Acuerdo de tratamiento de datos

El presente Acuerdo de tratamiento de datos (el «Acuerdo») forma parte del contrato celebrado entre MIRAKL SRL y el cliente, conforme a los Términos y condiciones. El Acuerdo establece las condiciones en las que tratamos datos personales por cuenta del cliente, de conformidad con el art. 28 del Reglamento (UE) 2016/679 (Reglamento General de Protección de Datos, «RGPD»).

• El Acuerdo se aplica a los clientes personas jurídicas y profesionales, así como a cualquier cliente cuyo contenido alojado contenga datos personales de terceros (por ejemplo, los datos de los visitantes de un sitio web, de los clientes de una tienda en línea, de los suscriptores de un boletín o el contenido de los buzones de correo electrónico).
• Respecto de estos datos, el cliente es el responsable del tratamiento y MIRAKL SRL es el encargado del tratamiento.
• El Acuerdo no se aplica a los datos que tratamos como responsables por cuenta propia (la cuenta de cliente, la facturación, los pagos, los datos de los titulares de dominios transmitidos a los registros, los registros de seguridad). A estos se aplica la Política de privacidad.
• Si tu actividad es exclusivamente personal o doméstica, es posible que el RGPD no se aplique al tratamiento que realizas; en ese caso aplicamos igualmente, a título contractual, las medidas de este Acuerdo.
• La aceptación de los Términos y condiciones al realizar el pedido incluye la aceptación de este Acuerdo. Los clientes personas jurídicas lo aceptan expresamente al realizar el pedido.

• Tratamos los datos personales únicamente siguiendo instrucciones documentadas del cliente, incluso en lo que respecta a las transferencias a terceros países, salvo que el Derecho de la Unión o de Rumanía nos obligue a realizar un tratamiento. En tal caso, informamos al cliente de esa exigencia antes del tratamiento, salvo que la ley prohíba informarle por razones importantes de interés público.
• Las instrucciones del cliente figuran en el contrato, en este Acuerdo, en la configuración del servicio realizada por el cliente y en las solicitudes enviadas a través del área de cliente o por correo electrónico.
• Informamos inmediatamente al cliente si, en nuestra opinión, una instrucción infringe el RGPD u otras disposiciones en materia de protección de datos.
• No utilizamos los datos del cliente para fines propios, no los vendemos y solo accedemos a ellos en la medida necesaria para la prestación del servicio, para el soporte técnico, para la seguridad o para el cumplimiento de la ley (por ejemplo, en caso de una orden de una autoridad o de una notificación de contenido ilícito).

Garantizamos que las personas autorizadas para tratar los datos personales (empleados, colaboradores) se han comprometido a respetar la confidencialidad o están sujetas a una obligación legal de confidencialidad, y que su acceso se limita a lo necesario.

Aplicamos medidas técnicas y organizativas apropiadas, conforme al art. 32 RGPD, teniendo en cuenta el estado de la técnica, los costes y los riesgos. En términos generales, estas incluyen:

• el alojamiento de los servidores en un centro de datos de la Unión Europea, con seguridad física y control de acceso garantizados por el proveedor del centro de datos;
• la restricción del acceso administrativo a las personas autorizadas, con autenticación segura;
• la separación de las cuentas de los clientes en los servidores;
• el cifrado del tráfico en tránsito cuando el servicio lo permite (por ejemplo, certificados TLS/SSL);
• protección a nivel de red (cortafuegos, filtrado y protección contra ataques DDoS);
• la aplicación puntual de las actualizaciones de seguridad en la infraestructura que administramos;
• supervisión y registro con fines de seguridad;
• procedimientos de gestión de incidentes.

No disponemos de certificaciones de seguridad ni declaramos la conformidad con una norma determinada. La seguridad de las aplicaciones, las contraseñas y el contenido instalados y administrados por el cliente (por ejemplo, WordPress, módulos, scripts) es responsabilidad del cliente, al igual que la conservación de sus propias copias de seguridad (consulta los Términos y condiciones).

