Anexo de Encargo de Tratamiento (DPA)

1. Partes y naturaleza de este Anexo

El presente Anexo de Encargo de Tratamiento de Datos (el «DPA») forma parte integrante de los Términos del servicio (el «Contrato») celebrado entre:

The Interactive Studio, S.L., con CIF B85428746 y domicilio en C/ Teide, 4, oficina 0.3, 28703 San Sebastián de los Reyes (Madrid, España), inscrita en el Registro Mercantil de Madrid, Tomo 25584, Folio 88, Sección 8, Hoja M-461080, Inscripción 1ª (en adelante, «The Interactive Studio» o el «Encargado»), y

La agencia, empresa u organización identificada en el registro de la cuenta (en adelante, el «Cliente» o el «Responsable»).

Este DPA regula el tratamiento de datos personales que The Interactive Studio realiza por cuenta del Cliente en la prestación del servicio Fountant, conforme al artículo 28 del Reglamento (UE) 2016/679 («RGPD»).

Aceptación electrónica. Este DPA se acepta por medios electrónicos junto con el Contrato. La persona que lo acepta declara estar autorizada para obligar al Cliente.

2. Roles de las partes

El Cliente es el responsable del tratamiento de los datos personales contenidos en el contenido que sube, crea o importa y en las cuentas sociales que conecta, incluidos los datos de terceros (por ejemplo, autores de comentarios y mensajes o personas que aparecen en imágenes y vídeos). Determina las finalidades y los medios esenciales del tratamiento, incluida la activación de funciones como la bandeja o la IA.

The Interactive Studio es el encargado del tratamiento: trata dichos datos exclusivamente por cuenta del Cliente, conforme a este DPA y a sus instrucciones documentadas.

Para evitar dudas: The Interactive Studio actúa como responsable (no como encargado) únicamente respecto de los tratamientos descritos en su Política de privacidad, en particular las cuentas de usuario, la facturación, la medición y los datos de visitantes de su sitio web. Dichos tratamientos quedan fuera de este DPA.

3. Descripción del tratamiento

La descripción detallada (objeto, duración, naturaleza, finalidades, categorías de interesados y tipos de datos) figura en el Anexo I, que forma parte de este DPA.

4. Instrucciones del Responsable

4.1. The Interactive Studio tratará los datos personales únicamente conforme a instrucciones documentadas del Cliente, incluidas las impartidas mediante la configuración y el uso de la plataforma por sus miembros, y las recogidas en este DPA y en el Contrato.

4.2. Si The Interactive Studio considera que una instrucción infringe el RGPD u otra normativa de protección de datos aplicable, informará inmediatamente al Cliente y podrá suspender su ejecución hasta que se aclare o modifique.

4.3. The Interactive Studio podrá tratar los datos cuando lo exija el Derecho de la Unión o de un Estado miembro; en tal caso informará al Cliente de esa exigencia legal antes del tratamiento, salvo que la ley lo prohíba por razones de interés público.

4.4. The Interactive Studio no utilizará los datos personales tratados por cuenta del Cliente para fines propios, incluidos el entrenamiento de modelos de inteligencia artificial, la elaboración de perfiles con fines comerciales o la cesión a terceros distintos de los subencargados autorizados. La memoria y el contexto de IA se mantienen aislados por organización y marca.

5. Confidencialidad

The Interactive Studio garantiza que las personas autorizadas para tratar datos personales se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que su acceso se limita a lo necesario para sus funciones. Esta obligación subsiste tras la finalización del Contrato.

6. Seguridad

6.1. The Interactive Studio implementa las medidas técnicas y organizativas apropiadas al riesgo conforme al art. 32 RGPD, descritas en el Anexo II. El Anexo II podrá actualizarse para mejorar la seguridad, sin que ninguna actualización pueda reducir materialmente el nivel de protección.

6.2. El Cliente es responsable de la gestión del acceso de sus miembros, de la asignación de roles y permisos dentro de su organización y de las cuentas sociales que conecta.

7. Subencargados

7.1. El Cliente otorga una autorización general para que The Interactive Studio recurra a los subencargados listados en el Anexo III (también disponible y actualizado en fountant.com/legal/subencargados).

7.2. The Interactive Studio informará al Cliente con al menos 30 días de antelación de cualquier adición o sustitución de subencargados, mediante correo electrónico a los administradores y actualización de la lista publicada. El Cliente podrá oponerse por motivos razonables y justificados relacionados con la protección de datos; si no hay solución razonable y la oposición se mantiene, el Cliente podrá resolver el Contrato respecto del servicio afectado sin penalización, con devolución proporcional de cantidades prepagadas.

