 a 3 de este DPA constituyen los anexos de las cláusulas. Para los datos sujetos al RGPD del Reino Unido, se aplica la Adenda de Transferencia Internacional de Datos del Reino Unido a esas cláusulas, y para los datos suizos, las cláusulas se aplican con las adaptaciones que exige la legislación suiza. Si las cláusulas entran en conflicto con este DPA, prevalecen las cláusulas.

8. Devolución y supresión

Cuando termina un servicio, devolvemos los datos personales que conservamos para él si nos lo pides y los suprimimos, incluidas las copias, en un plazo de 60 días, salvo que la ley nos obligue a conservarlos. Las copias de seguridad se sobrescriben en su ciclo normal y no se restauran salvo para recuperar tus datos a petición tuya.

9. Auditorías

Ponemos a tu disposición la información que razonablemente necesites para demostrar el cumplimiento de este DPA, y respondemos a tus preguntas por escrito sobre nuestra seguridad. Si eso no es suficiente, puedes auditar nuestro cumplimiento una vez al año, por ti mismo o a través de un auditor independiente sujeto a confidencialidad, con un preaviso por escrito de al menos 30 días, en horario laboral y sin perturbar los datos de nuestros demás clientes, a tu propio cargo. Las auditorías exigidas por una autoridad de control no tienen límite de número.

10. Leyes de privacidad de EE. UU. y de otros países

Cuando se aplique la California Consumer Privacy Act (CCPA) o una ley estatal similar de EE. UU., CAMF actúa como tu proveedor de servicios o encargado del tratamiento: no vendemos ni compartimos los datos personales, no los conservamos, usamos ni divulgamos fuera de nuestra relación comercial directa contigo ni para ningún fin distinto de la prestación del servicio, no los combinamos con datos de otras fuentes salvo en la medida en que la ley lo permita, y te avisamos si dejamos de poder cumplir estas obligaciones. Cuando se aplique la normativa de protección de datos de otro país (por ejemplo, la LGPD de Brasil), las obligaciones de este DPA se aplican a las funciones equivalentes según esa normativa.

11. Responsabilidad y prelación

La responsabilidad de cada parte en virtud de este DPA está sujeta a la limitación de responsabilidad de los Términos del Servicio, salvo cuando la normativa de protección de datos no permita limitarla, y nada de lo aquí dispuesto restringe los derechos de las personas cuyos datos se tratan. En materia de protección de datos, este DPA prevalece sobre los Términos del Servicio, y las Cláusulas Contractuales Tipo prevalecen sobre ambos. Este DPA se mantiene en vigor mientras CAMF trate datos personales por cuenta tuya.

Anexo 1: Descripción del tratamiento

• Partes: tú como exportador de datos (responsable o encargado del tratamiento) y CAMF Solutions Inc., 30 N Gould St Ste R, Sheridan, WY 82801, United States, como importador de datos (encargado del tratamiento), contacto info@camfsolutions.com.
• Interesados: visitantes, usuarios, clientes, suscriptores y contactos de tu sitio web, y tu personal que lo utiliza.
• Datos: los que tu sitio web contenga o recoja, normalmente nombres, datos de contacto, datos de cuenta, envíos de formularios, datos de pedidos y datos técnicos como direcciones IP y registros. Los servicios no están diseñados para categorías especiales de datos ni para datos relativos a condenas penales; avísanos antes de que tu sitio trate alguno, para que podamos acordar las medidas adicionales necesarias.
• Naturaleza y finalidad: alojamiento, almacenamiento, copias de seguridad, mantenimiento, actualizaciones, resolución de problemas, monitorización y desarrollo de tu sitio web, y las revisiones incluidas en tu plan.
• Frecuencia y duración: continuo, mientras dure el servicio, y después hasta la supresión conforme a la sección 8.

Anexo 2: Medidas de seguridad

• Cifrado de los datos en tránsito (TLS) y, en nuestra infraestructura, en reposo.
• Acceso limitado a las personas que lo necesitan para tu servicio, con cuentas individuales, autenticación multifactor cuando el sistema lo admite, y retirada del acceso cuando deja de ser necesario.
• Las credenciales que nos das se guardan en un gestor cifrado de contraseñas o de secretos, nunca en el historial del correo electrónico o del chat.
• Aplicación de actualizaciones de seguridad en los sistemas que gestionamos, monitorización y registro de los accesos administrativos.
• Copias de seguridad periódicas de los sistemas que alojamos, con pruebas de restauración.
• Un proceso documentado de respuesta a incidentes, que incluye las notificaciones de la sección 6.
• Obligaciones de confidencialidad y pautas de protección de datos para todas las personas que trabajan con datos de clientes.

Anexo 3: Subencargados

Tu propio proveedor de hosting, cuando trabajamos en un sitio que alojas en otro lugar, es tu encargado del tratamiento, no el nuestro.