1. Autorización general. Al aceptar este Acuerdo, el cliente nos otorga una autorización general por escrito, en el sentido del art. 28, apartado 2, RGPD, para recurrir a otros encargados del tratamiento («subencargados») para las actividades de tratamiento necesarias para la prestación de los servicios, por ejemplo: centros de datos e infraestructura de servidores, red, DNS y protección contra ataques, almacenamiento de las copias de seguridad, entrega de correos electrónicos y asistencia técnica especializada.
2. Lista de subencargados. La lista actualizada, con la actividad de cada subencargado, el lugar del tratamiento y las garantías aplicables a las transferencias, se publica en la página Lista de subencargados. La lista tiene carácter informativo y no forma parte de las cláusulas de este Acuerdo, por lo que su actualización, realizada conforme a la presente sección, no constituye una modificación del Acuerdo.
3. Información previa. Informamos al cliente de cualquier intención de incorporar o sustituir un subencargado con acceso a los datos del cliente con al menos 14 días de antelación a que el cambio surta efecto, por correo electrónico a la dirección de la cuenta de cliente o mediante un mensaje en la cuenta de cliente, y actualizamos la lista al mismo tiempo.
4. Sustituciones urgentes. Si es necesario sustituir con urgencia un subencargado para garantizar la continuidad o la seguridad del servicio (por ejemplo, por el cese de su actividad, un incidente de seguridad o el incumplimiento de sus obligaciones), podemos realizar la sustitución antes de que venza el plazo anterior, informando al cliente sin demora. El derecho de oposición que se indica a continuación se aplica también en este caso, y el plazo empieza a contar desde la fecha de la información.
5. Derecho de oposición. El cliente puede oponerse a un cambio, en un plazo de 14 días desde la información, mediante un correo electrónico motivado por razones de protección de datos, enviado a [email protected]. Analizamos la oposición de buena fe y buscamos una solución razonable (por ejemplo, una alternativa para el servicio del cliente). Si no encontramos una solución, el cliente puede dar por terminados los servicios afectados por el cambio, sin penalización, con el reembolso proporcional de la parte no utilizada del período pagado. La falta de oposición dentro del plazo equivale a la aceptación del cambio.
6. Obligaciones de los subencargados. Imponemos a cada subencargado, mediante contrato u otro acto jurídico, las mismas obligaciones de protección de datos que las de este Acuerdo, en particular garantías suficientes en cuanto a las medidas técnicas y organizativas, conforme al art. 28, apartado 4, RGPD.
7. Responsabilidad. Seguimos siendo plenamente responsables ante el cliente del cumplimiento de las obligaciones de cada subencargado.
8. Quién no es subencargado. El procesador de pagos, los registros de nombres de dominio, los registradores y las autoridades públicas tratan los datos como responsables independientes, conforme a sus propias normas, y no tienen acceso al contenido alojado por el cliente. Los mencionamos en la página anterior únicamente por transparencia.

Los datos alojados se almacenan en la Unión Europea. Si un subencargado trata datos del cliente fuera del Espacio Económico Europeo (por ejemplo, en el marco de una red global de distribución y protección del tráfico), la transferencia se realiza únicamente con una de las garantías previstas en el capítulo V del RGPD: una decisión de adecuación de la Comisión Europea (incluido el Marco de Privacidad de Datos UE-EE. UU., EU-US Data Privacy Framework, para las entidades certificadas), cláusulas contractuales tipo aprobadas por la Comisión Europea u otras garantías adecuadas. La garantía aplicable a cada subencargado se indica en la Lista de subencargados.

Teniendo en cuenta la naturaleza del tratamiento, asistimos al cliente mediante medidas técnicas y organizativas apropiadas, siempre que sea posible, para que pueda cumplir su obligación de responder a las solicitudes de los interesados (acceso, rectificación, supresión, limitación, portabilidad, oposición). Normalmente, el cliente puede responder directamente a estas solicitudes, ya que tiene pleno acceso a su contenido. Si recibimos una solicitud directamente de un interesado en relación con los datos del cliente, la remitimos al cliente sin demora y solo respondemos sobre el fondo con el consentimiento del cliente o si la ley nos obliga a ello.