7.3. The Interactive Studio impondrá a cada subencargado, mediante contrato, obligaciones de protección de datos equivalentes a las de este DPA, y responderá ante el Cliente del cumplimiento de sus subencargados.

7.4. Las plataformas sociales a las que el Cliente conecta sus cuentas y en las que publica (Meta, Google/YouTube) no son subencargados: reciben el contenido por decisión del Cliente y lo tratan como responsables conforme a sus propias condiciones.

8. Asistencia al Responsable y derechos de los interesados

8.1. Los interesados deben dirigir el ejercicio de sus derechos (arts. 15 a 22 RGPD) al Cliente. Si The Interactive Studio recibe directamente una solicitud, la trasladará al Cliente sin dilación indebida y, a más tardar, en 5 días hábiles, sin responderla por sí misma salvo instrucción del Cliente.

8.2. The Interactive Studio asistirá al Cliente, teniendo en cuenta la naturaleza del tratamiento, mediante las funcionalidades de la plataforma (consulta, edición y supresión de contenido, desconexión de cuentas) y, cuando no basten, mediante asistencia razonable a petición del Cliente.

8.3. The Interactive Studio asistirá al Cliente, en lo que razonablemente le corresponda como encargado, en el cumplimiento de los arts. 32 a 36 RGPD (seguridad, notificación de violaciones, evaluaciones de impacto y consultas previas), facilitando la información disponible sobre el tratamiento que realiza.

9. Violaciones de seguridad de los datos

9.1. The Interactive Studio notificará al Cliente sin dilación indebida, y a más tardar dentro de las 72 horas desde que tenga conocimiento de una violación de la seguridad que afecte a datos personales tratados por cuenta del Cliente, por correo electrónico a los administradores de la organización.

9.2. La notificación incluirá, en la medida disponible: naturaleza de la violación, categorías y número aproximado de interesados y registros afectados, consecuencias probables, medidas adoptadas o propuestas, y punto de contacto. La información podrá facilitarse de manera gradual.

9.3. La notificación a la autoridad de control y, en su caso, a los interesados corresponde al Cliente como responsable. The Interactive Studio le prestará la asistencia razonable a tal fin y documentará internamente todas las violaciones conforme al art. 33.5 RGPD.

10. Funcionalidades de inteligencia artificial

10.1. La generación y adaptación de contenido con IA se activa por decisión del Cliente y consume los créditos de su plan. Los resultados son propuestas que un miembro del Cliente revisa antes de usarlas; la plataforma no publica ni responde nada sustantivo de forma automática.

10.2. Los proveedores de modelos (Anexo III) tratan el contexto y las instrucciones únicamente para generar la respuesta y no los utilizan para entrenar modelos, conforme a sus condiciones.

11. Localización de los datos y transferencias internacionales

11.1. Los datos se alojan con carácter principal en la Unión Europea, según se detalla en el Anexo III.

11.2. Determinados subencargados pueden implicar transferencias internacionales (p. ej., entrega de correos, protección anti‑bots o modelos de IA), amparadas en una decisión de adecuación (incluido el EU-US Data Privacy Framework) o en cláusulas contractuales tipo de la Comisión Europea, según se detalla en el Anexo III.

11.3. Si el Cliente está establecido fuera del Espacio Económico Europeo, la comunicación de datos desde The Interactive Studio al Cliente se ampara en las Cláusulas Contractuales Tipo (Decisión de Ejecución (UE) 2021/914), Módulo Cuatro (encargado a responsable), incorporadas por referencia. Opciones ejercidas: cláusula 17 (ley aplicable), ley española; cláusula 18 (foro), tribunales de Madrid.

12. Fin de la prestación: devolución y supresión

12.1. A la terminación del Contrato, el Cliente dispondrá de un periodo de exportación de 90 días durante el cual podrá obtener los datos tratados por su cuenta en formato estructurado y de uso común, a través de la plataforma o, a solicitud del Cliente, por un canal seguro.

12.2. Al terminar el Contrato o al desconectar una cuenta social, The Interactive Studio revoca o elimina los tokens de acceso de esa cuenta.

12.3. Transcurrido el periodo de exportación, The Interactive Studio suprimirá todos los datos personales tratados por cuenta del Cliente, salvo los que deba conservar por obligación legal de la Unión o de un Estado miembro, y emitirá certificación de supresión a solicitud del Cliente.

13. Auditorías

13.1. The Interactive Studio pondrá a disposición del Cliente la información necesaria para demostrar el cumplimiento de este DPA, incluida la documentación de medidas de seguridad.

