1. Roles de las partes
El Cliente actúa como Responsable del tratamiento (Data Controller) respecto de los datos personales que aporta a la plataforma o que se generan a partir del uso del servicio por parte de los usuarios finales del Cliente.
GUNDO actúa como Encargado del tratamiento (Data Processor) y trata esos datos personales únicamente conforme a las instrucciones documentadas del Cliente, salvo cuando el Derecho de la Unión o de un Estado miembro le obligue a otra cosa.
Cuando el Cliente conecta cuentas de redes sociales (Meta/Instagram, LinkedIn, X, TikTok, YouTube) para que GUNDO publique en su nombre vía Marketing Hub, GUNDO sigue actuando como Encargado por cuenta del Cliente respecto de los tokens y métricas asociados.
2. Objeto, duración y categorías
Objeto: prestación de los servicios SaaS de GUNDO descritos en los Términos.
Duración: mientras dure la suscripción del Cliente y hasta su finalización + el plazo de eliminación pactado abajo.
Categorías de interesados: empleados, miembros, clientes finales o usuarios del Cliente que utilizan la plataforma; profesionales que reciben campañas via Marketing Hub.
Categorías de datos: identificación (nombre, email), datos de uso, datos de salud auto-reportados (categoría especial RGPD art. 9, sólo cuando el usuario final los aporta voluntariamente), tokens OAuth de redes sociales, métricas agregadas de campaña.
3. Subencargados (subprocessors)
El Cliente autoriza de forma general a GUNDO a subcontratar el tratamiento con los proveedores listados a continuación. GUNDO mantiene la responsabilidad frente al Cliente por las actuaciones de sus subencargados y suscribe con cada uno de ellos contratos con cláusulas de protección de datos equivalentes.
Subencargados actuales:
• Google LLC (Google Cloud Platform y Firebase; contraparte del DPA: Google Cloud EMEA Ltd.): infraestructura cloud, base de datos, autenticación y hosting. Ubicación: UE (multirregión eur3, europe-west1 en Bélgica) y EE. UU. (multirregión nam5, us-central1 en Iowa); parte de los datos de salud se almacena en EE. UU. Garantía: Marco de Privacidad de Datos UE-EE. UU. y cláusulas contractuales tipo.
• Google LLC (Vertex AI, modelos Gemini): asistente conversacional por WhatsApp. Ubicación: europe-west1 (Bélgica, UE).
• Amazon Web Services (AWS Bedrock, modelos Anthropic Claude): planes, escáner y OCR, y chat. Ubicación: eu-west-1 (Irlanda, UE).
• Amazon Web Services EMEA SARL (Amazon SES): emails transaccionales de una parte de la plataforma. Ubicación: eu-west-1 (Irlanda, UE).
• Resend, Inc.: envío de emails transaccionales. Ubicación: EE. UU. Garantía: cláusulas contractuales tipo.
• Cloudflare, Inc.: CDN, DNS y WAF. Ubicación: red global. Garantía: cláusulas contractuales tipo.
• Sentry (Functional Software, Inc.): observabilidad de errores. Ubicación: Alemania (UE).
• Stripe Payments Europe Ltd. y MercadoPago: pasarelas de pago. Actúan como Responsables independientes para sus propias finalidades.
• Meta Platforms (WhatsApp Business, Cloud API): mensajería del asistente por WhatsApp (mensajes y número de teléfono). Ubicación: EE. UU. Garantía: cláusulas contractuales tipo.
• Meta Platforms Ireland Ltd., LinkedIn Ireland, X Corp., TikTok Ireland, Google Ireland Ltd.: sólo para los Clientes que conecten esas redes a Marketing Hub; cada una conforme a sus términos públicos.
GUNDO publicará la lista actualizada en este DPA y notificará al Cliente con al menos 30 días de antelación cualquier cambio sustancial. El Cliente puede oponerse motivadamente; si las partes no llegan a un acuerdo, el Cliente puede resolver la suscripción.
4. Medidas técnicas y organizativas
GUNDO implementa medidas técnicas y organizativas adecuadas al riesgo (RGPD art. 32), incluyendo:
• Cifrado en tránsito (TLS 1.3) y en reposo (AES-256).
• Gestión de secretos en GCP Secret Manager con rotación automatizada.
• Control de accesos basado en roles (RBAC) y MFA obligatorio para personal con acceso a producción.
• Trazabilidad: logs de acceso y de cambios con retención mínima de 12 meses.
• Gestión de vulnerabilidades: escaneo continuo (Trivy + dependency scanning) y SLAs de remediación.
• Pruebas de recuperación: backups automáticos diarios con retención de 30 días y point-in-time recovery.
• Separación lógica: el dato del Cliente está aislado por tenant y nunca se comparte con otros Clientes.
5. Notificación de brechas
GUNDO notificará al Cliente sin dilación indebida y, en cualquier caso, dentro de las 72 horas desde que tenga conocimiento de una violación de la seguridad de los datos personales. La notificación incluirá: naturaleza de la brecha, categorías y volumen aproximado de interesados afectados, consecuencias probables y medidas adoptadas o propuestas para mitigarlas. El Cliente, como Responsable, decide si notificar a la AEPD y a los interesados; GUNDO le proporcionará la información técnica necesaria.
6. Retención y devolución/eliminación al término
Durante la vigencia del contrato, GUNDO conserva los datos del Cliente conforme a lo necesario para la prestación del servicio y a las instrucciones del propio Cliente.
A la finalización del contrato, GUNDO ofrece al Cliente una ventana de 30 días para exportar sus datos. Transcurrido ese plazo, los datos se eliminan o anonimizan en menos de 60 días, salvo obligación legal de conservación.
Las copias de backup que contengan datos del Cliente se rotan dentro del ciclo natural de 30 días, tras lo cual desaparecen.