• Notificamos al cliente sin dilación indebida después de tener conocimiento de una violación de la seguridad de los datos personales que afecte a los datos del cliente.
• Procuramos enviar la notificación con la rapidez suficiente para que el cliente, como responsable del tratamiento, pueda cumplir el plazo de 72 horas en el que debe notificar a la autoridad de control, conforme al art. 33 RGPD (plazo que empieza a contar desde el momento en que el responsable tiene conocimiento de la violación).
• La notificación incluye, en la medida en que estén disponibles: la naturaleza de la violación, las categorías y el número aproximado de interesados y de registros afectados, las consecuencias probables, las medidas adoptadas o propuestas y los datos de contacto para obtener más información. La información que no esté disponible inicialmente se facilita posteriormente, sin dilación indebida.
• La notificación se envía a la dirección de correo electrónico de la cuenta de cliente.
• Adoptamos las medidas razonables para limitar los efectos de la violación y cooperamos con el cliente.
• Los incidentes causados por las aplicaciones, contraseñas o configuraciones del cliente (por ejemplo, un sitio WordPress comprometido) no constituyen violaciones de la seguridad por nuestra parte; no obstante, informamos al cliente de ellos si los detectamos.

Teniendo en cuenta la naturaleza del tratamiento y la información de que disponemos, asistimos al cliente en el cumplimiento de las obligaciones previstas en los arts. 32 a 36 RGPD (seguridad, notificación de violaciones, comunicación a los interesados, evaluación de impacto y consulta previa a la autoridad), en particular facilitando la información pertinente sobre el servicio y sobre las medidas de seguridad. La asistencia que vaya más allá de facilitar esta información puede facturarse a costes razonables, comunicados previamente.

• Durante la vigencia del contrato, el cliente puede descargar su contenido en cualquier momento, utilizando las herramientas del servicio (por ejemplo, el panel de control, FTP/SFTP, la exportación de las bases de datos).
• Al finalizar el servicio, a elección del cliente, suprimimos todos los datos personales o los ponemos a disposición del cliente para su descarga, tras lo cual suprimimos las copias existentes, salvo que el Derecho de la Unión o de Rumanía exija su conservación.
• El cliente debe descargar sus datos antes de la finalización o durante el período comprendido entre la suspensión y la supresión, previsto en los Términos y condiciones. Transcurrido este período, los datos se suprimen de los servidores activos.
• Las copias de seguridad (7 diarias, 4 semanales, 3 mensuales) se sobrescriben o se suprimen dentro del ciclo habitual de rotación, en un plazo máximo de 90 días desde la supresión de los datos de los servidores activos.

• Ponemos a disposición del cliente, a petición de este, toda la información necesaria para demostrar el cumplimiento de las obligaciones previstas en el art. 28 RGPD.
• Permitimos y contribuimos a la realización de auditorías, incluidas inspecciones, por parte del cliente o de un auditor autorizado por él, con las siguientes condiciones: un preaviso de al menos 30 días; un auditor sujeto a confidencialidad; su realización sin afectar a la seguridad ni a los datos de otros clientes; como máximo una vez al año, salvo que se haya producido una violación de la seguridad de los datos o que una autoridad de control solicite la auditoría.
• Las inspecciones en los centros de datos de los subencargados se realizan conforme a las políticas de estos; en lugar de la inspección, podemos facilitar los informes o documentos que pongan a disposición los subencargados.
• Los costes de la auditoría corren a cargo del cliente, salvo que la auditoría constate un incumplimiento significativo de este Acuerdo por nuestra parte.

• El cliente, como responsable del tratamiento, responde de la licitud del tratamiento de los datos que aloja: la base jurídica, la información a los interesados, la respuesta a sus solicitudes y, en su caso, la notificación de las violaciones a la autoridad y a los interesados.
• El cliente garantiza que sus instrucciones cumplen la ley y que tiene derecho a transmitirnos los datos.
• El cliente elige y configura las medidas de seguridad que dependen de él (contraseñas, actualizaciones, copias de seguridad, cifrado de los datos sensibles a nivel de aplicación).

• El Acuerdo se aplica durante la vigencia del contrato y, tras su finalización, hasta la supresión de todos los datos del cliente.
• La responsabilidad de las partes es la prevista en el art. 82 RGPD y en los Términos y condiciones, dentro de los límites permitidos por la ley.
• En caso de contradicción entre este Acuerdo y los Términos y condiciones en materia de protección de datos, prevalece este Acuerdo.
• El Acuerdo se rige por la legislación rumana. Podemos actualizar el Acuerdo conforme al procedimiento de modificación de los Términos y condiciones, salvo las modificaciones relativas a los subencargados, a las que se aplica la sección 6.
• Las preguntas sobre este Acuerdo pueden enviarse a [email protected].
• El Acuerdo está en vigor desde el 29 de octubre de 2026.