13.2. El Cliente podrá realizar, por sí o por un auditor independiente que no sea competidor de The Interactive Studio, una auditoría por año natural, con un preaviso mínimo de 30 días, en horario laboral, sin acceso a datos de otros clientes y sujeta a acuerdo de confidencialidad. Los costes correrán a cargo del Cliente, salvo que la auditoría revele incumplimientos materiales de este DPA, en cuyo caso los costes razonables serán asumidos por The Interactive Studio. Adicionalmente, el Cliente podrá auditar tras una violación de seguridad que afecte a sus datos.

14. Responsabilidad

Cada parte responderá de los daños que cause por el incumplimiento de las obligaciones que el RGPD impone específicamente a su rol (art. 82 RGPD). La limitación de responsabilidad del Contrato se aplica a este DPA salvo en lo que resulte legalmente inderogable, incluida la responsabilidad frente a los interesados conforme al art. 82 RGPD.

15. Duración y ley aplicable

Este DPA entra en vigor con su aceptación y permanece vigente mientras The Interactive Studio trate datos personales por cuenta del Cliente. Se rige por la ley española y, en lo que proceda, por el RGPD. En caso de conflicto entre este DPA y el Contrato en materia de protección de datos, prevalece este DPA.

Anexo I — Descripción del tratamiento

Objeto: prestación del servicio Fountant de planificación, preparación, aprobación y publicación de contenido en redes sociales, bandeja de comentarios y mensajes, y generación y adaptación de contenido con IA.

Duración: la del Contrato, más el periodo de exportación de la cláusula 12.

Naturaleza y finalidades: recogida, importación, registro, estructuración, conservación, consulta, adaptación, comunicación a las plataformas que el Cliente elige y supresión de datos, con las finalidades de: (i) preparar, aprobar, programar y publicar contenido en las cuentas conectadas; (ii) importar el historial de esas cuentas; (iii) recibir y responder comentarios y mensajes, cuando el Cliente active la bandeja; (iv) generar y adaptar contenido con IA a partir del contexto de la marca; (v) almacenar los medios del Cliente.

Categorías de interesados: personas que interactúan con las cuentas del Cliente (autores de comentarios y mensajes, seguidores); personas que aparecen o se mencionan en el contenido del Cliente; miembros del Cliente en cuanto autores o revisores de contenido.

Tipos de datos: identificadores y nombre público de cuentas sociales; tokens de acceso de las cuentas conectadas (cifrados); publicaciones, textos, imágenes y vídeos y sus metadatos; historial importado; comentarios y mensajes, con el identificador y el nombre público de su autor, contenido y fecha; contexto de marca e instrucciones a la IA; metadatos técnicos de uso.

Datos que la plataforma no busca tratar: categorías especiales de datos. Si el contenido del Cliente o los mensajes que recibe los contienen, el Cliente es responsable de su base jurídica.

Anexo II — Medidas de seguridad

Cifrado. Datos en tránsito cifrados (TLS) en todas las comunicaciones. Los tokens de acceso de las cuentas sociales conectadas se almacenan cifrados a nivel de aplicación.

Aislamiento y control de acceso. La organización es la frontera de aislamiento, y dentro de ella las marcas y las membresías limitan el acceso. El aislamiento se aplica en la base de datos (seguridad a nivel de fila) y en la aplicación, y está cubierto por pruebas automatizadas de acceso cruzado. Control de acceso basado en roles con principio de mínimo privilegio. Autenticación mediante códigos de un solo uso por correo o inicio de sesión con Google, Microsoft o Apple; sesiones revocables.

Archivos. Almacenamiento de objetos privado por defecto; las descargas se autorizan de forma temporal.

Trazabilidad. Registro de auditoría de las acciones relevantes en la cuenta y registros técnicos de seguridad.

Continuidad. Copias de seguridad cifradas de base de datos y archivos en proceso de activación; su estado se informa al Cliente que lo solicite.

Desarrollo seguro. Entornos de desarrollo y producción separados; las pruebas y demostraciones usan datos ficticios. Gestión de secretos fuera del código fuente y revisión de cada cambio antes de su despliegue.

Acceso del personal. Acceso del personal de The Interactive Studio a los entornos mediante credenciales nominales bajo principio de mínimo privilegio; obligación de confidencialidad conforme a la cláusula 5.

Anexo III — Subencargados autorizados

Los proveedores de tratamientos de los que The Interactive Studio es responsable (pagos con Stripe, analítica de producto con PostHog, medición con Meta e inicio de sesión con Google, Microsoft o Apple) no son subencargados del contenido del Cliente y figuran en la Política de privacidad y en la lista pública de proveedores. Cambios con preaviso de 30 días conforme a la cláusula 7.